Un seul traceur, 7 millions d'euros
Le 22 octobre 2026, la CNIL a sanctionné la Fnac : 6 M€ pour Fnac Darty Participations et Services, 1 M€ pour Fnac Direct. L'application mobile continuait de lire et d'écrire sur le téléphone des utilisateurs après un clic sur "Continuer sans accepter". La délibération SAN-2026-015 est en ligne sur Légifrance depuis le 29 octobre.
La Fnac avait déjà reçu une mise en demeure en février, pour les cookies de son site. Cette fois, c'est une vraie sanction, elle vise l'application, et elle arrive plus de trois ans après la plainte. Pas sûr que les équipes de la FNAC soient très fans de la CNIL...
Le montant va faire les titres. Le plus utile pour vous est ailleurs : la CNIL reconnaît qu'une partie du traceur aurait pu se passer de consentement, et elle sanctionne quand même le tout. A-t-on une régulation qui met des bâtons dans les roues des sociétés françaises ou est-ce que cette sanction protège l'utilisateur ?
Trois ans entre la plainte et la sanction
- 15 septembre 2023 : l'association noyb porte plainte. D'après elle, l'application Android envoyait des données, dont l'identifiant publicitaire, via le SDK Batch dès l'ouverture, avant le moindre choix sur la bannière.
- 6 mars 2024 : la CNIL contrôle l'application.
- Décembre 2024 : l'outil en cause est retiré (le 19 sur Android, le 20 sur iOS) et remplacé en janvier 2025.
- 22 octobre 2026 : sanction, mais pas exactement ce qu'attendait noyb.
On appréciera la vitesse de traitement à l'ère où le numérique prend un coup de boost avec les IA. Les personnes ayant mis en place ce système ont peut-être même quitté le navire entre-temps...
Ce que faisait l'application
Une API de recommandation, dont le nom est masqué dans la décision (c'est bien dommage, savoir si c'était une API interne ou externe aurait expliqué la décision), lisait et écrivait sur le terminal pour afficher des produits recommandés et entraîner un algorithme. Y compris après un refus. L'application comptait plus de 1,5 million de téléchargements en France entre mars 2023 et mars 2024, soit environ 37 400 utilisateurs par jour. Ce volume a motivé le montant de l'amende.
La Fnac ne conteste pas les faits. Sa défense : ces opérations étaient "strictement nécessaires" au service demandé par l'utilisateur, ce qui les dispense de consentement au titre de l'article 82 de la loi Informatique et Libertés. Après tout, la plupart des moteurs de recommandation musicaux ou les algorithmes de contenu font pareil, pourquoi ne pas prendre ce point ?
La CNIL a regardé chaque usage séparément
| Usage du traceur | Ce qu'en dit la CNIL |
|---|---|
| Personnalisation des contenus | Promouvoir des produits vendus par la Fnac, c'est du ciblage commercial. Consentement requis. |
| Produits complémentaires | "Pas strictement nécessaire au fonctionnement du service". Consentement requis. |
| Produits similaires | Pourrait, "en théorie", être exempté. |
| Entraînement de l'algorithme | Sert directement la recommandation commerciale. Consentement requis. |
Les produits similaires auraient donc pu passer. Sauf que tout transitait par le même appel. La CNIL l'écrit en toutes lettres : cette finalité "ne peut cependant, en l'espèce, être isolée des finalités décrites ci-dessus dès lors qu'elle est réalisée par le biais de la même et unique opération de lecture et écriture".
La règle qui en découle : un traceur qui sert plusieurs finalités n'est exempté que si aucune d'entre elles n'exige le consentement. Un seul usage commercial suffit à tout faire basculer.
Un traceur prend la règle de sa finalité la plus exigeante.
Au total : 7 M€ d'amende, un mois pour prouver la mise en conformité, 10 000 € d'astreinte par jour de retard, et la publication de la décision. L'outil a beau avoir été retiré, la CNIL note que les mesures annoncées par la Fnac ne sont pas démontrées "à ce stade".
