La autoridad de control francesa tuvo constancia de que la compañía había estado cediendo datos personales (como las direcciones de correo electrónico o los números de teléfono) de los miembros de su programa de fidelización -residentes en distintos países- a una tercera entidad gestora de una red social. Dicha compañía comparaba la información facilitada con los datos de los usuarios de su red social, pudiendo identificar, entre los miembros del programa de fidelización, a aquellos que también eran usuarios de su red social. Ello permitía mostrarles anuncios personalizados como parte de las campañas de marketing de la empresa sancionada.
La compañía alegó que el tratamiento se fundamentaba el consentimiento expreso de los interesados, que se había obtenido al unirse al programa de fidelización y aceptar recibir comunicaciones comerciales por SMS y/o correo electrónico. No obstante, la autoridad de control ha declarado que dicho consentimiento no podía ser considerado válido, por cuanto en el formulario indicado y en la página web de la empresa no se facilitaba información alguna sobre este tratamiento (esto es, la cesión de datos para mostrar publicidad dirigida en una red social). De este modo, la información a la que tenían acceso los afectados no era suficiente para que pudieran conocer adecuadamente el tratamiento y otorgar un consentimiento válido.
Adicionalmente, la CNIL también tuvo conocimiento de que las políticas que regulaban las contraseñas de los usuarios de su área privada (complejidad, periodicidad del cambio, etc.) no eran seguras, así como que no se había realizado una evaluación de impacto antes de implementar el anterior tratamiento.
La cuantía de la sanción ha tenido en cuenta la gravedad de las infracciones detectadas, así como el número de personas afectadas (más de 10.5 millones).
Puede acceder a la resolución de la CNIL (en francés) aquí.
