Application Fnac : la CNIL inflige 7 millions d'euros pour des traceurs sans consentement

La CNIL a sanctionné deux sociétés du groupe Fnac Darty, pour un total de 7 millions d’euros, parce que l’application mobile de la Fnac utilisait un traceur sans le consentement des utilisateurs. Dans sa délibération SAN-2026-015 du jeudi 22 octobre 2026, rendue publique le jeudi 29 octobre, la formation restreinte de l’autorité inflige 6 millions d’euros à Fnac Darty Participations et Services et 1 million d’euros à Fnac Direct. Le traceur servait à afficher des recommandations de produits à partir de l’historique de navigation et à entraîner l’algorithme qui les produit. Le groupe conteste l’analyse juridique et se réserve la possibilité d’un recours.

Une plainte de Noyb, un contrôle en mars 2024

L’affaire part d’une plainte de l’association None Of Your Business (Noyb), spécialisée dans la défense de la vie privée. Saisie, la CNIL a contrôlé l’application en mars 2024. Plus de deux ans et demi séparent donc ce contrôle de la sanction.

Darty n’est pas visé en tant qu’enseigne. Les deux sociétés sanctionnées sont Fnac Darty Participations et Services, qui écope de l’essentiel de la somme, et sa filiale Fnac Direct, qui exploite principalement le site et l’application de la Fnac selon le Journal du Net. Le communiqué de la CNIL ne détaille pas la répartition des rôles entre les deux entités dans l’édition de l’application.

Ce que la CNIL reproche précisément

Lors de l’utilisation de l’application, des requêtes partaient vers un domaine tiers par l’intermédiaire d’une API, une interface de programmation. Elles contenaient un identifiant attribué à l’utilisateur par la Fnac et des informations sur son activité, comme les produits consultés. Le communiqué ne nomme pas le prestataire destinataire de ces données.

Ce traceur alimentait trois types de suggestions : des produits personnalisés selon l’historique de navigation, des produits complémentaires à ceux consultés ou achetés (accessoires, consommables, services associés) et des produits aux caractéristiques proches. Il servait aussi à entraîner l’algorithme de recommandations.

L’article 82 de la loi Informatique et Libertés ne dispense de consentement que deux catégories de traceurs : ceux qui permettent ou facilitent la communication électronique, et ceux qui sont strictement nécessaires à la fourniture d’un service de communication en ligne demandé expressément par l’utilisateur. Pour la CNIL, la recommandation de produits n’entre dans aucune des deux. Le traceur ne pouvait donc fonctionner qu’avec l’accord préalable des personnes.

Le montant tient à trois éléments, selon l’autorité. Les sociétés ont méconnu « le choix exprimé par l’utilisateur de ne pas consentir au suivi de sa navigation » : des utilisateurs qui avaient refusé ont donc été suivis malgré tout. L’application est utilisée par un grand nombre de personnes, sans que le communiqué donne de chiffre. La CNIL invoque enfin une « doctrine répressive constante et bien établie » sur les traceurs de personnalisation et de ciblage commercial. Elle a choisi de publier la décision « au regard de la gravité du manquement, de la portée du traitement et du nombre de personnes concernées ».

Un mois pour prouver la mise en conformité

Les amendes s’accompagnent d’une injonction sous astreinte. Les deux sociétés doivent démontrer que le nouvel outil qu’elles utilisent recueille désormais le consentement lorsque c’est nécessaire, dans un délai d’un mois à compter de la notification de la décision. Faute de quoi, elles s’exposent à une astreinte de 10 000 euros par jour de retard.

Le communiqué ne précise ni la date de notification, qui fait courir ce délai, ni le fonctionnement du nouvel outil. Il ne dit pas non plus si l’astreinte s’applique à chaque société ou aux deux ensemble.

Fnac Darty conteste et parle de conseil, pas de publicité

Interrogée par l’AFP, dans des propos repris par le Journal du Net, la Fnac « conteste l’analyse juridique sur le fond » et se réserve « le droit d’exercer les recours » à sa disposition. Elle évoque « une divergence d’interprétation » de l’article 82 sur « certaines fonctionnalités de recommandation de produits ».

Sa ligne de défense tient en une phrase : ces fonctionnalités « participaient au service de conseil et de recommandation » proposé aux clients, « dans le prolongement du rôle historique de prescription de la Fnac, et ne relevaient pas de la publicité ciblée ». Le groupe rejette aussi « la qualification de négligence et la gravité retenues », tout en indiquant faire évoluer ses dispositifs pour tenir compte des attentes de la CNIL. Ni la CNIL ni le Journal du Net ne font état d’un recours déjà déposé.

Pour la CNIL, ces traceurs servent à la personnalisation commerciale, qui n’entre pas dans les exemptions et exige donc un consentement préalable.

Ce que cela change pour les utilisateurs de l’application

L’amende n’ouvre aucun droit à indemnisation pour les clients. La CNIL rappelle qu’elle ne peut pas obtenir de dommages et intérêts au profit d’un plaignant ni constater un préjudice.

Les règles du consentement, elles, sont claires et valent pour les sites comme pour les applications sur smartphone ou tablette. Le consentement doit être donné avant le dépôt ou la lecture des traceurs concernés, par une action positive. L’utilisateur doit pouvoir accepter, refuser, puis retirer son accord à tout moment, avec la même simplicité que pour le donner. Accepter des conditions générales d’utilisation ne vaut pas consentement.

Un client qui pense que son refus n’est pas respecté, ou qui veut savoir quelles données le concernent, doit d’abord s’adresser à l’entreprise ou à son délégué à la protection des données (DPO). La CNIL conseille de garder des preuves, par exemple des captures d’écran. L’organisme a un mois pour répondre, délai qu’il peut prolonger de deux mois pour une demande complexe.

Sans réponse au bout d’un mois, ou face à une réponse jugée incomplète, une plainte peut être déposée en ligne sur le site de la CNIL. Elle doit être rédigée en français, désigner l’organisme (nom, coordonnées, numéro Siren), indiquer l’identité du plaignant et joindre les échanges utiles. La CNIL précise qu’elle ne traite pas une plainte fondée sur une simple crainte ou une suspicion, et qu’elle n’exerce pas les droits à la place de la personne. Sur les offres qui proposent de faire effacer ses données contre paiement, lire notre article sur les fuites de données et l’effacement payant.

Les cookies, cible régulière de la CNIL dans le commerce

La sanction contre Fnac Darty s’inscrit dans une série. Le tableau des sanctions publié par la CNIL, qui ne nomme pas toujours les entreprises, recense plusieurs décisions liées aux cookies, dont certaines visent des acteurs du commerce en ligne.

Faites défiler le tableau vers la droite pour voir toutes les colonnes.

Les noms de Google et de Shein sont donnés par le Journal du Net. La décision de juillet 2025 visait aussi la durée de conservation des données, l’information des personnes et la prospection commerciale par voie électronique. Les injonctions font l’objet d’un suivi : le 14 octobre 2026, la CNIL a annoncé la clôture de celle prononcée le 1er septembre 2025 contre Google, par une décision du 23 septembre 2026.