Fnac z karą 7 mln euro od CNIL za trackery po odmowie zgody

Francuski regulator CNIL poinformował 29 października 2026 o karze 7 mln euro dla dwóch spółek grupy Fnac Darty. Decyzja SAN-2026-015 zapadła 22 października 2026. Według komunikatu CNIL aplikacja mobilna Fnac używała trackera, na który użytkownicy nie wyrazili zgody. Zbierał on historię przeglądania, żeby pokazywać rekomendacje i trenować algorytm. Fnac Darty Participations et Services zapłaci 6 mln euro, Fnac Direct 1 mln euro. Decyzja dotyczy francuskiego rynku i nie obowiązuje w Polsce, ale pokazuje, jak regulator interpretuje przepis wynikający z dyrektywy ePrivacy.

Co ustalił regulator

Zdaniem CNIL zapytania z aplikacji do domeny podmiotu trzeciego zawierały identyfikator użytkownika i dane o obejrzanych produktach. Według PPC Land, które cytuje treść decyzji, ruch trwał także po kliknięciu „Continue without accepting”. PPC Land podaje też, że tekst baneru sugerował, iż trackery rekomendacji zadziałają niezależnie od wyboru użytkownika.

Spółki argumentowały, że rekomendacje to element nawigacji po katalogu, a więc funkcja niezbędna. Skład orzekający CNIL uznał, że personalizacja, produkty komplementarne i trenowanie algorytmu to targetowanie komercyjne wymagające zgody. Dopuściła, że pokazywanie podobnych produktów mogłoby w teorii zostać uznane za funkcję niezbędną, ale nie zmieniło to oceny: według PPC Land jeden tracker obsługujący kilka celów wymaga zgody, jeśli choć jeden z nich jej wymaga.

Kara jest niższa od zaproponowanej wcześniej kwoty 10 mln euro, podaje MLex. CNIL uzasadnia wysokość kary zlekceważeniem odmowy użytkowników i skalą. Według PPC Land aplikację pobrano we Francji ponad 1,5 mln razy między marcem 2023 a marcem 2024, a średnio korzystało z niej dziennie 37 400 osób. Spółki mają miesiąc od doręczenia decyzji na wykazanie zgodności nowego narzędzia. Za każdy dzień zwłoki grozi kara 10 tys. euro. Sprawa zaczęła się od skargi organizacji noyb z 14 września 2023.

Co to oznacza dla marketerów w Polsce

Decyzja nie jest wiążąca dla polskich organów, więc to interpretacja, a nie nowy przepis. Daje jednak konkretny wzorzec kontroli, który mogą naśladować także inni regulatorzy w UE, bo przepis wynika ze wspólnej dyrektywy ePrivacy. Co sprawdzić:

• Ruch sieciowy aplikacji po odmowie zgody. Zweryfikujcie, czy po odrzuceniu zgody SDK nadal wysyłają identyfikator i zdarzenia, w tym do dostawców rekomendacji i narzędzi CRM.
• Konfigurację SDK wielofunkcyjnych. Jeśli jedno narzędzie służy jednocześnie do działania aplikacji i personalizacji, całość może wymagać zgody.
• Treść baneru. W tej sprawie komunikat sugerował, że część trackerów zadziała mimo odmowy, więc warto sprawdzić, czy własny baner nie mówi czegoś podobnego.
• Podział ról z dostawcami i spółkami grupy. Obie spółki Fnac wspólnie ustalały cele i środki przetwarzania, co CNIL uznała za współadministrowanie.
• Dokumentację. CNIL nie uznała planów naprawczych bez dowodu wdrożenia.

Ocenę zgodności konkretnych rozwiązań z polskim prawem warto skonsultować z prawnikiem.