La réponse courte
La CNIL a infligé 6 millions d'euros à Fnac Darty Participations et Services et 1 million d'euros à Fnac Direct, parce que l'application mobile Fnac collectait l'historique de navigation de ses utilisateurs via un traceur, sans leur accord. Les données servaient à personnaliser les recommandations de produits et à entraîner des algorithmes. Les deux sociétés ont un mois pour prouver la conformité de leur nouveau dispositif de recueil du consentement, sous astreinte de 10 000 euros par jour.
Pour toute entreprise qui exploite une application, le message est clair : un SDK ou un appel d'API qui lit des identifiants sur le terminal tombe sous l'article 82, comme un cookie web. Les équipes de développement mobile doivent donc conditionner ces flux au choix de l'utilisateur dans le code lui-même, et un audit de conformité RGPD doit couvrir l'application autant que le site.
Que reproche la CNIL à Fnac Darty ?
Selon la délibération publiée par la CNIL, l'application mobile Fnac émettait des requêtes via une API vers un domaine tiers. Ces requêtes contenaient un identifiant de l'utilisateur et des informations sur son activité, notamment les produits consultés. Le dispositif alimentait des recommandations personnalisées et l'entraînement d'algorithmes de recommandation.
Le problème tient au moment du déclenchement : le traceur était déposé et lu sans que l'utilisateur ait donné son consentement. Pour la CNIL, cette finalité de ciblage commercial n'est pas strictement nécessaire au service demandé par l'utilisateur. Elle exige donc un accord préalable, libre et éclairé.
La procédure trouve son origine dans une plainte de l'association noyb, fondée par Max Schrems. La CNIL a mené ses contrôles en mars 2024 ; la décision de sanction intervient donc plus de deux ans et demi plus tard.
Comment la CNIL a-t-elle fixé le montant ?
La formation restreinte retient trois éléments pour justifier le niveau de l'amende :
- Le non-respect du choix exprimé par les utilisateurs qui ne voulaient pas être suivis.
- Le nombre élevé d'utilisateurs de l'application concernés.
- Une doctrine répressive constante sur les traceurs à finalité commerciale, que les acteurs du secteur ne peuvent ignorer.
Le montant se répartit entre la société qui pilote les services du groupe (6 millions d'euros) et l'entité qui exploite le commerce en ligne de la Fnac (1 million d'euros). Selon le Journal du Net, Fnac conteste l'analyse juridique : le groupe estime qu'il s'agissait de recommandations de service, et non de publicité ciblée, et se réserve le droit de faire appel.
Pourquoi cette décision concerne toutes les applications ?
Beaucoup d'équipes associent encore « cookies » au seul navigateur. L'article 82 de la loi Informatique et Libertés, qui transpose la directive ePrivacy, est pourtant rédigé de façon neutre : il vise toute action d'accès ou d'inscription d'informations dans le terminal de l'utilisateur. Une application qui lit un identifiant et le transmet à un tiers est concernée au même titre qu'un site.
La décision Fnac montre aussi que le canal technique ne change rien. Que la collecte passe par un SDK embarqué, un cookie classique ou un appel d'API maison vers un domaine tiers, c'est la finalité qui compte. La personnalisation commerciale et l'entraînement d'algorithmes ne font pas partie des exemptions prévues pour les traceurs strictement nécessaires.
Les sanctions de la CNIL sur les traceurs se succèdent : le Journal du Net rappelle les 325 millions d'euros infligés à Google et les 150 millions d'euros visant Shein en 2025. Sur un autre terrain, la CNIL a aussi récemment sanctionné un hôpital de la Loire pour la sécurité des données de santé.
Ce que les équipes produit doivent vérifier maintenant
La conformité d'une application se prouve dans le trafic réseau, pas dans la politique de confidentialité. Quatre vérifications permettent de savoir où l'on en est :
- Inventorier les SDK et les appels sortants : analytics, recommandation, publicité, attribution, A/B testing. Pour chacun, noter le domaine destinataire, les identifiants transmis et la finalité.
- Tester le parcours de refus : installer l'application, refuser le consentement, puis capturer le trafic avec un proxy. Aucune requête non essentielle ne doit partir vers un tiers.
- Conditionner l'initialisation dans le code : les SDK non essentiels ne doivent s'initialiser qu'après un consentement enregistré, et s'arrêter si l'utilisateur le retire.
- Documenter et rejouer : intégrer ce test au processus de recette à chaque nouvelle version, car un SDK mis à jour peut changer de comportement sans prévenir.
Un audit de sécurité applicative peut inclure cette analyse du trafic. Pour les applications qui embarquent aussi de l'IA, les recommandations de la CNIL sur l'IA agentique et le RGPD ajoutent une couche de vigilance.
Questions fréquentes
Pourquoi la CNIL a-t-elle sanctionné Fnac Darty ?
Parce que l'application mobile Fnac déclenchait un traceur sans le consentement préalable des utilisateurs. Des requêtes partaient via une API vers un domaine tiers avec un identifiant et les produits consultés, pour personnaliser les recommandations et entraîner des algorithmes. La CNIL y voit un manquement à l'article 82 de la loi Informatique et Libertés.
Quel est le montant de l'amende ?
7 millions d'euros au total : 6 millions pour Fnac Darty Participations et Services et 1 million pour Fnac Direct. La formation restreinte a aussi prononcé une injonction de mise en conformité sous un mois, assortie d'une astreinte de 10 000 euros par jour de retard.
Les règles sur les cookies s'appliquent-elles aux applications mobiles ?
Oui. L'article 82 vise toute lecture ou écriture d'informations sur le terminal de l'utilisateur, qu'il s'agisse d'un navigateur ou d'une application. Les SDK et les appels d'API qui collectent des identifiants à des fins non strictement nécessaires au service demandé relèvent du consentement préalable.
Fnac Darty peut-il contester la décision ?
Oui. Selon le Journal du Net, Fnac conteste l'analyse juridique de la CNIL, estimant qu'il s'agissait de recommandations de service et non de publicité ciblée, et se réserve le droit de former un recours devant le Conseil d'État.
Sources
CNIL — Cookies et application mobile : sanctions de 7 millions d'euros à l'encontre des sociétés Fnac Darty Participations et Services et Fnac Direct (29 octobre 2026)
Journal du Net — La CNIL inflige 7 millions d'euros d'amendes à Fnac Darty (29 octobre 2026)
Boursorama — Données personnelles : la Cnil inflige une amende de 7 millions d'euros à Fnac Darty (29 octobre 2026)
Siècle Digital — La CNIL inflige 7 millions d'euros d'amende à Fnac Darty (30 octobre 2026)