法国CNIL终结对SOLOCAL的禁令：数据经纪链条同意核验机制获认可，90万欧元罚款不变、不追加滞纳金但责任不免除

法国国家信息与自由委员会（Commission Nationale de l'Informatique et des Libertés，CNIL）于2026年9月24日公布：依**2026年9月17日决议**（Délibération SAN-2026-012），CNIL **终结**（clôturé）了对 **SOLOCAL MARKETING SERVICES** 公司于2025年5月15日作出的禁令（injonction）。

【案件背景】

2025年5月，CNIL 制裁机构——负责处罚的机关——曾对 SOLOCAL MARKETING SERVICES 公司**处以90万欧元罚款**，事由是在其商业推广活动中未遵守《邮政与电子通信法典》（CPCE）及《通用数据保护条例》（GDPR）关于**数据主体同意的收集与证明**的要求。

需要说明该公司的业务模式：**公司从数据经纪商（courtiers en données）、抽奖活动与产品测试网站运营者（即「原始收集者」primo-collectants）处购买潜在客户数据**，并代表其广告客户通过**短信或电子邮件**接触这些潜在客户。

制裁机构认为，数据经纪商所使用的**收集表单具有欺骗性外观**，不足以取得 GDPR 所要求的**自由且明确的同意**，因此无法为该公司开展的推广活动提供合法依据。

除罚款外，制裁机构还作出**禁令**：要求公司在**9个月内**停止在缺乏数据主体有效同意的情况下通过电子方式开展商业推广。

不遵守该禁令将使公司面临**每日1万欧元的滞纳金**（astreinte，即额外罚款）。

【禁令的终结】

作为对该禁令的回应，公司在规定期限内**举证其已采取相应措施**，使其能够核验由其合作伙伴（原始收集者）代为取得的同意的有效性。

这些措施以**对数据收集表单的自动化分析**为基础，并以**人工评估**作为补充，被制裁机构认为**令人满意**。制裁机构指出：若这些措施得到严格遵守，确实能使公司确保相关个人的同意是被有效取得的。

据此，制裁机构决定**不执行滞纳金**（即不要求支付前述额外罚款），并**终结禁令**。

【CNIL同时作出的责任保留】

制裁机构同时提醒：**即使存在这些措施，公司仍对其合作伙伴代为取得的同意的有效性承担责任**。因此，即便确实实施了核验机制，若出现**未被其控制所发现的无效表单**，公司的责任仍可能被追究。

【文书信息】

本次决议为 **Délibération SAN-2026-012 du 17 septembre 2026**；相关法条为《邮政与电子通信法典》第 L. 34-4 条，前序决议为制裁机构 **第 SAN-2025-001 号决议（2025年5月15日）**。

【对出海企业的实务含义】

①**这是「数据经纪—购买线索—群发触达」链条在欧盟的完整合规范本**：CNIL 明确了链条上**每一环都要对同意的有效性负责**，购买线索的一方不能以「同意是上游取得的」为免责理由。这对在欧洲做 B2C 增长、依赖第三方线索投放的中国企业是直接警示；

②**「自动化分析＋人工评估」被CNIL认可为有效的同意核验机制**：这为行业提供了可落地的合规路径——**对上游表单做程序化合规扫描（识别误导性设计、预勾选、捆绑同意等），再由人工复核争议样本**，并保留核验记录。这是本次决定最具参考价值的部分；

③**「不执行滞纳金」不等于「免责」**：CNIL 在终结禁令的同时专门保留了追责可能。企业应把此类核验机制视为**持续运行的合规义务**而非一次性交差；

④**对同意证明的举证责任在企业一方**：GDPR 第7(1)条要求控制者能够证明同意，实践中需要保存**表单快照、时间戳、收集源头信息与用户交互日志**。在法国及南欧市场投放的企业建议同步检查线索来源清单与同意凭证归档情况。