Google sous le feu des autorités : de la Commission européenne à la CNIL, un parcours coûteux en amendes

Le 2 juillet 2026, la Cour de justice de l’Union européenne (CJUE) a validé une sanction de plus de 4,1 milliards d’euros visant Google pour abus de position dominante lié à Android. En rejetant le pourvoi d’Alphabet et en rendant l’amende définitive, la juridiction clôt un feuilleton entamé en 2018 et rappelle la priorité donnée à la concurrence dans l’économie numérique. L’affaire s’ajoute à une série de décisions qui, cumulées, installent un constat durable : le groupe fait face à une facture récurrente dès qu’un régulateur estime que l’accès aux utilisateurs, à la publicité et aux terminaux est verrouillé par des mécanismes de distribution.

La trajectoire européenne se lit à deux niveaux. D’un côté, l’antitrust porté par la Commission européenne, avec des griefs structurants sur la recherche, le mobile et la publicité. De l’autre, la CNIL en France, focalisée sur la réglementation des données personnelles, le consentement et les traceurs. Dans les deux cas, les infractions reprochées ont un point commun : elles sont liées à des choix d’architecture produit et à des incitations économiques, donc difficiles à corriger sans toucher au modèle. Le débat n’est plus seulement juridique ; il devient opérationnel, car il impose des changements visibles pour les utilisateurs et les partenaires.

Commission européenne et antitrust : comment le dossier Android a construit une amende de 4,1 milliards

Le dossier Android résume la logique antitrust appliquée aux plateformes : quand un système d’exploitation équipe la majorité des smartphones, ses règles de distribution peuvent influencer tout l’écosystème. En 2018, la Commission européenne reproche à Google d’avoir utilisé la domination d’Android pour consolider la place de son moteur de recherche et de son navigateur. Trois familles de pratiques sont alors décrites, chacune avec un mécanisme précis et des effets économiques mesurables sur les concurrents, les fabricants et les opérateurs.

Première famille : les accords de distribution. Le principe est contractuel : l’accès à des composants clés comme le Play Store est conditionné à la préinstallation de Google Search et de Chrome. Pour un fabricant, renoncer au Play Store revient souvent à rendre un smartphone beaucoup moins attractif sur les marchés où les applications Google sont attendues. Le régulateur y voit un levier qui déplace la concurrence de la qualité du service vers la contrainte de paquetage, ce qui réduit l’espace pour des moteurs alternatifs ou des navigateurs concurrents.

Deuxième famille : les accords antifragmentation. L’objectif affiché est la cohérence technique, mais le reproche porte sur l’interdiction faite aux constructeurs de commercialiser des appareils sous des versions d’Android non agréées. Le sujet dépasse la simple compatibilité : si un acteur ne peut pas lancer un fork avec des services alternatifs, il devient difficile de créer une offre réellement différenciante. L’argument antitrust ne consiste pas à nier la nécessité d’un socle commun, mais à questionner l’ampleur des restrictions et leur effet sur l’innovation concurrente.

Troisième famille : le partage de revenus publicitaires. Des parts de revenus sont reversées à des fabricants et opérateurs en échange d’une préinstallation exclusive de Google Search. Dans la procédure, ce volet a connu une évolution importante : en 2022, le Tribunal de l’Union européenne a écarté une partie de l’analyse et a réduit l’amende de 4,3 à 4,1 milliards d’euros. La CJUE confirme ensuite, ce 2 juillet, la sanction telle que révisée, en jugeant que l’évaluation pouvait tenir compte de l’ensemble du contexte économique pertinent, sans imposer systématiquement une analyse contrefactuelle complète.

Ce type de raisonnement a des implications très concrètes pour les équipes produit : la conformité ne se limite pas à supprimer une clause. Elle impose souvent de revoir des écrans de configuration, des choix par défaut, des options proposées au premier démarrage et la documentation contractuelle destinée aux partenaires. C’est précisément ce qui transforme une amende en chantier structurel, parce que les contrôles ne portent pas seulement sur l’intention, mais sur l’effet observable et durable sur le marché.

