Francuski organ ochrony danych osobowych CNIL nałożył karę administracyjną w wysokości 150 mln euro na irlandzką spółkę zależną grupy SHEIN – INFINITE STYLES SERVICES CO. LIMITED. Powodem sankcji były naruszenia przepisów dotyczących plików cookies na stronie „shein.com”.
Co dokładnie stało się w sprawie „shein.com”?
CNIL wydał decyzję po kontroli przeprowadzonej w 2023 roku. Organ uznał, że firma odpowiadająca za funkcjonowanie witryny na terenie Europy nie wypełniła obowiązków związanych z cookies, w szczególności w zakresie pozyskiwania zgody i obsługi decyzji użytkowników.
W ocenie CNIL naruszenia dotyczyły m.in. cookies o charakterze reklamowym oraz tego, że użytkownicy byli narażeni na ich instalowanie zanim zdążyli wyrazić zgodę w wymagany sposób.
Dlaczego CNIL nałożył tak wysoką karę?
Wysokość sankcji uwzględniała kilka czynników. Po pierwsze, firma nie zapewniła skutecznej realizacji obowiązków prawnych – użytkownicy nie dostawali pełnych informacji, a system zarządzania zgodą nie działał zgodnie z wymaganiami. Po drugie, CNIL wskazał, że skala przetwarzania danych jest bardzo duża: „shein.com” miała średnio ok. 12 mln odwiedzających miesięcznie we Francji.
Organ podkreślał też, że od 2020 roku wielokrotnie karał za podobne naruszenia oraz publikował swoje decyzje, co wzmacniało argument o powtarzalności problemu.
Jakie praktyki zostały uznane za naruszenie?
CNIL wskazał kilka konkretnych uchybień powiązanych z artykułem 82 francuskiej ustawy o ochronie danych osobowych:
- Brak zgody przed instalacją cookies
Część plików cookies – szczególnie reklamowych – była umieszczana na urządzeniach użytkowników już przy wejściu na stronę, zanim użytkownik zdążył wyrazić zgodę w banerze. - Niepełne banery do zarządzania cookies (dwa różne interfejsy)
Na stronie działały dwa interfejsy:- pierwszy zawierał trzy przyciski („Ustawienia cookies”, „Odrzuć wszystkie”, „Akceptuj”), ale nie informował o reklamowym celu plików cookies,
- drugi wyskakujący baner umożliwiał akceptację, także bez podania celu cookies.
- Zbyt ograniczone informacje po wejściu w „Ustawienia cookies”
Po kliknięciu „Ustawienia cookies” nie udostępniano informacji o tożsamości podmiotów trzecich, które mogłyby umieszczać cookies. - Brak skuteczności odmowy i wycofania zgody
Nawet po wybraniu opcji „Odrzuć wszystkie” lub po wycofaniu zgody na zapis cookies nowe pliki miały nadal być umieszczane, a wcześniej zapisane nadal odczytywane.
Czy CNIL wymagał wdrożenia zmian?
W toku postępowania organ zauważył, że firma wprowadzała już zmiany na stronie internetowej. Z tego powodu CNIL uznał, że nie ma konieczności wydawania dodatkowego nakazu dostosowania.
Jeśli chcesz, mogę też przerobić ten tekst na wersję krótszą (np. na social media) albo dodać sekcję „Co to oznacza dla firm e-commerce?” w oparciu o logikę decyzji CNIL.
