La CNIL ha sanzionato il tracciamento nell’app FNAC: anche dopo il rifiuto dell’utente i dati alimentavano raccomandazioni commerciali e un algoritmo di suggerimento dei prodotti. La decisione riporta al centro il confine tra necessità tecnica e tracciamento commerciale, anche per l’addestramento degli algoritmi, evidenziando le criticità ancora attuali nel rispetto del consenso e nelle pratiche di raccolta dei dati da parte delle aziende.
In particolare, la sanzione per complessivi 7 milioni di euro è stata erogata a FNAC Darty Participations et Services e FNAC Direct, due società del gruppo francese FNAC DARTY, attivo nella vendita di elettronica, elettrodomestici e prodotti culturali, nei negozi e online.
A molti anni dall’applicazione del GDPR e dall’introduzione delle regole europee sui tracciatori, il caso mostra che il rifiuto del consenso può oggi ancora convivere con la raccolta di dati comportamentali destinati a finalità commerciali.
La particolarità del provvedimento sta nelle difese delle società: il tracciamento, utilizzato anche per addestrare un algoritmo di raccomandazione, sarebbe stato necessario per aiutare gli utenti ad orientarsi nel catalogo. La CNIL respinge tuttavia l’equivalenza tra miglioramento del servizio e stretta necessità tecnica.
Indice degli argomenti
Il rifiuto non interrompeva il tracciamento
Il procedimento nasce da un reclamo presentato da NOYB nel settembre 2023. Durante il controllo del marzo 2024, la CNIL ha verificato che, anche dopo la selezione di «Continuer sans accepter», l’applicazione mobile effettuava operazioni di lettura e/o scrittura sul terminale tramite un’API. Le richieste di rete contenevano un identificativo attribuito all’utente e informazioni sulla sua attività, compresi i prodotti consultati.
Il sistema serviva a proporre prodotti personalizzati, simili o complementari e ad alimentare l’algoritmo di raccomandazione; non si trattava quindi di una semplice misurazione aggregata delle visite, ma di informazioni comportamentali associate a un identificativo e impiegate per ottimizzare suggerimenti commerciali.
La CNIL ha accertato la violazione dell’articolo 82 della legge francese Informatique et Libertés, che attua l’articolo 5, paragrafo 3, della direttiva ePrivacy, infliggendo una sanzione di 6 milioni di euro a FNAC DARTY PARTICIPATIONS ET SERVICES e un milione a FNAC DIRECT, individuate come contitolari; ha imposto inoltre di dimostrare la conformità entro un mese dalla notifica, con una penalità di 10.000 euro per ogni giorno di ritardo.
Nella valutazione della gravità hanno pesato il mancato rispetto del rifiuto e la diffusione dell’app, che contava oltre 1,5 milioni di download in Francia tra marzo 2023 e marzo 2024 e una media di 37.400 utenti giornalieri.
Nel determinare l’importo della sanzione, la CNIL ha inoltre considerato la capacità economica dell’intero gruppo FNAC DARTY, richiamando la nozione di impresa come unità economica, e non soltanto l’attività della singola applicazione. Il criterio è stato applicato nell’ambito della disciplina sanzionatoria francese per la violazione ePrivacy.
Il miglioramento del servizio non basta
FNAC ha sostenuto che le operazioni erano strettamente necessarie alla navigazione nel catalogo, assimilando le raccomandazioni all’organizzazione dei reparti di un negozio fisico, al fine di avvicinare l’esperienza online a quella del punto vendita. Secondo le società, anche il download dell’app, il suo avvio e l’accettazione delle condizioni generali esprimevano la richiesta delle funzionalità di assistenza alla navigazione.
L’argomento usato tuttavia confonde la possibilità di utilizzare il servizio con le funzioni che ne accrescono l’efficacia commerciale: se ricercare un prodotto e mantenere un carrello possono richiedere operazioni tecniche, registrare le interazioni per prevedere nuovi acquisti non diventa indispensabile soltanto perché rende il catalogo più pertinente. La CNIL riconduce l’esenzione alla stretta necessità rispetto al servizio espressamente richiesto, non all’utilità complessiva di una funzione per l’impresa o per l’utente.
Considerare il download dell’app, il suo avvio e l’accettazione delle condizioni d’uso come una richiesta espressa delle funzionalità di assistenza alla navigazione significherebbe lasciare al fornitore la possibilità di ampliare le operazioni ritenute necessarie semplicemente integrandole nel servizio. Ma scegliere di utilizzare un’app per consultare un catalogo non significa richiedere anche il tracciamento delle proprie attività per ottimizzare le raccomandazioni commerciali.
La CNIL precisa, inoltre, che suggerire prodotti simili a quelli cercati dall’utente potrebbe, in determinate condizioni, essere considerato necessario per agevolare la navigazione. Nel caso concreto, tuttavia, questa funzione era realizzata attraverso il medesimo tracciatore utilizzato per finalità commerciali soggette a consenso e non poteva quindi beneficiare autonomamente dell’esenzione.
