Francuski organ ochrony danych CNIL nałożył na spółkę LES PUBLICATIONS CONDE NAST karę w wysokości 750 000 euro. Powodem była niezgodność praktyk stosowanych na stronie „vanityfair.fr” z zasadami dotyczącymi plików cookies instalowanych na urządzeniach użytkowników.
Kogo dotyczy kara i czego dotyczy sprawa?
LES PUBLICATIONS CONDE NAST jest wydawcą m.in. magazynu Vanity Fair w wersji drukowanej i online. W ramach swojej witryny internetowej organ uznał, że spółka naruszyła obowiązki wynikające z francuskiej ustawy o ochronie danych osobowych, w szczególności w zakresie cookies podlegających zgodzie (art. 82).
Jak wyglądała droga do nałożenia kary?
Sprawa ma długą historię. W grudniu 2019 roku CNIL otrzymała publiczną skargę od organizacji NOYB dotyczącą cookies instalowanych przy wejściu na „vanityfair.fr”. Po dochodzeniach i rozmowach z CNIL firma została zobowiązana decyzją administracyjną do dostosowania praktyk (nakaz do wykonania we wrześniu 2021), a postępowanie zamknięto w lipcu 2022.
Mimo to CNIL wróciła do tematu w kolejnych okresach: w lipcu i listopadzie 2023 oraz ponownie w lutym 2025 przeprowadzono kolejne kontrole online strony. Na ich podstawie „komitet ograniczony” CNIL — organ właściwy do nakładania kar — uznał, że spółka nadal nie spełniała wymogów dotyczących cookies, co doprowadziło do nałożenia grzywny.
Wysokość kary została obliczona m.in. z uwzględnieniem tego, że wcześniej już wydano nakaz dostosowania, a także biorąc pod uwagę liczbę osób dotkniętych naruszeniem oraz zakres stwierdzonych uchybień.
Jakie naruszenia CNIL wykazała w praktyce?
CNIL wskazała kilka konkretnych problemów:
- Brak zgody przed umieszczeniem cookies: cookies, które wymagały zgody użytkownika, trafiały na urządzenia odwiedzających już w momencie wejścia na stronę — zanim użytkownik w ogóle skorzystał z banera informacyjnego i dokonał wyboru.
- Niedostateczna przejrzystość informacji: część cookies pojawiała się jako „ściśle niezbędne” (i przez to — według komunikatu — miały być zwolnione z obowiązku uzyskania zgody), mimo że użytkownikom nie przedstawiano użytecznych informacji o ich celach.
- Nieskuteczne mechanizmy odmowy i cofnięcia zgody: gdy użytkownik kliknął „Odmów wszystko” albo gdy próbował wycofać zgodę na instalację trackerów, CNIL stwierdziła, że:
- pojawiały się nowe cookies wymagające zgody,
- a część cookies już wcześniej umieszczonych nadal była odczytywana.
Co to oznacza dla innych serwisów?
Ta decyzja pokazuje, że w ocenie CNIL liczy się nie tylko to, czy na stronie jest baner cookies, ale czy cały mechanizm działa zgodnie z zasadą zgody: użytkownik musi mieć realną możliwość wyboru, a jego odmowa lub cofnięcie zgody muszą być skuteczne. Dodatkowo organ zwraca uwagę na rzetelność klasyfikacji cookies jako „niezbędnych” oraz na czytelność informacji przekazywanych użytkownikom.
