Amende Fnac Darty : 7 millions d’euros pour un refus que l’application ignorait
Le 22 octobre 2026, la CNIL a infligé 7 millions d’euros d’amende à deux sociétés du groupe Fnac Darty, FNAC DARTY PARTICIPATIONS ET SERVICES (6 millions) et FNAC DIRECT (1 million), pour manquement à l’article 82 de la loi Informatique et Libertés, dans une décision rendue publique le 29 octobre. Lors d’un contrôle mené en mars 2024 à la suite d’une plainte de l’association noyb, elle a constaté que l’application mobile Fnac continuait, après un clic sur « Continuer sans accepter », d’envoyer à un domaine tiers un identifiant attribué à l’utilisateur et les produits qu’il consultait, pour lui recommander des produits et entraîner un algorithme de recommandation. Parce qu’un seul traceur servait toutes ces finalités, dont certaines commerciales, le consentement était requis pour toutes.
Le 29 octobre 2026, la CNIL a rendu publique sa délibération SAN-2026-015 du 22 octobre : 7 millions d’euros d’amende pour deux sociétés du groupe Fnac Darty, 6 millions pour FNAC DARTY PARTICIPATIONS ET SERVICES et 1 million pour FNAC DIRECT, qui exploite le site fnac.com et l’application Fnac utilisée en France. Les deux sociétés sont responsables conjointes des traitements de l’application, comme elles l’ont elles-mêmes indiqué à la CNIL et comme le retient la formation restreinte, l’organe de la CNIL qui prononce les sanctions. Le manquement est unique : l’article 82 de la loi Informatique et Libertés, qui transpose en droit français la règle européenne sur les cookies et autres traceurs. Une injonction l’accompagne : les sociétés ont un mois à compter de la notification pour démontrer que leur nouvel outil recueille le consentement lorsqu’il est nécessaire, sous peine d’une astreinte de 10 000 euros par jour de retard.
La plainte venait de l’association noyb, qui a relayé la décision le jour même. Au-delà du montant, la délibération pose trois points utiles à tout DPO qui suit une application. Le traceur sanctionné n’est pas un cookie : ce sont des envois de l’application vers un domaine tiers. Un usage présenté comme nécessaire perd son exemption dès que le même traceur sert aussi une finalité commerciale. Et la nouveauté du terrain mobile n’excuse pas un manquement que la CNIL tient pour établi depuis des années.
Une plainte sur un SDK, un contrôle de toute l’application
Le 14 septembre 2023, noyb a annoncé trois plaintes déposées en France, contre les applications Fnac, SeLoger et MyFitnessPal ; la CNIL est saisie de celle qui vise la Fnac le lendemain. La preuve reposait sur une capture du trafic réseau. Selon la plainte, la plaignante avait installé l’application depuis Google Play en mai 2023 sur un téléphone Android, puis l’avait ouverte sans toucher à la bannière de consentement affichée au premier lancement. Le trafic enregistré montrait l’application transmettre l’identifiant publicitaire, le modèle et la marque de l’appareil, la version de son système et d’autres identifiants aux serveurs d’une société d’analyse et d’engagement client, par l’intermédiaire de son SDK, une brique logicielle tierce intégrée à l’application.
Les sociétés expliquent avoir alors passé en revue les traceurs de l’application, identifié « un mauvais paramétrage d’un traceur utilisé sur la version Android » et publié une version Android corrigée le 19 septembre 2023. Le même mois, elles contactaient la présidente de la CNIL pour l’informer que des investigations étaient en cours. La CNIL a décidé le 6 décembre 2023 d’un contrôle plus large, portant sur tout traitement accessible depuis l’application, sur l’App Store comme sur Google Play. Le 6 mars 2024, une délégation l’a contrôlée en ligne, en reproduisant le parcours d’un utilisateur qui la télécharge et l’utilise.
