Amende CNIL de 7 millions d'euros contre Fnac : des traceurs dans l'application mobile malgré le refus

Le communiqué de la CNIL, mis en ligne le 29 octobre 2026, et la délibération SAN-2026-015 du 22 octobre 2026 disent la même chose sur le montant. La formation restreinte, le groupe de la CNIL qui prononce les sanctions, a infligé 7 millions d'euros à deux sociétés du groupe Fnac Darty. Six millions visent FNAC DARTY PARTICIPATIONS ET SERVICES. Un million vise FNAC DIRECT. Le motif est un traceur de l'application mobile Fnac : les personnes avaient refusé le suivi, et l'envoi continuait.

Un traceur, dans ce dossier, est un procédé qui lit ou écrit des informations sur le téléphone pour suivre ce que la personne fait dans l'application. Ce n'est pas seulement un cookie au sens étroit, c'est-à-dire un petit fichier déposé par un site pour reconnaître l'appareil plus tard. La décision parle d'opérations faites sur le téléphone par une interface de programmation, une API : un canal par lequel l'application échange des données avec un autre service.

D'où vient le contrôle

La plainte vient de l'association None Of Your Business, abrégée NOYB dans le communiqué. La CNIL l'a reçue le 15 septembre 2023. Le 6 mars 2024, une délégation a contrôlé l'application en ligne. Elle a refait le parcours d'une personne qui télécharge l'application et l'ouvre. Le procès-verbal porte le numéro 2024-023C. C'est ce contrôle qui sert de base à l'amende.

Ce que le téléphone envoyait

Lors du contrôle, des requêtes partaient vers un domaine tiers, c'est-à-dire vers l'adresse d'un service extérieur à l'application. Elles contenaient un identifiant attribué par la Fnac à la personne, un numéro qui permet de la reconnaître, et des informations sur son activité, par exemple les produits consultés. Le nom de ce domaine est masqué dans le texte public, remplacé par des crochets. Il n'est pas donné ici.

Ces envois servaient à afficher des produits personnalisés selon l'historique de navigation, des produits complémentaires (accessoires, consommables, services associés) et des produits similaires, c'est-à-dire proches de celui qui était recherché. Les mêmes données servaient aussi à entraîner l'algorithme de recommandation, le programme qui classe ce que l'application propose.

La règle rappelée est l'article 82 de la loi Informatique et Libertés. Avant de lire ou d'écrire des informations sur le téléphone, l'application doit en principe obtenir un accord. Deux exceptions existent. L'opération peut avoir pour seul but de permettre ou de faciliter la communication. Elle peut aussi être strictement nécessaire à un service de communication en ligne que la personne a expressément demandé. Recommander des produits pour donner envie d'en acheter d'autres ne rentre pas dans ces cas. La CNIL le dit depuis ses lignes directrices de 2020. La délibération le répète. Le communiqué le résume de la même façon.

Le bouton « Continuer sans accepter »

Au premier lancement, l'application montrait une fenêtre de consentement. Le texte, cité par la délibération, disait que l'application utilise des technologies déposées par FNAC DARTY ou des partenaires, « ainsi que des cookies lorsque vous naviguez dans le site internet Fnac au travers de l'application ». Il ajoutait que certains sont nécessaires « pour le fonctionnement optimal, et pour vous conseiller au mieux », pour l'analyse des performances et pour sécuriser les transactions. Puis cette phrase : « En cliquant sur le bouton continuer sans accepter, ces derniers seront quand même déposés. »

Les autres cookies, ceux des partenaires IAB, étaient présentés comme soumis à accord pour des fonctions « non essentielles ou publicitaires ». IAB est le sigle d'une organisation qui réunit des entreprises de la publicité en ligne. La décision l'écrit tel quel, sans le développer.

La délégation a constaté qu'après un clic sur « Continuer sans accepter », les requêtes partaient quand même, avec l'identifiant et les produits consultés. Les sociétés ne contestent pas ce point. Elles contestent la conséquence juridique. Pour elles, ces lectures et ces écritures aidaient à naviguer dans le catalogue, à la manière des rayons d'un magasin, et le téléchargement de l'application plus l'acceptation des conditions du compte valaient demande expresse.

La formation restreinte écarte cet argument pour la personnalisation et les produits complémentaires. Le but, écrit-elle, est de promouvoir des produits afin qu'ils soient achetés. Proposer un accessoire parce que la personne a consulté ou acheté autre chose n'est pas strictement nécessaire au service demandé. L'entraînement de l'algorithme est rangé dans le même objectif : augmenter la probabilité d'un achat supplémentaire à partir de l'historique, des achats ou des consultations.

Un seul traceur, plusieurs usages

Sur les produits similaires, la décision est plus nuancée. La formation restreinte admet qu'aider à retrouver un produit proche dans un grand catalogue pourrait, en théorie et selon la façon de le faire, être nécessaire au service. Elle constate qu'ici cette aide passait par la même opération que la personnalisation et le ciblage commercial. Un traceur qui poursuit plusieurs buts ne peut être dispensé d'accord que si aucun de ces buts n'exige l'accord. Sinon, l'accord couvre l'ensemble. La décision renvoie à une sanction déjà rendue le 19 décembre 2022, la délibération SAN-2022-023, qui visait un traceur aux usages multiples déposé sans accord.

