La CNIL a condamné deux sociétés du groupe Fnac Darty à 7 millions d’euros d’amende au total pour un traceur intégré à l’application mobile de l’enseigne. D’après Next, ce dispositif transmettait l’activité des utilisateurs à un domaine tiers même lorsqu’ils cliquaient sur « Continuer sans accepter ». La décision, prise le 22 octobre 2026 et rendue publique le 29 octobre, est assortie d’une astreinte de 10 000 euros par jour de retard si la mise en conformité n’est pas prouvée sous un mois.
Ce que la CNIL reproche à l’application
La sanction se répartit entre deux entités, Fnac Darty Participations et Services pour 6 millions d’euros et Fnac Direct pour 1 million, selon Clubic et Économie Matin. Elle a été prononcée par la formation restreinte, l’organe de la CNIL qui inflige les sanctions, sous la référence SAN-2026-015.
Tout part d’une plainte de l’association noyb, fondée par Max Schrems, reçue par la CNIL le 15 septembre 2023 d’après Next. Lors d’un contrôle mené le 6 mars 2024, les agents ont constaté que l’application envoyait vers un domaine extérieur, par l’intermédiaire d’une API, un identifiant attribué à chaque utilisateur ainsi que des informations sur son activité, notamment les produits consultés. Aucun accord préalable n’était demandé.
Ces données avaient deux usages : personnaliser les suggestions affichées (articles similaires, accessoires, consommables) et entraîner l’algorithme de recommandation de l’enseigne. L’audience n’avait rien de marginal : plus de 1,5 million de téléchargements en France entre mars 2023 et mars 2024, et 37 400 utilisateurs quotidiens en moyenne, selon les chiffres cités par Next.
Un refus qui ne stoppait pas la collecte
Le point le plus sensible tient au bandeau de consentement. Next rapporte que les opérations de lecture et d’écriture sur le téléphone se poursuivaient même quand la personne choisissait de continuer sans accepter. Économie Matin indique que ce refus ignoré figure parmi les éléments retenus pour fixer le montant, avec la taille de l’audience.
La chronologie relatée par Next montre une correction en plusieurs étapes. Les sociétés affirment avoir rectifié dès le 19 septembre 2023 un traceur mal configuré dans la version Android, puis avoir retiré l’API en cause sur Android et iOS en décembre 2024, avant de la remplacer en janvier 2025 par un nouvel outil au fonctionnement différent. La CNIL juge toutefois la preuve insuffisante : le groupe a produit la lettre d’un cabinet de conseil décrivant des changements prévus, sans démontrer qu’ils avaient été mis en œuvre.
L’autorité a qualifié le manquement de négligence, et non d’acte délibéré, tout en estimant que le groupe ne pouvait ignorer ses obligations. Fnac Darty avait demandé que la décision reste confidentielle, en invoquant un risque de « préjudice important » pendant l’offre publique d’achat lancée par Daniel Kretinsky, déjà détenteur de 28,5 % du capital. La CNIL a maintenu la publication, compte tenu de la gravité des faits, de l’ampleur du traitement et du nombre de personnes touchées.
Pourquoi la recommandation de produits exige un consentement
La sanction s’appuie sur l’article 82 de la loi Informatique et Libertés. Ce texte oblige à obtenir l’accord de l’utilisateur avant de lire ou d’inscrire une information sur son appareil, sauf dans deux cas : l’opération sert uniquement à acheminer la communication, ou elle est strictement indispensable au service qu’il a demandé. Comme le rappelle Clubic, la notion de traceur englobe tout mécanisme de ce genre, et pas seulement les cookies déposés par un site.
Fnac Darty soutenait que ses opérations étaient « strictement nécessaires », parce qu’elles aidaient à filtrer l’affichage des produits. La réponse de la CNIL, résumée par Next, se fait en deux temps. Montrer des articles proches pourrait en théorie relever de l’exception, selon la façon dont la fonction est construite. Mais ici, la même opération servait aussi à entraîner l’algorithme et à personnaliser l’offre commerciale. Or un traceur à finalités multiples n’est exempté que si aucune d’elles n’exige de consentement.
Ce que doivent vérifier les entreprises dotées d’une application
Comme le souligne Économie Matin, l’affaire dépasse les bandeaux cookies des sites web : elle touche aux flux de données internes des applications et aux moteurs de recommandation. Pour un commerçant, un éditeur ou une start-up, plusieurs contrôles découlent de cette décision :
- recenser tous les appels réseau émis par l’application, y compris ceux des API et des kits de développement fournis par des partenaires, et repérer ceux qui partent vers un domaine tiers ;
- tester le parcours réel après un clic sur « refuser » ou « continuer sans accepter », et vérifier qu’aucune donnée d’activité ne sort du téléphone ;
- séparer techniquement les fonctions indispensables des usages commerciaux, puisqu’une seule finalité soumise à consentement fait tomber l’exemption pour tout le traceur ;
- garder la trace des corrections réellement déployées, et pas seulement des plans d’action, car c’est précisément ce qui a manqué ici.
La décision peut encore être contestée : les sociétés ont deux mois pour saisir le Conseil d’État, précise Next. Les articles consultés ne détaillent pas la méthode de calcul du montant et ne mentionnent aucune réaction publique du groupe.
Questions fréquentes
Combien Fnac Darty doit-il payer ?
Le total s’élève à 7 millions d’euros : 6 millions pour Fnac Darty Participations et Services, 1 million pour Fnac Direct. S’y ajoute une astreinte de 10 000 euros par jour de retard si les deux sociétés ne prouvent pas, dans le mois qui suit la notification, que leur nouvel outil recueille le consentement lorsqu’il est requis.
Un traceur dans une application est-il traité comme un cookie ?
Oui. L’article 82 de la loi Informatique et Libertés vise toute lecture ou écriture d’information sur l’appareil de l’utilisateur, qu’il s’agisse d’un cookie de navigateur ou d’un mécanisme intégré à une application mobile, comme dans ce dossier.
Afficher des produits similaires nécessite-t-il toujours un accord ?
Pas forcément. Selon le raisonnement rapporté par Next, cette fonction peut être jugée strictement nécessaire si elle est isolée. Elle bascule dans le régime du consentement dès que la même opération sert aussi à entraîner un algorithme ou à cibler commercialement l’utilisateur.
Sources
- La Fnac écope de 7 millions d'euros d'amende pour avoir pisté les utilisateurs de son appli — Clubic, 2026-10-29
- Continuer sans accepter : Fnac Darty vous traçait quand même, 7 millions d'euros d'amende — Next, 2026-10-29
- Cookies : la CNIL inflige 7 millions d'euros d'amendes à deux sociétés de Fnac Darty — Économie Matin, 2026-10-29