След жалби, подадени от Privacy International и NOYB декември 2018 г., CNIL глоби компанията с 40 милиона евро през 2023 г.
На 13 март неправителствената организация за защита на неприкосновеността на личния живот (NOYB) съобщи, че френският Conseil d’État окончателно потвърждава решението на надзорния орган за защита на данните Commission Nationale de l’Informatique et des Libertés (CNIL), с което на Criteo беше наложена санкция за нарушения на правилата за обработване на лични данни.
Делото придоби особена тежест на фона на текущите дебати около предложението на Европейската комисия за законодателна реформа, известно като „Digital Omnibus“. Проектът предвижда ново, по-тясно определение на понятието „лични данни“, което би обвързало квалификацията им със субективните възможности на конкретния администратор. Според експерти подобно стесняване на обхвата на GDPR би могло да бъде използвано от компании, занимаващи се с поведенческо онлайн проследяване, и затова среща сериозна критика от страна на специалисти и защитници на неприкосновеността, пише NOYB.
В производството пред Conseil d’État Criteo оспорва квалифицирането на използваните от нея псевдонимни идентификатори като лични данни. Компанията твърдеше, че не разполага с достатъчно информация, за да може да идентифицира конкретно физическо лице въз основа на тези идентификатори, които са свързани с IP адреси и други данни за онлайн поведение. Върховният административен съд на Франция обаче приема, че данните могат да се считат за анонимизирани само ако рискът от повторна идентификация е „незначителен, а идентификацията – практически невъзможна“.
Съдът подчертава, че при дейност, насочена към персонализирана реклама, е възможно кръстосано съпоставяне на големи обеми информация за даден идентификатор, което увеличава вероятността за идентифициране на субекта. Освен това Criteo признава, че идентификацията на определени лица не е технически изключена. Поради това Conseil d’État приема, че използваните идентификатори представляват лични данни и потвърждава санкцията, наложена от CNIL, пише Европейският център за цифрови права.
Решението е показателно за строгия подход към защитата на личните данни във Франция и за потенциалните рискове, които би породило стесняването на дефиницията за лични данни в рамките на „Digital Omnibus“. То подчертава значението на реалната, а не формална оценка на риска от идентификация и затвърждава разбирането, че в контекста на онлайн рекламата дори псевдонимизираните данни могат да позволят проследяване на конкретни лица.
На 15 юни 2023 г. CNIL глоби компанията CRITEO, която е специализирана в онлайн рекламата, с 40 милиона евро, по-специално за това, че не е проверила дали хората, чиито данни обработва, са дали съгласието си.