L’autorità francese per la protezione dei dati CNIL ha imposto una multa di 750.000 € a Les Publications Conde Nast, la società responsabile di Vanity Fair, per aver inserito cookie sui dispositivi degli utenti senza un valido consenso. L’autorità ha rilevato che il sito web ha distribuito cookie non essenziali non appena gli utenti sono arrivati sulla pagina, senza aspettare l’interazione con il banner di consenso. La CNIL ha affermato che questa pratica violava la legge francese sulla protezione dei dati e i requisiti della Direttiva ePrivacy, entrambe obbligatorie a un accordo esplicito prima che i tracker non essenziali vengano archiviati sui dispositivi.
Il caso è iniziato dopo un reclamo presentato nel 2019, che ha spinto la CNIL a esaminare le pratiche sui cookie di Vanity Fair. La revisione iniziale ha portato a un avviso formale emesso nel 2021. L’azienda si è impegnata a correggere il proprio meccanismo di consenso, ma i controlli di follow-up della CNIL hanno mostrato che le modifiche necessarie non erano state attuate. Il sito ha continuato a inserire cookie pubblicitari e di tracciamento prima del consenso, e gli utenti che tentavano di rifiutare i cookie erano comunque soggetti al tracciamento.
La CNIL ha individuato diverse violazioni durante le sue indagini. I cookie non essenziali venivano inseriti non appena la homepage veniva caricata, e il banner di consenso apparso non impediva la conservazione dei cookie. Alcuni cookie utilizzati per la pubblicità sono stati classificati come strettamente necessari, una designazione destinata solo a funzioni tecniche essenziali per il funzionamento del sito web. Questa categorizzazione ha permesso ai cookie di aggirare il requisito di consenso. La CNIL ha inoltre rilevato che gli utenti che hanno cliccato sull’opzione rifiuta o hanno tentato di ritirare il consenso non sono riusciti a impedire che i cookie venissero inseriti o mantenuti. L’autorità ha affermato che il meccanismo di rifiuto non funzionava e che il sito web continuava a installare tracker anche dopo che gli utenti avevano deciso di non funzionare.
Il regolatore ha considerato il ripetuto mancato rispetto un fattore significativo nel determinare l’entità della multa. La CNIL ha dichiarato che all’editore era già stato ordinato di cambiare le sue pratiche e che gli era stato dato il tempo per aggiornare il proprio sistema. La continua inserzione di cookie senza consenso e l’etichettatura errata dei tracker pubblicitari come essenziali sono stati considerati violazioni gravi che hanno colpito un gran numero di utenti.
Secondo la legge francese, i siti web devono fornire informazioni chiare sullo scopo dei cookie, identificare eventuali terzi che accedono ai dati e ottenere il consenso esplicito dell’utente per tutto il tracciamento non essenziale. Il consenso deve essere un’azione affermativa chiara e gli utenti devono avere un metodo semplice per rifiutarlo o ritirarlo. La CNIL ha rilevato che Vanity Fair non soddisfava questi requisiti e che i meccanismi forniti agli utenti erano fuorvianti o inefficaci.
La decisione rafforza l’attenzione più ampia della CNIL sull’applicazione dei banner di consenso e sulla distribuzione dei cookie. L’autorità ha inflitto diverse sanzioni negli ultimi anni ai grandi servizi online per violazioni simili, segnalando che le pratiche di consenso rimangono una priorità. La CNIL ha dichiarato che continuerà a monitorare i siti web che gestiscono grandi volumi di traffico degli utenti e prenderà provvedimenti quando le regole sul consenso non saranno rispettate.
L’editore può fare appello contro la decisione, ma la multa serve da avvertimento per qualsiasi organizzazione operante in Francia che utilizzi il tracciamento online per pubblicità o analisi. Il caso sottolinea anche l’importanza di opzioni di consenso chiare per gli utenti che si aspettano di controllare quali informazioni vengono memorizzate sui loro dispositivi. La CNIL ha affermato che i cookie banner devono fornire informazioni accurate e rispettare le scelte degli utenti senza imporre ostacoli artificiali o implementare un design che indirizzi gli utenti verso l’accettazione.