Le 14 octobre 2026, la CNIL a annoncé la clôture de l’injonction prononcée contre Google LLC et Google Ireland Limited. Cette injonction accompagnait l’amende de 325 millions d’euros du 1er septembre 2025, pour des publicités glissées entre les courriels de Gmail et des cookies déposés à la création de compte. La décision de clôture elle-même date du 23 septembre 2026.

Les faits

Allez, on remonte d’un an. Le 1er septembre 2025, la formation restreinte de la CNIL sanctionne Google LLC (200 millions d’euros) et Google Ireland Limited (125 millions d’euros). Total : 325 millions d’euros. À l’origine du dossier, une plainte de l’association noyb déposée le 24 août 2022, puis des contrôles menés en 2022 et 2023 sur Gmail et sur le parcours de création d’un compte Google.

Deux reproches, selon la décision publiée par la CNIL. Le premier : des annonces présentées comme des courriels dans les onglets Promotions et Réseaux sociaux de Gmail, affichées sans le consentement des utilisateurs. Le second : à la création d’un compte, personne n’était informé que l’accès aux services dépendait du dépôt de traceurs publicitaires. Plus de 74 millions de comptes concernés en France, dont 53 millions pour les publicités Gmail. Vous me voyez venir ? L’amende n’était que la moitié de la décision.

L’autre moitié, c’est l’injonction. Six mois pour se mettre en conformité sur les deux points, sous astreinte de 100 000 euros par jour de retard et par société. Oui, par société ! Par délibération du 23 septembre 2026, rendue publique le 14 octobre, la formation restreinte a constaté que les deux sociétés s’étaient conformées dans le délai imparti, et elle a clos l’injonction. Conformité constatée à temps, donc pas d’astreinte. Fin de l’épisode ? Pas tout à fait, et c’est justement la partie qui m’intéresse.

Le manquement en cause

Attention, c’est là que ça se corse. Ce n’est pas le RGPD qui fonde la sanction, contrairement à ce qu’on lit un peu partout. Les publicités Gmail relèvent de l’article L. 34-5 du code des postes et des communications électroniques, qui encadre la prospection directe par courrier électronique. Les cookies relèvent de l’article 82 de la loi Informatique et Libertés, la transposition française de la directive ePrivacy (le cousin du RGPD, en gros).

Qu’a fait Google pour sortir de l’injonction ? Selon la CNIL, deux choses. À la création de compte, une information indique désormais que l’ouverture d’un compte Google est conditionnée au dépôt de cookies publicitaires, en contrepartie de la gratuité du service. Dans Gmail, le format des annonces a été modifié pour qu’elles se distinguent clairement des vrais courriels. Résultat, et c’est le point à relire deux fois : la CNIL estime que ces annonces ne relèvent plus de l’article L. 34-5, donc plus besoin de consentement. Google n’a pas ajouté une case à cocher, Google a changé l’apparence de l’objet. Redoutable !

Mais la CNIL ne signe pas un chèque en blanc. La clôture ne porte que sur le périmètre de l’injonction. Elle ne préjuge pas de la conformité du parcours complet de création de compte à l’article 82, et la commission cite noir sur blanc deux sujets qu’elle garde à l’œil : la clarté de l’information fournie et l’intelligibilité des écrans successifs (vous savez, ceux que tout le monde valide sans lire). Elle se réserve de nouveaux contrôles. Bref, dossier clos, pas dossier classé.

Ce que ça change pour les responsables qualité

Et, pourquoi je vous raconte tout ça ? Parce qu’une injonction se gère exactement comme une non-conformité majeure après un audit de certification. Un écart, un délai, et une preuve à produire. Et un auditeur qui revient !

Premier réflexe à vérifier chez vous : votre parcours de consentement dit-il clairement ce qui conditionne l’accès au service ? Deuxième réflexe : vos propres mises en demeure ou injonctions (CNIL, mais aussi un client ou un organisme certificateur) ont-elles un plan d’action daté, avec des preuves conservées ? La grille d’audit RGPD et le tableau de bord de conformité que j’utilise pour ça sont dans notre kit documentaire RGPD. Troisième réflexe, le plus souvent oublié : la clôture d’un écart ne vaut pas quitus sur le reste du système. La CNIL l’écrit pour Google, votre organisme certificateur le pense pour vous (et non, ouvrir un compte Google pour tester vos écrans ne compte pas comme une revue de direction). Vous êtes toujours avec moi ? Bien. Dernier point, et je vous laisse tranquille : documentez ce que vous avez changé et pourquoi, pas seulement le fait d’avoir changé. Passez votre parcours au crible avec notre checklist d’audit de conformité RGPD avant que quelqu’un d’autre ne le fasse. C’est la preuve qui clôt une injonction, pas la bonne volonté.

Sources : CNIL, clôture de l’injonction prononcée à l’encontre de Google, délibération SAN-2026-014 du 23 septembre 2026, communiqué du 14 octobre 2026 (communiqué officiel) ; CNIL, délibération SAN-2025-004 du 1er septembre 2025, communiqué du 3 septembre 2025 (communiqué officiel). Consultées le 16 octobre 2026.

Hafsa J.