Conde Nast/Vanity Fair未获同意放置Cookie且拒绝机制无效案

【案件背景】
2025年11月20日，法国国家信息与自由委员会（CNIL）对法国公司LES PUBLICATIONS CONDE NAST处以75万欧元罚款，因其运营的vanityfair.fr网站严重违反Cookie合规规定。该案起源于2019年12月奥地利隐私组织NOYB向CNIL提交的投诉，指控Vanity Fair网站在用户点击「拒绝全部」后仍然声称用户已同意追踪，向375家追踪公司发送了「虚假同意」信号。CNIL在2021年9月已对公司发出过合规令（order to comply），2022年7月关闭了程序。然而，CNIL在2023年7月、11月及2025年2月进行了后续在线检查，发现违规行为仍在持续。vanityfair.fr网站在2023年6月至10月间月均拥有超过600万法国访问者。

【违法事实】
CNIL限制委员会（Restricted Committee）认定LES PUBLICATIONS CONDE NAST存在三项违反《法国数据保护法》第82条的Cookie违规行为：
违规一：未经同意预置Cookie
1. 用户在访问vanityfair.fr网站的第一时间——甚至在Cookie横幅上进行任何交互之前——非严格必要的广告Cookie即被自动植入用户设备，违反了须先获同意再放置非必要Cookie的基本规则。

违规二：信息告知不清——将须同意的Cookie冒充为「严格必要」Cookie
1. 部分须获用户同意的Cookie在界面上被标记为「严格必要」Cookie（即依法可豁免同意的Cookie类别），且未向用户提供任何关于其真实用途的说明信息；
2. 用户因被误导而无法对这些Cookie作出知情选择。

违规三：拒绝和撤回同意机制失效
1. 用户点击横幅中的「全部拒绝」按钮后，新的须获同意Cookie仍然被植入设备；
2. 已经存在于用户设备上的Cookie（包括用户此前已选择拒绝的Cookie）在用户拒绝后仍然被持续读取；
3. 用户通过浏览器设置撤回对Cookie的同意后，情况仍然相同——Cookie继续被写入和读取。

【处罚决定】
1. 行政罚款75万欧元；
2. CNIL在裁定中特别指出，罚款金额考虑了该公司此前已收到过合规令但违规仍在持续的事实、Vanity Fair的巨大用户量（月均600万法国访问者）、以及涉及的多项Cookie合规义务的违反。

【典型意义】
NOYB在其声明中指出，该投诉历时近六年才获得裁决，揭示了欧盟跨成员国Cookie执法的严重迟延问题。案件的实质意义在于：CNIL首次在Cookie处罚中明确将「拒绝后仍写入/读取Cookie」和「撤回同意后仍继续追踪」作为独立违法事项进行处罚，对Cookie横幅为「形式合规、实际无效」的模式发出了强烈信号——如果用户点击拒绝后追踪仍在继续，或撤回同意后Cookie仍被读写，那么合规就是假的。