Les sanctions prononcées en 2025 — 325 M€ contre Google, 150 M€ contre SHEIN ou encore 900 000 € contre SOLOCAL — confirment un durcissement de la politique répressive de la CNIL.
L'évolution la plus marquante réside toutefois dans la méthode de calcul des amendes : la CNIL retient désormais le chiffre d'affaires mondial du groupe, tant pour les manquements au RGPD que pour ceux relevant de la réglementation ePrivacy. Cette évolution modifie sensiblement l'appréciation du risque pour les groupes d'entreprises.
À retenir :
→ Le chiffre d'affaires mondial est désormais retenu pour calculer certaines amendes
→ Cette approche vaut aussi bien en matière de RGPD que d'ePrivacy
→ Une défaillance locale peut avoir des conséquences financières à l'échelle du groupe
1. Pourquoi 2025 marque un tournant
1.1. La notion d’« entreprise » au sens du droit de la concurrence
Le considérant 150 du RGPD précise que :
« Lorsque des amendes administratives sont imposées à une entreprise, ce terme doit, à cette fin, être compris […] conformément aux articles 101 et 102 du TFUE ».
Les lignes directrices du CEPD sur les amendes administratives rappellent que la notion d'entreprise correspond à :
« une unité économique pouvant être formée par la société mère et toutes les filiales concernées ».
La CJUE, dans un arrêt du 5 décembre 2023, a réaffirmé que le montant de l’amende doit être calculé en fonction de la capacité économique réelle du responsable, ce qui conduit à retenir l’unité économique et non l’entité juridique isolée.
1.2. La mise en œuvre dans les décisions GOOGLE et SHEIN
🔷 GOOGLE (SAN-2025-004)
La formation restreinte souligne :
« Lorsqu'une filiale est détenue à 100% par sa maison mère, il existe une présomption réfragable d’influence déterminante. […] Il convient de prendre en compte le chiffre d'affaires de la maison mère afin que l'amende soit effective, proportionnée et dissuasive ».
Et précise :
« ALPHABET Inc. a réalisé plus de 350 milliards de dollars de chiffre d’affaires en 2024 ».
En conclusion, la CNIL prend en compte le chiffre d’affaires d’ALPHABET et non celui de Google France ou GIL.
🔷 SHEIN (SAN-2025-005)
La CNIL retient également l’unité économique :
« ROADGET BUSINESS PTE LTD détient à 100 % INFINITE STYLES SERVICES CO LIMITED. […] Il y a lieu de retenir le chiffre d’affaires de la maison mère du groupe ».
Là encore, la CNIL retient le chiffre d’affaires mondial de la société singapourienne pour calculer l'amende.
Les décisions Google et SHEIN confirment que la prise en compte du chiffre d'affaires mondial constitue désormais la méthode de référence de la CNIL lorsque les conditions sont réunies. Cette approche vaut également pour les sanctions prononcées en matière de cookies. Sur ce point, voir notre analyse des décisions Orange, SHEIN, Condé Nast et American Express.
2. Conséquences pour les organisations
2.1. Une exposition financière démultipliée
La logique est désormais claire : même si le manquement est commis par une filiale locale, l’amende peut être calculée sur la base du chiffre d’affaires consolidé du groupe.
2.2. L'assiette ne se limite pas au chiffre d'affaires tiré des manquements
La CNIL le dit expressément dans la décision Google :
« Une limitation de l'assiette au seul chiffre d'affaires tiré des manquements n'est prévue par aucun texte. […] Il y a lieu de s'appuyer sur le chiffre d’affaires total ».
Autrement dit :
→ la gravité du manquement n’est pas liée aux revenus générés,
→ seule compte la capacité économique.
3. Enseignements opérationnels pour les groupes
🔷 Réévaluez votre exposition financière
Intégrez dans vos analyses de risques le chiffre d'affaires mondial du groupe, et non plus seulement celui de l'entité française ou de la filiale concernée. Une défaillance locale peut désormais coûter plusieurs dizaines, voire plusieurs centaines de millions d'euros si vous faites partie d'un groupe international.
🔷 Renforcez la gouvernance groupe
Mettez en place des mécanismes de contrôle et de supervision au niveau de la maison mère pour garantir la conformité de toutes les filiales. La présomption d'influence déterminante joue dès lors qu'une filiale est détenue à 100% par sa maison mère.
🔷 Documentez l'autonomie (si applicable)
Si une filiale opère de manière réellement autonome, documentez cette autonomie pour tenter de renverser la présomption d'influence déterminante de la maison mère. Attention : cette présomption est réfragable mais difficile à renverser.
🔷 Traitez les cookies avec le même niveau d’exigence que le RGPD
Les manquements cookies exposent désormais aux mêmes niveaux de sanctions que les manquements RGPD.
Conclusion : une rupture majeure
Les sanctions prononcées par la CNIL en 2025 marquent une rupture : le calcul des amendes sur la base du chiffre d'affaires du groupe, y compris pour les manquements ePrivacy (cookies et prospection électronique), démultiplie l'exposition financière des groupes internationaux.
La CNIL dispose désormais des outils juridiques et méthodologiques pour prononcer des sanctions réellement dissuasives, calibrées à la taille économique réelle des groupes sanctionnés.
Pour les organisations internationales, la conformité devient un impératif stratégique et budgétaire. Les directions juridiques, DPO et directions générales doivent intégrer cette nouvelle approche dans leur gouvernance, leurs analyses de risques et leurs budgets de conformité.
Pour une analyse des principales tendances répressives de la CNIL, voir également notre article « La politique répressive ciblée de la CNIL: Bilan des sanctions 2025 ».
Le cabinet Odoné accompagne les entreprises confrontées à une procédure de contrôle ou de sanction devant la CNIL et les assiste à chaque étape du contentieux afin de définir la stratégie la plus adaptée.
Vous faites l'objet d'un contrôle ou d'une procédure devant la CNIL ? Contactez-nous pour échanger sur votre situation.
