Amende de 7 M€ pour la Fnac : vérifiez ce que votre site ou votre application dépose sans consentement

Réponse courte : selon son communiqué du 29 octobre 2026, la CNIL a infligé le 22 octobre une amende de 7 millions d'euros à deux sociétés de la Fnac. Leur application mobile utilisait un traceur sans le consentement des utilisateurs, pour leur recommander des produits. Pour une TPE, la leçon : savoir ce que son site ou son application dépose, et pourquoi.

Pourquoi la CNIL a sanctionné l'application de la Fnac

Selon le communiqué de la CNIL, l'affaire part d'une plainte de l'association NOYB. La CNIL a ensuite contrôlé l'application mobile de la Fnac en mars 2024.

Elle a constaté que l'application utilisait un traceur auquel les utilisateurs n'avaient pas consenti. L'application envoyait des requêtes, via une interface technique (une API), au serveur d'un domaine tiers. Ces requêtes contenaient :

• un identifiant attribué à l'utilisateur par la Fnac ;

• des informations sur son activité, comme les produits consultés.

Le traceur servait à recommander des produits (personnalisés, complémentaires ou similaires) et à entraîner l'algorithme de recommandation.

La CNIL retient un manquement à l'article 82 de la loi Informatique et Libertés, qui impose le consentement avant d'utiliser un traceur, sauf exceptions limitées.

Le montant et les obligations

Toujours selon le communiqué, l'amende de 7 millions d'euros se répartit ainsi :

• 6 millions d'euros pour FNAC DARTY PARTICIPATIONS ET SERVICES ;

• 1 million d'euros pour FNAC DIRECT.

La CNIL justifie ce montant par trois éléments : le refus du suivi exprimé par l'utilisateur n'était pas respecté, l'application compte un grand nombre d'utilisateurs, et sa position est constante sur les traceurs de personnalisation et de ciblage, qui n'entrent pas dans les exceptions. Voir aussi la méthode de calcul des amendes RGPD.

Selon le communiqué, les sociétés doivent aussi prouver que « le nouvel outil » qu'elles utilisent recueille bien le consentement quand il est nécessaire, dans un mois à compter de la notification de la décision. À défaut, elles devront payer une astreinte, c'est-à-dire une pénalité de 10 000 euros par jour de retard.

Ce que ça change pour vous

1. Une application mobile est concernée comme un site web : le même article de loi s'applique.

2. Un refus doit être respecté : c'est l'un des motifs retenus pour fixer l'amende.

3. Notre lecture : les recommandations de produits demandent un consentement, même quand les données partent chez un tiers.

Pourquoi une TPE est concernée

Le montant tient notamment au nombre d'utilisateurs de l'application ; la règle, elle, est la même pour tous. Une petite boutique en ligne peut utiliser des modules de recommandation, de publicité ou de statistiques qui déposent des traceurs et envoient des données à d'autres sociétés.

Le risque : un module qui se déclenche avant le choix de l'internaute, ou malgré un refus. C'est le type de défaut relevé ici.

Cookies exemptés de consentement : la mesure d'audience

La CNIL admet une exception pour les outils de mesure d'audience. Selon sa page dédiée, un tel outil peut se passer de consentement s'il respecte toutes ces conditions :

• il sert uniquement à mesurer l'audience, pour le seul éditeur ;

• il produit des statistiques anonymes ;

• les données ne sont ni recoupées ni transmises à des tiers ;

• il ne permet pas de suivre l'internaute sur d'autres sites.

Selon cette même page, la durée de vie des traceurs ne doit pas dépasser 13 mois, et la conservation des données 25 mois.

Les vérifications à faire sur votre site ou votre application

1. Listez les modules installés : statistiques, publicité, recommandations, chat, vidéos intégrées.

2. Testez un refus : sur un site, cliquez sur « Tout refuser », puis demandez à votre prestataire web de confirmer qu'aucun traceur publicitaire ne se dépose. Pour une application, demandez cette preuve à votre développeur.

3. Demandez à vos prestataires quelles données partent chez eux et à quoi elles servent.

4. Gardez une trace de ces vérifications et de leur date.

Si vous préparez un projet d'IA qui utilise des données clients, lisez aussi notre article sur l'IA agentique et la CNIL.

Ce qu'Elginux a vérifié

Nous avons lu, le 30 octobre 2026, le communiqué de la CNIL du 29 octobre, d'où viennent les faits cités, et sa page sur la mesure d'audience. Ce communiqué cite la délibération SAN-2026-015, dont nous n'avons pas pu lire le texte intégral sur Légifrance. Nous n'avons pas examiné l'application de la Fnac.

Vous voulez savoir ce que votre site ou votre application dépose vraiment ? Décrivez-nous votre besoin. Demander mon diagnostic gratuit

Questions fréquentes

Une TPE risque-t-elle une amende de cette taille ?

Le montant tient notamment au grand nombre d'utilisateurs de l'application. Pour une TPE, la règle reste la même : un traceur non exempté attend le consentement.

Mon prestataire est-il seul responsable d'un module qu'il fournit ?

La décision vise les sociétés Fnac qui éditent l'application, pas le domaine tiers. Notre lecture : l'éditeur doit vérifier ce que ses modules déposent.

Les recommandations de produits sont-elles concernées ?

Oui. Selon la CNIL, ces traceurs n'entrent pas dans les exemptions de l'article 82.

Une application mobile suit-elle les mêmes règles qu'un site ?

Oui. La sanction vise une application, sur le fondement de l'article 82, le même texte que pour les cookies d'un site.