Cookies en application mobile : la CNIL sanctionne Fnac Darty de 7 millions d'euros

Une sanction de 7 millions d'euros pour des traceurs dans une application mobile

Le 22 octobre 2026, la formation restreinte de la CNIL (Commission nationale de l'informatique et des libertés, l'autorité française de protection des données) a sanctionné deux sociétés du groupe Fnac Darty pour non-respect des règles applicables aux traceurs, souvent désignés sous le terme générique de cookies. L'amende totale s'élève à 7 millions d'euros : 6 millions d'euros pour Fnac Darty Participations et Services et 1 million d'euros pour Fnac Direct.

L'affaire trouve son origine dans une plainte déposée par l'association autrichienne NOYB (None Of Your Business), connue pour ses actions en matière de protection des données en Europe. À la suite de cette plainte, la CNIL a mené en mars 2024 un contrôle sur l'application mobile éditée par les deux sociétés.

Ce que la CNIL a constaté dans l'application

Les contrôleurs ont relevé que, lors de l'utilisation de l'application, des requêtes étaient émises via une API (interface de programmation permettant à deux systèmes de communiquer) vers un domaine tiers. Ces requêtes contenaient un identifiant attribué par la Fnac à l'utilisateur, ainsi que des informations sur son activité, comme les produits consultés.

Ce traceur servait plusieurs finalités commerciales :

• afficher dans l'application des produits personnalisés en fonction de l'historique de navigation ;
• proposer des produits complémentaires à ceux consultés ou achetés (accessoires, consommables, services associés) ;
• suggérer des produits similaires à ceux recherchés par l'utilisateur ;
• entraîner l'algorithme de recommandations de l'enseigne.

Le point central de la décision : ce suivi était mis en œuvre alors même que les utilisateurs n'avaient pas consenti au dépôt du traceur. La CNIL a considéré que les sociétés avaient méconnu le choix exprimé par l'utilisateur de refuser le suivi de sa navigation.

Pourquoi le consentement était obligatoire

L'article 82 de la loi Informatique et Libertés, qui encadre les cookies et autres traceurs en France, prévoit des exemptions au consentement uniquement pour les opérations qui permettent ou facilitent la communication par voie électronique, ou qui sont strictement nécessaires à la fourniture d'un service en ligne expressément demandé par l'utilisateur.

La CNIL a jugé que la personnalisation commerciale et l'entraînement d'un algorithme de recommandations n'entrent dans aucune de ces exemptions. De telles opérations ne pouvaient donc pas être mises en œuvre sans le consentement préalable des personnes concernées. La formation restreinte souligne d'ailleurs l'existence d'une doctrine répressive constante et bien établie sur les traceurs utilisés à des fins de personnalisation et de ciblage commercial.

Les critères qui ont pesé sur le montant de l'amende

Plusieurs éléments ont justifié le niveau de la sanction :

• la méconnaissance du choix exprimé par l'utilisateur de ne pas consentir au suivi de sa navigation ;
• le très grand nombre d'utilisateurs de l'application mobile ;
• le caractère bien connu des règles applicables, régulièrement rappelées par la doctrine répressive de la CNIL.

En complément de l'amende, la formation restreinte a prononcé une injonction sous astreinte : les sociétés doivent démontrer, dans un délai d'un mois à compter de la notification de la décision, que leur nouvel outil permet effectivement de recueillir le consentement lorsque c'est nécessaire. À défaut, elles s'exposent à une astreinte de 10 000 euros par jour de retard. La décision a par ailleurs été rendue publique, au regard de la gravité du manquement, de la portée du traitement et du nombre de personnes concernées — un facteur d'exposition réputationnelle qui s'ajoute au coût financier.

Ce que cette décision signifie pour les éditeurs d'applications mobiles

Cette sanction illustre un point souvent sous-estimé par les organisations : la réglementation sur les traceurs ne vise pas uniquement les cookies déposés par un site web. Tout mécanisme de suivi embarqué dans une application mobile — identifiants, appels API vers des tiers, SDK de mesure ou de personnalisation — relève des mêmes règles de consentement dès lors qu'il ne bénéficie pas d'une exemption.

Pour un directeur digital, trois enseignements concrets se dégagent de cette décision :

• Le périmètre de conformité doit inclure les apps : les dispositifs de recueil du consentement (CMP, pour Consent Management Platform) sont souvent matures côté web mais incomplets ou absents côté mobile, alors que les flux de données y sont tout aussi scrutés.
• Recueillir le consentement ne suffit pas, il faut le respecter : dans cette affaire, c'est la méconnaissance du refus exprimé par l'utilisateur qui a été sanctionnée. La cohérence technique entre le choix affiché et les traceurs réellement activés est un point de contrôle clé.
• La personnalisation marketing n'est jamais exemptée : recommandations produits, cross-sell et entraînement d'algorithmes sont des finalités commerciales qui exigent un consentement préalable, quelle que soit leur valeur pour l'expérience client.

Cette décision s'inscrit dans une série d'actions de la CNIL sur les cookies et traceurs, comme en témoignent les clôtures récentes d'injonctions visant d'autres acteurs majeurs. Le sujet reste donc une priorité de contrôle, et les dispositifs de collecte marketing — web comme mobile — ont tout intérêt à être audités régulièrement pour vérifier l'alignement entre les consentements recueillis et les traceurs effectivement déclenchés.