谷歌未经有效同意设置Cookies案

【案件背景】
2025年9月3日，法国国家信息与自由委员会（CNIL）公布了对谷歌集团的处罚决定，对谷歌因未经有效同意设置Cookie等行为处以3.25亿欧元罚款，为CNIL历史上单笔最高罚款之一。该调查源于2022年8月奥地利隐私组织None Of Your Business（NOYB）提出的投诉，CNIL于2022至2023年间进行了多轮检查和在线调查。本次处罚系CNIL自2019年启动Cookie合规行动计划以来系列执法的延续，此前CNIL已于2020年和2021年分别对谷歌处以1亿欧元和1.5亿欧元的罚款。

【违法事实】
CNIL限制委员会认定谷歌存在两项重大违规：

违规一：未获事先同意即在Gmail邮件之间插入广告（违反《邮政与电子通信法》第L.34-5条）
1. Gmail用户启用智能功能将收件箱整理为主要、促销和社交三个标签页后，促销和社交标签页中出现以邮件形式显示的广告消息，被插入在用户私人邮件之间；
2. 根据欧盟法院（CJEU）2021年11月25日判例，此类表现为真实邮件形式、显示在私人邮件空间中的推广消息，构成电子邮件直接营销（direct marketing by email），必须事先获得接收者同意；
3. 虽然谷歌于2023年4月对广告邮件视觉呈现做了调整，但CNIL认为这不改变其法律性质——这些广告仍然无法与真实邮件明显区分；
4. 涉及范围极为庞大：仅法国境内就有约5300万用户在其Gmail账户中看到这些违规插入的广告。

违规二：创建Google账户时未获得自由知情的Cookie同意（违反《法国数据保护法》第82条）
1. 直至2023年10月，谷歌在用户创建账户流程中使得拒绝与个性化广告相关的Cookie比接受它们更困难，构成对用户选择权的实质性妨害；
2. 在账户创建过程中，没有任何信息告知用户访问谷歌服务需要接受广告Cookie这一前提条件；
3. 仅与Cookie相关的违规就影响了超过7400万个法国用户账户。

【处罚决定】
1. 对Google LLC（美国总部）处以2亿欧元罚款；
2. 对Google Ireland Limited（欧洲子公司）处以1.25亿欧元罚款；
3. 要求六个月内整改，逾期每公司每日追加10万欧元滞纳金。

【典型意义】
罚款金额仅考虑了法国用户数量已属克制。本案再次确认：Cookie合规不仅是加一个弹窗那么简单——在账户创建的整体流程中，用户的知情权和自由选择权必须得到实质性保障。考虑到谷歌此前已于2020年和2021年两次因Cookie相关违规受罚，本次行为构成疏忽（negligence），应予从严处罚。