Afficher le sommaire Masquer le sommaire
- Une délibération du 22 octobre 2026 visant deux sociétés du groupe
- Un traceur qui transmettait l’historique de navigation à un domaine tiers
- Ce qu’impose l’article 82 de la loi Informatique et Libertés
- Pourquoi la recommandation de produits n’échappe pas au consentement
- Une amende sans commune mesure avec les sanctions de l’été 2026
- Le refus exprimé dans une application engage l’éditeur
Ouvrir une application de commerce sur son téléphone, c’est souvent accepter sans le voir qu’elle observe ce que l’on consulte. Ces dispositifs de suivi portent un nom en droit français, les traceurs : tout mécanisme qui lit ou inscrit des informations dans votre appareil, qu’il s’agisse d’un cookie déposé par un navigateur ou d’un identifiant transmis par une application mobile.
La Commission nationale de l’informatique et des libertés a rendu publique le 29 octobre 2026 une sanction de 7 millions d’euros contre les sociétés Fnac Darty Participations et Services et Fnac Direct. Le reproche est précis : un traceur continuait de suivre la navigation des utilisateurs de l’application mobile de l’enseigne alors qu’ils avaient refusé d’y consentir. Que dit exactement cette décision des règles applicables aux applications, et quelle place prend-elle parmi les sanctions prononcées cette année ?
Une délibération du 22 octobre 2026 visant deux sociétés du groupe
La décision porte le numéro délibération SAN-2026-015 du 22 octobre 2026. Elle émane de la formation restreinte, l’organe de la CNIL chargé de prononcer les sanctions, et répartit l’amende entre les deux sociétés éditrices : 6 millions d’euros pour Fnac Darty Participations et Services, 1 million d’euros pour Fnac Direct.
À lireCarte d’invalidité : l’ancien modèle cesse d’être valable le 31 décembre 2026, remplacé par la carte mobilité inclusionLa procédure trouve son origine dans une plainte de l’association None Of Your Business, connue sous le sigle noyb. Saisie de cette plainte, la CNIL a contrôlé l’application en mars 2024, soit plus de deux ans et demi avant la sanction. Selon le communiqué publié par la CNIL le 29 octobre 2026, la décision est rendue publique au regard de la gravité du manquement, de la portée du traitement et du nombre de personnes concernées. Le contenu même du traceur mis en cause éclaire cette sévérité.
Un traceur qui transmettait l’historique de navigation à un domaine tiers
Les constatations de la CNIL décrivent un mécanisme discret. Pendant l’utilisation de l’application, des requêtes partaient vers un domaine tiers par une interface de programmation, et chaque requête contenait un identifiant attribué à l’utilisateur, accompagné d’informations sur son activité, au premier rang desquelles les produits consultés.
Ces données servaient à deux usages. Le premier consistait à afficher des produits personnalisés selon l’historique de navigation, des accessoires, consommables ou services associés aux articles vus ou achetés, et des produits aux caractéristiques proches. Le second visait à entraîner l’algorithme de recommandations de l’enseigne. Le point décisif tient au fait que ces opérations se poursuivaient pour les utilisateurs qui avaient exprimé leur refus, ce qui renvoie directement aux conditions posées par la loi.
Ce qu’impose l’article 82 de la loi Informatique et Libertés
Les règles applicables aux traceurs figurent à l’article 82 de la loi n° 78-17 du 6 janvier 1978, qui vise tout équipement terminal de communications électroniques, ordinateur comme smartphone. Le texte articule quatre éléments :
- une information claire et complète sur la finalité de tout accès ou de toute inscription d’informations dans l’appareil ;
- une information sur les moyens dont dispose l’utilisateur pour s’y opposer ;
- un consentement exprimé après cette information, avant tout accès ou inscription ;
- deux exemptions seulement, pour les traceurs ayant pour finalité exclusive de permettre la communication électronique ou strictement nécessaires à un service demandé expressément par l’utilisateur.
Le principe est donc celui du consentement préalable, et les exemptions s’interprètent strictement. Le même renversement s’observe dans d’autres domaines, comme l’illustre le démarchage téléphonique soumis à accord préalable depuis le 11 août 2026 : le silence de l’utilisateur ne vaut pas acceptation. Reste à savoir pourquoi la recommandation de produits n’entre dans aucune des deux exemptions.
