Le sanzioni imposte all’inizio di settembre 2025 dal CNIL (Commission Nationale de l’informatique et des libertés) in Francia contro Google e Shein rappresentano un punto di svolta significativo nella regolamentazione europea relativa alla privacy online. Queste decisioni sollevano interrogativi sul consenso informato, sull’uso dei cookie e sull’efficacia delle multe come deterrente per le grandi aziende digitali.
La maxi-sanzione a Google per cookie e pubblicità illegali
La prima indagine ha coinvolto Google, che è stata multata per un importo di 325 milioni di euro a causa della visualizzazione di annunci pubblicitari agli utenti di Gmail senza il loro esplicito consenso e dell’installazione di cookie durante la creazione di nuovi account Google, senza la necessaria autorizzazione.
Il CNIL, partendo da una violazione generale della legislazione francese in materia di dati personali, ha sottolineato che gli utenti venivano incentivati a scegliere tracker legati alla visualizzazione di annunci pubblicitari personalizzati, a scapito di quelli generici, senza essere adeguatamente informati sul fatto che l’accesso ai servizi di Google fosse condizionato all’installazione di tracker pubblicitari.
L’assenza di informazioni chiare ha comportato un consenso non informato, risultando quindi invalido ai fini normativi.
Le pratiche pubblicitarie non autorizzate di Google sono emerse anche attraverso un altro meccanismo sanzionato. Infatti, gli utenti di Gmail venivano invitati ad attivare delle “funzioni intelligenti” per organizzare la loro casella di posta, e coloro che accettavano trovavano nella loro inbox email promozionali non richieste e ricevute senza consenso.
Il CNIL ha fatto riferimento a una sentenza della Corte di Giustizia del 25 novembre 2021 (C-102/20), che afferma che i messaggi pubblicitari presentati in modo simile a normali email devono rispettare le normative sulla privacy e la protezione dei dati, richiedendo il consenso preventivo dell’utente.
La sanzione è stata calcolata considerando non solo il potenziale numero di account coinvolti, circa 74 milioni in Francia, ma anche la posizione di Google nel mercato della pubblicità online e il fatto che Gmail è uno dei servizi di posta elettronica più utilizzati a livello globale.
Inoltre, insieme all’aspetto sanzionatorio, Google è stata invitata a regolarizzare la propria posizione nel rispetto delle normative, con un termine di sei mesi per ottemperare, pena ulteriori conseguenze legali.
Il caso Shein: cookie installati senza consenso
La seconda decisione del CNIL ha riguardato il colosso cinese dell’abbigliamento e accessori Shein, in particolare la sua filiale situata in Irlanda.
Poiché la competenza del CNIL è limitata al territorio francese, sono state esaminate le attività di Shein in relazione ai soggetti residenti in Francia. La sanzione di 150 milioni di euro riflette il numero di accessi al sito “shein.com” da parte degli utenti francesi, stimato in circa 12 milioni al mese.
Il CNIL ha accertato che, al momento dell’accesso al sito, i visitatori non ricevevano informazioni adeguate prima di esprimere un consenso, oltre a non avere accesso a dettagli sui fini pubblicitari dei cookie. Anche le informazioni relative all’identità dei terzi che installavano cookie risultavano insufficienti.
Ulteriormente, anche in caso di scelta da parte dell’utente di rifiutare i cookie o di revocarne la registrazione, l’analisi ha dimostrato che nuovi cookie venivano comunque installati e che altri rimanevano attivi nonostante la revoca, configurando una violazione delle normative sui dati personali.
Le modifiche effettuate da Shein durante l’istruttoria hanno permesso di evitare un ordine di esecuzione, ma non hanno evitato la sanzione.
Le implicazioni future: deterrente o costo del business?
Le due decisioni del CNIL sollevano questioni cruciali. La prima riguarda la frequenza con cui le pratiche contestate vengono utilizzate dai principali operatori di diversi settori. La seconda è se le sole sanzioni pecuniarie possano realmente fungere da deterrente, considerando che il ritorno economico per le violazioni potrebbe superare l’importo delle sanzioni stesse.
