Résumé
Un traceur de recommandation déposé malgré le refus de l’utilisateur, sanctionné par l’autorité française.
Les sociétés contestent l’interprétation de la CNIL et se réserve la possibilité de recours.
La décision : Délibération SAN-2026-015 du 22 octobre 2026 prononçant une sanction pécuniaire à l’encontre de deux sociétés du même groupe
Liens : https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000055022778
Les sociétés visées par cette délibération
- FNAC DARTY PARTICIPATIONS ET SERVICES (FDPS), société mère des filiales de l’enseigne FNAC, et
- FNAC DIRECT, qui exploite le site fnac.com et l’application mobile FNAC.
Elles sont responsables conjointes du traitement.
Type de sanction :
Sanction financière:
- Amende administrative de 6 000 000 euros à l’encontre de FDPS
- Amende administrative de 1 000 000 euros à l’encontre de FNAC DIRECT
- Injonction de démontrer la mise en conformité dans un délai d’un mois, sous astreinte de 10 000 euros par jour de retard
- Publicité de la décision sur le site de la CNIL et de Légifrance pour une durée de 2 ans
Origine du contrôle sur les cookies
Plainte de l’association NOYB du 15 septembre 2023
Type(s) de contrôle de la CNIL sur les cookies
Contrôle en ligne de l’application mobile par la CNIL sur opérations de lecture et/ou d’écriture réalisées sur le terminal des utilisateurs de l’application mobile de la FNAC par le biais de l’API à des fins d’affichage de recommandations de produits et d’entrainement d’un algorithme de recommandations de produits.
Textes visés
- Article 82 de la loi Informatique et Libertés (opérations de lecture et d’écriture sur le terminal de l’utilisateur)
- Article 5, paragraphe 3, de la directive 2002/58/CE « ePrivacy »
- Article 20 de la loi Informatique et Libertés (mesures correctrices et sanctions)
- Article 4.7 du RGPD (responsable du traitement)
- Article 31 du RGPD (coopération avec l’autorité de contrôle)
- Article 83 et considérant 150 du RGPD (conditions pour imposer des amendes administratives ; notion d’« entreprise »)
Ce qui est sanctionné :
Dépôt et lecture d’un traceur sans consentement préalable, malgré le refus exprimé par l’utilisateur via « Continuer sans accepter ».
Recours à un traceur unique pour plusieurs finalités : produits personnalisés, produits complémentaires, produits similaires et entraînement de l’algorithme de recommandation. Certaines de ces finalités exigent le consentement.
Personnalisation des produits affichés et ciblage commercial présentés comme « strictement nécessaires » à la navigation.
Entraînement de l’algorithme de recommandation sans consentement. Cette finalité sert le ciblage commercial.
« Demande expresse » de l’utilisateur déduite du téléchargement de l’application et de l’acceptation des CGU.
Bonnes pratiques à retenir :
Un traceur multi-finalités ne peut être exempté de consentement que si aucune de ses finalités ne l’exige.
Séparer les traceurs par finalité. Un affichage de produits similaires peut, selon ses modalités, être exempté. Il ne doit alors pas être mutualisé avec du ciblage.
Tester le refus : après un clic sur « Continuer sans accepter », aucun traceur soumis au consentement ne doit se déclencher. Rejouer ce test à chaque nouvelle version de l’application.
Recueillir le consentement pour toute recommandation fondée sur l’historique de navigation ou d’achat.
Pour alimenter un algorithme sans consentement, utiliser des données préalablement anonymisées et issues d’une mesure d’audience exemptée.
Appliquer aux applications mobiles les mêmes règles qu’aux sites web.
ACTUALITÉS
29.10.2026, NYOB, Victoire pour NOYB : le distributeur français d’électronique Fnac Darty condamné à une amende de 7 millions d’euros
