Traceurs dans les applications : la CNIL inflige 7 millions d’euros à la Fnac pour un refus de consentement resté sans effet

Refuser les traceurs dans une application doit arrêter l’envoi de vos données. Dans l’application Fnac, le bouton « Continuer sans accepter » fermait la bannière, mais les données partaient quand même. Lors d’un contrôle en ligne du 6 mars 2024, la Commission nationale de l’informatique et des libertés (CNIL) a constaté qu’après ce refus, des requêtes partaient vers un domaine tiers. Elles contenaient un identifiant attribué par la Fnac à l’utilisateur et des informations sur son activité, notamment les produits consultés. La formation restreinte de la CNIL en a tiré 7 millions d’euros d’amendes : 6 millions pour Fnac Darty Participations et Services (FDPS), 1 million pour Fnac Direct, qui exploite fnac.com et l’application en France.

La délibération SAN-2026-015 a été adoptée le 22 octobre 2026 et publiée le 29 octobre sur Légifrance et sur le site de la CNIL. Elle applique à une application mobile la règle qui régit les cookies des sites web. Elle trace surtout, critère par critère, la frontière entre les traceurs dispensés de votre accord et ceux qui l’exigent. La décision n’est pas définitive. Les deux sociétés peuvent saisir le Conseil d’État dans les deux mois qui suivent sa notification, et Fnac Darty conteste l’analyse. Les sociétés indiquent avoir désactivé l’outil en cause en décembre 2024.

La règle des cookies vaut pour toute lecture du téléphone, appel d’API compris

Le mot « cookie » induit en erreur. La règle ne vise pas une technique, elle vise un geste : lire ou écrire une information sur votre appareil. C’est l’article 82 de la loi n° 78-17 du 6 janvier 1978, dite loi Informatique et libertés, dans sa version en vigueur depuis le 1ᵉʳ juin 2019 (ordonnance n° 2018-1125). Il transpose l’article 5, paragraphe 3, de la directive 2002/58/CE, dite « ePrivacy ».

Le texte impose deux choses avant toute action tendant à accéder à des informations stockées dans votre terminal ou à y en inscrire :

• une information claire et complète ;
• votre consentement.

Le terminal, c’est l’ordinateur, mais aussi le téléphone. L’article 82 ne dit pas « navigateur » et ne dit pas « cookie ». Une application qui lit un identifiant stocké sur le téléphone et l’envoie à un serveur fait la même opération qu’un site qui dépose un cookie. Elle tombe sous la même règle, dans sa version en vigueur depuis 2019.

Le traceur sanctionné n’était pas un cookie au sens strict. C’était un appel à une interface de programmation (API) : l’application interrogeait un domaine tiers et lui transmettait l’identifiant attribué par la Fnac, avec les produits consultés. La délibération l’analyse pourtant entièrement au regard de l’article 82. Pour vous, la conséquence est simple : l’absence de bannière « cookies » familière ne signifie pas l’absence de traceur.

Le prestataire destinataire des données n’est pas identifié. Son nom et celui de son domaine sont occultés dans le texte publié, remplacés par « […] ». La même question de champ d’application se pose pour d’autres appareils personnels, comme le montre le cas des lunettes connectées et du règlement général sur la protection des données (RGPD).

Deux exemptions seulement, et la promotion commerciale n’en relève pas

Un traceur peut se passer de votre accord dans deux cas, et seulement deux. L’article 82 les énumère :

• l’action a pour finalité exclusive de permettre ou de faciliter la communication par voie électronique ;
• elle est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.

Ces deux exemptions se lisent de façon étroite. La première couvre la transmission technique, rien de plus. La seconde exige un lien de stricte nécessité avec un service que vous avez vous-même demandé. Un traceur utile, ou commode pour l’éditeur, n’est pas pour autant nécessaire.

La défense des sociétés reposait sur cette seconde exemption. Selon elles, le traitement était strictement nécessaire à l’aide à la navigation et à la présentation des produits, comme en magasin. La « demande expresse » se déduisait, à leurs yeux, du téléchargement de l’application, de son lancement et de l’acceptation des conditions générales d’utilisation (CGU).

