Francouzský dozorový úřad CNIL byl na začátku roku aktivní. Po vysoké pokutě tamnímu
mobilnímu operátorovi se zaměřil společnost, která předávala emailové adresy a telefonní čísla
členů svého věrnostního programu sociální síti, aby jim na ní mohla zobrazovat reklamu na vlastní
zboží. Za toto neoprávněné zpracování osobních údajů udělil této společnosti pokutu ve výši 3,5
milionů euro. Rozhodnutí CNIL přijal je ve spolupráci se 16 evropskými úřady, protože se týkalo
i osob z dalších států unie. V rámci udělení pokuty vzal v potaz CNIL i měřítko vzniklého
incidentu, když šlo o více než 10,5 milionu osob.
CNIL se případem začal zabývat při v lednu 2023 a zjistil, že k předávání údajů docházelo už od
února 2018. Firma tvrdila, že má pro tento postup souhlas, který lidé udělili při vstupu do
věrnostního programu a při volbě, že chtějí dostávat marketingové zprávy přes SMS nebo email.
CNIL ale dospěl k závěru, že takový souhlas není platný, protože lidé nebyli jasně a předem
informováni o tom, že jejich údaje budou předány sociální síti právě pro účely cílené reklamy.
Přihlašovací formulář o tomto předání nemluvil a informace dohledatelné na webu byly buď
neúplné, nebo nejasné, navíc skryté v komplikované struktuře dokumentů. Podle CNIL tak chyběl
skutečně informovaný a jednoznačný projev vůle, který by bylo možné získat například
samostatnou, srozumitelně popsanou volbou.
Kromě chybějícího právního titulu CNIL vytkl také nedostatky v informování podle GDPR.
Informace na webu byly nepřesné, protože nepropojovaly účely zpracování s příslušnými právními
důvody. Místy navíc obsahovaly již zastaralé informace, když například odkazovaly na režim
předávání osobních údajů do USA dle Privacy Shield, který již však roky není účinný. Zároveň
chyběla zmínka o tom, že se věrnostní data využívají pro cílenou reklamu na sociální síti, a nebyla
jasně popsána ani doba uchování údajů.
Do rozhodnutí se promítla i bezpečnost. CNIL uvedl, že pravidla pro zabezpečení hesel účastníků
věrnostního programu nebyla dostatečná. Další výtka směřovala k tomu, že firma před spuštěním
cílené reklamy neprovedla posouzení vlivu na ochranu osobních údajů, přestože šlo o velký objem
dat a jejich párování napříč systémy, což znamenalo vyšší riziko pro práva a svobody lidí. Na webu
se dále ukládaly soubory vyžadující souhlas ještě před tím, než návštěvník stihl cokoli zvolit v rámci
cookies lišty, přičemž ani po odmítnutí se již uložené cookies nesmazaly a dál se načítaly.