{"id":62,"date":"2026-04-07T17:21:25","date_gmt":"2026-04-07T17:21:25","guid":{"rendered":"https:\/\/uodo.eu\/?p=62"},"modified":"2026-07-31T17:27:04","modified_gmt":"2026-07-31T17:27:04","slug":"35-mln-euro-kary-za-przekazywanie-danych-do-social-mediow-w-celach-reklamowych","status":"publish","type":"post","link":"https:\/\/uodo.eu\/?p=62","title":{"rendered":"3,5 mln euro kary za przekazywanie danych do social medi\u00f3w w celach reklamowych"},"content":{"rendered":"\n

22 stycznia 2026 r. CNIL na\u0142o\u017cy\u0142a kar\u0119 w wysoko\u015bci 3,5 mln euro<\/strong> na firm\u0119, kt\u00f3ra przekazywa\u0142a dane uczestnik\u00f3w swojego programu lojalno\u015bciowego do portalu spo\u0142eczno\u015bciowego<\/strong> w celu prowadzenia reklam ukierunkowanych<\/strong>. Kluczowy problem w sprawie: przekazanie danych odbywa\u0142o si\u0119 bez wa\u017cnej zgody<\/strong> oraz z naruszeniem szeregu obowi\u0105zk\u00f3w wynikaj\u0105cych z RODO i francuskich przepis\u00f3w o ochronie danych.<\/p>\n\n\n\n

Co ustalono w sprawie?<\/h3>\n\n\n\n

CNIL przeprowadzi\u0142a w styczniu 2023 r.<\/strong> kontrol\u0119 i ustali\u0142a, \u017ce od lutego 2018 r.<\/strong> firma przesy\u0142a\u0142a do social medi\u00f3w adresy e-mail i\/lub numery telefon\u00f3w<\/strong> cz\u0142onk\u00f3w programu lojalno\u015bciowego. Wykorzystywano je do wy\u015bwietlania reklam na tej platformie, promuj\u0105cych sprzedawane produkty.<\/p>\n\n\n\n

Ze wzgl\u0119du na to, \u017ce dane dotyczy\u0142y os\u00f3b mieszkaj\u0105cych tak\u017ce w innych krajach UE, decyzja zosta\u0142a podj\u0119ta w wsp\u00f3\u0142pracy z 16 europejskimi organami ochrony danych<\/strong>. Wysoko\u015b\u0107 kary uwzgl\u0119dnia\u0142a:<\/p>\n\n\n\n

    \n
  • wag\u0119 narusze\u0144 (w tym naruszenia dotycz\u0105ce fundamentalnych zasad ochrony danych),<\/li>\n\n\n\n
  • bardzo du\u017c\u0105 liczb\u0119 os\u00f3b, kt\u00f3rych dotyczy\u0142y uchybienia (ponad 10,5 mln<\/strong>).<\/li>\n<\/ul>\n\n\n\n

    Jakie naruszenia wskaza\u0142 CNIL?<\/h3>\n\n\n\n

    1) Brak wa\u017cnej podstawy prawnej (art. 6 RODO)<\/h4>\n\n\n\n

    Firma pr\u00f3bowa\u0142a oprze\u0107 przekazywanie danych na zgodzie uzyskanej przy zapisie do programu lojalno\u015bciowego (na otrzymywanie komunikacji marketingowych SMS\/e-mail).<\/p>\n\n\n\n

    CNIL uzna\u0142a jednak, \u017ce zgoda nie by\u0142a wa\u017cnie i \u015bwiadomie<\/strong> pozyskana, bo:<\/p>\n\n\n\n

      \n
    • formularz cz\u0142onkostwa w programie lojalno\u015bciowym nie zawiera\u0142 informacji o transferze danych do social medi\u00f3w w celu reklamowym,<\/li>\n\n\n\n
    • dokumenty dost\u0119pne na stronie (m.in. polityka prywatno\u015bci) nie wskazywa\u0142y jasno, czy i w jakim celu dane maj\u0105 by\u0107 przekazywane do social medi\u00f3w,<\/li>\n\n\n\n
    • proces dost\u0119pu do tych informacji by\u0142 zbyt z\u0142o\u017cony, by realnie umo\u017cliwi\u0107 \u015bwiadom\u0105 zgod\u0119.<\/li>\n<\/ul>\n\n\n\n

      W ocenie organu nie spe\u0142niono wymogu explicit i informed consent<\/strong> (konkretnej, \u015bwiadomej zgody), np. na wz\u00f3r prostego mechanizmu w postaci jasnego checkboxa z okre\u015blonym celem.<\/p>\n\n\n\n

      2) Naruszenie obowi\u0105zku informacyjnego (art. 12 i 13 RODO)<\/h4>\n\n\n\n

      CNIL stwierdzi\u0142a, \u017ce informacje udost\u0119pniane na stronie by\u0142y:<\/p>\n\n\n\n