La formation restreinte a écarté ce raisonnement sur le terrain de la stricte nécessité. Elle a examiné ce que le traceur servait à faire, promouvoir des produits et cibler l’utilisateur à des fins commerciales. Ces finalités ne sont pas strictement nécessaires au service (paragraphes 34 à 39), et la seconde exemption ne pouvait donc pas s’appliquer. Pour les CGU, la règle vient d’un autre texte. Accepter des CGU ne vaut pas consentement aux traceurs : les lignes directrices de la CNIL du 17 septembre 2020 l’excluent expressément. Ces mêmes lignes directrices exigent qu’un refus soit aussi simple que l’acceptation.

La CNIL donne la liste des traceurs qu’elle considère comme exemptés :

• ceux qui conservent votre choix sur les traceurs ;
• ceux qui servent à l’authentification, y compris la sécurisation de la connexion ;
• ceux du panier d’achat et de la facturation ;
• ceux qui personnalisent l’interface quand cette personnalisation est intrinsèque au service, comme la langue ;
• ceux qui répartissent la charge entre serveurs ;
• ceux qui gèrent l’accès gratuit limité aux sites payants ;
• certaines mesures d’audience, sous conditions.

Cette liste donne la ligne de partage pratique. Ce qui fait fonctionner ce que vous avez demandé est dispensé : le panier, la connexion, la langue, la mémoire de votre refus. Ce qui sert l’intérêt commercial de l’éditeur ne l’est pas, même affiché à l’intérieur de l’application. Avec ce critère, vous pouvez classer vous-même la plupart des traceurs qu’une application vous présente.

Recommander un accessoire relève du ciblage commercial, selon la CNIL

Une recommandation de produit n’est pas un service que vous avez demandé. C’est la thèse de la CNIL, et c’est le cœur du désaccord avec Fnac Darty. Le traceur de l’application servait quatre finalités, détaillées dans la délibération :

• afficher des contenus personnalisés selon l’historique de navigation ;
• proposer des produits complémentaires : accessoires, consommables, services associés ;
• proposer des produits similaires ;
• entraîner l’algorithme de recommandation.

La formation restreinte les examine une par une. La personnalisation et le ciblage commercial sortent des exemptions et ne peuvent fonctionner sans consentement préalable (paragraphe 35). Les produits complémentaires ne sont pas strictement nécessaires au service (paragraphe 36). L’entraînement de l’algorithme s’inscrit dans le ciblage commercial (paragraphe 38). Pour la formation restreinte, proposer un accessoire à côté d’un produit consulté, c’est donc chercher à vendre davantage, et cela suppose votre accord.

Fnac Darty lit autrement l’article 82. Dans sa réaction transmise à l’Agence France-Presse (AFP) le 29 octobre, le groupe « conteste l’analyse juridique sur le fond ». La contestation porte sur le raisonnement, pas seulement sur le montant. Pour le groupe, ces recommandations relèvent du conseil au client, pas de la publicité ciblée. Il récuse la négligence et la gravité retenues, se réserve des recours et indique faire évoluer ses dispositifs.

Les sociétés ont aussi plaidé la complexité du cadre et le fait que la recommandation de la CNIL sur les applications mobiles date de 2024, après les contrôles. La formation restreinte répond qu’elles ne pouvaient ignorer leurs obligations (paragraphe 55). Elle précise n’avoir pas apprécié les faits au regard de la recommandation de 2024. Elle s’appuie sur les lignes directrices du 17 septembre 2020 et sur trois sanctions antérieures : SAN-2020-012, SAN-2020-013 et SAN-2022-023. Les deux lectures restent en présence tant que le délai de recours n’est pas expiré ou que le Conseil d’État ne s’est pas prononcé.

Une seule finalité commerciale suffit à soumettre tout le traceur au consentement

Une fonction exemptable perd son exemption si elle voyage dans la même requête qu’une fonction commerciale. C’est le point de droit le plus fin de la délibération, et il vaut pour toute application.