Tracciatori multifinalità: i limiti dell’esenzione
L’API era utilizzata contemporaneamente per raccomandazioni personalizzate, suggerimenti di prodotti complementari e simili e addestramento dell’algoritmo.
La CNIL ribadisce che un’operazione di lettura o scrittura con più finalità è esente dal consenso soltanto se tutte le finalità soddisfano i requisiti dell’eccezione: se una di esse richiede il consenso, la presenza di funzioni tecniche non può legittimare l’intera operazione, confermando il criterio già espresso nella decisione SAN-2022-023 del 19 dicembre 2022 nei confronti di Microsoft Ireland Operations Limited, per l’utilizzo di cookie multifinalità sul motore di ricerca Bing senza il necessario consenso.
Si tratta di un punto rilevante per le architetture che riuniscono analytics, personalizzazione e marketing in un unico SDK, identificativo o flusso di eventi. L’integrazione tecnica non elimina infatti la distinzione giuridica tra le finalità e può anzi impedire di isolare la parte esente: per valutare la conformità occorre ricostruire eventi raccolti, identificativi trasmessi, destinatari e impieghi successivi, anziché affidarsi alle categorie necessary, functional o analytics dichiarate nella piattaforma di consenso.
Addestramento algoritmico e necessità tecnica
Le società qualificavano anche l’addestramento del modello come indispensabile al miglioramento continuo della navigazione.
La CNIL ha osservato che le informazioni raccolte servivano a perfezionare raccomandazioni commerciali in funzione dei comportamenti degli utenti, aumentando la probabilità di acquisto e che questa finalità non rientrava nell’esenzione ePrivacy.
La decisione riguarda le operazioni di accesso o memorizzazione delle informazioni sul terminale, mentre gli eventuali trattamenti successivi di dati personali restano soggetti al GDPR, anche quanto a base giuridica, finalità, minimizzazione e trasparenza. Il ricorso a un algoritmo, in sé, non modifica la disciplina applicabile alla raccolta.
FNAC, nelle sue argomentazioni, ha dichiarato di aver dismesso la precedente API nel dicembre 2024 e di aver introdotto un nuovo strumento grazie al quale le raccomandazioni personalizzate sarebbero state subordinate al consenso, mentre l’alimentazione degli algoritmi avrebbe utilizzato dati analitici previamente anonimizzati. La CNIL ha però ritenuto non dimostrata l’effettiva attuazione delle misure, mantenendo l’ingiunzione e confermando così che una soluzione descritta come conforme non basta se non si hanno poi evidenze del suo funzionamento. Inoltre, anonimizzare successivamente i dati non sana un’eventuale raccolta originaria illecita.
Merita attenzione anche la diversa spiegazione fornita dalle società sulla sostituzione dell’API: inizialmente il nuovo strumento avrebbe peggiorato l’esperienza di navigazione; successivamente, FNAC ha dichiarato che quello precedente era stato abbandonato perché inefficace e che la nuova soluzione era più adatta alle proprie esigenze. Sebbene la CNIL non ha abbia fondato su questa divergenza un autonomo addebito, essa rende meno persuasiva la tesi dell’indispensabilità tecnica della soluzione originaria.
DSA e sistemi di raccomandazione
Il tema delle raccomandazioni algoritmiche richiama anche il Digital Services Act, che interviene sulla trasparenza dei sistemi utilizzati dalle piattaforme online per selezionare e ordinare i contenuti. L’articolo 27 impone ai fornitori cui si applica di illustrare chiaramente i principali parametri dei sistemi di raccomandazione e le opzioni disponibili per influenzarli.
Per le piattaforme online e i motori di ricerca di dimensioni molto grandi, l’articolo 38 prevede inoltre almeno un’opzione di raccomandazione non basata sulla profilazione.
Si tratta di obblighi distinti da quelli previsti dalla disciplina ePrivacy: la trasparenza sul funzionamento delle raccomandazioni non legittima il tracciamento degli utenti né la raccolta di dati comportamentali per addestrare gli algoritmi senza il consenso eventualmente necessario. L’applicabilità di tali disposizioni a FNAC richiederebbe comunque una specifica valutazione della qualificazione del servizio ai sensi del DSA, questione tuttavia non affrontata dalla CNIL.
Il riferimento assume comunque rilievo anche alla luce delle difese delle società, che avevano richiamato proprio il DSA tra le normative che renderebbero complesso il quadro degli adempimenti. La CNIL ha respinto questa giustificazione, osservando che gli obblighi relativi ai tracciatori erano già consolidati e che la crescente articolazione della normativa digitale europea non può essere invocata per disattendere regole sul consenso applicabili da anni.
Il confronto con il Garante italiano
La posizione della CNIL trova sostanziale corrispondenza nell’orientamento del Garante italiano. L’articolo 122 del Codice privacy, che recepisce la medesima disciplina ePrivacy, e le Linee guida sui cookie del 10 giugno 2021 subordinano l’utilizzo dei tracciatori non esenti a un consenso preventivo, libero e specifico. Il semplice proseguimento della navigazione non costituisce una manifestazione valida di volontà e il rifiuto deve impedire l’attivazione dei tracciamenti soggetti a consenso.
