SHEIN用户拒绝后仍投放Cookies案

【案件背景】
2025年9月3日，法国国家信息与自由委员会（CNIL）公布了对快时尚电商巨头SHEIN的处罚决定，因其在法国版网站上严重违反Cookie合规规定，处以1.5亿欧元罚款。该案起源于2023年8月CNIL对shein.com网站的在线技术巡检。SHEIN集团通过其爱尔兰子公司INFINITE STYLES SERVICES CO. LIMITED运营面向欧洲市场的电商网站，每月约有1200万法国用户访问该站点。本案与同日对谷歌的3.25亿欧元罚款共同构成CNIL对高流量平台Cookie追踪行为的高压执法态势。

【违法事实】
CNIL通过复现用户旅程、录制HTTP请求（HAR文件）等技术手段固定证据，认定SHEIN存在四项严重违反《法国数据保护法》第82条（转化自欧盟ePrivacy指令第5条第3款）的行为：

违规一：未经用户同意提前植入Cookie
1. 在用户访问shein.com网站的第一时间，甚至在用户与Cookie横幅进行任何交互之前，系统即自动在用户设备上植入了多个Cookie，包括广告用途Cookie、频次控制Cookie以及有效期长达10年的A/B测试Cookie，共计10个追踪器在用户表达任何意愿之前即被写入终端设备。

违规二：信息告知不完整、不同界面并存造成混淆
1. 网站同时显示两个Cookie管理界面，相互之间信息不一致，导致用户无法准确理解其选择的法律后果；
2. 第一个Cookie横幅完全没有说明Cookie的广告用途；
3. 同时弹出的第二个窗口仅包含接受按钮，同样没有提供任何关于Cookie用途的信息；
4. 点击Cookie设置进入二级信息页面后，仍未披露可能放置Cookie的第三方主体的身份信息。

违规三：拒绝机制形同虚设
1. 当用户点击横幅中的全部拒绝按钮后，系统仍然在用户设备上放置了新的追踪Cookie；
2. 已存在于用户设备上的Cookie在用户拒绝后仍然被持续读取，用户的选择被实质性忽略。

违规四：撤回同意后仍继续处理
1. 当用户通过浏览器设置或其他方式撤回此前对Cookie的同意后，系统仍继续写入新的Cookie并读取已存在的Cookie，撤回同意的法律效果为零。

【处罚决定】
1. 对INFINITE STYLES SERVICES CO. LIMITED处以1.5亿欧元行政罚款；
2. 鉴于SHEIN在调查期间已对网站作出修改，CNIL未另行发出合规令。

【典型意义】
CNIL在裁决中特别指出：罚款金额考虑了该公司在用户没有表达同意的情况下放置Cookie、不尊重用户的选择、未向用户提供充分信息等多重违规事实；SHEIN在法国市场的巨大规模（月均1200万访问者）也是从重处罚的重要考量因素。核心规则：Cookie合规不是形式主义——如果拒绝按钮点击后追踪仍在继续、撤回同意后Cookie仍被读写，合规就是假的。