Le 1er septembre 2025, la CNIL a sanctionné Google d’une amende de 325 millions d’euros pour avoir affiché des publicités entre les courriels des utilisateurs de Gmail sans leur accord, et pour avoir déposé des traceurs (cookies) lors de la création de comptes Google, sans consentement valide des utilisateurs français. La décision, publiée le 3 septembre 2025 (délibération n° SAN-2025-004 du 1er septembre 2025), vise deux sociétés du groupe, retient deux manquements distincts et s’accompagne d’une injonction de mise en conformité sous six mois, sous astreinte. Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles dans toute situation comparable et ne décrivent pas la situation de Google, sur laquelle l’article ne formule aucun constat. Aucune intrusion, aucun vol de données ni aucun dommage aux personnes n’est constaté par la décision citée ; les contrats et conditions d’utilisation signés par chacun priment sur toute analyse générale ; et seul le juge, saisi d’un litige précis, tranche les responsabilités.

I. Refuser les traceurs aussi facilement qu’on les accepte : l’état du droit applicable à tout site

A. Un consentement qui doit rester libre, spécifique, éclairé et univoque

Le dépôt d’un traceur sur le terminal d’un visiteur n’est pas un simple réglage technique. En droit français, il obéit à l’article 82 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, qui transpose l’article 5, paragraphe 3, de la directive du 12 juillet 2002 sur la vie privée et les communications électroniques sur la vie privée et les communications électroniques, dite directive ePrivacy. Le principe posé par ces textes se résume en une phrase : sauf exemption strictement définie, aucune écriture ni lecture sur le terminal de l’utilisateur sans son consentement préalable. Le règlement général sur la protection des données, entré en application le 25 mai 2018, définit ce consentement comme une manifestation de volonté libre, spécifique, éclairée et univoque, révocable à tout moment avec la même simplicité que sa délivrance.

La CNIL a précisé cette exigence dans ses lignes directrices du 4 juillet 2019, puis dans sa recommandation du 17 septembre 2020 qui propose des modalités pratiques de mise en conformité en cas de recours aux cookies et autres traceurs. L’autorité y demande une symétrie stricte entre accepter et refuser : le bouton de refus doit être aussi visible, aussi accessible et aussi simple d’emploi que le bouton d’acceptation, dès le premier niveau d’information, sans obliger le visiteur à ouvrir un second écran de paramétrage pour dire non. Les cases pré-cochées, les poursuites de navigation valant accord et les bandeaux qui découragent le refus par des parcours compliqués sont regardés comme des recueils irréguliers.

Le Conseil d’État a validé cette lecture. Par sa décision du 19 juin 2020, rendue sur les recours de plusieurs organisations professionnelles contre les lignes directrices de la CNIL, la haute juridiction a jugé que l’autorité pouvait, sans excès de pouvoir, encadrer les modalités du recueil du consentement et proscrire les pratiques qui privent le refus de son effectivité, notamment les murs de traceurs qui conditionnent l’accès au service à l’acceptation. Cette solution a été rendue sous le numéro 434684 et elle sert depuis de fondement aux contrôles de l’autorité. Dès le 16 octobre 2019, le Conseil d’État, statuant en référé, avait été saisi par des associations de défense des libertés numériques qui demandaient la suspension des lignes directrices relatives aux traceurs (décision n° 433069).

Le débat s’est ensuite déplacé vers les maquettes elles-mêmes. Saisi par une association qui contestait une illustration de la recommandation de 2020 présentant comme correcte une bannière où la formule de poursuite sans traceur apparaissait en retrait, le Conseil d’État a examiné, le 19 juin 2026, jusqu’où l’exigence de symétrie s’applique aux choix graphiques des bandeaux. Quelle que soit l’issue de chaque espèce, la direction est constante : le juge compare les parcours d’acceptation et de refus clic par clic, écran par écran, et sanctionne toute asymétrie qui oriente le visiteur vers le oui.

