Par une délibération SAN-2026-015 du 22 octobre 2026, rendue publique le 29 octobre, la formation restreinte de la CNIL a prononcé une amende de 6 millions d'euros contre la société Fnac Darty Participations et Services et de 1 million d'euros contre la société Fnac Direct, responsables conjointes du traitement, pour manquement à l'article 82 de la loi du 6 janvier 1978. L'affaire est née d'une plainte de l'association NOYB en septembre 2023 et d'un contrôle en ligne de mars 2024 : l'application mobile Fnac continuait de transmettre à un outil de recommandation les produits consultés par l'utilisateur après que celui-ci avait cliqué sur « Continuer sans accepter ». La décision intéresse tous les éditeurs d'applications, et parmi eux les collectivités, établissements publics et opérateurs de services publics qui déploient des applications mobiles, parce qu'elle précise la qualification des traceurs hors cookies et le périmètre des exemptions.
Une API d'application mobile est un traceur soumis au consentement, comme un cookie
L'article 82 de la loi Informatique et Libertés, qui transpose l'article 5.3 de la directive « vie privée et communications électroniques », soumet au consentement préalable toute opération d'accès ou d'inscription d'informations dans l'équipement terminal de l'utilisateur. La formation restreinte constate que des opérations de lecture et d'écriture étaient réalisées via une interface de programmation sur le téléphone des utilisateurs, à des fins de personnalisation des produits affichés et d'entraînement de l'algorithme de recommandation, sans consentement préalable. La technologie employée est indifférente : un identifiant lu ou écrit par une API dans une application relève du même régime qu'un cookie déposé par un site. Les sociétés ont expliqué avoir corrigé un mauvais paramétrage sur Android, puis décommissionné l'outil fin 2024 ; la formation restreinte juge le manquement caractérisé pour la période passée, indépendamment de la mise en conformité ultérieure.
La recommandation de produits n'entre pas dans l'exemption des traceurs strictement nécessaires
Les sociétés invoquaient l'exemption prévue pour les traceurs ayant pour finalité exclusive de permettre la communication électronique ou strictement nécessaires à la fourniture d'un service demandé par l'utilisateur, en présentant la recommandation comme une aide à la navigation. La formation restreinte écarte l'argument pour les finalités commerciales. Elle admet qu'un simple affichage de produits similaires pourrait, en théorie, bénéficier de l'exemption, mais relève que cette fonction ne pouvait être isolée, puisqu'elle passait par la même opération que le ciblage commercial et l'entraînement de l'algorithme, et que l'affichage de produits complémentaires n'est pas strictement nécessaire au service. Un traceur unique servant plusieurs finalités est donc soumis au consentement pour l'ensemble, dès lors que l'une d'elles ne relève pas de l'exemption. La décision confirme la doctrine des lignes directrices de 2020 sur les cookies et l'étend sans réserve aux environnements applicatifs.
L'amende est calculée sur le chiffre d'affaires du groupe et assortie d'une astreinte
La gravité est retenue au regard de l'atteinte à la vie privée, de l'audience de l'application, qui dépasse 1,5 million de téléchargements en France pour 37 400 utilisateurs quotidiens, et de la négligence au regard des lignes directrices publiées en 2013 et 2020 et des sanctions antérieures. La coopération n'est pas retenue comme circonstance atténuante, parce qu'elle procède d'une obligation légale. Pour l'assiette, la formation restreinte applique la notion d'entreprise du droit de la concurrence et présume l'influence déterminante de la holding Fnac Darty SA sur ses filiales détenues à 100 %, présomption que les sociétés n'ont pas renversée ; le chiffre d'affaires du groupe, supérieur à 10 milliards d'euros en 2025, sert de référence. La décision prononce en outre une injonction de mise en conformité sous astreinte de 10 000 euros par jour à l'issue d'un délai d'un mois, et la publication nominative pendant deux ans.
Ce que la décision induit pour les éditeurs publics d'applications et de téléservices
Les personnes publiques qui mettent à disposition des applications mobiles, qu'il s'agisse de services de mobilité, de billetterie culturelle, de portails famille ou d'applications de participation citoyenne, sont soumises au même article 82. La décision impose de cartographier, dans chaque application, les kits de développement et interfaces de programmation qui lisent ou écrivent des informations sur le terminal, et de vérifier que le refus exprimé par l'utilisateur bloque effectivement chacune de ces opérations, sur chaque système d'exploitation. Les fonctions de personnalisation, de mesure d'audience non exemptée et d'amélioration algorithmique doivent être subordonnées à un consentement distinct, recueilli avant tout traçage et retirable aussi simplement qu'il a été donné. Le traitement par un prestataire ne déplace pas la responsabilité : l'éditeur public reste responsable, seul ou conjointement, et doit pouvoir démontrer le paramétrage et la preuve du consentement. La méthode de calcul de l'amende sur le chiffre d'affaires consolidé concerne au premier chef les groupes privés ; pour les opérateurs publics, le risque se situe dans l'injonction sous astreinte et la publicité de la sanction, qui atteignent directement la confiance des usagers dans le service numérique.
Références : CNIL, formation restreinte, délibération SAN-2026-015 du 22 octobre 2026, sociétés Fnac Direct et Fnac Darty Participations et Services ; communiqué de la CNIL du 29 octobre 2026 ; article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; article 5, paragraphe 3, de la directive 2002/58/CE du 12 juillet 2002 ; articles 31 et 83 du règlement (UE) 2016/679 du 27 avril 2016.
