CNIL:s granskning 2025 – Sanktioner före rekommendationer

Den franska dataskyddsmyndigheten, CNIL, har under 2025 markerat sig med ett högt antal sanktioner och rekordhöga bötesbelopp. Totalt utfärdades 83 sanktioner, 143 förelägganden om efterlevnad och 31 påminnelser om rättsliga skyldigheter. De kumulativa böterna uppgick till 486 839 500 euro, varav 98 procent kom från två beslut mot multinationella koncerner inom teknik- och modebranschen.

CNIL:s agerande under 2025 avslöjar flera trender. En policy med två hastigheter observeras, där myndigheten hanterar ett fåtal symboliska fall med rekordstora belopp, samtidigt som den tillämpar ett kontinuerligt flöde av mindre synliga sanktioner mot mindre aktörer, inklusive småföretagare och fria yrkesutövare. Många av de utdömda sanktionerna förstärker en redan etablerad doktrin, vilket visar att CNIL inte upptäcker nya överträdelser utan fördjupar och systematiserar sin hållning kring cookies, kommersiell prospektering och det avtalsmässiga ramverket för personuppgiftsansvariga och personuppgiftsbiträden.

Granskningar som riktar sig mot internationella aktörer har ökat, vilket ofta involverar jurisdiktionsfrågor och samspelet mellan GDPR och ePrivacy-direktivet.

Fortsatt fokus på cookies och spårningsteknik

Få år efter att CNIL klargjorde regelverket för cookies i sina rekommendationer från 2020, tillämpar myndigheten nu nolltolerans. CNIL anser att dessa rekommendationer och de därtill hörande sanktionerna är allmänt kända, vilket motiverar de stränga straffen. Ett företag som tidigare sanktionerats för cookieöverträdelser fick en strängare påföljd vid ett nytt beslut, då upprepade överträdelser betraktas som en försvårande omständighet. Även delvis efterlevnad under pågående förfarande befriar inte från sanktion, även om det kan mildra straffet.

År 2025 utdömdes 21 sanktioner gällande cookies. Trots det stora antalet tidigare beslut på området förblir detta en prioriterad fråga för myndigheten. CNIL använder sig av fransk lagstiftning (Artikel 82 i Loi Informatique et Libertés, "LIL"), som implementerar ePrivacy-direktivet, för att agera autonomt utan att behöva involvera GDPR:s "one-stop-shop"-mekanism.

CNIL har särskilt fokuserat på följande överträdelser gällande cookies:

• Placering av cookies utan samtycke: Företag bötfälls för att placera cookies innan användaren haft möjlighet att ge samtycke, exempelvis innan cookiebannern visats.
• Otillräcklig information i cookiebanner: Information som enbart anger att användarupplevelsen förbättras anses vara ofullständig. Samtycke måste vara fritt, informerat och otvetydigt.
• Vilseledande navigationsvägar (dark patterns): Att utforma valmöjligheter på ett sätt som pushar användaren att acceptera cookies, till exempel genom att göra vägen för att avvisa cookies krångligare, kritiseras då det påverkar samtyckets frivilliga natur.
• Beständighet av cookies efter återkallat samtycke: Att behålla cookies på en användares enhet efter att samtycke återkallats utgör en överträdelse. Detta inkluderar tekniska krav på att inte bara inaktivera utan även radera cookies från användarens enhet.
• Cookie walls: Även om cookie walls inte är olagliga i sig, måste de åtföljas av ett verkligt alternativ för att få tillgång till tjänsten. Samtycket måste vara fritt givet, vilket innebär att alternativet inte får vara illusoriskt eller oproportionerligt sämre.

Samtycke vid kommersiell prospektering

CNIL har sedan 2023 utvecklat sin syn på dataförmedlare och hur ansvar fördelas inom det kommersiella dataekosystemet. Ett företag som outsourcar datainsamling till partners eller förmedlare kan inte överföra ansvaret för att säkerställa lagligheten av insamlingen. Den personuppgiftsansvarige måste själv kontrollera att data som tas emot har samlats in med giltigt samtycke.