Au niveau européen, le comité européen de la protection des données a mené en 2022 et 2023 une action coordonnée de ses autorités membres sur les bannières de cookies. Le rapport de son groupe de travail a recensé les dessins trompeurs les plus répandus : absence de bouton de refus au premier niveau, couleurs qui attirent le regard vers l’acceptation, liens de paramétrage noyés dans un texte dense, consentement redemandé après un refus. Les autorités en ont déduit des positions communes que la CNIL applique dans ses contrôles sur les sites accessibles depuis la France.

Deux exemptions seulement dispensent du consentement préalable. La première couvre les traceurs strictement nécessaires à la fourniture d’un service expressément demandé par l’utilisateur, comme la mémorisation d’un panier d’achat ou l’authentification à un espace personnel. La seconde couvre certaines mesures d’audience, à des conditions cumulatives posées par la CNIL : finalité limitée à la mesure de la fréquentation, données agrégées sans recoupement avec d’autres traitements, durée de conservation bornée, information claire et possibilité réelle de s’y opposer. Tout traceur publicitaire, de partage vers les réseaux sociaux ou de ciblage comportemental sort de ces exemptions et requiert le consentement préalable. Les traceurs déposés avant le choix de l’utilisateur, ou maintenus après son refus, caractérisent le manquement.

La décision du 1er septembre 2025 illustre ces principes à partir de constatations précises. D’une part, la formation restreinte de la CNIL a relevé que, jusqu’en octobre 2023, le parcours de création d’un compte rendait le refus des traceurs publicitaires plus difficile que leur acceptation et que les utilisateurs n’étaient pas clairement informés du fait que le dépôt de ces traceurs conditionnait l’accès aux services. D’autre part, elle a distingué ce grief relatif aux traceurs du grief relatif aux messages publicitaires insérés dans les onglets de la messagerie, qui relève d’un autre fondement, l’article L. 34-5 du code des postes et des communications électroniques. Cette séparation des fondements mérite l’attention : un même parcours peut violer à la fois le régime des traceurs et le régime de la prospection directe, et chaque grief suit ses propres conditions.

La même décision rappelle aussi ce qui joue en faveur des sociétés contrôlées : des modifications visuelles apportées en avril 2023 aux messages publicitaires afin de réduire le risque de confusion avec de véritables courriels ont été relevées, même si l’autorité les a jugées insuffisantes pour changer de régime juridique. De façon générale, un éditeur qui corrige son parcours, documente ses versions successives et coopère avec les agents de contrôle se place dans une position plus favorable qu’un éditeur qui maintient un bandeau contesté après un premier avertissement. La récidive, à l’inverse, aggrave : la délibération de septembre 2025 tient compte de deux sanctions antérieures prononcées en 2020 et en 2021 en matière de traceurs.

Pour le visiteur comme pour l’éditeur, la leçon pratique tient en trois vérifications. Premièrement, le refus doit exister dès le premier écran, formulé en des termes aussi simples que l’acceptation. Deuxièmement, aucun traceur soumis à consentement ne doit être déposé avant le clic, et le refus doit bloquer le dépôt de façon effective, ce qui se contrôle dans les outils du navigateur. Troisièmement, le retrait du consentement doit rester possible à tout moment, par un accès permanent et simple, et produire effet sans délai déraisonnable. Un site qui satisfait ces trois points peut démontrer sa conformité ; un site qui en manque un s’expose.

B. Prouver le manquement : captures, code, constats et signalements exploitables

Un grief relatif aux traceurs se gagne ou se perd sur la preuve. Le visiteur qui affirme avoir été suivi sans son accord doit établir ce qu’il a vu, ce qu’il a cliqué et ce qui a été déposé malgré son choix. L’éditeur qui soutient avoir recueilli un consentement valable doit produire la trace de ce consentement : quand, sur quel écran, pour quelles finalités, avec quel libellé. L’article 7 du règlement général sur la protection des données met cette charge de la démonstration sur le responsable du traitement, et la CNIL comme le juge en tirent les conséquences : à défaut de preuve du consentement, le dépôt est présumé irrégulier.