Le manquement sanctionné n’est pas celui que décrivait la plainte. Le contrôle a trouvé d’autres envois, partis de l’application vers un domaine tiers dont la décision publiée masque le nom, et qui continuaient après un clic sur « Continuer sans accepter ». La délibération ne dit pas si le traceur corrigé en septembre 2023 était celui-là. Le dossier montre en revanche qu’une plainte désigne un point et qu’un contrôle lit l’application entière : corriger le seul SDK signalé ne suffit pas à refermer un dossier.
Un traceur sans cookie
Ces envois passaient par une interface de programmation, une API, que la CNIL définit comme une interface logicielle qui permet de connecter un logiciel ou un service à un autre pour échanger des données et des fonctionnalités. Selon la décision, ils contenaient un identifiant que la Fnac attribuait à l’utilisateur et des informations sur son activité, comme les produits consultés. Les sociétés l’ont confirmé pendant l’instruction et en ont donné le but : personnaliser les contenus et entraîner l’algorithme de recommandation de produits de l’application.
Pas de cookie de navigateur, donc, et un identifiant qui n’est pas celui des régies publicitaires, puisque c’est la Fnac qui l’attribuait. L’article 82 ne parle pas de cookies : il vise toute action tendant à accéder à des informations déjà stockées dans l’équipement de l’utilisateur ou à y inscrire des informations, et la formation restreinte qualifie les opérations réalisées par le biais de l’API de lecture ou d’écriture sur le téléphone. Pour un DPO, la conséquence est pratique : un inventaire limité aux cookies et aux identifiants publicitaires passe à côté d’un identifiant que l’éditeur attribue lui-même et envoie à un domaine tiers.
« Continuer sans accepter », et les envois continuent
Au premier lancement, l’application présentait une bannière de consentement. Elle présentait comme nécessaires des technologies utilisées pour le fonctionnement optimal de l’application et « pour vous conseiller au mieux », mais aussi pour l’analyse des performances et la sécurité des transactions, et prévenait qu’elles seraient déposées même après un clic sur « Continuer sans accepter ». Les autres, déposées par la Fnac ou ses partenaires IAB, étaient soumises au consentement. La délégation a cliqué sur ce bouton, et les envois vers le domaine tiers, avec l’identifiant et les produits consultés, ont continué. Les sociétés ne le contestent pas ; elles contestent qu’il ait fallu un consentement.
Ce refus ignoré est, dans le communiqué de la CNIL, le premier motif du montant. La formation restreinte situe la gravité du manquement dans des opérations menées sans consentement et dans un refus dont les sociétés n’ont pas tenu compte, une atteinte substantielle, écrit-elle, au droit au respect de la vie privée. Elle y ajoute le nombre de personnes concernées : plus de 1,5 million de téléchargements en France entre mars 2023 et mars 2024, et en moyenne 37 400 utilisateurs par jour sur la même période.
Plusieurs finalités, un seul traceur
Pour les sociétés, ces opérations étaient strictement nécessaires à un service demandé par l’utilisateur, ce qui les aurait dispensées de consentement. Elles décrivent une aide à la navigation dans un vaste catalogue, l’équivalent numérique des rayons d’un magasin, et quatre usages : des produits personnalisés selon l’historique de navigation et d’achat, des produits similaires à celui consulté, des produits complémentaires comme des accessoires, des consommables ou des services associés, et l’entraînement de l’algorithme. La demande expresse de l’utilisateur résulterait, selon elles, du téléchargement de l’application, de son lancement et de l’acceptation des conditions générales du compte client.
La formation restreinte examine chaque usage, puis rappelle qu’il n’y a qu’un traceur. Personnaliser les produits affichés pour qu’ils soient achetés relève du ciblage commercial, qui, selon sa doctrine « constante et bien établie », n’entre dans aucune exemption. Proposer des produits complémentaires vise à faire acheter davantage et n’est pas strictement nécessaire au service : l’exemption suppose, écrit-elle, un lien clairement établi entre la stricte nécessité de l’opération et le service explicitement demandé par l’utilisateur. Entraîner l’algorithme concourt directement à l’affichage de recommandations commerciales et suit donc le même régime.
