La CNIL sanctionne la Fnac de 7 millions d'euros pour le traceur de son application

La Commission nationale de l'informatique et des libertés (CNIL) a infligé le 22 octobre 2026 une amende totale de 7 millions d'euros à deux sociétés du groupe Fnac Darty, pour un traceur de l'application mobile de la Fnac qui transmettait l'historique de navigation des utilisateurs sans leur consentement. La décision, référencée SAN-2026-015, a été rendue publique le 29 octobre 2026.

Que reproche la CNIL à la Fnac ?

Pendant l'utilisation de l'application, des requêtes partaient vers un domaine tiers. Elles contenaient un identifiant attribué par la Fnac à chaque utilisateur, associé à son activité, en particulier les produits consultés. Ces informations servaient à afficher des recommandations personnalisées et à entraîner l'algorithme chargé de les produire.

Pour la CNIL, ce dispositif est un traceur au sens de l'article 82 de la loi Informatique et Libertés : il lit ou dépose des informations sur le terminal de l'utilisateur. Cet article impose de recueillir l'accord de la personne avant de s'en servir, sauf si le traceur est indispensable au service demandé. Des suggestions commerciales n'entrent pas dans cette exception, puisque l'application fonctionne aussi sans elles.

Combien doivent payer les sociétés concernées ?

• 6 millions d'euros pour Fnac Darty Participations et Services ;

• 1 million d'euros pour Fnac Direct.

La formation restreinte, l'organe de la CNIL chargé des sanctions, justifie ce montant par le refus de choix laissé aux utilisateurs et par le nombre élevé de personnes qui utilisent l'application. Elle a aussi décidé de publier sa décision, compte tenu de la gravité du manquement et de la portée du traitement.

Quelle suite est prévue ?

La sanction s'accompagne d'une injonction. Les deux sociétés ont un mois, à compter de la notification de la décision, pour démontrer que leur nouvel outil recueille bien le consentement quand il est nécessaire. Passé ce délai, elles s'exposent à une astreinte de 10 000 euros par jour de retard, selon les informations rapportées par Clubic et Phonandroid.

D'où vient le dossier ?

L'affaire est partie d'une plainte de None Of Your Business (NOYB), l'association du juriste autrichien Max Schrems, spécialisée dans les recours contre les pratiques des entreprises numériques. La CNIL a contrôlé l'application en mars 2024, soit plus de deux ans avant la sanction.

Ce calendrier illustre un point utile aux éditeurs d'applications : les règles sur les traceurs s'appliquent aux applications mobiles comme aux sites web, et un identifiant envoyé à un tiers relève de la même obligation qu'un cookie. La CNIL indique d'ailleurs appliquer la même ligne aux traceurs de personnalisation et de ciblage publicitaire, sanction après sanction.

Ce que l'on ne sait pas encore

Sur le terrain, l'utilisateur d'une application peut vérifier ses réglages de confidentialité et refuser les traceurs de personnalisation quand l'application le propose. Ce refus doit être respecté : c'est précisément ce que la CNIL reproche à la Fnac de ne pas avoir permis.

Source

Informations issues de Clubic et de Phonandroid, qui citent la décision de la CNIL du 22 octobre 2026.