Le dossier de preuve du visiteur commence par des gestes simples. Des captures d’écran datées du bandeau tel qu’il s’affiche à la première visite, avant tout clic, montrent la présence ou l’absence d’un bouton de refus au premier niveau. Une seconde série de captures, après clic sur refuser, établit le parcours imposé. L’enregistrement de la date, de l’heure, de l’adresse exacte de la page, du navigateur et de sa version donne à ces pièces une force que des images isolées n’auraient pas. Les échanges ultérieurs avec l’éditeur, demandes d’accès ou d’effacement et réponses reçues, complètent le dossier et datent la connaissance du litige.

Les preuves techniques apportent le second étage. Les outils de développement intégrés aux navigateurs permettent de visualiser les traceurs déposés, leurs émetteurs et leurs finalités déclarées, avant et après le refus. Des extensions d’analyse des traceurs ou des rapports automatisés d’audit de conformité fournissent des relevés lisibles par un juge. La comparaison entre l’état initial, l’état après acceptation et l’état après refus démontre si le refus produit un effet réel ou s’il reste décoratif. Ces relevés doivent être conservés avec leurs métadonnées et, si possible, réitérés à plusieurs dates pour établir la persistance de la pratique.

Le troisième étage est le constat par un tiers. Un commissaire de justice, nouveau nom de l’huissier de justice depuis la réforme des professions, peut dresser un procès-verbal de constat sur internet qui décrit le parcours, les clics et les traceurs relevés, avec une force probante que le juge apprécie largement. Le coût de cet acte, de quelques centaines d’euros selon la complexité du parcours, doit être mis en balance avec l’enjeu du litige : il se justifie pour un dossier destiné à la juridiction judiciaire ou pour une plainte étayée devant l’autorité. Les associations de défense des usagers recourent aussi à des constats collectifs qui documentent une pratique sur un panel de comptes et de terminaux.

Le signalement à la CNIL constitue la voie administrative. Toute personne peut adresser une plainte en ligne à l’autorité, qui l’instruit et peut diligenter des contrôles, mettre en demeure l’organisme contrôlé puis saisir sa formation restreinte. La plainte doit être précise : adresse du site, dates des visites, description du bandeau, captures jointes, relevés de traceurs, échanges avec l’éditeur. L’expérience montre que les plaintes documentées, qui identifient la finalité des traceurs et démontrent l’asymétrie du parcours, sont celles qui débouchent sur des investigations. Le 31 décembre 2025, le Conseil d’État a statué sur le recours d’un particulier qui contestait la clôture par la CNIL de sa plainte relative aux modalités de dépôt de cookies (décision n° 500279), ce qui rappelle que le sort réservé à une plainte peut lui-même être contrôlé par le juge. La plainte déposée le 24 août 2022 par une organisation européenne de défense des usagers, qui a conduit aux contrôles menés entre 2022 et 2023 sur la messagerie et sur le parcours de création de compte évoqués plus haut, illustre l’efficacité d’un dossier construit avec méthode.

La mise en demeure adressée à l’éditeur reste un préalable utile avant tout procès. Elle expose les faits constatés, vise les textes applicables, demande la cessation du dépôt irrégulier, la suppression des données collectées sans base valable et la justification du consentement allégué, dans un délai raisonnable de quinze à trente jours. Elle interrompt peu de délais mais elle démontre la bonne foi du demandeur, ouvre la voie à une résolution amiable et, en cas d’échec, figure au dossier judiciaire comme preuve d’une tentative de règlement. L’envoi par lettre recommandée avec accusé de réception, doublé d’un courriel à l’adresse dédiée à la protection des données, sécurise la date de réception.

