Cookies publicitaires : amendes colossales pour Google et Shein infligées par la CNIL

La Commission nationale de l’informatique et des libertés (Cnil) a infligé mercredi des amendes records aux groupes Google et Shein pour non-respect de la législation sur les cookies, sanctionnant ainsi leurs pratiques en matière de ciblage publicitaire et de collecte de données en France.

Google a été condamné à une amende de 325 millions d’euros pour manquements liés à la publicité et à la gestion des cookies, tandis que Shein, géant asiatique du prêt-à-porter en ligne, devra verser 150 millions d’euros. Il s’agit, en dehors d’une amende de 150 millions déjà adressée à Google en 2022, des deux plus importantes sanctions jamais prononcées par la Cnil à ce jour.

La Cnil reproche aux deux groupes de ne pas avoir recueilli le consentement libre et éclairé des internautes avant de déposer des cookies publicitaires, comme l’exige la législation : ces traceurs, essentiels dans le secteur de la publicité en ligne, permettent de suivre les usages des utilisateurs à grande échelle. Dans le cas de Shein, l’autorité pointe le « caractère massif » de l’exploitation des données, l’absence de consentement clair, un défaut d’information des utilisateurs et un système défaillant de retrait du consentement. Depuis les contrôles, Shein affirme s’être mis en conformité avec les exigences de l’autorité française.

Shein conteste l’amende, la jugeant « totalement disproportionnée » et compte faire appel devant le Conseil d’État et la Cour de justice de l’Union européenne, évoquant des « considérations politiques » derrière cette sévérité. Google, déjà sanctionné par la Cnil en 2020 (100 M€) et 2021 (150 M€), voit la nouvelle amende justifiée par le nombre d’utilisateurs impactés et la diversité des infractions relevées, notamment la mise en place d’un « mur de traceurs » et l’insertion de publicités dans Gmail sans consentement explicite pour 53 millions de Français.

La Cnil a assorti l’amende infligée à Google d’une injonction lui imposant de corriger ses pratiques dans un délai de six mois, sous peine de pénalités de 100.000 euros par jour de retard pour Google et sa filiale irlandaise. Les deux sociétés ont désormais quatre mois pour contester la sanction devant la justice administrative française.

Par ailleurs, Google a été condamné mercredi par un jury fédéral de San Francisco à verser 425,7 millions de dollars à près de 100 millions d’utilisateurs pour atteinte à la vie privée, après avoir poursuivi la collecte de données malgré la désactivation de certains paramètres de suivi. Ce recours collectif reproche à l’entreprise d’avoir ignoré les choix de confidentialité des utilisateurs de services comme Chrome ou Google Maps, en violation de la loi californienne.

Le géant américain, qui conteste la décision et compte faire appel, affirme que ses outils respectent la confidentialité des internautes et que les données collectées ne permettent pas de les identifier personnellement. Cette condamnation intervient alors que Google reste sous forte pression pour concilier ciblage publicitaire et respect des données personnelles. Dans ce but, la firme tente de remplacer les cookies traditionnels par des mécanismes publicitaires jugés moins intrusifs, tout en maintenant leur efficacité commerciale.