La CNIL a infligé 7 millions d’euros d’amende à deux sociétés du groupe Fnac Darty pour l’utilisation de traceurs dans l’application mobile de la Fnac. Le gendarme des données personnelles reproche au groupe d’avoir collecté l’historique de navigation des utilisateurs sans leur consentement, y compris lorsqu’ils l’avaient refusé. La procédure est partie d’une plainte de l’association noyb.
Fnac Darty Participations et Services paiera 6 millions d’euros. Fnac Direct, 1 million. La formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL), l’organe chargé des sanctions, a prononcé ces amendes par une délibération du 22 octobre 2026, rendue publique le 29 octobre sur le site de la CNIL.
Le groupe dispose d’un mois, à compter de la notification, pour prouver que son nouvel outil recueille bien le consentement des utilisateurs lorsque c’est nécessaire. Faute de quoi, une astreinte de 10 000 euros par jour de retard s’appliquera.
Ce que voyait l’application
Le mécanisme est décrit avec précision par la CNIL. Un traceur intégré à l’application Fnac envoyait à un domaine tiers, via une interface de programmation, des requêtes contenant un identifiant attribué à chaque utilisateur et des données sur son activité, notamment les produits consultés. Ces informations servaient à afficher des recommandations personnalisées et à entraîner l’algorithme de recommandation.
Pour la CNIL, ces opérations ne relèvent d’aucune des exemptions prévues par l’article 82 de la loi Informatique et Libertés. Elles nécessitaient donc un consentement préalable. Or l’application collectait ces données même lorsque l’utilisateur avait refusé le suivi. Un refus sans effet, en somme.
Le poids des chiffres
Pour fixer le montant, la formation restreinte a retenu trois éléments. Le non-respect du choix exprimé par les utilisateurs, d’abord. Le nombre important de personnes utilisant l’application, ensuite, sans qu’un chiffre précis soit communiqué. Enfin, la doctrine constante de la CNIL sur les traceurs utilisés à des fins de personnalisation et de ciblage commercial. La décision a été rendue publique en raison de la gravité du manquement et du nombre de personnes concernées.
L’affaire a démarré par une plainte de noyb, l’association autrichienne de défense de la vie privée fondée par le juriste Max Schrems, connu pour ses victoires judiciaires contre Facebook devant la Cour de justice de l’Union européenne. La CNIL a contrôlé l’application en mars 2024. Deux ans et demi plus tard, la sanction tombe. Un délai qui illustre la lenteur des procédures, souvent dénoncée par les associations de défense de la vie privée.
Les applications dans le viseur
Après avoir longtemps concentré ses contrôles sur les bandeaux cookies des sites web, la CNIL étend sa vigilance aux applications mobiles, où le pistage est souvent moins visible pour l’utilisateur. Les distributeurs, qui misent sur la recommandation algorithmique pour doper leurs ventes en ligne, sont en première ligne. Le message est clair : un algorithme de recommandation ne s’entraîne pas avec des données recueillies contre l’avis des clients.
Un groupe sous le regard des consommateurs
Pour Fnac Darty, l’un des premiers distributeurs de produits culturels et électroniques en France, la sanction tombe mal. Le groupe a fait de son application un pilier de sa stratégie omnicanale, qui relie magasins physiques, site web et services comme la livraison ou la réparation. La confiance des clients dans la gestion de leurs données fait partie de cette promesse. La décision de la CNIL est susceptible de recours devant le Conseil d’État, et le groupe n’avait pas, selon les éléments consultés, annoncé ses intentions. Les utilisateurs de l’application peuvent, de leur côté, vérifier et modifier leurs choix de consentement dans les paramètres de confidentialité.
La Fnac voulait savoir ce que ses clients regardaient. La CNIL a regardé, elle aussi.
Sources :