La CNIL multa a Fnac Darty con 7 millones de euros por rastrear en su app tras el rechazo

Si tu web o tu app envía datos de navegación a un servicio de recomendaciones, personalización o analítica, esa llamada tiene que detenerse cuando el usuario rechaza el consentimiento. La CNIL multó a Fnac Darty con 7 millones de euros en octubre de 2026 porque la app móvil de Fnac seguía enviando identificadores de usuario y productos vistos a un servicio de recomendaciones de terceros después de que los usuarios pulsaran «Continuer sans accepter» (Continuar sin aceptar). La decisión confirma además que las recomendaciones personalizadas y el entrenamiento de algoritmos requieren consentimiento previo, y que un rastreador con varias finalidades no puede quedar exento si alguna de ellas necesita consentimiento.

Con UniConsent conectas tus etiquetas y apps al estado del consentimiento a través de su API: las etiquetas se cargan desde el callback de la Consent Ready API y los SDK de las apps arrancan cuando el SDK de UniConsent devuelve una elección positiva. No se envía nada antes de que el usuario acepte.

La CNIL multa a Fnac Darty con 7 millones de euros por rastrear en su app tras el rechazo

Qué encontró la CNIL

noyb presentó la reclamación en septiembre de 2023. La CNIL inspeccionó la app móvil de Fnac el 6 de marzo de 2024. Su formación restringida adoptó la decisión (SAN-2026-015) el 22 de octubre de 2026 y la publicó el 29 de octubre de 2026.

Mientras se usaba la app, salían peticiones a través de una API hacia un dominio de terceros. Cada petición llevaba un identificador que Fnac asignaba al usuario y datos sobre su actividad, como los productos vistos. Los datos se usaban para mostrar productos personalizados, artículos complementarios (accesorios, consumibles, servicios) y productos similares, y para entrenar el algoritmo de recomendación. Las peticiones se enviaban incluso después de que el usuario pulsara «Continuer sans accepter» en el banner de consentimiento. La CNIL consideró ese desprecio del rechazo como circunstancia agravante, junto con el gran número de usuarios de la app.

La multa se reparte entre dos sociedades del grupo: 6 millones de euros para Fnac Darty Participations et Services y 1 millón para Fnac Direct, que gestiona la web y la app. Ambas deben demostrar en el plazo de un mes que su herramienta recoge el consentimiento cuando es necesario, o pagar 10.000 euros por cada día de retraso.

Por qué las recomendaciones y el entrenamiento de algoritmos requieren consentimiento

Fnac Darty alegó que estas operaciones ayudaban al usuario a navegar por la app filtrando la presentación de los productos, y que esa ayuda a la navegación era estrictamente necesaria para recorrer el catálogo.

La CNIL lo rechazó. El artículo 82 de la ley francesa de protección de datos (Loi Informatique et Libertés) solo exime a los rastreadores que permiten la comunicación electrónica o que son estrictamente necesarios para un servicio que el usuario ha solicitado expresamente. Las recomendaciones personalizadas, las sugerencias de productos complementarios y el entrenamiento del algoritmo no son ninguna de las dos cosas. Sirven a la personalización y la segmentación comercial, así que necesitan consentimiento previo.

Comercios, editores y bancos suelen defender la personalización del mismo modo. Si un rastreador sirve para vender más, trátalo como sujeto a consentimiento.

La regla del rastreador con varias finalidades

La CNIL admitió que mostrar productos similares podría, en teoría y según cómo se implemente, considerarse estrictamente necesario. Aun así no lo eximió, porque esa función pasaba por la misma y única llamada a la API que la personalización y el entrenamiento del algoritmo. La regla de la CNIL: un rastreador con varias finalidades solo puede quedar exento si ninguna de ellas necesita consentimiento.

Muchos SDK de analítica y personalización agrupan varias funciones tras una sola inicialización. Marcar una finalidad como «necesaria» en el banner no sirve de nada si el SDK envía una única petición que también alimenta la segmentación o el entrenamiento de modelos. O separas la llamada para que la parte exenta funcione sola, o tratas todo el SDK como sujeto a consentimiento.

Cómo revisar tu propia configuración

Rechaza el consentimiento en tu app o en tu web y observa el tráfico de red. Si siguen saliendo peticiones a servicios de terceros de recomendaciones, analítica o publicidad, tienes el mismo problema que la CNIL encontró en Fnac. Cualquier autoridad con un dispositivo de prueba y un proxy de red puede hacer esta comprobación.

Comprueba que el consentimiento se confirma antes de que arranque el SDK o la etiqueta, y no se le pasa después de que ya se haya cargado y enviado datos. Revisa los SDK agrupados finalidad por finalidad: si una finalidad necesita consentimiento, toda la llamada lo necesita. Y comprueba que tus registros de consentimiento coinciden con lo que muestran tus registros de red.

Cómo UniConsent detiene la llamada de datos

Un banner que solo guarda una elección no puede evitar lo que pasó en Fnac. La propia llamada de datos tiene que esperar al consentimiento.

En la web, cargas cada etiqueta y píxel desde el callback de la Consent Ready API, que se activa cuando el visitante ha elegido. Una etiqueta cuya finalidad se ha rechazado nunca se carga, así que la petición nunca se envía.

En las apps, los SDK de UniConsent para iOS, Android y frameworks multiplataforma pasan a tu código la elección del usuario por finalidad y por vendor. Solo arrancas un SDK de terceros cuando esa elección lo permite. Consulta UniConsent para apps móviles.

Cada elección se guarda con fecha y hora en el registro de auditoría del consentimiento, para que puedas demostrar a una autoridad que tus registros de consentimiento coinciden con tu actividad de red. El escáner de cookies muestra los rastreadores de tu web, incluidos los que instalan cookies antes del consentimiento.

Empieza una prueba gratuita y comprueba qué envía tu web antes y después de un rechazo. Para ver qué hacen ya tus páginas antes del consentimiento, usa el Consent Mode Checker gratuito.

Para saber más sobre las actuaciones de la CNIL, consulta la recomendación de la CNIL sobre píxeles de seguimiento en correos electrónicos y el resumen de multas RGPD de 2026.

Sobre UniConsent

UniConsent es la plataforma de gestión del consentimiento de Transfon. Ayuda a editores y empresas a cumplir el RGPD, el UK GDPR y la normativa de privacidad global en decenas de millones de sesiones de usuario al día. Para consultas sobre gestión del consentimiento o cumplimiento del RGPD, escribe a hello@uniconsent.com.