Pourquoi la recommandation de produits n’échappe pas au consentement
Une application de commerce fonctionne sans recommandations personnalisées : l’utilisateur peut chercher un produit, le consulter et l’acheter. Pour la CNIL, ces opérations n’avaient pas pour finalité de faciliter la communication électronique et n’étaient pas strictement nécessaires au service demandé, ce qui les plaçait hors des deux exemptions de l’article 82.
Elles ne pouvaient, dès lors, être mises en œuvre sans le consentement préalable des personnes concernées.
Commission nationale de l’informatique et des libertés, communiqué du 29 octobre 2026 accompagnant la délibération n° SAN-2026-015
La formation restreinte a justifié le montant par trois éléments : la méconnaissance du choix exprimé par l’utilisateur, le grand nombre de personnes qui utilisent l’application et une doctrine répressive constante et bien établie sur les traceurs de personnalisation et de ciblage commercial. Autrement dit, la règle appliquée n’avait rien de nouveau au moment des faits.
La sanction s’accompagne d’une injonction sous astreinte. Les deux sociétés disposent d’un mois à compter de la notification de la décision pour démontrer que leur nouvel outil recueille le consentement lorsque celui-ci est requis, sous peine de 10 000 euros d’astreinte par jour de retard. La comparaison avec les autres sanctions de l’année permet de mesurer le poids de cette décision.
Une amende sans commune mesure avec les sanctions de l’été 2026
Le tableau suivant rapproche cette décision des deux sanctions de la formation restreinte adoptées le 21 juillet 2026, l’une contre la société de conseil Extia pour des demandes d’effacement, l’autre contre l’Hôpital privé de la Loire après l’intrusion dans son dossier patient. Les trois délibérations portent sur des manquements distincts, ce qui en fait un repère utile.
| Délibération | Organisme sanctionné | Manquement retenu | Amende |
|---|---|---|---|
| SAN-2026-009 du 21 juillet 2026 | Hôpital privé de la Loire | Sécurité des données de santé (articles 32 et 34 du RGPD) | 500 000 € |
| SAN-2026-010 du 21 juillet 2026 | Extia | Demandes d’effacement de candidats et d’anciens salariés non traitées | 300 000 € |
| SAN-2026-015 du 22 octobre 2026 | Fnac Darty Participations et Services et Fnac Direct | Traceur sans consentement dans une application (article 82) | 7 000 000 € |
L’amende infligée aux deux sociétés du groupe représente quatorze fois celle de l’Hôpital privé de la Loire et plus de vingt-trois fois celle d’Extia. L’article 20 de la loi de 1978 plafonne l’amende à 10 millions d’euros ou, pour une entreprise, à 2 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu ; ce plafond passe à 20 millions d’euros ou 4 % pour certains manquements au RGPD.
À lireColis importés : le règlement délégué (UE) 2026/2152 fixe des frais de traitement de 2 € par catégorie d’articles au 1er novembreLe même article limite l’astreinte à 100 000 euros par jour de retard. L’astreinte fixée ici en représente un dixième, un niveau qui laisse de la marge en cas de nouvelle procédure. Pour l’utilisateur, la portée de la décision se joue surtout sur un autre terrain.
Le refus exprimé dans une application engage l’éditeur
L’article 82 ne distingue pas le site internet de l’application, et la décision du 22 octobre 2026 l’applique à un traceur intégré à une application mobile. Un éditeur qui continue de transmettre l’historique de navigation après ce refus s’expose à une sanction, et l’argument de l’amélioration du service ne suffit pas à faire entrer un traceur commercial dans les exemptions de l’article 82.
La loi de 1978 confie à la CNIL le traitement des réclamations introduites par une personne concernée ou par une association, et c’est une plainte de ce type qui est à l’origine de la décision du 22 octobre 2026. Au-delà de l’amende, l’injonction d’un mois fixe la prochaine échéance de ce dossier. Un avocat exerçant en droit des données personnelles est le professionnel compétent pour apprécier une situation individuelle sur ce terrain.