MONTO ASCIENDE A 150 MILLONES DE
Autoridad francesa de protección de datos multa a filial de Shein por imponer cookies en sitio web sin consentimiento de usuarios
La resolución se dictó tras una auditoría efectuada en agosto de 2023 en la que se constataron diversas infracciones al artículo 82 de la Ley de Protección de Datos francesa. La CNIL ponderó la magnitud del tratamiento, la reiteración de incumplimientos y la ausencia de mecanismos adecuados para recabar y gestionar el consentimiento de los usuarios en Francia.
La Comisión Nacional de Informática y Libertades (CNIL, por sus siglas en francés) resolvió imponer a la sociedad INFINITE STYLES SERVICES CO. LIMITED, filial del grupo SHEIN presente en Irlanda, una multa administrativa ascendente a 150 millones de euros. La medida se fundamenta en incumplimientos detectados respecto de las obligaciones previstas en el artículo 82 de la Ley francesa de Protección de Datos, vinculadas a la utilización de rastreadores instalados en los terminales de los usuarios que acceden al sitio web “shein.com”.
La decisión tiene como origen una auditoría practicada en agosto de 2023 por la CNIL al referido sitio web. Como consecuencia de dicha fiscalización, la comisión, órgano competente en materia sancionadora dentro de la institución, constató múltiples irregularidades relativas al consentimiento de los internautas, la suficiencia de la información entregada y los mecanismos para rechazar o revocar dicho consentimiento.
Entre los elementos analizados, la autoridad observó que determinados rastreadores, particularmente de carácter publicitario, eran instalados en los dispositivos de los usuarios sin que mediara su consentimiento previo. Igualmente, verificó la existencia de dos interfaces para la gestión de cookies que resultaban incompletas. El primer banner presentaba botones para aceptar, rechazar o configurar la instalación de rastreadores, sin proporcionar detalle alguno sobre la finalidad publicitaria del tratamiento. Por su parte, la segunda ventana emergente únicamente ofrecía la opción de aceptación, careciendo igualmente de información suficiente.
Asimismo, la CNIL advirtió que el denominado segundo nivel de información, accesible mediante la opción de configuración, no identificaba a los terceros potencialmente involucrados en la instalación de rastreadores. Del mismo modo, se constató que los mecanismos de rechazo y de retiro del consentimiento presentaban deficiencias: incluso cuando los usuarios seleccionaban “rechazar todo” o intentaban retirar la autorización previamente otorgada, se seguían depositando nuevos rastreadores y permanecían activos los instalados con anterioridad.
El comité tuvo en consideración, para la determinación del monto de la sanción, la escala y el carácter masivo del tratamiento, dado que el sitio “shein.com” registra en Francia una media de 12 millones de visitantes mensuales. Igualmente, se valoró la reiteración de conductas similares ya sancionadas en el pasado por la misma autoridad.
No obstante, la CNIL reconoció que, en el transcurso del procedimiento, la sociedad adoptó modificaciones en el funcionamiento del sitio, razón por la cual no se estimó necesario dictar órdenes de cumplimiento adicionales. La resolución precisó también que el mecanismo de cooperación previsto por el Reglamento General de Protección de Datos (RGPD), conocido como “ventanilla única”, no resultaba aplicable en este caso, puesto que las operaciones relativas a los rastreadores se rigen por la directiva sobre privacidad electrónica (ePrivacy), incorporada al ordenamiento francés mediante el artículo 82 de la Ley de Protección de Datos.
Finalmente, la CNIL declaró su competencia material y territorial para conocer del asunto. Por una parte, en virtud de que el objeto del procedimiento se centra en la gestión de rastreadores en dispositivos situados en Francia. Y, por otra, debido a que las actividades de INFINITE STYLES SERVICES se desarrollan en el marco del establecimiento de su filial INFINITE STYLES ECOMMERCE FRANCE, lo cual satisface lo previsto en el artículo 3 de la Ley de Protección de Datos en materia de competencia territorial.
Te puede interesar
Suscribirme a Newsletter