Traceur dans l'application mobile : la CNIL inflige 7 millions d'euros à la Fnac, saisie par noyb
Le 22 octobre 2026, la formation restreinte de la CNIL a infligé 7 millions d'euros d'amende à FNAC DARTY PARTICIPATIONS ET SERVICES et FNAC DIRECT. En cause : un traceur de l'application mobile Fnac qui transmettait l'historique de navigation des utilisateurs à un domaine tiers, sans leur consentement, pour personnaliser les recommandations de produits et entraîner l'algorithme qui les produit. La décision, présentée par la CNIL dans un communiqué du 29 octobre, rappelle qu'un traceur n'a pas besoin d'être un cookie pour tomber sous l'article 82 de la loi Informatique et Libertés.
Ce que la CNIL reproche à la Fnac
Tout part d'une plainte de l'association noyb. Saisie, la CNIL a contrôlé l'application mobile éditée par les deux sociétés en mars 2024. Elle a constaté que, pendant l'utilisation de l'application, des requêtes partaient via une API vers un domaine tiers. Ces requêtes portaient un identifiant attribué à l'utilisateur par la Fnac et des informations sur son activité, comme les produits consultés.
Ce traceur servait à afficher dans l'application des produits personnalisés selon l'historique de navigation, des produits complémentaires (accessoires, consommables, services associés) et des produits similaires à ceux consultés. Il servait aussi à entraîner l'algorithme de recommandations.
L'amende se répartit en 6 millions d'euros pour FNAC DARTY PARTICIPATIONS ET SERVICES et 1 million d'euros pour FNAC DIRECT. La formation restreinte y ajoute une injonction sous astreinte : les sociétés ont un mois à compter de la notification pour démontrer que le nouvel outil qu'elles utilisent recueille désormais le consentement lorsqu'il est nécessaire, faute de quoi elles s'exposent à 10 000 euros d'astreinte par jour de retard.
Pourquoi c'est important
L'article 82 de la loi Informatique et Libertés soumet au consentement préalable toute lecture ou écriture d'informations sur le terminal de l'utilisateur, sauf deux exemptions : l'opération a pour seule finalité de permettre ou faciliter la communication par voie électronique, ou elle est strictement nécessaire à un service demandé expressément par l'utilisateur. Pour la CNIL, la personnalisation des recommandations et l'entraînement d'un algorithme n'entrent dans aucune des deux.
Trois éléments ont pesé sur le montant, selon la CNIL : le non-respect du choix exprimé par l'utilisateur de ne pas consentir au suivi de sa navigation, le grand nombre d'utilisateurs de l'application, et l'existence d'une « doctrine répressive constante et bien établie » sur les traceurs de personnalisation et de ciblage commercial. Autrement dit, la CNIL considère que le sujet n'est plus nouveau. Elle avait d'ailleurs déjà traité des dossiers de traceurs en procédure simplifiée, comme le montre notre point sur ses 23 sanctions en six mois, et les sanctions du début d'année pèsent lourd, comme le relevait notre bilan du premier trimestre 2026.
Le dossier porte aussi un enseignement technique : le traceur sanctionné n'est pas un cookie de navigateur, mais un appel d'API émis depuis une application. Les règles d'une application mobile ne sont pas plus souples que celles d'un site, un point détaillé dans notre webinaire sur le RGPD et les applications mobiles.
Ce que ça change pour les organisations
- Inventorier les flux sortants des applications mobiles, pas seulement les cookies du site : SDK, appels d'API vers des domaines tiers, identifiants transmis.
- Pour chaque flux, documenter sa finalité et vérifier s'il relève vraiment d'une exemption de l'article 82. Recommandation de produits et entraînement d'algorithme n'en relèvent pas, selon cette décision.
- Tester le refus : un utilisateur qui refuse ne doit déclencher aucun des traceurs soumis au consentement, et ce test se rejoue à chaque nouvelle version de l'application.
- Quand un prestataire tiers reçoit ces données, encadrer la relation contractuelle et vérifier son rôle au regard de l'article 28 du RGPD.
- Relire la configuration de l'outil de recueil du consentement côté mobile, un sujet abordé dans notre guide Cookies RGPD : comment s'assurer d'être en conformité ?
Ce que Leto en pense
Cette sanction ne porte pas sur un bandeau mal conçu, mais sur un flux de données qu'il est facile de prendre pour une simple fonctionnalité de recommandation. C'est le cas typique où la conformité se joue dans la cartographie : un traitement qui n'est pas inscrit au registre, avec sa finalité et son destinataire, n'est jamais passé devant le DPO. Tenir un registre vivant, relié aux équipes produit et aux prestataires, est le moyen le plus sûr de voir ces flux avant la CNIL. C'est ce que nous outillons chez Leto, et vous pouvez le voir en démonstration.
Sources