Pour les entreprises qui exploitent un site, la preuve se prépare en sens inverse. Le registre des traitements, la documentation du bandeau avec l’historique de ses versions, les journaux de consentement horodatés et les audits périodiques du déclenchement réel des traceurs forment le socle de la défense. Le contrat conclu avec le prestataire qui fournit la plateforme de gestion du consentement doit préciser les rôles respectifs, les instructions documentées et les garanties d’exécution, car l’éditeur répond du dépôt même quand la technique est sous-traitée. Un éditeur qui produit ces pièces devant la CNIL ou devant le juge discute sur le fond ; celui qui n’en produit aucune subit le débat sur la procédure. Pour approfondir les réflexes contractuels face à un prestataire en cause dans un incident de données, les lecteurs peuvent se reporter à l’analyse consacrée aux recours contre un prestataire informatique après une cyberattaque et à la perte d’exploitation, qui détaille la mise en demeure, la suspension des paiements et la résiliation pour inexécution grave.

II. Faire sanctionner et obtenir réparation : la CNIL, l’astreinte et le juge

A. La voie de l’autorité : plainte, contrôle, sanction publique et mise en conformité sous astreinte

La CNIL dispose d’une chaîne complète de traitement des manquements. Après la plainte ou l’autosaisine, ses agents procèdent à des contrôles sur pièces et en ligne, qui peuvent donner lieu à une mise en demeure publique de se conformer dans un délai fixé. Si l’organisme ne se conforme pas, ou si la gravité des faits le justifie, la présidente saisit la formation restreinte, qui prononce la sanction après une procédure contradictoire. L’échelle va du rappel à l’ordre à l’amende administrative, dont le plafond atteint, pour les manquements les plus graves au règlement européen, 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu.

La pratique récente montre une sévérité croissante en matière de traceurs. Le 29 décembre 2023, la formation restreinte a prononcé une amende de 10 millions d’euros contre un grand fournisseur de services en ligne pour des lectures et écritures de données par traceurs à des fins publicitaires sans recueil préalable du consentement, ainsi que pour des modalités de retrait du consentement jugées défectueuses. Saisi du recours contre cette délibération, le Conseil d’État a, le 7 octobre 2025, examiné la compétence matérielle de la CNIL, la régularité de la procédure et la proportionnalité du montant, dans une décision rendue sous le numéro 494300. Cette jurisprudence éclaire les moyens qui prospèrent et ceux qui échouent : la contestation de la compétence de l’autorité française face à un acteur établi dans un autre État membre, la discussion sur le guichet unique européen et la critique du montant au regard du chiffre d’affaires sont systématiquement débattues et tranchées au regard des textes. Le 14 mai 2024, le Conseil d’État a examiné le recours de la société Voodoo contre une sanction pécuniaire de 3 millions d’euros prononcée par délibération n° SAN-2022-026 du 29 décembre 2022 (décision n° 472221). Le 15 octobre 2025, il a examiné le recours de la société Apple Distribution International Limited contre la délibération n° SAN-2022-025 du 29 décembre 2022 (décision n° 473833). Le 4 mars 2026, il a été saisi du recours de la société Criteo contre une délibération de la formation restreinte (décision n° 482872).

La délibération du 1er septembre 2025, enregistrée sous le numéro SAN-2025-004 et publiée sur le site officiel de l’autorité, franchit un palier avec 325 millions d’euros prononcés contre deux sociétés d’un même groupe, solidairement visées. Le montant tient compte, selon la décision, du nombre très élevé de personnes concernées résidant en France, de la nature des manquements et de la récidive déjà évoquée. La sanction est publique, ce qui ajoute à l’amende un effet réputationnel que les entreprises redoutent parfois davantage que le montant lui-même. La publication reste accessible pendant deux ans avant anonymisation partielle, durée pendant laquelle elle alimente les contentieux indemnitaires des usagers.

Au-delà de l’amende, l’injonction assortie d’astreinte constitue l’arme la plus concrète pour les usagers. Les deux sociétés ont été tenues de cesser, dans un délai de six mois, l’affichage de publicités entre les courriels sans consentement préalable et d’assurer un consentement valable des utilisateurs pour le dépôt de traceurs publicitaires lors de la création d’un compte. À défaut, chacune devra payer une astreinte de 100 000 euros par jour de retard. Ce mécanisme transforme la sanction ponctuelle en pression continue : chaque jour de non-conformité après l’échéance fait courir une somme que l’autorité liquide ensuite. Pour le visiteur, l’injonction vaut reconnaissance officielle du droit au refus effectif ; pour l’éditeur de tout site, elle fixe un modèle de mise en conformité dont les délais et les coûts doivent être anticipés.

