Des sanctions record pour Google et Shein
Le 1er septembre 2025, la CNIL a prononcé deux sanctions particulièrement importantes à l’encontre de Google et de Shein.
Dans la délibération SAN-2025-004, Google Ireland Limited et Google LLC ont été condamnées à une amende de 325 millions d’euros. La CNIL leur reproche notamment l’insertion de publicités ciblées dans Gmail sans consentement valable ainsi que le dépôt de cookies publicitaires lors de la création d’un compte utilisateur sans accord préalable.
La CNIL a également enjoint à Google de mettre ses pratiques en conformité dans un délai de six mois, sous peine d’astreintes financières.
De son côté, Shein a été condamnée à une amende de 150 millions d’euros dans le cadre de la délibération SAN-2025-005. L’autorité a relevé plusieurs manquements : dépôt de cookies sans consentement, information insuffisante sur les finalités des traceurs et absence de mécanisme de refus simple et accessible.
Malgré les arguments de la société invoquant la compétence de l’autorité irlandaise, la CNIL a retenu sa compétence en raison du ciblage du marché français et de la présence d’un établissement en France.
Ces montants particulièrement élevés témoignent de la volonté de la CNIL de sanctionner efficacement les manquements affectant un grand nombre d’utilisateurs.
La conformité RGPD : plus que jamais une nécessité
À travers ces deux décisions, la CNIL réaffirme les principes fondamentaux du consentement en matière de protection des données personnelles.
Le consentement doit être :
- libre ;
- spécifique ;
- éclairé ;
- recueilli avant tout dépôt de cookies non essentiels.
L’autorité critique également les interfaces conçues pour influencer le choix des internautes. Les bandeaux cookies mettant davantage en avant le bouton « Tout accepter » que l’option « Tout refuser » ou les parcours de refus excessivement complexes sont désormais clairement dans le viseur du régulateur.
Autre enseignement important : la CNIL considère que certaines publicités intégrées dans Gmail relèvent de la prospection directe et nécessitent donc un consentement préalable de l’utilisateur.
Quels enseignements pour les entreprises ?
Les sanctions prononcées contre Google et Shein rappellent que toutes les entreprises, quelle que soit leur taille, doivent veiller à leur conformité au RGPD.
Il est notamment essentiel de :
- vérifier régulièrement la conformité des bandeaux cookies ;
- s’assurer qu’aucun traceur publicitaire n’est déposé avant consentement ;
- conserver la preuve du consentement des utilisateurs ;
- fournir une information claire sur les finalités des traitements ;
- auditer les pratiques des partenaires et sous-traitants.
La conformité RGPD ne doit plus être perçue comme une simple obligation réglementaire mais comme un véritable enjeu de gouvernance et de confiance numérique.
KPSP Avocats vous accompagne
Face à l’augmentation des contrôles et au durcissement des sanctions de la CNIL, les entreprises ont tout intérêt à adopter une démarche proactive.
Le cabinet KPSP Avocats accompagne ses clients dans leurs projets de mise en conformité RGPD ainsi que l’assistance en cas de contrôle ou de procédure de sanction.
Sources : Délibérations SAN-2025-004 et SAN-2025-005 du 1er septembre 2025.
