La CNIL a rendu publique le 29 octobre une sanction qui devrait faire réfléchir toutes les équipes marketing qui pilotent une application mobile. Fnac Darty Participations et Services et Fnac Direct écopent de 7 millions d’euros d’amende pour un traceur qui alimentait les recommandations de produits de l’application Fnac, sans que les utilisateurs aient donné leur accord. Le sujet n’est pas un bandeau cookies mal réglé sur un site web : c’est le cœur de la personnalisation, ce moteur de « produits pour vous » que beaucoup de marques considèrent comme une fonctionnalité de base.
Plan de l'article
Ce que la CNIL a sanctionné #
D’après le communiqué de la CNIL, tout part d’une plainte de l’association NOYB. Un contrôle a été mené en mars 2024 sur l’application mobile de l’enseigne. Les agents ont constaté que l’application envoyait, via une API, des requêtes vers un domaine tiers. Ces requêtes contenaient un identifiant attribué à l’utilisateur et des informations sur son activité, comme les produits consultés.
Ce traceur servait à afficher des produits personnalisés selon l’historique de navigation, des produits complémentaires (accessoires, consommables, services associés) et des articles similaires à ceux regardés. Il servait aussi à entraîner l’algorithme de recommandation. Or, toujours selon la CNIL, il était utilisé sans le consentement des personnes, y compris lorsqu’elles avaient refusé le suivi de leur navigation.
L’amende se répartit en 6 millions d’euros pour Fnac Darty Participations et Services et 1 million d’euros pour Fnac Direct. La formation restreinte y ajoute une injonction : les sociétés ont un mois après la notification pour démontrer que leur nouvel outil recueille bien le consentement quand il le faut, sous peine d’une astreinte de 10 000 euros par jour de retard. Le détail figure dans la délibération SAN-2026-015 du 22 octobre 2026 publiée sur Légifrance.
Pourquoi la recommandation produit n’est pas exemptée #
C’est le point qui intéresse directement les marketeurs. L’article 82 de la loi Informatique et Libertés prévoit des exemptions de consentement pour les traceurs strictement nécessaires : ceux qui permettent la communication électronique ou qui fournissent un service expressément demandé par l’utilisateur. Un panier d’achat ou une session de connexion entrent dans ce cadre.
La CNIL estime en revanche qu’un moteur qui exploite l’historique de navigation pour pousser des produits n’en fait pas partie. L’utilisateur ne l’a pas demandé, et l’application fonctionne sans lui. Le régulateur rappelle d’ailleurs qu’il existe une doctrine « constante et bien établie » sur les traceurs utilisés pour la personnalisation et le ciblage commercial. Autrement dit, ce n’est pas une interprétation nouvelle, et c’est précisément ce qui a pesé dans le montant.
L’application mobile, angle mort des dispositifs de consentement #
Beaucoup d’entreprises ont soigné leur plateforme de gestion du consentement sur le web, après plusieurs vagues de sanctions. Les applications mobiles restent souvent moins surveillées. Les SDK et appels d’API vers des prestataires tiers s’y empilent au fil des versions : analytics, attribution, recommandation, notifications. Dans le dossier Fnac, ce n’est pas un cookie au sens classique qui est en cause, mais des requêtes d’API vers un domaine tiers : la CNIL les a bien traitées comme un traceur soumis aux mêmes règles.
À lire Comment le ciblage précis et la prospection efficace attirent vos clients idéaux
Le deuxième enseignement tient au refus. La formation restreinte a justifié le montant notamment par la « méconnaissance » du choix exprimé par l’utilisateur de ne pas consentir. Un bandeau présent mais dont le « refuser » ne coupe pas tous les flux concernés est donc traité plus sévèrement qu’une simple absence d’information.
Ce que les équipes data et marketing peuvent vérifier dès maintenant #
La première étape consiste à cartographier les appels sortants de l’application, version par version, en distinguant ceux qui sont strictement nécessaires des autres. Un test simple, avec un proxy réseau, montre ce qui part réellement vers des domaines tiers lorsqu’un utilisateur refuse tout.
Il faut ensuite vérifier que le refus est propagé partout : dans le SDK de consentement, mais aussi dans les appels d’API maison vers le prestataire de recommandation ou la plateforme de données client. Si la personnalisation dépend de l’historique, elle doit être conditionnée au consentement, avec une version dégradée (meilleures ventes, nouveautés) pour ceux qui refusent.
Enfin, la question de l’entraînement des modèles mérite une attention particulière. La CNIL cite explicitement l’usage des données pour entraîner l’algorithme de recommandation. Les données collectées sans consentement ne peuvent pas davantage servir à améliorer le modèle, ce qui complique les projets d’IA appliquée au catalogue.
À lire Annonces dans le Mode IA de Google : dix pays de plus, la France attend toujours
Un signal pour la fin d’année #
La sanction tombe à l’approche du Black Friday et des fêtes, période où les applications de commerce poussent au maximum leurs recommandations. La décision, relayée notamment par Le Monde, vise un acteur majeur de la distribution française. Pour les directions marketing, le calcul est simple : un moteur de recommandation performant reste un atout, à condition qu’il ne s’allume qu’une fois le consentement obtenu. Faire l’audit maintenant coûte bien moins cher qu’une injonction sous astreinte en pleine saison commerciale.
