Intersport épinglé par la CNIL : vos données vendues à Facebook pour 33 centimes

Le jeu de cache-cache du régulateur

C’est une curiosité administrative qui a rapidement tourné au défi pour les internautes les plus curieux. Au moment de rendre sa décision publique, la CNIL avait pourtant pris soin de draper l’identité du condamné derrière un anonymat de façade, baptisant l’enseigne d’un très sobre et très mystérieux "Société X". Sur les pages officielles de Légifrance, aucune mention directe ne permettait d’identifier formellement le géant du sport.

Un secret de polichinelle rapidement éventé

Le 30 décembre dernier, quand la décision est tombée, l’anonymat était encore de mise sur les documents officiels, avec un « X » e lieu et place du nom de la société fautive. Mais dans le monde du droit numérique, les chiffres ne mentent jamais longtemps. En épluchant les données financières mentionnées dans la délibération de la CNIL, comme le nombre de salariés ou le chiffre d’affaires colossal grimpant jusqu’à près de 4 milliards d’euros, le doute n’était plus permis. Il s’agissait bel et bien d’Intersport.

Mais, ce qui devait être une sanction discrète s’est transformé en un véritable déballage public, prouvant qu’à l’ère du numérique, même les secrets les mieux gardés par les autorités ne résistent pas longtemps aux recoupements de la toile. L’enseigne elle-même a fini par confirmer qu’elle était bien la cible de cette procédure. On parle ici d’une entreprise qui pèse lourd dans le paysage français, avec des centaines de magasins et une base de données clients qui ferait rêver n’importe quel service marketing. Malheureusement pour elle, cette puissance de frappe commerciale s’est accompagnée d’une certaine légèreté dans le respect des règles du RGPD, ce fameux règlement européen qui encadre nos vies numériques.

Le programme de fidélité qui en disait trop

Le cœur du problème réside dans le programme « La Team », dont font partie plus de dix millions de Français. Pour Intersport, le simple fait qu’un client s’inscrive à ce club suffisait pour considérer qu’il acceptait que ses informations soient partagées. C’est là que le bât blesse. L’entreprise a transmis des emails et des numéros de téléphone à un réseau social bien connu, qui n’est autre que Facebook / Meta, pour faire ce qu’on appelle du ciblage publicitaire. En gros, vos habitudes d’achat en magasin servaient à vous afficher des publicités ultra-personnalisées quand vous défiliez sur votre fil d’actualité. La CNIL a rappelé avec fermeté que l’inscription à un programme de fidélité n’est pas un blanc-seing. Le consentement doit être libre, spécifique et surtout explicite. On ne peut pas glisser une telle pratique dans les petites lignes d’un contrat sans demander clairement l’avis des gens.

Des casseroles techniques qui s’accumulent

Mais l’enquête ne s’est pas arrêtée à cette simple transmission de fichiers. Lors d’un contrôle effectué en 2023, les agents du régulateur ont découvert d’autres failles assez gênantes pour une structure de cette envergure. Par exemple, sur le site internet, des traceurs publicitaires s’activaient avant même que l’internaute n’ait pu cliquer sur quoi que ce soit. Pire encore, ces derniers continuaient de fonctionner même après un refus catégorique de l’utilisateur. Côté sécurité pure, ce n’était pas la joie non plus. Les mots de passe étaient stockés avec des méthodes de calcul totalement dépassées, ce qui les rendait vulnérables en cas de piratage. En gros, la porte n’était pas fermée à clé, elle était juste poussée, laissant les données de millions de Français à la merci de méthodes de déchiffrement assez basiques.

Un montant « minime » qui interroge sur la dissuasion

Alors, 3,5 millions d’euros, est-ce vraiment beaucoup ? Si on regarde la somme brute, elle peut paraître impressionnante. Pourtant, quand on sort la calculatrice et qu’on la rapporte aux 3,88 milliards d’euros de chiffre d’affaires réalisés en 2024, le constat est plus nuancé. Cela représente moins de 0,1 % de ce que l’enseigne gagne en une année. Si on divise l’amende par le nombre de personnes dont les données ont été balancées sur les réseaux sociaux, on tombe sur un chiffre dérisoire : environ 33 centimes par client. C’est le prix de votre vie privée aux yeux de la loi dans ce dossier précis. Pour une pratique qui durait depuis 2018, certains estiment que le « crime » paie plutôt bien, même si la CNIL explique avoir voulu une sanction équilibrée, tenant compte de la coopération de l’enseigne pour corriger ses erreurs.

Une mise en garde pour tout le secteur

Cette décision n’est pas seulement une punition pour un acteur du sport, c’est un message envoyé à toutes les entreprises françaises. On ne peut plus ignorer les règles en se disant que « tout le monde fait pareil ». Le temps où l’on pouvait citer des accords juridiques périmés depuis des années, comme le Privacy Shield, dans ses conditions générales est révolu. La Commission a pointé du doigt l’absence totale d’analyse d’impact, alors que manipuler les données de 10 millions de personnes est par définition une activité risquée. Si Intersport s’en tire sans mettre la clé sous la porte, l’image de marque en prend un coup. Les clients sont de plus en plus sensibles à la manière dont leurs infos circulent, et cette affaire montre que la transparence n’est plus une option mais une obligation vitale pour garder la confiance du public.