L’amende de 50 millions d’euros infligée à Google par la CNIL, le 21 janvier 2019, a marqué l’application du RGPD en France. Elle sanctionnait notamment le manque de clarté des informations sur l’usage des données personnelles et la publicité ciblée.
Ce montant fut alors présenté comme un record, mais il ne décrit pas à lui seul la situation actuelle des sanctions. Pour comprendre la décision, il faut distinguer les manquements constatés, les critères de calcul et les évolutions intervenues depuis.
A retenir :
- Amende de 50 millions d’euros prononcée contre Google en 2019
- Défauts d’information et de consentement au cœur des manquements
- Montant historique, dépassé par des sanctions ultérieures
- Protection des données personnelles, enjeu central de la décision
Pourquoi la CNIL a sanctionné Google de 50 millions d’euros
Ces éléments posent le cadre d’une affaire née de plaintes collectives, déposées après l’entrée en vigueur du RGPD en mai 2018. La CNIL a examiné si les internautes pouvaient réellement comprendre les traitements associés aux services Google.
Des plaintes sur la publicité ciblée et les données personnelles
Dans cette première étape, la Quadrature du Net et NOYB ont contesté les pratiques liées au ciblage publicitaire. Elles reprochaient à Google de traiter des données sans base juridique valable et sans explications suffisamment accessibles.
Selon la CNIL, le contrôle en ligne de septembre 2018 a porté notamment sur la configuration d’un téléphone Android et la création d’un compte. Ce parcours permettait d’observer les informations présentées à une personne découvrant les services.
« L’information n’est accessible qu’après plusieurs étapes, impliquant parfois jusqu’à cinq ou six actions. » La CNIL estimait que ce parcours compliquait la compréhension des traitements.
CNIL
Une information dispersée entre plusieurs réglages
La décision relevait que les finalités, les catégories de données et leur durée de conservation étaient réparties entre différents écrans et documents. Un utilisateur devait parfois activer plusieurs liens avant d’obtenir une vue compréhensible de l’usage de ses informations.
Selon la CNIL, cette présentation ne permettait pas de mesurer clairement l’ampleur des traitements, notamment lorsque des données issues de plusieurs services étaient combinées. La difficulté ne tenait donc pas seulement au volume d’informations, mais aussi à leur organisation.
La décision fait ressortir plusieurs défauts concrets :
- Finalités de traitement insuffisamment visibles dès la création du compte
- Informations réparties entre règles, conditions et liens complémentaires
- Publicité personnalisée difficile à comprendre dans son périmètre
Étape examinée
Constat de la CNIL
Enjeu pour l’internaute
Configuration Android
Informations présentées dans plusieurs écrans
Comprendre les usages dès le départ
Création du compte
Conditions liées à l’accès aux services
Choisir sans consentement global imposé
Réglages publicitaires
Portée des traitements peu lisible
Évaluer la personnalisation des annonces
Documents d’information
Liens et contenus dispersés
Accéder rapidement aux détails pertinents
Consentement et conformité au RGPD
Une information difficile à trouver fragilise aussi le choix de l’utilisateur, puisque le consentement suppose une compréhension suffisante. La CNIL a donc relié les problèmes de transparence aux règles encadrant la publicité personnalisée.
Un consentement qui devait être spécifique et explicite
Le RGPD exige que le consentement soit libre, spécifique, éclairé et univoque. Selon la CNIL, accepter les conditions générales ne suffisait pas à valider indistinctement toutes les finalités de traitement des données personnelles.
« Le consentement des internautes concernant l’exploitation de leurs données personnelles doit se faire de manière explicite. » Cette exigence distingue l’acceptation générale d’un choix portant sur une finalité précise.
CNIL
Des services connectés aux usages publicitaires
La CNIL a examiné les liens entre les services Google, dont le moteur de recherche, YouTube et Play Store, et la personnalisation des annonces. Pour l’utilisateur, savoir qu’une publicité est adaptée ne révèle pas nécessairement quelles données contribuent à ce profilage.
« Des informations essentielles […] sont excessivement disséminées dans plusieurs documents. » Ce constat résume le problème d’accessibilité soulevé dans la décision.
CNIL
Pour une entreprise, cette affaire rappelle que la conformité ne se limite pas à publier une politique de confidentialité. Les parcours doivent rendre les choix compréhensibles, accessibles et distincts selon les usages.
Les points de vigilance relevés dans ce dossier concernent :
- Choix séparés pour les différentes finalités publicitaires
- Présentation claire des catégories de données utilisées
- Accès direct aux réglages et aux informations essentielles
Obligation examinée
Exigence pratique
Risque en cas de défaut
Information
Langage clair et accès direct
Compréhension insuffisante des traitements
Consentement
Choix spécifique par finalité
Base juridique contestable
Transparence
Usages et catégories de données identifiables
Atteinte à la confiance des utilisateurs
Réglages
Modification accessible des préférences
Choix difficile à exercer en pratique
Montant de l’amende et portée de la décision CNIL
Les manquements établis éclairent le montant retenu et sa portée pour la régulation numérique. La sanction de 2019 fut exceptionnelle à l’époque, mais les décisions ultérieures obligent à présenter ce record dans son contexte historique.
Les critères de calcul prévus par le RGPD
L’article 83 du RGPD prévoit notamment une appréciation de la gravité, de la durée et des conséquences des manquements. La CNIL tient aussi compte du nombre de personnes concernées et de la situation économique de l’entreprise.
Le règlement fixe, pour certaines violations, un plafond pouvant atteindre 4 % du chiffre d’affaires annuel mondial. Les données fournies pour 2017 évaluent les recettes de Google à 109,7 milliards de dollars, soit environ 96 milliards d’euros.
« Massive et intrusive » : la CNIL qualifiait ainsi l’exploitation des données examinée dans le dossier. La portée des traitements et leur combinaison pesaient dans l’appréciation de la sanction.
CNIL
Un record historique, dépassé par d’autres sanctions
Les 50 millions d’euros représentaient alors une amende sans précédent de la CNIL sous le RGPD. Depuis, l’autorité a prononcé des sanctions supérieures, notamment 100 millions d’euros contre Google en 2020 pour des manquements liés aux cookies publicitaires.
En novembre 2024, Orange a également reçu une amende de 50 millions d’euros concernant des publicités insérées entre des courriels sans consentement. La sanction historique de 2019 reste donc marquante, sans être le record actuel.
« La plus grosse sanction jamais prononcée par la CNIL en France, depuis l’entrée en vigueur du RGPD. » Cette description correspond au contexte de la décision Google de 2019, et non à un classement actuel.
CNIL
Les repères chronologiques permettent de distinguer les affaires :
- 2019 : 50 millions d’euros contre Google pour des manquements au RGPD
- 2020 : 100 millions d’euros à Google dans le dossier des cookies
- 2024 : 50 millions d’euros à Orange pour des publicités dans les courriels
Pour les internautes comme pour les entreprises, l’enjeu dépasse le seul montant : une protection des données efficace dépend aussi de choix réellement compréhensibles. La qualité de l’information reste ainsi un indicateur concret de conformité et de respect de la vie privée.
Source : CNIL, « Délibération de la formation restreinte n° SAN-2019-001 concernant Google LLC », 21 janvier 2019 ; Règlement (UE) 2016/679, 27 avril 2016.