La coopération européenne encadre ces sanctions nationales. Le mécanisme de cohérence du règlement européen permet aux autorités des autres États membres de présenter des observations sur les projets de décision transfrontalière, et le comité européen peut adopter des décisions contraignantes en cas de désaccord. Dans la pratique des traceurs, la CNIL s’estime compétente sur le fondement de l’article 82 de la loi nationale, qui transpose la directive ePrivacy, y compris à l’égard d’acteurs dont l’établissement principal se situe en Irlande ou ailleurs dans l’Union, dès lors que les personnes visées par les traceurs se trouvent en France. Les recours formés devant le Conseil d’État discutent régulièrement cette articulation, sans que l’autorité ait été désarmée.

Pour l’usager, la voie de l’autorité présente trois attraits et une limite. Elle est gratuite, elle ne nécessite pas d’avocat obligatoire et elle peut aboutir à une décision publique qui fait jurisprudence. Mais elle n’indemnise pas : la CNIL sanctionne et ordonne, elle ne verse pas de dommages-intérêts. Celui qui veut une réparation pécuniaire doit saisir le juge, en s’appuyant sur la décision de l’autorité comme preuve du manquement.

B. La voie du juge : cessation, suppression et réparation du préjudice

Le juge judiciaire est le juge de la réparation. L’article 82 du règlement général sur la protection des données ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement le droit d’obtenir réparation du responsable du traitement ou du sous-traitant. Trois conditions classiques s’appliquent : une faute ou une violation caractérisée, un dommage prouvé et un lien de causalité entre les deux. La décision d’une autorité de contrôle qui constate le manquement ne suffit pas à elle seule à obtenir des dommages-intérêts, mais elle établit puissamment la première condition et oriente le débat vers le préjudice.

Le préjudice résultant de traceurs irréguliers prend plusieurs formes. Le temps perdu à paramétrer des refus qui ne produisent aucun effet, l’exposition publicitaire subie malgré l’opposition exprimée, l’exploitation des données de navigation à des fins de profilage non consenti et le sentiment de perte de maîtrise sur ses informations personnelles constituent des chefs de préjudice moral que les juridictions du fond indemnisent de façon croissante, pour des montants qui restent modérés à titre individuel mais qui deviennent significatifs dans les actions groupées. Le préjudice matériel peut s’ajouter : surcoût de communications, achats déclenchés par un ciblage non consenti, conséquences d’un profil erroné. Chaque chef doit être allégué avec précision et justifié par des pièces, car le juge n’indemnise ni le principe abstrait ni l’indignation générale.

L’action en cessation et en suppression accompagne utilement la demande indemnitaire. Le juge des référés peut ordonner la suspension du dépôt contesté, la mise en conformité du bandeau et la suppression des données irrégulièrement collectées, sous astreinte, dès lors que l’existence du manquement ressort avec l’évidence requise en référé et qu’un trouble manifestement illicite est caractérisé. Au fond, le tribunal peut prononcer les mêmes mesures à titre définitif, ordonner une expertise du parcours et des traceurs, et publier sa décision. La combinaison de l’injonction et des dommages-intérêts donne à l’action judiciaire une portée que la plainte administrative n’offre pas.

