Francuski organ ochrony danych CNIL nałożył wysokie kary finansowe na dwie znane firmy: Google (325 mln euro) oraz SHEIN (150 mln euro). Podstawą decyzji — w szczególności — było niewypełnienie wymogów dotyczących plików cookies. Sprawa nie kończy się jednak na samych sankcjach. Kary wpisują się w szerszą strategię CNIL, której celem jest uporządkowanie praktyk związanych z śledzeniem i kierowaniem reklam do użytkowników internetu.
Dlaczego CNIL działa właśnie w temacie cookies?
CNIL rozpoczęła działania porządkujące rynek cookies już kilka lat temu. W 2019 roku uruchomiono plan obejmujący publikację wytycznych i rekomendacji dotyczących korzystania z cookies. Jego założenie było proste: podnieść poziom zgodności firm z przepisami, a jednocześnie zadbać o to, aby użytkownicy byli rzetelnie i skutecznie informowani.
Od 2020 roku organ systematycznie nakłada kary na podmioty, które nie stosują się do przepisów w zakresie tzw. cookies reklamowych. Kluczową podstawą prawną jest m.in. art. 82 francuskiej ustawy o ochronie danych.
Sankcje dla Google i SHEIN jako element „ciągłej” polityki zgodności
Grzywny nałożone przez wyspecjalizowane ciało CNIL odpowiedzialne za wydawanie decyzji o karach (komitet ograniczony) nie są pojedynczym incydentem. To część długofalowego podejścia rozpoczętego ponad pięć lat temu. CNIL koncentrowała się szczególnie na operatorach serwisów o dużym ruchu, gdzie praktyki śledzenia użytkowników mają realny wpływ na sposób, w jaki dane są wykorzystywane do reklam i targetowania.
Co istotne, tekst podkreśla, że ogólny poziom zgodności w obszarze obowiązków związanych z cookies poprawia się. Jednocześnie CNIL deklaruje czujność wobec firm, które wciąż stosują niezgodne praktyki.
Uwaga na praktyki bez zgody i na „cookie walls”
W decyzjach organu wraca jeden kluczowy motyw: chodzi nie tylko o to, czy cookies są w ogóle używane, ale też o to, jak i na jakich zasadach uzyskiwana jest zgoda użytkownika.
CNIL szczególnie krytykuje praktyki polegające na:
- umieszczaniu cookies bez uprzedniej zgody użytkownika,
- oraz rosnącej w ostatnich latach popularności tzw. „cookie walls” — czyli rozwiązań, w których dostęp do usługi jest uzależniony od zaakceptowania instalacji cookies na urządzeniu.
W kontekście „cookie walls” decyzja dotycząca Google przypomina ważną rzecz: sama praktyka nie musi być automatycznie nielegalna, o ile zgoda jest dobrowolna. Problemem staje się sposób przedstawienia wyboru użytkownikowi.
CNIL wskazuje, że alternatywy muszą być przedstawione w sposób zrównoważony — bez „popychania” użytkownika w stronę określonej decyzji. Dotyczy to także sytuacji, gdy wybór zostaje utrudniony (np. przez czynienie jednej opcji bardziej skomplikowaną). Dodatkowo zgoda musi być świadoma: użytkownik ma rozumieć, jakie będą konsekwencje jego wyboru.
Druga kwestia: reklamy w Gmailu bez zgody (Promotions i Social)
Poza obszarem cookies, komitet ograniczony dopatrzył się też naruszenia przez Google innych przepisów. Chodzi o art. L. 34-5 francuskiego Kodeksu Poczty i Komunikacji Elektronicznej (CPCE).
Według decyzji Google wyświetlało reklamy w formie e-maili w serwisie Gmail — w zakładkach „Promotions” (Promocje) oraz „Social” — bez wcześniejszej zgody użytkowników.
Co wynika dla firm i branży?
Ta seria działań CNIL daje czytelny sygnał rynkowi: zgodność w obszarze cookies to nie tylko formalność. Liczy się realna jakość procesu zgody — jej dobrowolność, brak manipulacji, przejrzystość informacji oraz brak obejścia wymogów przez konstrukcje typu „cookie wall”.
W praktyce oznacza to, że firmy muszą nie tylko spełniać literę prawa, ale też dbać o to, w jaki sposób użytkownik jest kierowany do wyboru i czy rozumie konsekwencje udzielenia (lub odmowy) zgody.
Jeśli chcesz, mogę też przerobić ten tekst na wersję krótszą (np. 200–300 słów) albo dodać sekcję „najważniejsze wnioski w 5 punktach” pod stylem newsowym.
