La CNIL sanziona Fnac Darty per 7 milioni di euro: tracciamento nell'app dopo il rifiuto

Se il vostro sito o la vostra app invia dati di navigazione a un servizio di raccomandazione, personalizzazione o analisi, quella chiamata deve fermarsi quando l'utente rifiuta il consenso. A ottobre 2026 la CNIL ha inflitto a Fnac Darty una sanzione di 7 milioni di euro perché l'app mobile Fnac continuava a inviare identificativi degli utenti e prodotti visualizzati a un servizio di raccomandazione di terze parti dopo che gli utenti avevano cliccato «Continuer sans accepter» (Continua senza accettare). La decisione conferma anche che le raccomandazioni personalizzate e l'addestramento degli algoritmi richiedono il consenso preventivo, e che un tracker con più finalità non può essere esente se anche una sola di esse richiede il consenso.

Con UniConsent collegate tag e app allo stato del consenso tramite la sua API: i tag si caricano dal callback della Consent Ready API e gli SDK delle app partono quando l'SDK UniConsent restituisce una scelta positiva. Nulla viene inviato prima che l'utente acconsenta.

La CNIL sanziona Fnac Darty per 7 milioni di euro: tracciamento nell'app dopo il rifiuto

Cosa ha accertato la CNIL

noyb ha presentato il reclamo a settembre 2023. La CNIL ha ispezionato l'app mobile Fnac il 6 marzo 2024. La sua formazione ristretta ha adottato la decisione (SAN-2026-015) il 22 ottobre 2026 e l'ha pubblicata il 29 ottobre 2026.

Durante l'uso dell'app partivano richieste tramite un'API verso un dominio di terze parti. Ogni richiesta conteneva un identificativo assegnato da Fnac all'utente e informazioni sulla sua attività, come i prodotti visualizzati. I dati servivano a mostrare prodotti personalizzati, articoli complementari (accessori, materiali di consumo, servizi) e prodotti simili, e ad addestrare l'algoritmo di raccomandazione. Le richieste venivano inviate anche dopo il clic su «Continuer sans accepter» nel banner di consenso. La CNIL ha considerato questo mancato rispetto del rifiuto una circostanza aggravante, insieme al gran numero di utenti dell'app.

La sanzione è ripartita tra due società del gruppo: 6 milioni di euro a Fnac Darty Participations et Services e 1 milione a Fnac Direct, che gestisce sito e app. Entrambe devono dimostrare entro un mese che il loro strumento raccoglie il consenso quando è necessario, altrimenti pagheranno 10.000 euro per ogni giorno di ritardo.

Perché raccomandazioni e addestramento degli algoritmi richiedono il consenso

Fnac Darty sosteneva che queste operazioni aiutassero l'utente a navigare nell'app filtrando la presentazione dei prodotti, e che questo aiuto alla navigazione fosse strettamente necessario per consultare il catalogo.

La CNIL ha respinto l'argomento. L'articolo 82 della legge francese sulla protezione dei dati (Loi Informatique et Libertés) esenta solo i tracker che consentono la comunicazione elettronica o che sono strettamente necessari a un servizio richiesto espressamente dall'utente. Le raccomandazioni personalizzate, i suggerimenti di prodotti complementari e l'addestramento dell'algoritmo non rientrano in nessuno dei due casi. Servono alla personalizzazione e al targeting commerciale, quindi richiedono il consenso preventivo.

Retailer, editori e banche difendono spesso la personalizzazione allo stesso modo. Se un tracker serve a vendere di più, trattatelo come soggetto a consenso.

La regola dei tracker con più finalità

La CNIL ha riconosciuto che mostrare prodotti simili potrebbe, in teoria e a seconda di come è realizzato, essere considerato strettamente necessario. Non lo ha comunque esentato, perché quella funzione passava per la stessa e unica chiamata API usata per la personalizzazione e l'addestramento dell'algoritmo. La regola della CNIL: un tracker con più finalità può essere esente solo se nessuna di esse richiede il consenso.

Molti SDK di analisi e personalizzazione raggruppano più funzioni dietro un'unica inizializzazione. Indicare una finalità come «necessaria» nel banner non serve se l'SDK invia un'unica richiesta che alimenta anche il targeting o l'addestramento di modelli. O separate la chiamata in modo che la parte esente funzioni da sola, oppure trattate l'intero SDK come soggetto a consenso.

Come verificare la vostra configurazione

Rifiutate il consenso nella vostra app o sul vostro sito e osservate il traffico di rete. Se partono ancora richieste verso servizi di terze parti di raccomandazione, analisi o pubblicità, avete lo stesso problema che la CNIL ha trovato in Fnac. Qualsiasi autorità con un dispositivo di test e un proxy di rete può fare la stessa verifica.

Controllate che il consenso sia confermato prima che l'SDK o il tag si avvii, e non passato dopo che si è già caricato e ha inviato dati. Controllate gli SDK raggruppati finalità per finalità: se una finalità richiede il consenso, lo richiede l'intera chiamata. E controllate che le vostre registrazioni del consenso corrispondano a ciò che mostrano i log di rete.

Come UniConsent ferma la chiamata dei dati

Un banner che si limita a registrare una scelta non può impedire quello che è successo in Fnac. È la chiamata dei dati stessa che deve aspettare il consenso.

Sul web, caricate ogni tag e pixel dal callback della Consent Ready API, che scatta quando il visitatore ha fatto la sua scelta. Un tag la cui finalità è stata rifiutata non viene mai caricato, quindi la richiesta non parte mai.

Nelle app, gli SDK UniConsent per iOS, Android e i framework multipiattaforma passano al vostro codice la scelta dell'utente per finalità e per vendor. Avviate un SDK di terze parti solo quando quella scelta lo consente. Vedete UniConsent per le app mobile.

Ogni scelta viene salvata con data e ora nell'audit trail del consenso, così potete dimostrare a un'autorità che le registrazioni del consenso corrispondono all'attività di rete. Lo scanner dei cookie elenca i tracker del vostro sito, compresi quelli che impostano cookie prima del consenso.

Avviate una prova gratuita e verificate cosa invia il vostro sito prima e dopo un rifiuto. Per vedere cosa fanno già le vostre pagine prima del consenso, usate il Consent Mode Checker gratuito.

Per approfondire i provvedimenti della CNIL, leggete la raccomandazione della CNIL sui pixel di tracciamento nelle email e la panoramica delle sanzioni GDPR del 2026.

Informazioni su UniConsent

UniConsent è la piattaforma di gestione del consenso di Transfon. Aiuta editori e aziende a rispettare il GDPR, il UK GDPR e le normative globali sulla privacy su decine di milioni di sessioni utente al giorno. Per domande sulla gestione del consenso o sulla conformità al GDPR, scrivete a hello@uniconsent.com.