Ce que l’affaire Android change pour les fabricants, opérateurs et développeurs

Pour les fabricants, l’équation est immédiate : l’accès à des briques essentielles (magasin d’applications, API, services Google) se négocie dans un cadre où les clauses deviennent auditées et contestables. L’enquête antitrust met sous tension les pratiques d’intégration, car chaque exigence de préinstallation ou d’exclusivité peut être lue comme une barrière à l’entrée. Les opérateurs, historiquement impliqués dans la distribution et la personnalisation des terminaux, se retrouvent aussi exposés si des accords de revenus lient leurs intérêts à une exclusivité de moteur de recherche.

Pour les développeurs, l’enjeu est moins contractuel que structurel : quand un moteur de recherche ou un navigateur est imposé par défaut, les canaux d’acquisition et la visibilité des alternatives se réduisent. Les acteurs du web qui vivent du trafic organique, de la comparaison de prix ou de la publicité doivent alors arbitrer entre dépendance à une plateforme et diversification. Dans ce contexte, la couverture régulière des tensions entre plateformes et régulateurs sur les géants du numérique américains illustre à quel point ces dossiers dépassent la seule rivalité entre entreprises : ils fixent des standards de marché.

Une conséquence technique souvent sous-estimée concerne les tests et certifications. Dès qu’un fabricant modifie une couche système, il doit garantir une compatibilité applicative et des mises à jour de sécurité. Or les régulateurs observent précisément comment une exigence de compatibilité peut se transformer en outil de contrôle économique. Le travail de conformité consiste alors à documenter la justification technique de chaque règle, et à prouver qu’elle n’éteint pas artificiellement la concurrence.

Shopping, AdX et le cumul des sanctions : une facture européenne proche de 9,5 milliards

Le dossier Android est spectaculaire par son montant, mais il s’inscrit dans une série. Sur le terrain de la concurrence, trois décisions majeures structurent l’addition européenne. La première concerne Google Shopping : une amende de 2,4 milliards d’euros prononcée en 2017, confirmée par la CJUE en 2024. Le reproche central porte sur l’auto-préférence : favoriser un service maison de comparaison de prix au détriment des concurrents dans les résultats. Ce point est fondamental, car il touche au moteur de recherche lui-même, donc à l’accès à l’audience.

La deuxième, Android, fixe un cadre pour la distribution sur mobile, avec une amende définitive de 4,1 milliards. La troisième, annoncée en 2025, vise la publicité en ligne autour d’AdX, avec une amende de 2,95 milliards d’euros. Même sans détailler toute la mécanique, l’enjeu est clair : quand une entreprise contrôle des briques majeures de la chaîne publicitaire (inventaire, enchères, intermédiation), le régulateur regarde si des règles d’accès ou des préférences internes distordent le jeu concurrentiel.

Le total des trois sanctions confirmées ou maintenues s’établit autour de 9,5 milliards d’euros. À ce tableau s’ajoute un contre-exemple important : en 2024, une sanction de 1,49 milliard d’euros prononcée en 2019 dans la publicité en ligne a été annulée par la justice européenne. L’annulation rappelle que la procédure antitrust est aussi un contentieux technique, où la qualification des pratiques et la démonstration du dommage concurrentiel doivent résister à plusieurs degrés de juridiction.

La même journée que la confirmation Android est venue après d’autres revers judiciaires mentionnés dans le flux d’actualité : une condamnation en Suède à verser environ 1,3 milliard d’euros de dommages à PriceRunner (détenu par Klarna), et une condamnation en France à payer 868 000 euros à Gibmedia, une PME dont le compte Google Ads avait été suspendu en 2015. Ces montants ne relèvent pas de la Commission, mais ils renforcent un signal : dès qu’un acteur dépend d’une plateforme pour exister commercialement, le juge devient un arbitre de la relation, avec des décisions parfois coûteuses.

Pour comprendre la logique économique derrière ces dossiers, il faut regarder où se situe la dépendance : distribution sur mobile, visibilité dans la recherche, accès à l’inventaire publicitaire, et conditions d’interopérabilité. Le cœur du risque n’est pas uniquement l’amende ; c’est l’obligation de modifier des mécanismes qui structurent les revenus, parfois au prix d’une baisse durable de performance publicitaire ou d’une réallocation de trafic.

