La CNIL vient de sanctionner GOOGLE (325 M€) et SHEIN (150 M€) pour des manquements aux règles applicables aux traceurs (cookies) et à la prospection électronique. Ces décisions s’inscrivent dans le plan d’action lancé en 2019 pour assainir les pratiques de suivi et de ciblage des internautes en France. Au-delà des montants record, le message est clair : consentement libre et éclairé, cookie walls strictement encadrés, et publicités insérées dans les emails soumises à consentement préalable. Voici, en termes simples, ce que les entreprises doivent retenir et mettre en œuvre.
1. Pourquoi ces amendes maintenant ? Un plan lancé dès 2019
Depuis 2019, la CNIL a bâti une stratégie de fond : publication de lignes directrices et d’une recommandation sur les cookies (puis mises à jour en 2020/2021), contrôles ciblés des acteurs à forte audience, et sanctions quand la mise en conformité n’est pas au rendez-vous. Objectif : que l’internaute comprenne et choisisse réellement ce qu’il accepte.
Concrètement, l’article 82 de la loi « Informatique et Libertés » (transposition de la directive ePrivacy) impose un consentement préalable pour la plupart des cookies non essentiels (publicité, personnalisation, etc.) et encadre la mesure d’audience. La CNIL a, en parallèle, rappelé les critères d’un consentement valable (libre, spécifique, éclairé, univoque) et la nécessité d’offrir un refus aussi simple que l’acceptation.
2. Ce que la CNIL reproche à Google et à SHEIN
Google (325 M€). La formation restreinte a sanctionné deux pratiques :
Le dépôt de traceurs lors de la création d’un compte Google sans consentement valide des utilisateurs en France. La décision ordonne par ailleurs à Google de se mettre en conformité sous peine d’astreinte.
Des publicités insérées entre les courriels dans les onglets « Promotions » et « Réseaux sociaux » de Gmail sans consentement préalable, ce qui constitue de la prospection électronique au sens de l’article L.34-5 du CPCE ;
SHEIN (150 M€). La CNIL reproche au site shein.com d’avoir déposé des cookies à des fins de suivi sans consentement, y compris lorsque l’utilisateur refusait. L’ampleur de l’audience en France et la persistance des manquements ont pesé dans la balance.
Point important sur les “cookie walls”. La CNIL rappelle que conditionner l’accès à un service à l’acceptation de cookies n’est pas illégal en soi, à condition que le consentement reste libre : alternatives réelles (ex. accès payant sans traceurs), présentation équilibrée des options, sans pièges qui rendent le refus plus difficile.
3. Cookie walls, « consentement libre », Gmail & co : comment rester dans les clous
Pour les cookies :
- Égalité des choix : le bouton « Refuser tout » doit être aussi visible et accessible que « Accepter tout » ; pas de parcours du combattant pour refuser.
- Granularité : permettre de choisir par finalité (mesure d’audience, personnalisation, publicité, etc.).
- Preuve du consentement : conservez des journaux horodatés (qui a consenti à quoi, quand, pour combien de temps).
- Retrait facile : l’utilisateur doit pouvoir modifier son choix à tout moment (lien « cookies » en pied de page, par exemple).
- Mesure d’audience : certaines solutions peuvent être exemptées de consentement si elles respectent strictement les critères CNIL (finalité limitée, durée courte, pas de recoupement, etc.).
Pour les publicités dans les emails (prospection électronique) :
- Principe : pas de publicité envoyée par email sans consentement préalable de la personne visée (B2C). Les « annonces » affichées dans la boîte de réception sont traitées comme des prospectus électroniques : elles nécessitent un opt-in.
- Transparence : distinguez clairement message privé et contenu publicitaire ; évitez tout effet trompe-l’œil.
- Désinscription : prévoyez un lien de retrait clair et immédiat.
Pour les cookie walls :
- Information claire : expliquez, en langage simple, les conséquences de chaque option.
- Véritable alternative : proposez une offre sans traceurs (par exemple, abonnement payant), ou un équivalent sans ciblage.
- Équilibre visuel : pas de dark patterns (couleurs, tailles, textes biaisés).
A retenir :
- Les amendes GOOGLE (325 M€) et SHEIN (150 M€) marquent une accélération du contrôle des traceurs. Votre bandeau cookies et vos pratiques de prospection doivent être irréprochables.
- Les cookie walls ne sont pas interdits mais strictement encadrés : le consentement doit rester libre avec de vraies alternatives.
- Les publicités insérées dans des emails (y compris au sein d’une messagerie) relèvent de la prospection électronique : opt-in préalable requis.
***
Pour toute demande de conseil juridique, n’hésitez pas à nous contacter. Vous pouvez dès à présent demander un devis gratuit ici.
