As the French data protection authority (Commission nationale de l’informatique et des libertés, CNIL) recently imposed two high-amount sanctions, we take this opportunity to try and make a practical application of some rules from the recently published draft of the Digital Omnibus. What Happened? In the span of a week, the CNIL imposed major sanctions […]
CNIL
Wirtschaftlicher Nutzen eines Datenschutzbeauftragten für Unternehmen
Die französische Datenschutzbehörde CNIL hat im Juli 2025 eine umfassende Studie zum wirtschaftlichen Nutzen des Datenschutzbeauftragten (DSB) in Unternehmen veröffentlicht. Die Untersuchung, die in Zusammenarbeit mit dem Verband für berufliche Erwachsenenbildung (AFPA) im Auftrag des französischen Arbeitsministeriums durchgeführt wurde, basiert auf der Befragung von 3.625 Datenschutzbeauftragten und ergänzenden Interviews. Die Studie bietet die bisher umfassendste […]
CNIL Fines Samaritaine €100,000 for Hidden Cameras: A Legal Analysis
On 18 September 2025, the French Data Protection Authority (CNIL) issued Deliberation SAN-2025-008, imposing a €100,000 fine on Samaritaine SAS for clandestinely installing surveillance cameras in employee areas. In August 2023, in response to a rise in stockroom thefts, the company installed five hidden cameras disguised as smoke detectors. The devices also recorded audio. Within […]
CNIL verhängt neue Strafe gegen Google wegen Gmail-Werbung ohne Einwilligung
Die französische Datenschutzbehörde CNIL hat Google erneut ins Visier genommen. In einer am 1. September 2025 veröffentlichten Entscheidung wirft sie dem Konzern mehrere Verstöße gegen die Datenschutz- und die ePrivacy-Verordnung vor. Es geht um zwei Themen, die für viele Unternehmen Alltag sind – aber rechtlich oft unterschätzt werden: Werbe-E-Mails und Cookies. Was auf den ersten […]
Cookies are not always sweet in France
In the last three years, very high fines have been issued by the French data protection authority (Commission Nationale de l’Informatique et des Libertés or CNIL) to big companies for non-compliance in the area of cookies and tracking devices. Some examples are: the 35 million euros sanction imposed by the CNIL against Amazon in 2020 […]
EuGH: Erfassung des Geschlechts nur dann, wenn es zwingend erforderlich ist
Dürfen Personen im Rahmen von Vertragsabschlüssen verpflichtet werden, ihre Anrede („Herr“ oder „Frau“) anzugeben? Der EuGH (Urteil vom 09.01.2025, Az. C‑394/23) meint: Nein. Die Abfrage darf grundsätzlich nur dann verpflichtend erfolgen, wenn es für die ordnungsgemäße Erfüllung des Vertrags „objektiv unerlässlich“ ist. Ein datenschutzrechtlicher Klassiker wurde damit nun auch höchstrichterlich entschieden. Der Fall Das französische […]
BeReal – Too Real to Accept a No?
The French social media app BeReal promises its audience a daily dose of real life. Users are encouraged to “BeReal” by sharing daily selfies with their followers. To that end, every day at a random time, users receive a notification inviting them to „BeReal“ and take and post a photo of themselves within the next […]
Alexa, ich erzähl dir alles?! Sprachassistenten im Visier der CNIL
Als Ausprägung des Rechts auf informationelle Selbstbestimmung gewährleistet das Datenschutzrecht natürlichen Personen einen grundsätzlichen Schutz ihrer Privatsphäre bei der Verarbeitung personenbezogener Daten. Doch wer schützt uns als Personen vor uns selbst? Genau diesen Gedanken nahm die französische Aufsichtsbehörde CNIL zum Anlass, in einem Experiment zur Nutzung von Sprachassistenten aufzuzeigen, wie gedankenlos der Umgang mit innovativen […]
EDPB publishes opinion on the “Code of Conduct for Service Providers in Clinical Research” submitted by EUCROF
According to Art. 40 GDPR, associations and other bodies representing categories of controllers or processors are encouraged to prepare codes of conduct, or amend or extend such codes, for the purpose of contributing to the proper application of the GDPR in specific sectors. When such codes of conduct – or amendments to existing ones – […]
How to verify the implementation of Binding Corporate Rules? The CNIL published a monitoring tool
A number of multinational companies operating across multiple jurisdictions and sharing personal data between different countries, have adopted Binding Corporate Rules (BCRs) as a transfer mechanism under Art. 47 of the General Data Protection Regulation (GDPR). BCRs are internal data protection compliance rules to ensure that personal data transferred between their entities, particularly from the […]
CNIL veröffentlicht neue datenschutzrechtliche Anleitungen für die Entwicklung von KI-Systemen
Am 2. Juli 2024 hat die französische Datenschutzbehörde (CNIL) neue Anleitungen (sog. „How-to Sheets“) veröffentlicht, die sich mit der Entwicklung von Systemen der Künstlichen Intelligenz (KI) aus Sicht des Datenschutzes befassen. Diese folgen auf die Veröffentlichung früherer How-to Sheets zum gleichen Thema aus Juni 2024. Die neuen Anleitungen vom Juli werden bis zum 1. September […]
Das hat die KG COM nicht kommen sehen! Online-Hellseher mit 150.000 EUR Bußgeld belegt
Die französische Aufsichtsbehörde (CNIL) verhängte mit Beschluss vom 8. Juni 2023 gegen die KG COM zwei Bußgelder in Höhe von insgesamt 150.000 Euro, weil das Unternehmen seinen Verpflichtungen aus der Datenschutz-Grundverordnung und dem französischen Datenschutzgesetz nicht nachkam. Insbesondere erhob das Unternehmen übermäßig viele Daten sowie sensible Daten ohne vorherige und ausdrückliche Einwilligung. Auch war die […]
We will record this call for contract proving purposes
The French data protection supervisory authority, Commission Nationale de l’Informatique et des Libertés (CNIL), recently published a Guide (25.04.2022) about call recording to prove the formation of a contract. When to record? The rule of thumb is to record calls that are necessary because there are no other means of proving that the data subject has […]
Keine Datenverarbeitung zu Lobbyingzwecken ohne Information der Betroffenen
Bußgeld gegen Monsanto: Die CNIL, die französische Datenschutzaufsichtsbehörde, hat Ende Juli gegen die Firma Monsanto Company, eine Firma der Bayer Gruppe, ein Bußgeld in Höhe von 400.000 Euro verhängt. Grund dieser Entscheidung ist der Verstoß gegen die Informationspflicht nach Art. 14 DSGVO und der fehlende Abschluss eines Auftragsverarbeitungsvertrages. Ausgangslage – die verhängnisvolle Datei In den […]
Und täglich grüßt das Bußgeld
CNIL reagiert auf unzureichende Maßnahmen gegen Credential Stuffing Angriffe Ende Januar gab die französische Datenschutzbehörde (CNIL) bekannt, dass sie ein Bußgeld in Höhe von insgesamt 225.000 Euro gegen einen Online Shop Betreiber (i.H.v. 150.000 Euro) und dessen Auftragsverarbeiter (i.H.v. 75.000 Euro) verhängt hat. Ursache für das Bußgeld sind unzureichende technische und organisatorische Maßnahmen zur Abwehr […]
1 2