Le 1er septembre 2025, par deux décisions, la Commission nationale de l’informatique et des libertés (ci-après la « CNIL ») autorité française de contrôle en matière des données, rappelle fermement l’importance du consentement en sanctionnant les sociétés Google LLC et Google Ireland Limited (ci-après « Google ») à 325 millions d’euros et la société Infinite Styles Services Co. Limited, connue sous le nom de SHEIN (ci-après « Shein ») à 150 millions d’euros.

Contexte : La chasse aux cookies, un cadre strict

En réaffirmant sa compétence directe sur les questions de traceurs (ci-après « Cookies »), la CNIL constate notamment que :

Concernant la délibération n°SAN-2025-004 dans l’affaire Google (amende de 325 millions d’euros), la manière dont Google recueille le consentement des utilisateurs pour les Cookies publicitaires et pour l’affichage de publicités dans les boîtes de réception « Gmail », prive l’utilisateur de son consentement libre et éclairé.

Selon la CNIL le mécanisme biaise le choix en faveur des publicités personnalisées, et partant, leur consentement n’est pas éclairé, car les utilisateurs ne sont pas suffisamment informés que l’accès au service était conditionné au dépôt de Cookies.

De plus, les publicités affichées dans « Gmail », ayant l’apparence de courriers électroniques, étaient considérées comme de la prospection directe non consentie.

Concernant la délibération n°SAN-2025-005 dans l’affaire Shein (amende de 150 millions d’euros), le dépôt de Cookies (publicitaires, de plafonnement et de mesure d’audience) sur les terminaux des utilisateurs dès leur arrivée sur le site, sans recueil préalable du consentement est contraires aux droits des utilisateurs.

En outre, les bandeaux d’information étaient jugés incomplets et les mécanismes de refus ou de retrait du consentement étaient défaillants.

Ces deux décisions de la CNIL reposent sur le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après « RGPD »), mais également sur la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électronique (ci-après « Directive ePrivacy »).

En pratique : la conséquence de ces décisions

Ces deux affaires soulignent l’importance de la qualité du consentement de l’utilisateur, particulièrement en matière de Cookies.

Pour Google, l’enjeu était de proposer un choix réellement libre (boutons équivalents pour accepter/refuser) et une information éclairée sur les implications des Cookies, notamment la relation entre la gratuité du service et la publicité.

L’interprétation de l’affichage publicitaire dans « Gmail » comme de la prospection directe est également une avancée clé.

Quel impact au Luxembourg ?

Ces décisions ont une résonance directe pour les entreprises luxembourgeoises.

Le RGPD est une réglementation européenne directement applicable au Luxembourg, et les principes de la Directive ePrivacy sont transposés dans le droit national par la loi du 30 mai 2005 relative aux dispositions spécifiques de protection de la personne à l’égard du traitement des données à caractère personnel dans le secteur des communications électroniques et portant modification des articles 88-2 et 88-4 du Code d’instruction criminelle.

Ainsi, comme pour la CNIL, par l’effet de transposition, la Commission Nationale pour la Protection des Données (ci-après « CNPD ») devrait sans nul doute partager la même approche de vigilance en matière de consentement et de Cookies.

Toute entreprise opérant au Luxembourg, ou ciblant des résidents de l’Union européenne, doit dès lors s’assurer que ses pratiques en matière de Cookies et de marketing direct respectent scrupuleusement ces principes.

Pour ce faire, les entreprises luxembourgeoises gagneraient à mettre en place une véritable stratégie de conformité en matière de Cookies et de prospection électronique, notamment par :

• L’adoption d’une politique Cookies claire et régulièrement mise à jour
• L’intégration d’un bandeau de consentement conforme (choix équilibrés, information complète, retrait facile)
• La mise en place de procédures internes pour documenter le recueil et la gestion des consentements
• La sensibilisation des équipes marketing et techniques aux règles applicables

Il est également recommandé d’inclure ces aspects dans la politique de protection des données globale de l’entreprise et de contrôler régulièrement les pratiques des partenaires tiers, afin de prévenir toute responsabilité devant la CNPD.