Dossier enquête : Cet article est fondé exclusivement sur des sources publiques vérifiées : rapports officiels de la CNIL, décisions de sanction publiées, politiques de confidentialité officielles de Google et Meta, et couverture presse de référence (France 24, Boursorama). Aucune donnée n'a été inventée ou extrapolée.
En septembre 2025, la CNIL infligeait à Google une amende de 325 millions d'euros : la plus lourde jamais prononcée par l'autorité française contre une entreprise tech. La même semaine, Shein écopait de 150 millions d'euros. Au total, l'année 2025 a établi un record absolu : 487 millions d'euros de sanctions pour non-respect de la vie privée des Français. Derrière ces chiffres vertigineux, une question s'impose : que savent exactement ces entreprises sur vous, et depuis quand ?
Google : bien au-delà de vos recherches
Quand vous tapez une requête dans Google Search, vous offrez bien plus qu'un mot-clé. Selon la politique de confidentialité officielle de Google, l'entreprise enregistre l'historique complet de vos recherches, les sites que vous consultez, le temps passé sur chaque page, votre localisation approximative, ainsi que les réponses générées par son IA. Depuis une mise à jour de sa politique en 2025, Google collecte également les images, fichiers et enregistrements audio que vous envoyez via ses services : Search, Maps, Shopping, Flights, Hotels, Translate et News sont tous concernés.
Sur Gmail, c'est précisément ce point qui a valu à Google sa condamnation de 325 millions d'euros par la CNIL en septembre 2025 (source : France 24, 4 septembre 2025). L'autorité reprochait à Google de diffuser des publicités ressemblant à des courriels dans les onglets "Promotions" ou "Réseaux sociaux" de Gmail, sans le consentement préalable des utilisateurs : une violation directe du RGPD et de la directive ePrivacy.
Sur YouTube, Google recueille vos requêtes adressées aux fonctionnalités d'IA, les réponses générées, et le contenu connexe. Selon la documentation officielle de YouTube, ce contenu peut être conservé jusqu'à 60 jours si l'utilisateur ne le supprime pas manuellement via "Mon activité".
Meta : vos publications servent maintenant à entraîner des IA
Depuis la fin du mois de mai 2025, Meta utilise les données publiques de ses utilisateurs européens : publications Facebook et Instagram, photos, vidéos, commentaires, interactions avec Meta AI : pour entraîner ses systèmes d'intelligence artificielle. La CNIL a confirmé cette pratique dans une note publiée sur son site officiel (cnil.fr), précisant que les données concernées sont celles rendues publiques par les utilisateurs adultes.
Ce qui distingue cette collecte des précédentes : elle ne concerne plus seulement la publicité ciblée. Vos contenus deviennent du carburant pour construire des modèles d'IA générative. La CNIL avait alerté sur ce point en amont, exigeant des garanties sur le filtrage des données personnelles sensibles. Meta affirme avoir mis en place des mesures de filtrage : mais leur efficacité réelle reste difficile à vérifier indépendamment.
Par ailleurs, des travaux académiques antérieurs (notamment le rapport de Framablog, 2019, toujours d'actualité sur les mécanismes de base) avaient déjà documenté l'ampleur de la collecte Meta : pas uniquement ce que vous publiez, mais aussi ce que vous tapez sans envoyer, les sites que vous visitez via le pixel Facebook, vos contacts, votre historique d'appels sur certaines versions de l'application.
2025 : l'année où les amendes ont explosé
Les chiffres du rapport annuel de la CNIL 2025, présenté le 18 mai 2026, sont éloquents :
- 487 millions d'euros d'amendes prononcées (contre 55,2 millions en 2024 : soit une multiplication par 9)
- 83 sanctions décidées sur l'année
- 20 150 plaintes reçues, en hausse de 10 % par rapport à 2024
- 6 167 violations de données notifiées à l'autorité, dont 1 sur 2 liée à un piratage
Source : Rapport annuel CNIL 2025 (cnil.fr) et couverture La Gazette des Communes, février 2026.
Ces chiffres reflètent une réalité préoccupante : non seulement les GAFAM collectent massivement, mais les violations de données exposant directement les utilisateurs se multiplient. Adresses email, mots de passe, données de santé, informations financières : un incident sur deux en 2025 résultait d'une intrusion externe selon la CNIL.
Le cas des 1,2 milliard de données de Français
En marge des GAFAM, la CNIL a également mis en demeure un moteur de recherche pour avoir compilé 1,2 milliard de données personnelles de Français sans base légale valide (source : Solutions Numériques & Cybersécurité). Ce cas illustre que la collecte abusive de données n'est pas l'apanage des seuls géants américains : elle constitue un modèle économique répandu, souvent invisible pour les utilisateurs.
Ce que vous pouvez faire concrètement
Le RGPD vous confère des droits réels, applicables dès maintenant :
- Droit d'accès (article 15 RGPD) : vous pouvez demander à Google, Meta ou toute autre entreprise une copie complète de toutes les données qu'elle détient sur vous. Délai légal de réponse : 1 mois. Faites-le via myaccount.google.com (section "Télécharger vos données") et facebook.com/settings (section "Vos informations Facebook").
- Opt-out Meta IA : depuis le déploiement de mai 2025, Meta est tenu de proposer un mécanisme d'opposition à l'utilisation de vos données pour l'entraînement IA. Il est accessible dans les paramètres de confidentialité de Facebook et Instagram, sous "Confidentialité" → "Utilisation pour l'IA".
- Activité Google : via myactivity.google.com, vous pouvez supprimer votre historique de recherche, vocal, YouTube et Maps. Activez la "Suppression automatique" à 3 ou 18 mois selon votre préférence.
- Signaler une violation : si vous pensez que vos données ont été utilisées sans votre consentement, déposez une plainte directement sur le site de la CNIL (cnil.fr/plainte) : 20 000 Français l'ont fait en 2025.
Ce qui change en 2026
La CNIL a annoncé que la moitié de ses contrôles en 2026 sera consacrée à la cybersécurité des données. Le Digital Markets Act (DMA) européen, entré en application, impose aux "gatekeepers" : dont Google, Meta, Apple et Amazon : de nouvelles obligations d'interopérabilité et de portabilité des données. Les premières décisions d'exécution de la Commission européenne sous le DMA sont attendues pour fin 2026 et pourraient redessiner en profondeur la façon dont ces entreprises accèdent à vos données.
En attendant, la meilleure protection reste la même depuis dix ans : savoir ce que vous acceptez, lire (au moins en diagonal) les politiques de confidentialité lors des mises à jour, et utiliser les droits RGPD que vous avez déjà.
Sources et références
- CNIL, Rapport annuel 2025 : cnil.fr/fr/rapport-annuel-2025 (publié 18 mai 2026)
- France 24, "La CNIL frappe Google et Shein avec des amendes record de 475 millions d'euros", 4 septembre 2025 : france24.com
- Boursorama, "Google, Shein et vie privée : un montant record de près de 487 millions d'euros", 9 février 2026 : boursorama.com
- CNIL, "Meta : entraînement IA avec données utilisateurs européens" : cnil.fr/fr/meta-entrainement-ia-donnees-utilisateurs
- Solutions Numériques & Cybersécurité, "Un moteur de recherche compile 1,2 milliard de données personnelles de Français" : solutions-numeriques.com
- Google, Politique de confidentialité officielle : policies.google.com/privacy?hl=fr
- YouTube, Aide officielle, "Paramètres de confidentialité" : support.google.com/youtube
- La Gazette des Communes, "Protection des données : une année 2025 record pour la CNIL", février 2026