Ce que la décision ne dit pas
Un seul manquement est retenu : l'article 82, donc l'accès au terminal. La plainte de noyb allait plus loin. Elle invoquait aussi les articles 5, 6 et 25 du RGPD, demandait l'effacement des données et l'information des destinataires.
Sur tous ces points, la décision ne dit rien. Elle ne les rejette pas, elle n'ordonne pas d'effacement. On ne sait pas ce qu'ils sont devenus.
Autre zone floue : la plainte parle du SDK Batch et de l'identifiant publicitaire, la décision d'une API de recommandation. Le texte ne permet pas de savoir s'il s'agit du même outil. Il y a fort à parier que la durée de la plainte ait entraîné une nouvelle découverte lors du contrôle qui n'avait rien à voir avec le grief d'origine. Comme d'habitude avec la CNIL, le silence ne vaut pas approbation, nous resterons dans le flou.
Ce que j'en retiens
Avec un appel séparé, les produits similaires auraient pu passer. Dans un audit, la bonne question n'est donc pas "à quoi sert cet outil ?" mais "qu'est-ce qui part du téléphone, et pour en faire quoi ?".
Le raisonnement dépasse l'e-commerce. Musique, vidéo, presse : toute application qui recommande du contenu et entraîne un modèle avec le même flux de données est concernée. Spotify, par exemple, invoque dans sa politique de confidentialité l'exécution du contrat pour personnaliser vos recommandations, l'intérêt légitime pour les améliorer et entraîner ses modèles, et le consentement pour le marketing quand la loi l'exige, à commencer par les cookies. Même schéma chez TikTok, dont la politique de confidentialité range le fil "Pour toi" sous la nécessité contractuelle, l'entraînement de ses "modèles et algorithmes d'apprentissage automatique" sous l'intérêt légitime, et ne sert de publicités personnalisées que "lorsque cela est autorisé". Mais attention à la confusion : ce sont des bases légales RGPD. L'article 82 pose une autre question, celle du droit d'accéder au terminal, et un intérêt légitime n'y répond pas.
Le délai pose question. Plus de trois ans entre la plainte et la sanction, pour un outil retiré depuis presque deux ans, et sur un périmètre plus étroit que celui de la plainte. La sanction servira surtout d'avertissement aux autres.
Que fait-on de cette info ?
On savait que la CNIL se penchait sur les apps, elle nous le dit à chaque nouvelle année. Auditer les flux sortants sur un terminal mobile est un casse-tête technique incroyable. Des outils comme Netvigie ou Webclew essaient de proposer des solutions de contrôle automatique des flux et des traceurs mais la marche reste haute. Bien plus que pour le web.
Mais même en étant peu à l'aise avec ces infos, le fait de faire ces contrôles est un élément déterminant lors des contrôles de la CNIL. Ici, faute de pouvoir prouver que l'API était bien désactivée et la mise en conformité effective, la Fnac écope, en plus de l'amende, d'une injonction sous astreinte de 10 000 € par jour.
Dura Lex Sed Lex
Alors, la CNIL a-t-elle aidé les consommateurs français en les protégeant ? Très honnêtement, je suis mitigé sur cette annonce. Alors que des environnements fermés sous connexion font marcher leurs algos pour proposer du contenu relatif aux goûts des utilisateurs, on tape sur l'e-commerce français pour la même chose. Le risque ? Avoir des produits similaires ? Des recommandations personnalisées ? Un entraînement du modèle ? Sur l'app uniquement ou dans le remarketing publicitaire ?
Difficile de voir tout cela. Cette amende a quand même un goût très amer et je ne serais pas surpris que Fnac Darty fasse un recours devant le Conseil d'État pour se défendre (et accessoirement faire traîner la procédure, bien malin sera celui qui prédira l'avenir de la CNIL sur le mandat à venir).
La CNIL a clairement un rôle à jouer sur la clarification et surtout, sur la vitesse à laquelle elle rend ses jugements. Un arbitre qui met 3 ans à regarder la VAR rend le match injouable.
Sources : CNIL, délibération SAN-2026-015 du 22 octobre 2026 (Légifrance) - noyb, plainte contre la Fnac (PDF, version caviardée) - Spotify, politique de confidentialité - TikTok, politique de confidentialité EEE.