Reste l’affichage de produits similaires, le seul usage que la formation restreinte n’écarte pas par principe : il pourrait, en théorie et selon la façon dont il est mis en œuvre, être tenu pour strictement nécessaire au service. Mais il passait par la même opération de lecture et d’écriture que les autres. Or un traceur à plusieurs finalités n’échappe au consentement que si aucune de ses finalités ne l’exige, règle que la CNIL avait déjà appliquée en décembre 2022 à une société dont un cookie servait aussi à lutter contre la fraude publicitaire. Une finalité exemptable ne protège donc rien quand elle partage son traceur avec une finalité commerciale.
Le terrain mobile n’était pas une excuse
Les sociétés plaidaient un cadre en construction, où se superposent le RGPD, la directive ePrivacy, la loi Informatique et Libertés et le règlement sur les services numériques, et une doctrine de la CNIL qui n’aurait pas été stabilisée au moment du contrôle : sa recommandation sur les applications mobiles n’a été publiée que le 24 septembre 2024, et les contrôles sur ce thème étaient annoncés pour le printemps 2025.
La formation restreinte répond que la CNIL accompagne les acteurs du numérique sur les traceurs depuis 2013, avec de nouvelles lignes directrices et une recommandation en 2020, et qu’elle a déjà sanctionné ce manquement à de nombreuses reprises, en citant deux de ses décisions validées par le Conseil d’État. Les opérations sanctionnées n’ont pas été analysées au regard de la recommandation de 2024, et le manquement, écrit-elle, n’est pas nouveau, même lorsqu’il se produit dans une application mobile. Elle retient donc une négligence, d’autant plus caractérisée que les sociétés avaient tous les moyens d’appliquer les règles et auraient pu le faire avant fin 2024. Le raisonnement rejoint celui que nous décrivions à propos de la méthode du CEPD pour décider d’une amende : une faute se mesure à ce que le responsable du traitement pouvait savoir.
La coopération ne joue pas davantage. Répondre aux demandes de la délégation est une obligation de l’article 31 du RGPD, et prévenir la CNIL en 2023 que des investigations étaient en cours ne constitue pas, pour la formation restreinte, une coopération particulière qui atténuerait la sanction. Le montant, enfin, se rapporte au groupe. Faute pour les sociétés de prouver que la maison mère, qui les détient entièrement, directement ou non, n’exerçait pas d’influence déterminante sur elles, la formation restreinte retient le chiffre d’affaires du groupe, plus de 10 milliards d’euros en 2025. Il sert à fixer le plafond légal, 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, et à mesurer la capacité économique réelle des sociétés.
Ce que la décision change pour une application
La chronologie dit l’essentiel. La plainte date de septembre 2023 et le contrôle de mars 2024 ; l’outil a été retiré en décembre 2024 et remplacé en janvier 2025 ; la sanction est prononcée en octobre 2026. Elle porte sur les faits constatés le jour du contrôle, et le retrait de l’outil n’y change rien : le manquement, relevait le rapporteur, demeure caractérisé pour les faits passés. Devant la CNIL, ce qui compte est ce que l’application faisait à une date donnée, et ce que l’éditeur peut en montrer.
Pour la suite, la formation restreinte ne valide rien par avance. Les sociétés ont produit la note d’un cabinet de conseil décrivant leur nouveau dispositif : des recommandations personnalisées après consentement, un affichage de produits liés au seul produit consulté, sans traceur, et un algorithme alimenté par des données de mesure d’audience exemptée de consentement, anonymisées au préalable. Elle constate qu’elles ne démontrent pas que ces mesures sont en place, d’où l’injonction. Cette note suit en tout cas la logique de la décision : séparer ce qui peut se passer de consentement de ce qui ne le peut pas.
Pour un DPO, la décision se traduit en quelques questions à poser à chaque version d’une application. Qu’est-ce qui part, et vers qui, après un refus ? Quels identifiants accompagnent ces envois, y compris ceux que l’éditeur attribue lui-même ? Chaque échange présenté comme nécessaire sert-il une seule finalité, ou nourrit-il aussi une recommandation commerciale ou une publicité ? Et le correctif d’hier tient-il dans la version d’aujourd’hui ?
