La CNIL a rendu, le 1er septembre 2025, deux décisions particulièrement punitives, à l’égard de Google et Shein, au sujet de l’utilisation des cookies et de la prospection commerciale.
De nombreux manquements en matière de cookies et de prospection commerciale
La CNIL, à l’issue d’opérations de contrôles, a constaté que GOOGLE LLC et GOOGLE IRELAND LIMITED (« Google »), d’une part, et INFINITE STYLES (« Shein »), d’autre part, s’étaient rendues auteurs de pratiques violant la législation en matière de cookies et de prospection commerciale.
S’agissant de Google :
- Le processus de création d’un compte Google inclut une option de « personnalisation express », permettant de créer un compte en une seule étape, cependant cette option ne permet pas de refuser les cookies, ce qui prive le consentement de liberté.
- Le processus de création de compte Google n’indique pas clairement à l’utilisateur que le recours aux cookies est consubstantiel aux services Gmail, tout du moins pas avant la toute dernière étape, après que l’utilisateur a exprimé son choix, ce qui est contraire à l’exigence de consentement éclairé.
- Google insert des messages publicitaires dans les boites de réception Gmail, en leur faisant revêtir la même forme que les courriers électroniques reçus, ce qui les soumet aux obligations de l’article L34-5 du Code des postes et communications électroniques, non respectées en l’espèce.
S’agissant de Shein :
- Des cookies soumis au consentement sont déposés sur le terminal de l’utilisateur avant toute interaction entre l’utilisateur et le bandeau cookie.
- Les finalités des cookies sont expliquées de façon insuffisamment précise.
- Le bandeau cookie ne comprend pas de bouton permettant de refuser tous les cookies.
- L’identité des responsables du traitement déposant des cookies tiers sur le terminal de l’utilisateur n’est pas mentionnée.
- Le retrait du consentement de l’utilisateur ne le prémunis pas contre les opérations de lecture et d’écriture de cookies soumis à consentement.
De lourdes amendes
Pour ce qui est des amendes, rappelons à titre liminaire que celles-ci sont plafonnées à une fraction du chiffre d’affaires de l’organisme condamné.
En l’espèce, afin de déterminer le chiffre d’affaires, la CNIL a eu, dans les deux décisions, recours à la notion d’« entreprise », entendue comme une « unité économique » pouvant être constituée de plusieurs personnes morales.
Ainsi, lorsqu’une filiale est détenue à 100% par sa maison mère, il existe une présomption réfragable selon laquelle la maison mère exerce une influence déterminante sur le comportement de la société, ce qui peut conduire à considérer les deux sociétés comme une unique entreprise.
En l’espèce, la CNIL a considéré que :
- S’agissant de Google, ALPHABET détient à 100% GOOGLE LLC et GOOGLE IRELAND LIMITED, qui forment toutes trois une entreprise commune, dont il convient de retenir le chiffre d’affaires global (312 milliards d’euros en 2024 pour la seule société Alphabet).
- S’agissant de Shein, de la même façon, ROADGET BUSINESS détient à 100% INFINITE STYLES, qui forment toutes deux une entreprise commune, dont il convient également de retenir le chiffre d’affaires global, non précisé par la CNIL.
Il en résulte que la CNIL a prononcé une amende de 150 millions d’euros à l’égard de Shein et une amende record de 325 millions d’euros à l’égard de Google.