La CNIL inflige 7 millions d'euros à Fnac Darty pour un suivi dans l'app malgré le refus des utilisateurs

Si votre site ou votre application envoie des données de navigation à un service de recommandation, de personnalisation ou de mesure d'audience, cet appel doit s'arrêter dès que l'utilisateur refuse son consentement. La CNIL a infligé 7 millions d'euros d'amende à Fnac Darty en octobre 2026, parce que l'application mobile Fnac continuait d'envoyer l'identifiant des utilisateurs et les produits consultés à un service de recommandation tiers après un clic sur « Continuer sans accepter ». La décision confirme aussi que les recommandations personnalisées et l'entraînement d'un algorithme exigent un consentement préalable, et qu'un traceur à plusieurs finalités ne peut pas être exempté si l'une d'elles requiert le consentement.

Avec UniConsent, vous reliez vos tags et vos applications à l'état du consentement par son API : les tags se chargent depuis le callback de la Consent Ready API et les SDK des applications démarrent une fois que le SDK UniConsent renvoie un choix positif. Rien n'est envoyé avant l'accord de l'utilisateur.

La CNIL inflige 7 millions d'euros à Fnac Darty pour un suivi dans l'app malgré le refus des utilisateurs

Ce que la CNIL a constaté

noyb a déposé la plainte en septembre 2023. La CNIL a contrôlé l'application mobile Fnac le 6 mars 2024. Sa formation restreinte a adopté la décision (SAN-2026-015) le 22 octobre 2026 et l'a publiée le 29 octobre 2026.

Pendant l'utilisation de l'application, des requêtes partaient via une API vers un domaine tiers. Chaque requête contenait un identifiant attribué par la Fnac à l'utilisateur et des informations sur son activité, comme les produits consultés. Ces données servaient à afficher des produits personnalisés, des produits complémentaires (accessoires, consommables, services) et des produits similaires, ainsi qu'à entraîner l'algorithme de recommandation. Les requêtes étaient envoyées même après un clic sur « Continuer sans accepter » dans la bannière de consentement. La CNIL a retenu ce non-respect du refus comme circonstance aggravante, de même que le nombre important d'utilisateurs de l'application.

L'amende est répartie entre deux sociétés du groupe : 6 millions d'euros pour Fnac Darty Participations et Services et 1 million d'euros pour Fnac Direct, qui exploite le site et l'application. Les deux doivent démontrer sous un mois que leur outil recueille le consentement lorsqu'il est requis, sous peine d'une astreinte de 10 000 euros par jour de retard.

Pourquoi les recommandations et l'entraînement d'algorithme exigent le consentement

Fnac Darty soutenait que ces opérations aidaient l'utilisateur à naviguer dans l'application en filtrant la présentation des produits, et que cette aide à la navigation était strictement nécessaire pour parcourir le catalogue.

La CNIL a rejeté cet argument. L'article 82 de la loi Informatique et Libertés n'exempte que les traceurs qui permettent la communication électronique, ou qui sont strictement nécessaires à un service expressément demandé par l'utilisateur. Les recommandations personnalisées, les suggestions de produits complémentaires et l'entraînement de l'algorithme ne relèvent d'aucun des deux cas. Ils servent la personnalisation et le ciblage commercial, et exigent donc un consentement préalable.

Distributeurs, éditeurs et banques défendent souvent la personnalisation de la même façon. Si un traceur sert à vendre plus, considérez qu'il exige le consentement.

La règle du traceur à finalités multiples

La CNIL a admis que l'affichage de produits similaires pourrait, en théorie et selon les modalités de mise en œuvre, être considéré comme strictement nécessaire. Elle ne l'a pourtant pas exempté, car cette fonction passait par le même et unique appel API que la personnalisation et l'entraînement de l'algorithme. La règle de la CNIL : un traceur poursuivant plusieurs finalités ne peut être exempté que si aucune de ces finalités ne nécessite le consentement.

De nombreux SDK d'analyse et de personnalisation regroupent plusieurs fonctions derrière une seule initialisation. Présenter une finalité comme « nécessaire » dans votre bannière ne sert à rien si le SDK envoie une seule requête qui alimente aussi le ciblage ou l'entraînement d'un modèle. Soit vous séparez l'appel pour que la partie exemptée tourne seule, soit vous soumettez tout le SDK au consentement.

Comment vérifier votre propre configuration

Refusez le consentement dans votre application ou sur votre site, puis observez le trafic réseau. Si des requêtes partent encore vers des services tiers de recommandation, de mesure ou de publicité, vous avez le problème constaté chez Fnac. N'importe quelle autorité disposant d'un appareil de test et d'un proxy réseau peut faire la même vérification.

Vérifiez que le consentement est confirmé avant le démarrage du SDK ou du tag, et pas transmis après que celui-ci s'est déjà chargé et a contacté son serveur. Vérifiez les SDK groupés finalité par finalité : si une finalité exige le consentement, tout l'appel l'exige. Et vérifiez que vos preuves de consentement correspondent à ce que montrent vos journaux réseau.

Comment UniConsent arrête l'appel de données

Une bannière qui se contente d'enregistrer un choix ne peut pas empêcher ce qui s'est passé chez Fnac. L'appel de données lui-même doit attendre le consentement.

Sur le web, vous chargez chaque tag et pixel depuis le callback de la Consent Ready API, qui se déclenche une fois que le visiteur a fait son choix. Un tag dont la finalité a été refusée n'est jamais chargé, donc la requête n'est jamais envoyée.

Dans les applications, les SDK UniConsent pour iOS, Android et les frameworks multiplateformes transmettent à votre code le choix de l'utilisateur par finalité et par vendor. Vous ne démarrez un SDK tiers que lorsque ce choix le permet. Voir UniConsent pour les applications mobiles.

Chaque choix est enregistré et horodaté dans la piste d'audit du consentement, pour montrer à une autorité que vos preuves de consentement correspondent à votre activité réseau. Le scanner de cookies liste les traceurs de votre site, y compris ceux qui déposent des cookies avant le consentement.

Démarrez un essai gratuit et vérifiez ce que votre site envoie avant et après un refus. Pour voir ce que vos pages font déjà avant le consentement, lancez le Consent Mode Checker gratuit.

Pour en savoir plus sur les contrôles de la CNIL, consultez la recommandation de la CNIL sur les pixels de suivi dans les e-mails et le panorama des amendes RGPD en 2026.

À propos d'UniConsent

UniConsent est la plateforme de gestion du consentement de Transfon. Elle aide les éditeurs et les entreprises à respecter le RGPD, le UK GDPR et les réglementations mondiales sur la vie privée, sur des dizaines de millions de sessions utilisateur par jour. Pour toute question sur la gestion du consentement ou la conformité RGPD, écrivez à hello@uniconsent.com.