Francia, sanzione da record da 325 milioni a Google e Shein

Un colpo d’occhio vivace sui fatti

La Commission nationale de l’informatique et des libertés ha imposto due sanzioni che fanno rumore nell’ecosistema digitale: 325 milioni di euro a Google e 150 milioni di euro a Shein. Nel mirino finisce l’uso dei cookie senza un consenso valido e, nel caso di Google, la pubblicità mostrata durante lo scambio di email su Gmail. È una stretta che conferma come il GDPR resti il baricentro della tutela dei dati in Europa, con un messaggio lapidario: il consenso non è una formalità, ma la base dell’intero edificio regolatorio.

Google sotto la lente: pubblicità tra le email

Secondo l’autorità francese, il colosso di Mountain View ha veicolato messaggi pubblicitari in Gmail e installato cookie nel percorso di creazione degli account senza un consenso adeguato da parte degli utenti francesi. La cifra è importante non solo per l’ammontare, ma per il segnale: toccare la pubblicità in un servizio di posta significa interrogare il cuore del modello di business basato sull’advertising. A questa sanzione si accompagna una prescrizione: cessare le pratiche contestate entro un termine definito, con l’eventualità di ulteriori oneri in caso di inadempienza. Al netto degli adeguamenti annunciati, la posta in gioco è l’equilibrio tra esperienza utente, monetizzazione e rispetto del consenso.

Shein nel mirino: cookie anche dopo il rifiuto

La sanzione a Shein riguarda l’installazione di cookie di profilazione anche dopo il rifiuto espresso dall’utente e l’adozione di interfacce che rendevano il consenso poco chiaro. La dimensione del provvedimento riflette la portata del traffico e la centralità del fast fashion online nel mercato francese. L’azienda ha reso noto l’intento di presentare ricorso: sarà dunque il contenzioso a dire se e quanto l’impianto sanzionatorio resisterà ai rilievi di proporzionalità.

Una stretta che arriva da lontano

Le decisioni non spuntano dal nulla: da anni la Cnil conduce un piano di enforcement sui cookie, con linee guida via via rafforzate e controlli mirati sui servizi a più alto impatto. Il filo conduttore è uno: il consenso dev’essere libero, informato e specifico. Nel tempo, la giurisprudenza ha consolidato l’idea che la scorciatoia del “consenso implicito” non regga più; al contrario, servono interfacce trasparenti, scelte binarie chiare e facilità di revoca.

Dati e responsabilità

Il doppio colpo francese ha un valore che supera il dato economico. Per Google, la questione è quasi filosofica: può un servizio di massa fondare la propria sostenibilità su logiche di targeting che l’utente non ha accettato in modo inequivoco? Per Shein, oltre al tema della privacy, si sommano le criticità legate a sostenibilità e trasparenza. Il segnale al mercato è netto: design etico delle interfacce, consenso granulare e rendicontazione delle pratiche non sono optional, ma prerequisiti per restare nel perimetro europeo.

La lezione per l’industria è concreta: rivedere i banner di consenso, evitare dark pattern, presidiare i flussi di raccolta dati e investire in audit periodici. Il costo dell’adeguamento è inferiore a quello dell’incertezza regolatoria e di sanzioni che possono erodere margini e reputazione. La direzione è tracciata: meno ambiguità, più accountability.

Gli elementi chiave

Google: sanzione da 325 milioni di euro per pubblicità su Gmail e cookie senza consenso; è richiesto lo stop alle pratiche contestate entro i tempi fissati, con la possibilità di ulteriori oneri in caso di mancato adeguamento.

Shein: sanzione da 150 milioni di euro per cookie di profilazione nonostante il rifiuto e consenso poco chiaro; annunciato il ricorso.