Denda CNIL Fnac Darty: telemetri rekomendasi sebagai cookie

Banner persetujuan di aplikasi belanja bukan sekadar hiasan, meskipun banyak tim produk memperlakukannya seperti tanaman hias legal. Dalam kasus Fnac Darty, CNIL mengatakan pengguna belum memberikan persetujuan untuk pelacak yang tetap mengumpulkan riwayat penelusuran demi rekomendasi produk dan pelatihan algoritma. Itulah bagian penting dari sanksi ini, dan bagian yang ditunjukkan oleh sudut pandang Leto.legal yang berfokus pada pelacak: telemetri rekomendasi bisa terlihat seperti pelacakan cookie bagi regulator, bahkan ketika berada di dalam aplikasi seluler.

Ini bukan cerita tentang apakah cookie diatur atau tidak. Pertanyaan itu sudah dijawab lama sekali, biasanya oleh banner yang berhasil membuat semua orang sama-sama kesal. Pelajaran yang lebih tajam adalah bahwa sinyal perilaku yang digunakan untuk rekomendasi dan peningkatan model tidak otomatis menjadi data operasional hanya karena tim ML ingin begitu. Jika aplikasi mencatat apa yang dilihat seseorang dan menggunakan itu untuk mempersonalisasi apa yang muncul berikutnya, analisis persetujuan dimulai sebelum SDK dirilis.

Apa yang sebenarnya diberi sanksi oleh CNIL

Menurut CNIL, pada 22 Oktober 2026, CNIL menjatuhkan denda 7 juta euro kepada FNAC DARTY PARTICIPATIONS ET SERVICES dan FNAC DIRECT karena gagal mengikuti aturan Prancis tentang cookie dan perangkat pelacakan. NOYB mengatakan denda tersebut mengikuti pengaduannya yang diajukan pada 2023, dan CNIL mengatakan telah memeriksa aplikasi seluler perusahaan-perusahaan itu pada Maret 2024. CNIL membagi dendanya menjadi 6 juta euro untuk FNAC DARTY PARTICIPATIONS dan 1 juta euro untuk FNAC DIRECT.

@title Dari pengaduan hingga denda
@source Cookies and mobile application
@source noyb win

  2023 ····· NOYB complaint
  March 2024 ····· CNIL inspection
  22 October 2026 ····· CNIL fine

@caption Jalur penegakan berjalan dari pengaduan NOYB ke pemeriksaan dan sanksi CNIL.

Deskripsi CNIL penting karena spesifik tentang tujuan. Otoritas tersebut mengatakan pelacak mengumpulkan riwayat penelusuran pengguna untuk menampilkan rekomendasi produk dan melatih algoritma rekomendasi. Dalam bahasa regulator, itu bukan sisa latar belakang dari sesi aplikasi. Itu adalah pengumpulan data untuk personalisasi dan peningkatan model, yang persis merupakan jenis tujuan yang seharusnya membuat pengelola persetujuan terasa kurang seperti ornamen.

Mengapa data rekomendasi menjadi masalah kepatuhan

CNIL menemukan bahwa aplikasi seluler menggunakan pelacak tanpa persetujuan pengguna, dan pelacak itu memungkinkan produk yang dipersonalisasi berdasarkan riwayat penelusuran, menurut pemberitahuan otoritas tersebut. Contoh yang diberikan CNIL adalah mekanisme ritel biasa: produk serupa, produk pelengkap, dan rekomendasi yang berasal dari apa yang telah dilihat pengguna. Biasa bukan berarti dikecualikan. Hukum tidak menjadi bosan hanya karena fitur itu muncul di setiap roadmap perdagangan.

Penjelasan NOYB menambahkan dimensi pihak ketiga, dengan mengatakan aplikasi mengakses dan membagikan data pribadi dengan pihak ketiga untuk analitik ketika aplikasi dibuka. Itu tidak berarti setiap sistem rekomendasi melanggar hukum, dan LinkedIn akan tetap bertahan tanpa klaim itu. Namun itu berarti para pembangun harus berhenti memperlakukan telemetri rekomendasi sebagai kategori rekayasa privat dan mulai memperlakukannya sebagai tujuan pemrosesan yang dilacak. Jika penolakan pelacakan tidak menghentikan aliran event yang memberi makan personalisasi, tombol persetujuan hanyalah sandiwara.

Kewajiban sederhana bagi para pembangun

Pembacaan praktis dari pemberitahuan CNIL cukup sederhana untuk dimasukkan ke dalam dokumen kebutuhan produk, yang berarti tidak banyak alasan untuk menyembunyikannya dalam tinjauan hukum di akhir. Jika riwayat penelusuran dikumpulkan untuk mempersonalisasi rekomendasi, catat tujuan itu secara eksplisit dan putuskan apakah persetujuan diperlukan sebelum pengumpulan dimulai. Jika data yang sama melatih algoritma rekomendasi, perlakukan pelatihan sebagai penggunaan terpisah yang harus diungkapkan dan dikendalikan, bukan sebagai catatan kaki di dalam analitik. Jika pihak ketiga menerima data tersebut, tinjauan vendor perlu mencakup pelacak, tujuan, dan apa yang terjadi ketika pengguna menolak persetujuan.

CNIL juga mengatakan perusahaan-perusahaan tersebut menghadapi denda harian sebesar 10.000 euro untuk setiap hari keterlambatan jika mereka gagal memenuhi perintah yang dijelaskan dalam pemberitahuan sanksi. Itulah kait penegakan yang seharusnya diperhatikan tim produk. Regulator tidak sekadar mengeluh bahwa salinan banner berantakan. Regulator keberatan terhadap aplikasi yang terus menggunakan pelacak untuk rekomendasi berbasis penelusuran dan pelatihan setelah pengguna tidak memberikan persetujuan.

Dampaknya bagi tim produk dan ML

Menurut NOYB, Fnac Darty aktif di luar Prancis, termasuk Spanyol, Italia, Portugal, Belgia, dan Swiss. Jejak geografis itu menjadi pengingat bahwa pilihan pelacakan aplikasi seluler jarang tetap lokal bagi grup yang beroperasi lintas batas. Fitur rekomendasi yang dibangun sekali dapat menjadi masalah persetujuan di beberapa pasar jika aliran datanya digunakan kembali tanpa tinjauan khusus yurisdiksi. Para pembangun harus melakukan pekerjaan yang tidak glamor: memetakan event, tujuan, penerima, status persetujuan, dan penggunaan pelatihan model sebelum peluncuran.

Tugas ke depan bukanlah menghapus personalisasi. Tugasnya adalah membuat telemetri rekomendasi mudah diatur secara membosankan: tidak ada pengumpulan sebelum status persetujuan diketahui, tidak ada tujuan pelatihan yang disembunyikan di bawah analitik, dan tidak ada endpoint vendor yang terus menerima riwayat penelusuran setelah penolakan. Perhatikan apakah CNIL dan regulator Eropa lainnya menerapkan penalaran yang sama pada lebih banyak sistem personalisasi berbasis aplikasi. Jika ya, batas kepatuhan untuk mesin rekomendasi akan lebih banyak ditentukan oleh pertanyaan sederhana yang selalu pertama kali diajukan pengacara privasi daripada oleh arsitektur model: data apa yang berpindah, mengapa, dan dengan izin siapa.