Application Fnac : 7 millions d’euros d’amende pour des traceurs utilisés sans consentement

Le 22 octobre 2026, la Commission nationale de l’informatique et des libertés (ci-après « la Cnil ») a prononcé deux sanctions totalisant 7 millions d’euros à l’encontre des sociétés Fnac Darty Participations et Services et Fnac Direct. En cause : l’utilisation, au sein de l’application mobile Fnac, d’un dispositif de suivi de la navigation des utilisateurs à des fins de recommandations commerciales, sans leur consentement préalable. Cette décision, rendue publique le 29 octobre 2026, rappelle que les exigences relatives aux cookies et autres traceurs s’appliquent également aux applications mobiles.

Un suivi de la navigation maintenu malgré le refus des utilisateurs

À la suite d’une plainte déposée par l’association None of Your Business (ci-après « noyb »), la Cnil a procédé, en mars 2024, à un contrôle de l’application mobile Fnac. Les investigations ont révélé l’utilisation d’un dispositif de traçage permettant de collecter des informations sur le comportement des utilisateurs, notamment leur historique de navigation et les produits consultés.

Concrètement, des requêtes étaient transmises à un domaine tiers au moyen d’une interface de programmation d’application (ci-après « API »). Ces échanges comportaient un identifiant attribué à l’utilisateur ainsi que des données relatives à son activité. Les informations recueillies permettaient notamment de personnaliser les recommandations de produits, de suggérer des articles complémentaires ou similaires et d'alimenter l'entraînement d'un algorithme de recommandations commerciales.

Or, la Cnil a constaté que ces opérations se poursuivaient même lorsque les utilisateurs avaient expressément refusé le suivi de leur navigation en sélectionnant le bouton « Continuer sans accepter » sur la plateforme de gestion du consentement. Le dispositif ne respectait donc pas le choix exprimé par les personnes concernées.

La personnalisation commerciale ne peut être assimilée à une fonctionnalité strictement nécessaire

L’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (ci-après « loi Informatique et Libertés ») impose, par principe, de recueillir le consentement préalable des utilisateurs avant toute opération de lecture ou d’écriture d’informations sur leur terminal. Certaines exemptions existent, notamment lorsque ces opérations sont strictement nécessaires à la fourniture d’un service expressément demandé par l’utilisateur.

Pour leur défense, les sociétés concernées soutenaient que les fonctionnalités de recommandations constituaient une aide à la navigation indispensable pour faciliter la recherche de produits dans leur catalogue. La formation restreinte de la Cnil n’a toutefois pas retenu cette argumentation concernant les recommandations personnalisées et les propositions de produits complémentaires, considérant que ces mécanismes poursuivaient principalement des objectifs de promotion et de ciblage commercial.

La décision apporte également une précision importante concernant les traceurs poursuivant plusieurs finalités. Si la recommandation de produits similaires peut, dans certaines circonstances, être considérée comme nécessaire au service demandé, cette finalité ne saurait bénéficier d’une exemption lorsqu’elle est techniquement indissociable d’autres finalités nécessitant le consentement. En l’espèce, un même traceur était utilisé pour l’ensemble des opérations concernées.

La Cnil souligne par ailleurs que l’entraînement d’un algorithme de recommandations à partir des comportements de navigation participe directement à l’optimisation du ciblage commercial. Le fait qu'un dispositif serve également à améliorer les performances d'un algorithme ne suffit donc pas à le soustraire à l'obligation de recueillir le consentement.

Une sanction de 7 millions d’euros et une mise en conformité à démontrer

Au regard de ces manquements, la formation restreinte a prononcé une amende de 6 millions d’euros à l’encontre de Fnac Darty Participations et Services et de 1 million d’euros à l’encontre de Fnac Direct, les deux sociétés étant considérées comme responsables conjointes des traitements concernés.

Pour déterminer le montant des sanctions, la Cnil a notamment pris en compte la gravité du non-respect du choix des utilisateurs et l’ampleur de l’utilisation de l’application mobile. Entre mars 2023 et mars 2024, celle-ci avait enregistré plus de 1,5 million de téléchargements en France et comptait, en moyenne, 37 400 utilisateurs quotidiens. L’autorité a également rappelé que les règles relatives aux traceurs poursuivant des finalités commerciales étaient établies de longue date.

Bien que les sociétés aient indiqué avoir abandonné l’ancien dispositif en décembre 2024 et déployé une nouvelle solution en janvier 2025, elles n’avaient pas suffisamment démontré la conformité de cette dernière. La Cnil leur a donc enjoint d’apporter les justificatifs nécessaires dans un délai d’un mois à compter de la notification de la décision, sous peine d’une astreinte de 10 000 euros par jour de retard.

Cette décision constitue un rappel important pour les éditeurs d’applications mobiles et, plus largement, pour les organismes recourant à des solutions de personnalisation ou de recommandation algorithmique. La conformité ne repose pas uniquement sur la présence d’une interface de recueil du consentement : elle suppose également de vérifier le fonctionnement effectif des traceurs, de respecter techniquement les refus exprimés et de pouvoir démontrer que chaque opération de collecte répond aux exigences légales applicables. Une vigilance particulière s’impose lorsque plusieurs finalités reposent sur un même dispositif technique. 

Par Hébert-Marc GUSTAVE, Avocat & DPO à LOCK-T