Du dossier concurrence aux impacts produits : Search, Ads et la chaîne de valeur

Les dossiers antitrust ont un effet direct sur l’expérience utilisateur, même quand la décision vise un marché « amont ». Sur la recherche, l’auto-préférence peut conduire à des ajustements d’affichage, à des espaces dédiés aux comparateurs tiers, ou à des mécanismes de classement davantage documentés. Sur Android, les pratiques de préinstallation se traduisent en écrans de choix, en conditions de licence réécrites et en options de paramétrage plus visibles lors de la mise en route d’un téléphone.

Sur la publicité, la question est plus technique : les régulateurs examinent les règles d’enchères, la transparence des frais, la possibilité d’utiliser des plateformes concurrentes et la manière dont les données de performance circulent. Une modification peut se répercuter sur les éditeurs (monétisation), les annonceurs (mesure et coûts) et les agences (optimisation). Les discussions européennes sur les distorsions et les pratiques de marché, suivies notamment via les analyses autour des distorsions ciblées par la Commission européenne, montrent que les textes et décisions finissent par façonner des standards opérationnels.

En pratique, une entreprise qui veut réduire son exposition travaille sur trois axes : gouvernance contractuelle, audit des algorithmes et traçabilité des décisions. Les équipes juridiques, produit et data doivent partager un référentiel commun : quelles règles s’appliquent, quelles métriques sont sensibles, quels partenaires sont impactés, et quelle preuve peut être fournie en cas de contrôle. Sans ce socle, la conformité devient réactive, donc coûteuse.

CNIL et données personnelles : cookies, Gmail et sanctions record en France

Le versant français du dossier Google se lit à travers la CNIL, qui intervient sur les données personnelles et les traceurs. Le point de départ marquant remonte à 2019, avec une amende de 50 millions d’euros fondée sur le RGPD, pour manque de transparence et information jugée insuffisante des utilisateurs. Cette sanction a valeur de signal : la conformité n’est pas un document interne, elle doit être visible, compréhensible et accessible dans les parcours réels.

Ensuite, la série la plus connue porte sur les cookies. En décembre 2020, la CNIL inflige 100 millions d’euros à Google pour dépôt de traceurs publicitaires sur google.fr sans consentement préalable. Un an plus tard, une nouvelle sanction de 150 millions vise un point très concret : le refus des cookies n’était pas aussi simple que l’acceptation. Derrière ce reproche, il y a un principe d’ergonomie réglementaire : si un bouton « tout accepter » est immédiat, l’option « tout refuser » doit l’être aussi, sans parcours dissuasif.

Le dossier le plus lourd intervient le 1er septembre 2025, avec une amende de 325 millions d’euros visant Google LLC et Google Ireland Limited. La CNIL reproche notamment l’affichage de publicités insérées entre les courriels des utilisateurs de Gmail sans accord, ainsi que des dépôts de traceurs lors de la création d’un compte Google sans consentement valide. La plainte à l’origine du contrôle a été déposée par l’organisation NOYB le 24 août 2022, et la CNIL indique avoir réalisé plusieurs contrôles entre 2022 et 2023 sur Gmail et sur le parcours de création de compte. Ces éléments montrent une chaîne classique : signalement, vérifications techniques, qualification juridique, puis sanction.

Pour les utilisateurs, ces dossiers ont un effet visible : écrans de consentement plus explicites, messages plus détaillés sur les finalités, et options de paramétrage qui tendent à devenir moins dispersées. Pour l’entreprise, cela implique une maintenance continue, car chaque évolution d’interface peut rouvrir un risque. Les équipes marketing et produit doivent intégrer la CNIL comme un acteur de contrainte au même titre que la sécurité ou la performance.

Pourquoi la CNIL peut sanctionner malgré le siège européen en Irlande

Le RGPD prévoit un mécanisme de « guichet unique » : en principe, l’autorité chef de file est celle du pays où se trouve l’établissement principal dans l’Union européenne. Pour Google, le siège européen est en Irlande, ce qui place l’autorité irlandaise au centre de nombreux dossiers. La CNIL a néanmoins agi en France selon deux voies juridiques distinctes, qui expliquent la solidité de ses décisions.