Un riferimento recente è il provvedimento del 4 giugno 2025 nei confronti di Centrauto Cancellieri 2 S.r.l. (società operante come concessionaria nel settore automobilistico), nel quale il Garante ha contestato un sistema di acquisizione del consenso che non permetteva agli utenti di proseguire la navigazione mantenendo soltanto le impostazioni tecniche, oltre a carenze informative e nell’espressione di scelte granulari. L’Autorità ha disposto in questo caso un ammonimento, tenendo sostanzialmente conto degli adeguamenti spontaneamente adottati dalla società.
Il diverso peso delle condotte successive è un ulteriore elemento di confronto. Mentre il Garante ha valorizzato gli adeguamenti spontanei di Centrauto, la CNIL non ha invece riconosciuto a FNAC una particolare attenuante per la collaborazione prestata, osservando che rispondere alle richieste dell’autorità costituisce un obbligo e che le misure adottate non avevano dimostrato una particolare tempestività ed efficacia nel limitare le conseguenze della violazione.
Il confronto con FNAC richiede tuttavia di distinguere le condotte accertate. Nel caso francese, il rifiuto dell’utente non impediva la raccolta di dati comportamentali utilizzati anche per alimentare algoritmi di raccomandazione commerciale. Nel caso italiano, le contestazioni riguardavano principalmente l’inadeguatezza del meccanismo di consenso. Anche la dimensione dei trattamenti e la platea potenzialmente coinvolta sono elementi da considerare, senza che siano disponibili dati direttamente comparabili.
La decisione FNAC porta comunque in primo piano un aspetto che merita particolare attenzione anche nell’attività di controllo italiana: non basta verificare che l’utente possa rifiutare i cookie, occorre accertare che quel rifiuto sia effettivamente rispettato dall’intera infrastruttura tecnologica.
Trasparenza e controllo effettivo del consenso
Nel messaggio mostrato all’avvio dell’app, FNAC collocava tra le tecnologie considerate necessarie quelle utili al funzionamento ottimale, ai consigli sui prodotti, all’analisi delle prestazioni e alla sicurezza delle transazioni; precisava che tali tecnologie sarebbero state utilizzate anche scegliendo di continuare senza accettare.
Informare l’utente di questa classificazione, tuttavia, non rende esenti operazioni che richiedono il consenso. Il problema non è infatti soltanto ciò che l’informativa omette, ma anche ciò che presenta come indispensabile: l’etichetta assegnata a un tracciatore può nascondere l’uso di identificativi e dati comportamentali per finalità diverse dalla gestione tecnica del servizio e, nelle app mobili, SDK e API possono svolgere funzioni analoghe ai cookie web senza essere immediatamente riconoscibili dall’utente.
La verifica non può quindi fermarsi al banner, ma occorre controllare il traffico dell’applicazione prima e dopo il rifiuto, gli identificativi utilizzati, gli eventi inviati e i destinatari, accertando che siano effettivamente bloccate le operazioni soggette a consenso.
Spostare l’elaborazione sul server non rende lecita un’eventuale raccolta iniziale irregolare e non sottrae i trattamenti successivi al GDPR, poiché il titolare deve poter dimostrare il rispetto della scelta dell’utente anche quando intervengono componenti e fornitori diversi.
Una regola consolidata, ancora disattesa
La sanzione FNAC interviene in un momento nel quale le imprese dispongono di strumenti sempre più avanzati per ricavare valore dai dati comportamentali e la personalizzazione delle interfacce, l’ottimizzazione dei percorsi di acquisto, l’addestramento dei sistemi di raccomandazione sono ormai componenti ordinarie di numerosi servizi digitali.
Proprio questa diffusione rende meno sostenibile l’idea che tali operazioni possano essere considerate necessarie soltanto perché integrate stabilmente nel funzionamento di una piattaforma.
La CNIL contesta il ricorso a operazioni di tracciamento effettuate senza il necessario consenso, nonostante l’esplicito rifiuto degli utenti. Un accertamento che richiama l’importanza di verificare anche nelle pratiche di conformità italiane l’effettivo rispetto delle scelte degli interessati.
La decisione francese contiene, infine, un’indicazione che riguarda direttamente la responsabilità delle imprese. FNAC aveva sostenuto che la disciplina applicabile alle app mobili era ancora in evoluzione e che le raccomandazioni specifiche della CNIL fossero successive ai fatti contestati.
L’autorità ha respinto l’argomento, osservando che gli obblighi relativi ai tracciatori erano già consolidati e non dipendevano dall’adozione di indicazioni specifiche per le applicazioni mobili. Nella progettazione e nella gestione dei servizi digitali, le esigenze aziendali di raccolta e sfruttamento dei dati continuano troppo spesso a prevalere sul rispetto delle scelte espresse dagli utenti.
Eppure, queste ultime sono tutelate da una normativa ormai consolidata, che non consente di estendere arbitrariamente la nozione di necessità tecnica per giustificare tracciamenti privi di consenso.
Partecipa alla community