La CNIL a sanctionné deux sociétés de Fnac Darty après avoir constaté qu’un traceur de leur application mobile suivait les produits consultés sans consentement. Cette affaire rappelle ce que les utilisateurs peuvent refuser et pourquoi les recommandations commerciales sont soumises à des règles précises.
Un client peut parcourir une application marchande, consulter un ordinateur ou une paire d’écouteurs et recevoir ensuite des suggestions d’articles similaires. Pour produire ces recommandations, certaines applications enregistrent des informations sur sa navigation. La décision rendue publique par la CNIL le 29 octobre 2026 montre que la personnalisation commerciale doit respecter le choix exprimé par l’utilisateur.
L’autorité a infligé au total 7 millions d’euros d’amendes à Fnac Darty Participations et Services et Fnac Direct. La sanction, décidée le 22 octobre, découle d’un contrôle effectué en mars 2024 après une plainte de l’association de défense de la vie privée noyb. Son objet précis est le fonctionnement d’un traceur dans l’application mobile Fnac.
Ce que l’application transmettait pendant la navigation
Les enquêteurs ont relevé des échanges techniques entre l’application et un domaine tiers. Les requêtes contenaient un identifiant attribué à l’utilisateur et des indications sur son activité, notamment les produits consultés. Ces données servaient à proposer des accessoires, des produits comparables et d’autres recommandations personnalisées. Elles contribuaient aussi à l’entraînement de l’algorithme chargé de ces suggestions.
Selon la CNIL, le dispositif fonctionnait alors que les personnes concernées n’avaient pas consenti au dépôt du traceur. L’autorité souligne notamment que le refus exprimé par les utilisateurs n’était pas respecté. C’est ce décalage entre le choix affiché et le traitement effectué qui se trouve au cœur de l’affaire.
Pourquoi une recommandation de produit exige parfois un accord
Le cadre applicable ne se limite pas aux cookies des navigateurs web. L’article 82 de la loi Informatique et Libertés couvre également certaines opérations de lecture ou d’écriture d’informations sur les terminaux, y compris au sein des applications mobiles.
La loi prévoit des exceptions pour les opérations strictement nécessaires à la fourniture d’un service expressément demandé ou à la communication électronique. La CNIL a considéré que l’exploitation de l’historique de consultation à des fins de recommandations commerciales et d’entraînement d’un algorithme n’entrait pas dans ces exceptions. Un consentement préalable était donc requis.
Cette distinction compte dans les usages quotidiens : consulter une fiche produit, gérer son panier et recevoir des suggestions fondées sur un suivi comportemental ne répondent pas nécessairement aux mêmes besoins techniques. Le simple fait qu’une fonction rende l’expérience d’achat plus personnalisée ne la rend pas indispensable au service demandé.
Refuser, revenir sur son choix, vérifier les réglages
Dans ses conseils consacrés à la vie privée sur mobile, la CNIL rappelle que le consentement doit être libre et que son retrait doit être aussi simple que son acceptation. Les utilisateurs peuvent examiner les réglages de confidentialité proposés dans une application et revoir leurs choix lorsque ceux-ci sont modifiables.
Les autorisations demandées par le système du téléphone — accès à la localisation, aux photos ou au microphone, par exemple — constituent un autre niveau de contrôle. Elles méritent d’être vérifiées, mais leur gestion ne remplace pas le consentement exigé pour un traceur commercial. La CNIL recommande également de supprimer les applications inutilisées et, le cas échéant, les comptes associés.
Les utilisateurs ne peuvent généralement pas constater à l’écran l’ensemble des échanges techniques effectués en arrière-plan. C’est précisément pourquoi les contrôles du régulateur portent aussi sur les flux de données et le fonctionnement réel des outils, au-delà des fenêtres de consentement.
Une mise en conformité à démontrer
La CNIL demande aux deux sociétés de démontrer, dans un délai d’un mois à compter de la notification de la décision, que leur nouvel outil recueille désormais le consentement lorsqu’il est nécessaire. Une astreinte de 10 000 euros par jour de retard est prévue si cette obligation n’est pas respectée. Elle est conditionnelle et distincte des amendes prononcées.
Fnac Darty a indiqué contester l’analyse juridique de la sanction et se réserver la possibilité d’un recours, selon les informations de l’AFP reprises par TV5MONDE. Le contrôle du nouveau dispositif permettra d’apprécier sa conformité aux règles rappelées par l’autorité.