        \n
      • nieprecyzyjne<\/strong> (nie \u0142\u0105czy\u0142y klarownie cel\u00f3w przetwarzania z odpowiednimi podstawami prawnymi),<\/li>\n\n\n\n
      • niekompletne<\/strong> (brakowa\u0142o m.in. celu ukierunkowanej reklamy oraz okresu retencji danych uczestnik\u00f3w programu),<\/li>\n\n\n\n
      • nieprawid\u0142owe<\/strong> (wskazywano na ramy typu Privacy Shield, kt\u00f3re nie obowi\u0105zuj\u0105).<\/li>\n<\/ul>\n\n\n\n

        3) Brak w\u0142a\u015bciwego poziomu bezpiecze\u0144stwa danych (art. 32 RODO)<\/h4>\n\n\n\n

        Organ wskaza\u0142, \u017ce zasady dotycz\u0105ce hase\u0142 u\u017cytkownik\u00f3w nie by\u0142y wystarczaj\u0105co odporne. Dodatkowo podkre\u015blono, \u017ce zastosowanie SHA-256<\/strong> do przechowywania (hashowania) hase\u0142 nie zapewnia\u0142o bezpiecznego sposobu ich sk\u0142adowania w tej konfiguracji.<\/p>\n\n\n\n

        4) Brak oceny skutk\u00f3w (DPIA) (art. 35 RODO)<\/h4>\n\n\n\n

        Firma nie wykona\u0142a oceny skutk\u00f3w dla ochrony danych (DPIA)<\/strong> przed wdro\u017ceniem dzia\u0142a\u0144 reklamowych na social mediach, mimo \u017ce przetwarzanie obejmowa\u0142o:<\/p>\n\n\n\n

          \n
        • znaczn\u0105 skal\u0119 danych osobowych,<\/li>\n\n\n\n
        • \u201eprzep\u0142yw\u201d danych mi\u0119dzy podmiotami\/\u015brodowiskami (data crossing),<\/li>\n\n\n\n
        • przetwarzanie, kt\u00f3re mog\u0142o generowa\u0107 wysokie ryzyko<\/strong> dla praw i wolno\u015bci os\u00f3b.<\/li>\n<\/ul>\n\n\n\n

          5) Dodatkowo: naruszenia w obszarze cookies i tracker\u00f3w (art. 82 francuskiej ustawy)<\/h4>\n\n\n\n

          Na stronie firmy, przy wej\u015bciu u\u017cytkownika, umieszczano 11 cookies wymagaj\u0105cych zgody<\/strong> jeszcze przed wyborem u\u017cytkownika<\/strong>.<\/p>\n\n\n\n

          Co istotne, nawet gdy u\u017cytkownik odm\u00f3wi\u0142 umieszczania i odczytu cookies niezb\u0119dnych, te 11 cookies:<\/p>\n\n\n\n

            \n
          • nie by\u0142o usuwanych,<\/li>\n\n\n\n
          • nadal by\u0142y odczytywane, co sta\u0142o w sprzeczno\u015bci z obowi\u0105zuj\u0105cymi wymogami.<\/li>\n<\/ul>\n\n\n\n

            Dlaczego CNIL podaje takie komunikaty?<\/h3>\n\n\n\n

            Komitet ograniczony CNIL zdecydowa\u0142 si\u0119 upubliczni\u0107 rozwa\u017cania, uznaj\u0105c \u017ce reklamy targetowane w social mediach s\u0105 powszechn\u0105 praktyk\u0105 rynkow\u0105. W efekcie komunikat ma pe\u0142ni\u0107 funkcj\u0119 edukacyjn\u0105: pokazuje, jak organ patrzy na zgod\u0119, informacje, bezpiecze\u0144stwo i cookie mechanics \u2014 bez konieczno\u015bci wskazywania firmy wprost w samej decyzji.<\/p>\n\n\n\n

            Je\u015bli chcesz, mog\u0119 przerobi\u0107 to pod Twojego bloga na wersj\u0119 kr\u00f3tsz\u0105 (np. 250\u2013300 s\u0142\u00f3w) albo doda\u0107 sekcj\u0119 \u201e5 lekcji dla firm robi\u0105cych reklam\u0119 na social mediach\u201d.<\/p>\n\n\n\n

            <\/p>\n","protected":false},"excerpt":{"rendered":"

            CNIL na\u0142o\u017cy\u0142a kar\u0119 w wysoko\u015bci 3,5 mln euro na firm\u0119, kt\u00f3ra przekazywa\u0142a dane uczestnik\u00f3w swojego programu lojalno\u015bciowego do portalu spo\u0142eczno\u015bciowego w celu prowadzenia reklam ukierunkowanych.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1,6],"tags":[],"class_list":["post-62","post","type-post","status-publish","format-standard","hentry","category-informacje","category-kary"],"_links":{"self":[{"href":"https:\/\/uodo.eu\/index.php?rest_route=\/wp\/v2\/posts\/62","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/uodo.eu\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/uodo.eu\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/uodo.eu\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/uodo.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=62"}],"version-history":[{"count":1,"href":"https:\/\/uodo.eu\/index.php?rest_route=\/wp\/v2\/posts\/62\/revisions"}],"predecessor-version":[{"id":63,"href":"https:\/\/uodo.eu\/index.php?rest_route=\/wp\/v2\/posts\/62\/revisions\/63"}],"wp:attachment":[{"href":"https:\/\/uodo.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=62"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/uodo.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=62"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/uodo.eu\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=62"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}