Sur la sanction de 2019, la CNIL a considéré que la filiale irlandaise ne disposait pas du pouvoir de décision effectif sur les traitements en cause. Si l’établissement principal ne pilote pas réellement le traitement, la logique du guichet unique ne s’applique pas comme prévu, et les autorités nationales peuvent redevenir compétentes. Cette analyse est technique : elle oblige à cartographier qui décide, qui exécute, et où se situent les fonctions de contrôle.

Sur les cookies et traceurs, la CNIL s’appuie sur la directive ePrivacy et ses règles de consentement, qui ne relèvent pas exactement du même régime que le RGPD. Cela lui donne un levier d’action direct pour les internautes situés en France, sans dépendre du chef de file irlandais. Le résultat est un empilement de cadres : RGPD pour la transparence et la base légale, ePrivacy pour le dépôt de traceurs et certaines pratiques publicitaires. Cette superposition explique pourquoi les sanctions peuvent se succéder sur des objets voisins, avec des fondements différents.

Un enseignement opérationnel ressort : la conformité ne peut pas être pensée uniquement « par pays siège ». Les produits numériques ont des parcours identiques ou très proches sur plusieurs marchés, mais les autorités nationales conservent des outils d’intervention, surtout dès qu’un texte sectoriel s’applique. Les organisations qui anticipent ce risque investissent dans des tests de consentement localisés et dans des audits réguliers des parcours critiques (création de compte, messagerie, publicité, paramétrage).

Ce que ces amendes disent de la réglementation tech : méthode d’enquête, preuves et effets sur l’écosystème

Les grandes amendes infligées à Google sont souvent lues comme des chiffres spectaculaires. En réalité, elles reflètent une méthode de contrôle qui s’est industrialisée : qualification du marché, collecte de preuves, analyse des effets, puis injonctions et sanctions. Dans l’antitrust, la Commission européenne cible l’effet de verrouillage et la capacité d’un acteur à imposer ses conditions à l’écosystème. Dans la protection des données, la CNIL se concentre sur la loyauté des parcours, le consentement et la transparence. Les deux approches se rejoignent sur un point : la preuve est ancrée dans le fonctionnement concret des produits.

La matérialité des preuves change la manière dont une entreprise doit se défendre. Les autorités examinent des contrats, des écrans, des logs de consentement, des scripts de traceurs, des paramètres par défaut et parfois des communications internes. Pour les utilisateurs, cela se traduit par des interfaces plus normées, avec des bannières de cookies mieux structurées et des choix plus explicites. Pour les partenaires (éditeurs, comparateurs, annonceurs, fabricants), cela implique des règles d’accès plus documentées et une capacité accrue à contester une suspension ou une préférence de traitement.

Une façon simple de visualiser l’empreinte réglementaire consiste à lister les zones du produit qui concentrent le risque et les ajustements typiques :

• Parcours de consentement : symétrie entre accepter et refuser, preuve du choix, granularité des finalités.
• Paramètres par défaut : moteur de recherche, navigateur, services préinstallés, écrans de choix au démarrage.
• Contrats et distribution : clauses d’exclusivité, conditions d’accès à une boutique d’applications, règles de certification.
• Publicité et traçage : dépôt de cookies, partage de données entre services, transparence des mécanismes d’enchères.
• Recours et contestation : justification des suspensions de comptes, procédures de réexamen, délais et traçabilité.

Dans cet environnement, la conformité devient aussi un sujet d’hygiène numérique pour le grand public. La multiplication des bannières, des contrôles d’âge ou des mesures contre des pratiques illégales illustre une évolution plus large des règles du web. Les actions de lutte contre des usages illicites, comme celles détaillées sur les risques liés à l’IPTV pirate et l’action des autorités, montrent que la pression réglementaire ne vise pas uniquement les géants : elle redessine les attentes de conformité pour tout service qui collecte, monétise ou recommande des contenus.

Pour Google, l’effet cumulé est double. D’un côté, les décisions créent une obligation de transformation technique et contractuelle, souvent lente et coûteuse. De l’autre, elles poussent les concurrents, les partenaires et les plaignants à tester plus fréquemment le droit, parce que des précédents existent et que les autorités ont prouvé leur capacité à instruire une enquête jusqu’au bout. Cette dynamique explique pourquoi la pression ne retombe pas après un paiement : elle s’inscrit dans le cycle de vie des produits.