Google et Shein passent à la caisse : la CNIL inflige 486 millions d'euros d'amendes

En 2025, la Commission nationale de l'informatique et des libertés (CNIL), l'autorité française de protection des données, a prononcé 83 sanctions à l'encontre d'entreprises pour violation de la législation européenne en matière de vie privée, pour un montant total de 486 839 500 euros.

Parmi ces sanctions figurent 78 amendes pour non-respect du Règlement général sur la protection des données (RGPD). L'essentiel de ce montant a été imposé à deux entreprises : Google et Shein.

Google a écopé d'une amende de 325 millions d'euros pour avoir affiché des publicités non sollicitées dans les boîtes de réception Gmail, présentées comme de véritables e-mails, et pour avoir omis de recueillir le consentement éclairé des utilisateurs avant de déposer des cookies de suivi.

La plateforme chinoise de commerce en ligne Shein n'a pas respecté les choix des utilisateurs, a manqué à son obligation d'information et a installé des cookies de suivi sans consentement. Pour ces raisons, la CNIL a infligé une amende de 150 millions d'euros à Shein.

« Ces décisions soulignent l'impact de ces pratiques pour les internautes, dont les données sont parfois traitées à leur insu, ainsi que le fait que les acteurs sanctionnés ne pouvaient ignorer les règles applicables, la CNIL ayant largement communiqué sur ce sujet depuis plusieurs années », a indiqué la CNIL dans un communiqué.

Outre les 78 amendes, l'autorité de protection des données a prononcé trois décisions d'astreinte pour non-respect d'une injonction émise par le régulateur. Au total, 16 organisations ont été sanctionnées pour non-conformité aux règles européennes relatives à la vidéosurveillance des salariés.

Par ailleurs, la CNIL a adressé 143 mises en demeure à des organisations afin qu'elles corrigent les manquements constatés dans leur conformité au RGPD. Certains sites web, par exemple, déposaient des cookies de suivi sur les appareils des utilisateurs sans leur consentement, ou continuaient de les tracer après le retrait de celui-ci.

Enfin, le régulateur a enjoint de nombreuses entreprises à mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de protection des données adéquat. D'autres ont été sommées de supprimer les données conservées après la fin de leur relation contractuelle avec un responsable de traitement.

Quatorze organisations ont été sanctionnées pour n'avoir pas répondu aux demandes de l'autorité de protection des données.

Découvrez plus de contenu Cybernews exclusif sur YouTube.