7 millions d’euros d’amende pour Fnac Darty : la CNIL sanctionne le tracking sans consentement sur l’application

Une facture salée pour le géant du e-commerce

La décision est tombée il y a quelques jours, mais elle fait déjà grand bruit dans le monde du numérique. Le 22 octobre 2026, la formation restreinte de la CNIL, l’instance qui tranche les dossiers litigieux et distribue les sanctions, a validé la délibération SAN-2026-015, rendue publique le 29 octobre. Dans son viseur, on retrouve deux entités clés du groupe. D’un côté, Fnac Darty Participations et Services écope de 6 millions d’euros de punition. De l’autre, Fnac Direct, l’entreprise qui gère concrètement le site web et l’application mobile, se voit infliger 1 million d’euros d’amende.



Toute cette histoire n’est pas née d’un simple hasard. L’autorité administrative a agi après avoir reçu une alerte formelle de l’association austro-européenne None Of Your Business (NOYB), bien connue pour traquer les dérives des géants de la tech. Dans la foulée, les agents de la CNIL ont mené une inspection approfondie sur l’application mobile en mars 2024. Le verdict a pris du temps, mais la sanction financière est lourde. L’organisme justifie d’ailleurs cette médiatisation brutale par la gravité des faits reprochés, mais aussi par le volume impressionnant d’utilisateurs touchés au quotidien par ces collectes.

Comment l’application observait vos faits et gestes

Concrètement, que se passait-il en coulisses quand vous ouvriez l’application sur votre smartphone ? Les enquêteurs ont découvert qu’à chaque interaction, des requêtes discrètes partaient vers un serveur tiers via une API (une interface de programmation). Dans ces paquets de données transmises, on retrouvait un identifiant unique attribué à l’utilisateur, couplé à la liste précise de tous les articles consultés au fil de sa session.

Ce dispositif de traçage ne servait pas qu’à faire de la figuration. La firme l’exploitait pour afficher des suggestions personnalisées sur votre écran, pousser des accessoires compatibles ou des articles similaires, tout en nourrissant son algorithme interne de recommandation. Le souci, c’est que l’entreprise a considéré ces mécanismes comme de simples ajustements techniques. Or, aux yeux du régulateur, ces traitements n’entrent absolument pas dans les exceptions prévues par l’article 82 de la loi « Informatique et Libertés ». Ils ne sont ni indispensables à l’acheminement des communications, ni strictement nécessaires pour fournir le service d’achat demandé par le client. Conclusion : il fallait obligatoirement obtenir le feu vert préalable de l’internaute.

Le refus des internautes ignoré par les algorithmes

Le point le plus grinçant de l’affaire réside sans doute dans le mépris du choix exprimé par les utilisateurs. Même lorsqu’une personne prenait la peine de refuser le suivi publicitaire dans les paramètres, le composant incriminé continuait de tourner en arrière-plan et de transmettre des informations. Pour l’autorité de contrôle, couper la poire en deux ou fermer les yeux n’était pas envisageable. La taille du public visé et la position de leader de l’enseigne exigeaient une réaction exemplaire.

D’autant que la doctrine en la matière n’a rien d’un secret bien gardé. Cela fait des années que la CNIL répète sur tous les tons que la personnalisation commerciale et le ciblage nécessitent un accord explicite, sans passe-droit ni feinte technique. En plus de la sanction financière immédiate, l’instance a donc assorti son jugement d’une injonction sous astreinte. Les deux entités ont un mois top chrono pour prouver que leur nouvel outil respecte scrupuleusement le consentement des clients. Si le délai dépasse, l’addition s’alourdira de 10 000 euros supplémentaires par jour de retard.

Un coup de semonce pour tout le secteur du retail

Au-delà de la marque au livre jaune, cette affaire remet un coup de projecteur sur les règles du jeu applicables aux traceurs sur nos téléphones. L’article 82 de la loi française est limpide : dès qu’un outil stocke ou lit des informations dans un terminal sans être indispensable au fonctionnement du service, la case « consentement » est obligatoire. Chercher à optimiser ses algorithmes ou à gonfler son panier moyen grâce à des recommandations pertinentes est une démarche commerciale compréhensible, mais elle ne peut pas se faire au détriment des libertés individuelles.

Ce dossier montre également une fois de plus la puissance d’action d’associations comme NOYB. En déposant des plaintes étayées, ces collectifs forcent les régulateurs à se pencher sur ce qui se passe sous le capot de nos programmes mobiles. Pour tous les acteurs de la vente en ligne, le signal envoyé est très clair : le consentement ne doit pas être un vernis superficiel sur un site internet, il doit être effectif jusque dans les lignes de code de l’application.

Les smartphones restent sous haute surveillance

Cette décision confirme une tendance lourde : la CNIL ne lâche pas le morceau sur le terrain du suivi mobile. On a souvent tendance à penser que nos téléphones sont mieux cloisonnés que nos navigateurs web traditionnels, mais les éditeurs y déploient parfois des trésors d’ingéniosité pour contourner les règles. La vigilance reste donc de mise, quel que soit le support.

Pour les deux entreprises condamnées, l’heure est désormais aux ajustements techniques urgents sous la menace du compteur à astreinte. Si vous souhaitez décortiquer les arguments juridiques dans le détail, la délibération SAN-2026-015 est accessible directement sur le site de Légifrance. Une chose est sûre : le respect de la vie privée en ligne n’est plus une simple option d’ergonomie, c’est une règle du jeu dont la violation coûte désormais très cher.