Le 1er septembre 2025, la CNIL a infligé deux sanctions record dans le cadre de son plan d’action « cookies » : 325 M€ contre Google et 150 M€ contre Shein.

Au cœur des griefs : des dépôts de traceurs publicitaires sans consentement préalable, des interfaces trompeuses (dark patterns), l’absence d’information claire sur les finalités et un non-respect des choix exprimés par les utilisateurs. Au-delà des montants, ces décisions marquent une étape majeure : la CNIL affirme sa compétence directe sur les cookies, en dehors du « guichet unique » RGPD, et rappelle que la prospection électronique doit toujours reposer sur un consentement libre et éclairé.

• Ces sanctions posent une question centrale : les géants du numérique devront-ils enfin revoir en profondeur leurs modèles de monétisation  publicitaire ?
• En quoi ces décisions renforcent-elles l’exigence de consentement libre et éclairé en matière de cookies et de prospection électronique ?
• Peut-on parler d’un tournant dans la politique répressive de la CNIL, après plusieurs années de mise en conformité progressive des acteurs ?
• Pourquoi la CNIL a-t-elle pu agir directement, sans passer par le mécanisme de « guichet unique » du RGPD ?
• Comment la CNIL et la CJUE encadrent-elles désormais les interfaces trompeuses incitant à l’acceptation des cookies ?
• Quelles adaptations concrètes devront mettre en place les plateformes pour éviter de nouvelles sanctions (parcours utilisateurs, paramétrages par défaut, information) ?
• Ces décisions concernent-elles uniquement les géants du web ou doivent-elles alerter aussi les entreprises plus petites (e-commerce, médias, start-up) ?
• Comment ces sanctions s’inscrivent-elles dans la tendance européenne et mondiale de durcissement des règles sur la publicité ciblée et la prospection ?
• À terme, peut-on imaginer un basculement vers des modèles publicitaires moins intrusifs, fondés sur le respect de la vie privée (contextual ads, consentement granulaire, etc.) ?