Les deux manquements identifiés par la CNIL en 2025

Le 1er septembre 2025, la formation restreinte de la CNIL avait prononcé une injonction contre Google LLC et Google Ireland Limited, en complément d’une amende de 325 millions d’euros infligée pour des pratiques jugées non conformes au Règlement général sur la protection des données (RGPD). Deux points précis avaient été ciblés :

• L’absence d’information claire sur le dépôt de cookies publicitaires lors de la création d’un compte Google. Selon la CNIL, les utilisateurs n’étaient pas suffisamment éclairés sur l’utilisation de leurs données à des fins publicitaires dès l’inscription.
• L’insertion d’annonces publicitaires sous forme de courriels dans Gmail, sans distinction visuelle avec les messages privés. Cette pratique, bien que désormais encadrée par l’article L. 34-5 du code des postes et des communications électroniques, nécessitait un consentement explicite des utilisateurs, absent jusqu’alors.

À défaut de correction sous un an, Google s’exposait à une astreinte de 100 000 euros par jour de retard, un risque financier qui a probablement accéléré les ajustements.

Les sociétés ont satisfait aux demandes dans le délai imparti, mais la CNIL rappelle que cette conformité reste ponctuelle et ne couvre pas l’ensemble de leurs obligations légales.

Les corrections apportées par Google pour lever l’injonction

D’après la décision de clôture du 23 septembre 2026, Google a satisfait aux deux exigences dans les délais impartis. La formation restreinte de la CNIL souligne deux modifications clés :

• Transparence sur les cookies publicitaires : lors de la création d’un compte Google, les utilisateurs sont désormais informés explicitement que l’ouverture d’un compte implique le dépôt de cookies à des fins publicitaires. Cette information est intégrée au processus d’inscription, conformément aux attentes du RGPD en matière de consentement éclairé.
• Distinction claire entre annonces et courriels privés dans Gmail : les messages publicitaires insérés dans les boîtes aux lettres Gmail sont désormais visuellement et fonctionnellement séparés des courriels personnels. Selon la CNIL, cette séparation permet de considérer que le consentement des utilisateurs n’est plus nécessaire, au regard de l’article L. 34-5 du code des postes, qui encadre les communications électroniques commerciales.

La CNIL précise cependant que cette clôture ne couvre que le périmètre défini en 2025. D’autres aspects du parcours de création de compte Google pourraient encore faire l’objet de contrôles, notamment au regard de l’article 82 de la loi Informatique et Libertés, qui renforce les obligations de protection des données.

Les limites de cette conformité : ce que la CNIL continue de surveiller

Si la clôture de l’injonction marque une étape, elle ne signifie pas une validation globale des pratiques de Google. La CNIL se réserve expressément le droit d’effectuer d’autres contrôles sur la conformité du parcours complet de création de compte, au-delà des deux points initialement sanctionnés. Plusieurs éléments laissent présager une vigilance accrue :

• La décision de clôture ne préjuge pas d’une analyse future sur la conformité totale aux dispositions de l’article 82 de la loi Informatique et Libertés, qui impose des exigences strictes en matière de sécurité et de transparence des traitements de données.
• Les géants du numérique doivent s’adapter à ces changements, sous peine de nouvelles sanctions.
• Les utilisateurs africains, souvent moins sensibilisés aux enjeux de protection des données, pourraient continuer à être exposés à des pratiques opaques si les géants du numérique ne généralisent pas ces corrections à l’échelle mondiale.

La CNIL rappelle ainsi que cette clôture est ponctuelle et ne dispense pas Google de respecter l’ensemble des obligations légales en vigueur.

Ce que cela change ici : implications pour les entreprises et administrations d’Afrique de l’Ouest

Bien que cette décision de la CNIL concerne directement les utilisateurs européens de Google, elle pourrait avoir des répercussions indirectes pour les entreprises et administrations d’Afrique de l’Ouest, où les services cloud et les outils de messagerie comme Gmail sont largement adoptés. Voici ce que cette affaire pourrait inspirer localement :

• Renforcement des exigences de transparence : les organisations utilisant des plateformes internationales comme Google pourraient être incitées à auditer leurs propres pratiques en matière de gestion des cookies et de consentement. À l’heure où des régulations similaires au RGPD se développent en Afrique (comme le projet de loi sur la protection des données en Afrique du Sud ou les initiatives de l’Union africaine), les entreprises béninoises ou ouest-africaines devraient anticiper des contrôles accrus sur la conformité de leurs outils numériques.
• Adaptation des politiques de messagerie professionnelle : les administrations et entreprises utilisant Gmail pour leurs échanges internes ou avec les citoyens pourraient réévaluer la séparation entre communications privées et publicitaires. Si Google a corrigé ce point en Europe, rien ne garantit que les mêmes ajustements aient été appliqués aux utilisateurs africains, où les pratiques pourraient différer selon les serveurs régionaux.
• Sensibilisation accrue des utilisateurs : cette affaire rappelle l’importance pour les organisations locales de former leurs employés et partenaires aux enjeux de protection des données. Les sanctions européennes montrent que les géants du numérique sont sous haute surveillance, et les utilisateurs africains, souvent moins informés, pourraient être les premières victimes de pratiques non conformes.
• Opportunité pour les alternatives locales : cette décision pourrait encourager les acteurs africains à développer des solutions de messagerie et de stockage cloud conformes aux régulations locales, réduisant ainsi la dépendance aux plateformes étrangères. Des initiatives comme Africastalking ou des projets gouvernementaux (comme le cloud national béninois, si celui-ci voit le jour) pourraient gagner en pertinence face à des géants comme Google.
• Préparation aux contrôles futurs : les entreprises utilisant des outils cloud (comme Google Workspace, Microsoft 365, ou AWS) devraient documenter leurs configurations pour prouver leur conformité aux régulations émergentes. À terme, des autorités comme l’Autorité de protection des données du Bénin (si elle est créée) pourraient s’inspirer des décisions européennes pour sanctionner des manquements similaires.

Enfin, cette affaire illustre que la conformité aux régulations sur la protection des données n’est pas un processus ponctuel, mais un engagement continu. Pour les organisations d’Afrique de l’Ouest, cela pourrait signifier intégrer des audits réguliers et des mises à jour de leurs politiques de données dans leur stratégie numérique.