Det finns en osäkerhet kring vilken nivå av due diligence som krävs, då varken beslut eller tillgängliga riktlinjer specificerar den förväntade djupet av verifiering.

Giltigheten av samtycke – lärdomar från tävlingsformulär

Kriterierna för giltigt samtycke enligt GDPR (artikel 4.11) är att det ska vara fritt, specifikt, informerat och otvetydigt. Dessa fyra villkor bedöms kumulativt. CNIL har kritiserat tävlingsformulär där en enda knapp aktiverade både deltagande i tävlingen och godkännande av dataöverföring till kommersiella partners. En länk för att delta utan att acceptera prospektering var så diskret att den ansågs osynlig för en vanlig användare, vilket gör att samtycket inte anses vara fritt givet.

Även långa lagringsperioder för inaktiva prospekt har kritiserats. CNIL avvisar kriterier där enbart öppnande av ett e-postmeddelande motiverar förlängd lagring, utan att dock tydligt definiera vad som skulle vara ett acceptabelt kriterium.

Bevis på samtycke och lagringstider

Enligt GDPR (artikel 7.1) vilar bevisbördan på den personuppgiftsansvarige att visa att den registrerade giltigt har samtyckt till behandlingen av sina uppgifter. Detta krav är en grundläggande skyldighet som kräver medvetna tekniska och organisatoriska val. Företag har bötfällts för att inte kunna visa tillräckliga bevis för samtycke som samlats in flera år tidigare. CNIL tenderar att behandla brister i samtycke och brister i bevisföring som separata överträdelser, vilket ökar de totala bötesbeloppen.

För att bevara bevis på samtycke krävs som minst tidsstämplad loggning av det exakta innehållet i det formulär som visades vid samtycket, användarens handling, tillräcklig identifiering av användaren och versionen av informationsmeddelandena. Dessa loggar måste sparas under hela den period som uppgifterna används, och tillräckligt länge efter radering för att kunna svara på en granskning. Osäkerhet kvarstår kring hur länge dessa beviskedjor ska sparas.

För mer information om hur länge uppgifter får sparas, se vår guide om lagringstider och gallring.

CNIL:s jurisdiktion och spänningen mellan GDPR och ePrivacy

Två beslut från CNIL under 2025 belyser de jurisdiktionsfrågor som uppstår vid samspelet mellan Artikel 82 i LIL, ePrivacy-direktivet och GDPR:s "one-stop-shop"-mekanism. Multinationella företag har invänt mot CNIL:s jurisdiktion och hävdat att GDPR ska tillämpas och att den irländska myndigheten skulle ha jurisdiktion eftersom företagen är etablerade i Irland.

Enligt ePrivacy-direktivet behåller varje medlemsstat jurisdiktion att tillämpa sin egen genomförandelag. Dessa regler är oberoende av GDPR, som föreskriver "one-stop-shop"-mekanismen för gränsöverskridande databehandling. Denna mekanism sträcker sig dock inte till element i ePrivacy-direktivet. CNIL har tolkat detta som att den kan agera autonomt i frågor som rör ePrivacy, som exempelvis cookies, även när det handlar om internationella aktörer.

Vad betyder det för dig?

CNIL:s agerande visar att dataskyddsmyndigheter i Europa, inklusive IMY i Sverige, är proaktiva och konsekventa i sin tillsyn. Som företagare är det avgörande att säkerställa fullständig efterlevnad av dataskyddsregelverket, särskilt gällande samtycken för cookies och kommersiell prospektering. Att inte bara uppfylla kraven i nuet utan också kunna bevisa efterlevnaden över tid är centralt. Detta gäller både för direkta kundkontakter och i relationer med underleverantörer eller partners som hanterar personuppgifter. En genomtänkt och transparent integritetspolicy samt noggrann dokumentation av samtycken är grundläggande. Se till att din integritetspolicy uppfyller kraven genom att granska den.