法国广告技术公司Criteo因广告追踪缺少透明度无法证明有效同意被罚4000万欧元案（法国CNIL，2023年6月）

【案件背景】
Criteo是一家总部位于法国的全球广告技术公司，其核心业务模式依赖于在海量网站和App中部署追踪技术（cookies和SDK），收集用户浏览行为数据以构建用户画像并进行程序化行为重定向广告投放。法国数据保护机构CNIL收到来自多个欧盟国家数据主体的投诉后，对Criteo展开全面调查，最终认定了五类违反GDPR的行为，其中透明度相关违规是处罚的重要依据。

【违法事实】
CNIL在调查中认定Criteo的透明度/告知义务违规包括：（1）违反GDPR第12条和第13条——Criteo未能以清晰易懂的方式告知其追踪和画像活动的完整信息，包括：未向用户说明其数据通过何种技术手段在多少数量的第三方网站被收集；未充分告知其行为画像的具体运作机制——即如何将跨网站的浏览行为汇聚为统一用户画像；（2）违反GDPR第7条第1款——Criteo声称基于用户同意进行数据处理，但无法提供证据证明其已获得符合GDPR标准的有效同意（同意须是自由给出的、具体的、知情的和明确的），CNIL指出：由于告知不充分，数据主体的同意缺乏'知情'（informed）基础，因此获取的同意本身无效——这是透明度缺失直接导致法律基础崩溃的典型示例；（3）违反GDPR第15条第1款——未充分响应用户的访问权请求；（4）违反GDPR第7条第3款和第17条第1款——未妥善处理用户撤回同意和删除数据的请求；（5）违反GDPR第26条——作为联合控制人未与合作伙伴签订符合要求的协议。

【处罚决定】
2023年6月，CNIL对Criteo处以4000万欧元行政罚款（此前CNIL提出6000万欧元的罚款建议，经Criteo申辩后下调三分之一）。此决定经29个其他欧盟/欧洲经济区监管机构的审查批准，具有跨辖区效力。

【典型意义】
本案是全球广告科技（AdTech）行业GDPR透明度的标志性案例。核心启示：一是告知是有效同意的前提——不透明的数据处理不能产生有效的法律基础，'透明度→知情→有效同意'的法律链条一旦在透明度环节断裂，整个数据处理即丧失合法性根基；二是AdTech行业因涉及跨网站追踪、实时竞价（RTB）和多方参与，其告知义务的履行标准应更高，须清楚说明：数据从哪些来源收集、流经哪些参与方、最终用于何种决策（包括自动化画像和定向广告）；三是CNIL设定的6000万→4000万欧元的罚款金额表明，即使下调，监管机构仍通过高额罚款传达强烈的威慑信号。