La Fnac écope de 7 millions d'euros pour avoir pisté des clients qui avaient refusé

« Continuer sans accepter. » Des utilisateurs de l'application Fnac ont cliqué sur ce bouton, et leurs consultations de produits ont malgré tout été transmises à un tiers. Ce constat a pesé dans la sanction de la CNIL : 7 millions d'euros d'amende, décidée le 22 octobre et publiée le 29 octobre.

L'amende se répartit entre Fnac Darty Participations et Services (6 millions d'euros) et Fnac Direct (1 million). Elle s'accompagne d'une injonction : les deux sociétés ont un mois pour prouver que leur nouvel outil recueille bien le consentement, sous peine de 10 000 euros par jour de retard.

Comment l'application suivait-elle ses utilisateurs ?

Tout part d'une plainte de l'association noyb. La CNIL contrôle l'application mobile de la Fnac en mars 2024. Elle constate que l'application envoie, par une interface de programmation (API), des requêtes vers le domaine d'un tiers, dont le nom est masqué dans la décision. Chaque requête contient un identifiant de l'utilisateur et son activité, comme les produits consultés.

Ces données servaient à proposer des accessoires, consommables, services ou produits similaires, et à entraîner l'algorithme de recommandation. Pour la CNIL, ce traceur exigeait un consentement préalable au titre de l'article 82 de la loi Informatique et Libertés : il poursuivait des finalités commerciales qui n'étaient pas strictement nécessaires au service demandé par l'utilisateur.

Ce que la Fnac a répondu

Selon la décision publiée sur Légifrance, la Fnac présentait ces recommandations comme une aide à la navigation essentielle. Elle estimait que l'utilisateur les avait demandées en installant l'application et en acceptant ses conditions, et que la doctrine de la CNIL n'était pas stabilisée. La formation restreinte a écarté ces arguments : les règles sur les traceurs de personnalisation sont établies de longue date.

Pour fixer le montant, elle a retenu le refus ignoré et l'audience de l'application : plus de 1,5 million de téléchargements en France entre mars 2023 et mars 2024, et 37 400 utilisateurs par jour en moyenne. La Fnac dit avoir arrêté l'API en décembre 2024 et déployé un nouvel outil en janvier 2025 ; la CNIL juge que la mise en œuvre n'est pas encore démontrée.

Ce que cela change pour vos applications

La leçon dépasse la Fnac : les règles sur les cookies valent pour les applications mobiles, y compris pour un simple appel d'API vers un tiers.

• Recensez tous les flux sortants de vos applications, pas seulement les kits de développement publicitaires.
• Testez qu'un refus bloque réellement les envois, en observant le trafic réseau de l'application.
• Ne présentez pas la personnalisation commerciale comme strictement nécessaire : la CNIL ne l'accepte pas.

La réforme européenne en discussion ne change rien pour l'instant, comme nous l'expliquions à propos du RGPD et des cookies. Prochaine étape : la preuve de mise en conformité de la Fnac, attendue dans le mois suivant la notification de la décision.