Le manquement retenu est donc celui du jour du contrôle, le 6 mars 2024 : des lectures et des écritures à des fins de personnalisation et d'entraînement de l'algorithme, sans accord préalable, alors que la personne avait cliqué sur « Continuer sans accepter ».

Les sociétés avaient indiqué, dans leurs réponses des 29 mars et 24 octobre 2024, avoir découvert après la plainte de NOYB un mauvais paramétrage d'un traceur sur la version Android, et avoir mis une version corrigée à disposition le 19 septembre 2023. La formation restreinte ne fait pas de ce correctif annoncé la fin de l'affaire. Le constat qu'elle retient est celui de mars 2024. La décision ne limite pas l'amende à un système de téléphone, et elle ne la dit pas non plus valable seulement pour un autre.

Sept millions, et une preuve encore demandée

L'application a fait l'objet de plus de 1,5 million de téléchargements en France entre mars 2023 et mars 2024, et de 37 400 utilisateurs par jour en moyenne sur la même période. La formation restreinte y voit une atteinte substantielle à la vie privée, et une négligence : les règles sur les traceurs sont publiques depuis des années, y compris quand elles s'appliquent dans une application plutôt que sur un site. La recommandation de la CNIL sur les applications mobiles, datée du 24 septembre 2024, n'est pas le texte au regard duquel les faits ont été jugés. Les sociétés soutenaient que la doctrine n'était pas stabilisée au moment du contrôle. La décision répond que l'obligation d'accord, elle, ne datait pas de cette recommandation.

Pour le plafond de l'amende, la formation restreinte prend le groupe, pas seulement les deux filiales. FNAC DARTY PARTICIPATIONS ET SERVICES, que la délibération abrège FDPS dès son premier paragraphe, est détenue à 100 % par FNAC DARTY SA. FNAC DIRECT est détenue à 100 % par ALIZE-SFL, elle-même détenue à 100 % par cette même société. Le chiffre d'affaires retenu pour 2025 est celui du groupe. Au début de la décision, il est situé à environ 10 milliards d'euros, avec un résultat net consolidé de -140,4 millions. Le passage qui fixe le plafond parle, lui, de plus de 10 milliards. La défense des sociétés, dans le même dossier, parle d'un déficit de 146 millions d'euros pour 2025. Ces trois formulations ne sont pas interchangeables. L'amende prononcée reste très en dessous du plafond légal cité dans la décision : 10 millions d'euros, ou 2 % du chiffre d'affaires mondial de l'exercice précédent, le plus élevé des deux étant retenu.

Les deux sociétés sont responsables conjointes du traitement pour la zone France. Cette formule veut dire qu'elles décident ensemble de l'usage des données, des informations collectées, des durées de conservation et de la sécurité. D'où la répartition, 6 millions et 1 million, plutôt qu'une seule amende sur une seule entité. Le dispositif de la décision et le communiqué nomment FNAC DARTY PARTICIPATIONS ET SERVICES pour les 6 millions. Ils ne créent pas une autre société.

S'ajoute une injonction, c'est-à-dire une obligation de faire. Les sociétés ont indiqué avoir mis hors service l'ancienne interface les 19 et 20 décembre 2024, et avoir mis en production à partir de janvier 2025 un nouvel outil dont le nom est masqué. Un courrier d'un cabinet de conseil, versé au dossier, décrit des recommandations personnalisées seulement après accord, et des suggestions génériques sans traceur. La formation restreinte répond qu'à la clôture de l'instruction, la mise en œuvre réelle n'était pas démontrée. Les sociétés doivent apporter cette preuve dans le mois qui suit la notification de la décision. Passé ce délai, l'astreinte est de 10 000 euros par jour de retard. Une astreinte est une somme due pour chaque jour de dépassement. La date de notification n'est pas celle de la page du 29 octobre. Rien, dans les textes lus, ne dit que ce compteur a déjà commencé, ni qu'il est terminé.

La décision est publique sur le site de la CNIL et sur Légifrance. Elle cessera de nommer les sociétés deux ans après sa publication. Un recours devant le Conseil d'État est ouvert dans les deux mois de la notification. Le président de la formation restreinte qui signe est Philippe-Pierre Cabourdin.

Ce que cela change pour une personne qui ouvre l'application

Refuser dans une fenêtre ne se mesure pas au seul mot affiché sur le bouton. Ici, le bouton disait continuer sans accepter, et le texte de la fenêtre annonçait déjà que certaines technologies seraient déposées quand même. Le contrôle a montré que l'identifiant et les produits consultés partaient encore. Pour la CNIL, une recommandation qui pousse à l'achat, et l'entraînement du programme qui la produit, ne sont pas une aide indispensable au catalogue.

La décision ne dit pas si l'application proposée au téléchargement en novembre 2026 se comporte encore ainsi. Elle ne dit pas non plus qu'elle est devenue conforme. Elle dit qu'au dernier état du dossier, la preuve du nouvel outil manquait, et que cette preuve est désormais exigée sous astreinte. Une personne qui utilise l'application peut donc lire l'amende comme un rappel : un refus exprimé doit arrêter le suivi commercial. Elle ne peut pas la lire comme un contrôle de la version du jour.