La plainte comme le contrôle reposent sur l’observation de l’application : noyb a capturé le trafic d’un téléphone, la délégation a reproduit le parcours d’un utilisateur jusqu’au bouton du refus. C’est le geste que Skanopy automatise, sur un vrai téléphone : piloter l’application Android, refuser ou accepter dans la bannière comme le ferait un utilisateur, puis relever, avant et après ce choix, les acteurs tiers que l’application contacte, ce qu’elle leur envoie et les identifiants qui accompagnent ces envois, et dater chaque constat, version après version. C’est tout l’objet d’une analyse d’application mobile : elle ne dit pas le droit, elle fournit la pièce datée sur laquelle le droit s’applique.
Sources
Chaque constat de cet article renvoie à l’un de ces documents.
- CNIL ’26Cookies et application mobile : sanctions de 7 millions d’euros à l’encontre des sociétés FNAC DARTY PARTICIPATIONS ET SERVICES et FNAC DIRECTCNIL, 29 octobre 2026
- CNIL ’26Délibération SAN-2026-015 du 22 octobre 2026CNIL, formation restreinte, publiée sur Légifrance le 29 octobre 2026
- noyb ’26noyb win: French electronics retailer Fnac Darty fined €7 millionnoyb, 29 octobre 2026 (en anglais)
- noyb ’23How mobile apps illegally share your personal datanoyb, 14 septembre 2023 (en anglais)
- noyb ’23Plainte contre Fnac, version caviardéenoyb, septembre 2023
- Loi I&LLoi Informatique et Libertés, article 82CNIL, texte consolidé
- CNIL ’20Cookies et autres traceurs : la CNIL publie des lignes directrices modificatives et sa recommandationCNIL, 29 septembre 2020
- CNIL ’25Recommandation relative aux applications mobilesCNIL, délibération n° 2025-024 du 27 mars 2025 (version modifiée publiée le 8 avril 2025)
Questions fréquentes
Parce que l’application mobile Fnac envoyait à un domaine tiers, y compris après un clic sur « Continuer sans accepter », un identifiant attribué à l’utilisateur et les produits qu’il consultait, pour lui recommander des produits et entraîner un algorithme de recommandation. La CNIL l’a constaté lors d’un contrôle en mars 2024, à la suite d’une plainte de l’association noyb. Par sa délibération SAN-2026-015 du 22 octobre 2026, elle a retenu un manquement à l’article 82 de la loi Informatique et Libertés et infligé 7 millions d’euros d’amende, 6 millions à FNAC DARTY PARTICIPATIONS ET SERVICES et 1 million à FNAC DIRECT, avec une injonction sous astreinte de 10 000 euros par jour de retard. La décision peut faire l’objet d’un recours devant le Conseil d’État dans les deux mois de sa notification.
Oui, lorsqu’elles reposent sur un traceur, selon la CNIL. Dans sa décision contre Fnac Darty du 22 octobre 2026, elle juge que personnaliser les produits affichés à partir de l’historique de navigation, proposer des produits complémentaires et entraîner un algorithme de recommandation relèvent du ciblage commercial ou y concourent, et n’entrent dans aucune des exemptions de l’article 82 de la loi Informatique et Libertés. Seul l’affichage de produits similaires au produit consulté pourrait, en théorie et selon sa mise en œuvre, être tenu pour strictement nécessaire au service demandé.
Seulement si aucune de ses finalités n’exige le consentement. La CNIL l’a rappelé dans sa décision contre Fnac Darty du 22 octobre 2026 : un même traceur servait à afficher des produits similaires, usage qui aurait pu en théorie être exempté, mais aussi à des recommandations personnalisées et à l’entraînement d’un algorithme, qui ne le sont pas. Le consentement devait donc être recueilli pour l’ensemble. Elle avait appliqué la même règle en décembre 2022 à un cookie qui servait aussi à lutter contre la fraude publicitaire.