La CNIL a sanctionné deux sociétés du groupe Fnac Darty de 7 millions d’euros, décision prise le 22 octobre 2026 et publiée ce jeudi 29 octobre. Motif : un traceur dans l’application mobile de la Fnac. Il transmettait l’identifiant de l’utilisateur et les produits consultés à un domaine tiers, sans accord, pour servir des recommandations et entraîner l’algorithme. Rapportée au chiffre d’affaires du groupe, l’amende fait 0,07 %, environ 6 heures de ventes.
- Ce que la CNIL reproche, précisément
- Un refus qui n’était pas suivi d’effet
- Sept millions, c’est beaucoup ou peu ?
- L’astreinte, plus lourde que l’amende
- Ce que cela change pour vous
Ce que la CNIL reproche, précisément
La procédure part d’une plainte de l’association None Of Your Business (NOYB). La CNIL contrôle l’application mobile en mars 2024. La formation restreinte, l’organe qui prononce les sanctions, rend sa décision le 22 octobre 2026 et la publie une semaine plus tard (communiqué et délibération SAN-2026-015). Soit 31 mois entre le contrôle et la sanction.
Ce que les enquêteurs ont vu : à l’usage de l’application, des requêtes partaient vers un domaine tiers par une interface de programmation (API). Elles contenaient un identifiant attribué à l’utilisateur par la Fnac, et des informations sur son activité, notamment les produits consultés.
Aucune des deux exemptions de l’article 82 de la loi Informatique et Libertés, qui encadre les traceurs, ne s’appliquait : il ne servait pas à la communication électronique et n’était pas nécessaire au service demandé. Il fallait donc un consentement préalable. Il ne l’a pas eu.
L’amende se répartit entre deux personnes morales : 6 millions d’euros pour la holding, FNAC DARTY PARTICIPATIONS ET SERVICES, et 1 million pour FNAC DIRECT, la filiale qui exploite le site et l’application.
Le groupe ne reconnaît pas la faute. La Fnac « conteste l’analyse juridique sur le fond » et se réserve « le droit d’exercer les recours » à sa disposition (franceinfo, 29 octobre). Un recours devant le Conseil d’État peut suspendre la sanction.
Un refus qui n’était pas suivi d’effet
Le traceur ne comptait pas des visites. Il affichait des produits personnalisés selon l’historique, proposait des accessoires et des produits proches, et entraînait l’algorithme de recommandation.
C’est le cœur du dossier : la personnalisation présentée comme un service gratuit se paie avec l’historique de navigation, y compris quand la personne a dit non. La CNIL motive le montant par « la méconnaissance, par les sociétés, du choix exprimé par l’utilisateur » et par le nombre d’utilisateurs de l’application.
Sept millions, c’est beaucoup ou peu ?
Le groupe Fnac Darty a réalisé 10 330 millions d’euros de chiffre d’affaires en 2025 (résultats annuels 2025). L’amende fait 0,07 % de ce montant : environ 6 heures de ventes.
À titre de comparaison, la CNIL avait sanctionné Google de 150 millions d’euros et Facebook Ireland de 60 millions en janvier 2022, pour des manquements de même nature sur le refus des cookies. Même mécanique, mêmes textes, échelles très différentes : le chiffre d’affaires de Google se compte en centaines de milliards de dollars.
Sept millions, dans quelle échelle ?
En haut, les trois sanctions prononcées par la CNIL pour des traceurs, en millions d’euros. En bas, l’amende de la Fnac rapportée à son chiffre d’affaires 2025, en millions d’euros.
Sanctions traceurs, en millions d’euros
Google, 2022.150Facebook Ireland, 2022.60Fnac Darty, 2026.7
Le poids de l’amende, en millions d’euros
Chiffre d’affaires Fnac Darty 2025.10 330Amende CNIL rapportée à ce chiffre d’affaires.7
Autres sanctions CNILDossier Fnac Darty
Sources : décision du 29 octobre 2026 sur les sociétés FNAC DARTY PARTICIPATIONS ET SERVICES et FNAC DIRECT ; résultats annuels 2025 du groupe Fnac Darty ; décisions Google et Facebook de janvier 2022. Limite : les groupes ne sont pas comparables, le chiffre d’affaires de Google se compte en centaines de milliards de dollars.
La sanction est un signal, pas une punition proportionnée : elle coûte moins qu’une campagne publicitaire nationale. Le précédent inverse existe pourtant. Quand l’État a laissé 678 000 dossiers fiscaux volés pendant 7 semaines sans alerte, aucune amende de ce type n’était possible (notre article du 29 octobre). Le commerçant est sanctionné, l’administration ne l’est pas.
L’astreinte, plus lourde que l’amende
La CNIL y ajoute une injonction : démontrer sous un mois que le nouvel outil recueille bien le consentement. À défaut, l’astreinte est de 10 000 euros par jour, soit 3,65 millions sur un an, plus de la moitié de l’amende. L’amende se paie une fois, l’astreinte court.
Ce que cela change pour vous
À regarder : la présentation des règles de la CNIL sur les cookies. On y comprend ce qu’est un consentement valable, et pourquoi une case pré-cochée, un bandeau qui ne propose que « tout accepter » ou un refus qui ne bloque rien ne comptent pas comme un accord.
La règle est simple : avant un traceur non nécessaire, il faut un accord libre, spécifique, éclairé et univoque. Un refus doit être aussi facile à exprimer qu’un accord, et il doit être respecté. Trois gestes utiles : vérifier les réglages après chaque mise à jour, refuser par défaut, et saisir la CNIL si le refus n’est pas suivi, plainte gratuite et en ligne.
Même logique pour le démarchage téléphonique, où les signalements repartent à la hausse (notre article du 28 octobre). Et pour les fichiers privés de locataires (notre article du 28 octobre).
Le montant de l’amende dit ce que la CNIL peut faire, pas ce qu’il en coûte. 7 millions d’euros pour un groupe qui encaisse 10 330 millions, c’est une ligne de frais. La vraie sanction, c’est l’injonction et son astreinte : elle oblige à changer l’outil, sous contrôle, avec une date.
Je note aussi ce que le dossier dit du consentement tel qu’il fonctionne : on ne demande plus vraiment l’accord, on l’organise pour qu’il soit plus facile à donner qu’à refuser. Le refus existe dans l’interface, pas dans le système.
Reste une question de cohérence. Le même manquement, commis par un commerçant, se paie. Commis par une administration qui perd des dossiers fiscaux, il ne se paie pas. La règle n’est pas la même pour tous, et personne ne l’a votée ainsi.
Opinion de la maison, pas un fait.
- Décision du 22 octobre 2026, publiée le 29 octobre : 6 millions pour la holding, 1 million pour Fnac Direct.
- Historique de navigation transmis à un domaine tiers sans consentement.
- 7 millions, c’est 0,07 % du chiffre d’affaires 2025 du groupe, environ 6 heures de ventes.
- Injonction sous astreinte de 10 000 euros par jour si rien n’est démontré dans un mois.
