法国国家信息与自由委员会（CNIL）对欧洲主要在线广告及追踪机构Criteo处以4000万欧元罚款，原因是该公司存在多项违反《通用数据保护条例》（GDPR）的行为，包括无法证明用户同意将其数据用于定向广告。
该处罚决定基于2018年12月由英国非政府组织Privacy International提交的投诉，并得到了总部位于奥地利的非营利组织None of Your Business (NOYB)的支持。此前，Google和Facebook也因在法国的Cookie接受政策受到过类似处罚。
Criteo违反GDPR的五项行为
Criteo为数千个网站提供“行为再营销”服务，通过集成跟踪Cookie分析用户浏览习惯，确定最适合展示的广告主及产品，并参与实时竞价以展示个性化广告。
经调查，CNIL认定Criteo存在以下五项违规行为：
- 未能证明相关方（在线用户）已同意处理其数据（第7.1条）；
- 违反信息告知与透明度义务（第12条和第13条）：隐私政策不完整，未充分说明数据使用方式，且部分用途描述模糊宽泛，导致用户无法准确理解数据处理目的；
- 违反访问权（第15.1条）：未在用户请求时提供完整数据，或使用了复杂的技术术语阻碍用户理解；
- 违反撤回同意及删除数据的权利（第7.3条和第17.1条）：当用户要求删除数据时，仅停止个性化广告展示，并未实际删除用户数据或浏览历史；
- 违反共同控制者之间的数据处理协议（第26条）：未与关联公司签订明确协议以规定各方角色及数据管理义务。
罚款金额高达4000万欧元的原因
CNIL在计算罚款时主要考量了两个因素。首先，Criteo在欧盟范围内处理约3.7亿个标识符的数据，影响范围极广。监管机构指出，尽管Criteo不掌握用户姓名，但“数据足够精确，可在某些情况下重新识别个人”。
其次，监管机构考虑了该公司的商业模式（广告中介）。Criteo有能力收集大量用户数据并向客户展示个性化广告。然而，由于未获得有效同意便利用这些数据展示其他客户的商品，从而显著增加了自身收入。
CNIL解释道：“在缺乏有效同意的情况下对个人数据进行处理，使该公司不当增加了受其数据处理影响的个人数量，从而增加了其作为广告中介所获得的财务收入。”
此次罚款对Criteo财务状况的影响
这家起源于法国并在纽约证券交易所上市的公司拥有强大的财务支持。数据显示，在宣布罚款后，其股价并未受到负面影响，甚至在6月26日至27日期间上涨了0.22%。截至当前，Criteo每股价值33.02美元（约30.14欧元），历史最高估值出现在2021年6月，为45.23美元（约41.28欧元）。
2022年，受宏观经济环境及乌克兰冲突等因素影响，Criteo业绩出现波动。去年第一季度营收收缩6%，降至5.11亿美元（2021年同期为5.41亿美元）；但毛利润逆势增长3%，从1.79亿美元增至1.84亿美元。
尽管遭遇挫折，得益于2022年初的投资及重要客户群的增长，该公司预计今年将实现加速增长。
图片来源：Depositphotos