Högsta förvaltningsdomstolen i Frankrike har avslagit en överklagan från företaget VOODOO som bötfällts av den franska dataskyddsmyndigheten. Företaget hade tidigare fått en böter på €3,000,000 för att inte ha inhämtat samtycke från användare för reklamändamål vid användning av deras appar. Dessutom beordrade dataskyddsmyndigheten företaget att anpassa sin databehandling till gällande lagstiftning inom tre månader, med ytterligare böter på €20,000 per dag vid försening. Företaget försökte få sanktionsavgiften sänkt, men domstolen fastställde dataskyddsmyndighetens beslut och bötesbelopp.
Den franska dataskyddslagen kräver att all insamling eller lagring av uppgifter på en användares enhet föregås av tydlig och fullständig information om syftet med cookies eller andra spårningsverktyg, samt inhämtande av användarens samtycke. Endast två undantag finns: om aktiviteten enbart syftar till att möjliggöra kommunikation via elektroniska medel, eller om den är absolut nödvändig för att tillhandahålla en online-tjänst som användaren uttryckligen begärt.
Domstolen ansåg att myndigheten hade tillräckliga bevis för att företaget brutit mot detta, då de inte inhämtat nödvändigt samtycke och deras verksamhet inte föll inom något av undantagen. Domstolen ansåg också att myndigheten korrekt hade beslutat om bötesbeloppet i enlighet med GDPR. Beslutet togs med hänsyn till antalet påverkade individer, allvaret i överträdelsen och företagets ekonomiska situation, särskilt då företaget tjänade över 95 % av sina intäkter på reklam och därmed gynnades ekonomiskt av överträdelsen.
Slutligen konstaterade domstolen att varken GDPR eller den franska dataskyddslagen kräver att dataskyddsmyndigheten förklarar sitt resonemang bakom storleken på böter, och därmed hade myndigheten inte brutit mot principerna om laglighet och proportionalitet när de fastställde bötesbeloppet.