Le régime de la prospection directe fournit un second fondement autonome. L’article L. 34-5 du code des postes et des communications électroniques interdit la prospection directe par courrier électronique sans le consentement préalable du destinataire, avec des aménagements pour la relation client existante et pour les organismes sans but lucratif, et il impose une information claire ainsi qu’un moyen simple de s’opposer. Les messages publicitaires glissés entre des courriels privés, dans un espace réservé à la correspondance personnelle et sous une apparence de courriels ordinaires, ont été regardés par l’autorité comme de la prospection soumise à ce consentement, en s’appuyant sur la jurisprudence de la Cour de justice de l’Union européenne relative aux messages à caractère commercial. Devant le juge, ce fondement permet de demander la cessation de l’envoi, la suppression de l’adresse des fichiers de prospection et des dommages-intérêts, en complément des griefs relatifs aux traceurs. Les lecteurs confrontés à des sollicitations commerciales non sollicitées trouveront des réflexes voisins, adaptés au démarchage, dans le dossier consacré à la preuve du consentement et au signalement d’un démarchage téléphonique sans accord.

Les délais et la compétence doivent être vérifiés avant d’agir. L’action en responsabilité civile se prescrit en principe par cinq ans (article 2224 du code civil) à compter du jour où le titulaire du droit a connu ou aurait dû connaître les faits lui permettant de l’exercer. Le demandeur peut saisir le tribunal judiciaire de son domicile pour un litige de consommation ou de données personnelles, ou celui du siège du défendeur, selon les règles de compétence territoriale applicables à son cas. Les clauses attributives de juridiction figurant dans des conditions générales en ligne sont inopposables au consommateur qui agit en cette qualité. Les preuves numériques doivent être conservées dans leur format d’origine, avec leurs métadonnées, et toute expertise doit être demandée avant la disparition des traces, car les journaux de connexion et les versions de bandeaux s’effacent vite.

Le contentieux collectif reste balbutiant mais porteur. Les associations agréées de consommateurs et les organismes de défense des usagers peuvent agir en cessation des pratiques illicites et, dans le cadre de l’action de groupe en matière de données personnelles, demander réparation pour le compte des personnes concernées. La publicité des sanctions de la CNIL facilite ces actions en fournissant un socle commun de faits constatés par l’autorité. Pour un préjudice individuel faible mais subi par des centaines de milliers d’utilisateurs, l’action collective est souvent la seule voie économiquement rationnelle, et les montants cumulés modifient le calcul des éditeurs.

En pratique, la stratégie gagnante combine les deux voies dans le bon ordre. D’abord, constituer le dossier de preuve et adresser la mise en demeure à l’éditeur. Ensuite, déposer une plainte précise devant la CNIL pendant que le délai de la mise en demeure court. Enfin, saisir le juge d’une demande de cessation sous astreinte et de dommages-intérêts, en versant au dossier la plainte, les constats et, le cas échéant, la décision de l’autorité. Cette articulation évite l’écueil des actions parallèles mal coordonnées et donne au juge un dossier complet, déjà structuré par l’instruction administrative.

La décision du 1er septembre 2025 ne clôt aucun débat à elle seule : elle est susceptible de recours devant le Conseil d’État, comme les sanctions antérieures, et seule la décision définitive du juge administratif fixera son sort. À la date de rédaction, aucun accident, aucune intrusion dans les comptes ni aucun dommage corporel ou matériel n’est constaté par les sources officielles citées ; aucune responsabilité au-delà des deux manquements retenus par la délibération n’est établie ; les contrats et conditions d’utilisation signés par chacun priment sur toute analyse générale ; et seul le juge, saisi selon les règles du code de justice administrative pour le contentieux de l’autorité ou devant le tribunal judiciaire pour la réparation, dira si un manquement comparable ouvre droit à réparation et dans quelle mesure.

Conclusion

Refuser les traceurs aussi facilement qu’on les accepte, conserver la preuve de chaque parcours, signaler avec méthode puis articuler la plainte devant l’autorité et l’action devant le juge : telle est la chaîne complète qui transforme un bandeau trompeur en dossier gagnable. Le droit applicable ne demande ni expertise technique ni moyens exceptionnels, seulement de la rigueur dans les constats et de la précision dans les fondements. À la date de rédaction, aucune responsabilité au-delà des manquements constatés par les décisions citées n’est établie, les contrats signés priment sur toute analyse générale, et seul le juge décide, au vu des preuves propres à chaque espèce.