La CNIL sanctionne Fnac Darty Participations et Services et Fnac Direct pour un traceur utilisé dans leur application mobile sans consentement préalable. Les deux sociétés écopent de 7 millions d’euros d’amendes et doivent justifier la conformité de leur nouvel outil, sous peine d’astreinte.
Cookies : la CNIL inflige 7 millions d’euros d’amendes à deux sociétés de Fnac Darty
By
Published on 29 octobre 2026 10h37
La Commission nationale de l’informatique et des libertés (CNIL) a rendu publique, le 29 octobre 2026, une sanction de 7 millions d’euros visant deux sociétés de Fnac Darty. La décision, prise le 22 octobre, concerne un dispositif de suivi de la navigation dans une application mobile, utilisé pour personnaliser les recommandations commerciales et entraîner un algorithme sans recueillir le consentement préalable des utilisateurs.
Selon la présentation officielle de la sanction par la CNIL, Fnac Darty Participations et Services doit acquitter 6 millions d’euros et Fnac Direct 1 million d’euros. La formation restreinte de l’autorité retient un manquement à l’article 82 de la loi Informatique et Libertés, qui encadre les opérations de lecture et d’écriture d’informations sur les terminaux des utilisateurs.
Un historique de navigation utilisé pour les recommandations de produits
L’affaire trouve son origine dans une plainte de l’association None Of Your Business (NOYB). Lors d’un contrôle effectué en mars 2024, les services de la CNIL ont constaté que l’application transmettait, au moyen d’une interface de programmation (API), des informations vers un domaine tiers. Les requêtes comportaient notamment un identifiant attribué à l’utilisateur et des données sur les produits consultés.
Ces informations servaient à proposer des articles similaires, des accessoires ou d’autres produits susceptibles d’intéresser le client. Elles étaient également exploitées pour entraîner l’algorithme de recommandations. Pour l’autorité, ces opérations de personnalisation et de ciblage commercial ne relevaient pas des exemptions au consentement : elles n’étaient ni indispensables à la communication électronique, ni strictement nécessaires à un service expressément demandé par l’utilisateur.
La CNIL souligne que le choix des personnes refusant le suivi de leur navigation n’a pas été respecté. Elle mentionne également l’ampleur de l’utilisation de l’application et l’existence de règles déjà établies concernant les traceurs commerciaux pour expliquer le niveau des amendes. Le montant ne correspond pas à une pénalité uniforme applicable à tous les usages de cookies : il résulte de l’appréciation de cette procédure particulière.
Une mise en conformité à démontrer sous un mois
La sanction s’accompagne d’une injonction. Les sociétés doivent démontrer que leur nouvel outil permet de recueillir le consentement lorsqu’il est exigé, dans le mois suivant la notification de la décision. À défaut, elles s’exposent à une astreinte de 10 000 euros par jour de retard. Cette astreinte est conditionnelle ; elle ne doit pas être confondue avec les 7 millions d’euros d’amendes déjà prononcés.
La délibération SAN-2026-015 du 22 octobre 2026, référencée par la CNIL sur Légifrance, formalise la décision. Le cadre légal de l’article 82 distingue les traceurs nécessaires au fonctionnement du service de ceux dont l’utilisation suppose l’accord préalable de la personne.
Un rappel pour les applications de commerce en ligne
La portée du dossier dépasse le seul affichage d’une bannière de cookies sur un site web. Le contrôle porte sur des flux techniques internes à une application mobile et sur l’utilisation de données comportementales dans un moteur de recommandation. Pour les éditeurs d’applications marchandes, l’enjeu de conformité concerne donc aussi les identifiants transmis à des prestataires et les traitements de personnalisation réalisés en arrière-plan.
La CNIL indique avoir choisi de rendre sa décision publique en raison de la gravité du manquement, de l’étendue du traitement et du nombre de personnes concernées. Le respect de l’injonction dépendra désormais de la capacité des deux sociétés à justifier le fonctionnement du dispositif de consentement qu’elles ont mis en place.