Hechos y criterio jurídico
La CNIL ha sancionado a una empresa con 6 millones de euros más un millón adicional.
Tras una reclamación de NOYB, la autoridad comprobó que la aplicación móvil transmitía a un dominio externo, mediante una API, identificadores de usuarios e información sobre los productos que consultaban.
Los datos se utilizaban para ofrecer recomendaciones personalizadas y entrenar el algoritmo de recomendación.
El problema: estas operaciones se efectuaban sin el consentimiento de los usuarios, incluso cuando habían rechazado el seguimiento.
La CNIL considera que esas finalidades no quedan amparadas por las excepciones al consentimiento previstas en el artículo 82 de la legislación francesa de protección de datos.
Ni la personalización comercial ni el entrenamiento del algoritmo constituyen, en este supuesto, operaciones estrictamente necesarias para prestar el servicio solicitado por el usuario.
¿Introduce un criterio nuevo?
No modifica la doctrina anterior, pero refuerza dos aspectos relevantes para el cumplimiento.
El primero es que las reglas sobre tecnologías de seguimiento no se limitan a las cookies tradicionales. También pueden afectar a mecanismos de identificación y recogida de información implementados mediante APIs en aplicaciones móviles.
El segundo es que la finalidad de entrenamiento de un algoritmo de recomendaciones no convierte automáticamente en necesario un tratamiento realizado mediante tecnologías de seguimiento.
La CNIL recuerda que existe una doctrina sancionadora consolidada respecto de los rastreadores utilizados para personalización y segmentación comercial.
Por tanto, la resolución confirma criterios anteriores, pero los aplica a una arquitectura tecnológica particularmente interesante: una aplicación móvil que recoge información de navegación mediante una API y la utiliza para distintas finalidades.
Impacto práctico para nuestros clientes
En España, el análisis debe trasladarse al artículo 22.2 LSSI, sin olvidar que el tratamiento posterior de datos personales debe disponer de una base jurídica conforme al RGPD.
No significa que cualquier sistema de recomendaciones necesite consentimiento. Debe distinguirse entre recomendaciones contextuales que no requieren tecnologías de seguimiento sometidas al artículo 22.2 y sistemas que identifican al usuario y utilizan su historial para personalizar contenidos.
También conviene separar la finalidad de ofrecer recomendaciones de la eventual reutilización de información para entrenar algoritmos.
Redactado por Elena, a fecha 13 de noviembre de 2026.