Les produits similaires auraient pu, en théorie, relever d’une exemption, admet la formation restreinte. Mais cette finalité passait par la même opération de lecture et d’écriture que les trois autres. Elle ne pouvait pas en être isolée (paragraphe 37). La conclusion tombe au paragraphe 39 : l’opération exige un « consentement préalable aux opérations en cause pour l’ensemble des finalités prévues ».

L’exemption s’apprécie donc opération par opération, pas fonction par fonction. Quand une même requête sert à la fois une finalité exemptable et une finalité commerciale, c’est la plus exigeante qui gouverne.

La conséquence pratique est pour l’éditeur. S’il veut se passer de votre accord pour une fonction réellement nécessaire, il doit la séparer techniquement des autres. Un seul appel qui mélange tout se traite comme un traceur commercial. Pour vous, cela signifie qu’une application ne peut pas justifier un envoi global de données en invoquant la seule de ses finalités qui serait dispensée.

« Continuer sans accepter » doit couper l’envoi des données

Votre clic sur « Continuer sans accepter » a une portée juridique. Ce n’est pas une préférence d’affichage, c’est un refus. Il doit arrêter la lecture et l’envoi des informations visées.

Dans l’application Fnac, l’affichage changeait, mais les requêtes partaient. Le contrôle du 6 mars 2024 a reproduit le parcours d’un utilisateur qui télécharge l’application, l’utilise et refuse les traceurs dans la bannière. Après le refus, l’identifiant et les produits consultés étaient toujours transmis au domaine tiers.

La CNIL ne traite pas ce cas comme une simple absence de consentement. Un refus exprimé puis ignoré pèse plus lourd : elle en fait un facteur de gravité dans le calcul des 7 millions d’euros. La différence compte. Ne pas demander l’accord est un manquement ; demander l’accord, recevoir un non et passer outre aggrave ce manquement.

Le schéma n’est pas nouveau. Dans la sanction contre l’éditeur de jeux Voodoo, rendue publique le 17 janvier 2023, l’utilisateur refusait le suivi publicitaire sur iOS. L’éditeur continuait de lire un autre identifiant technique, l’IDFV, et de l’envoyer avec des données d’usage à des domaines publicitaires. La CNIL avait prononcé 3 millions d’euros d’amende et une injonction de recueillir un consentement effectif sous trois mois, assortie d’une astreinte de 20 000 euros par jour. Dans les deux cas, le refus était enregistré, et il n’éteignait pas tout le suivi.

7 millions d’euros calculés sur le chiffre d’affaires du groupe, plafond au-delà de 200 millions

Le montant de l’amende ne se mesure pas à la taille de la filiale qui gère l’application. Il se mesure au groupe. La loi de 1978 plafonne l’amende à 2 % du chiffre d’affaires annuel mondial de l’exercice précédent, ou à 10 millions d’euros si ce montant est plus élevé (article 20, IV, 7°).

L’assiette retenue est le chiffre d’affaires de Fnac Darty, supérieur à 10 milliards d’euros en 2025. La délibération s’appuie sur la notion d’« entreprise » du droit de la concurrence de l’Union européenne, telle que l’applique l’arrêt C-807/21 de la Cour de justice de l’Union européenne (CJUE). Une mère et ses filiales détenues à 100 % y forment une seule entreprise. FDPS est détenue à 100 % par Fnac Darty SA. La société mère n’est pas sanctionnée : c’est son chiffre d’affaires qui sert de base au calcul.

Les sociétés ont contesté cette assiette. Elles ont mis en avant les résultats 2025 du groupe : un résultat net d’environ -146 millions d’euros et un résultat opérationnel courant de 203,1 millions. La formation restreinte a jugé que la présomption d’influence déterminante de la mère n’était pas renversée (paragraphes 67 et 68). L’argument de la coopération n’a pas davantage convaincu : la formation restreinte n’en a retenu aucune allant au-delà de l’obligation prévue par l’article 31 du RGPD (paragraphe 57).

Deux calculs, faits à partir des chiffres de la délibération et non publiés par la CNIL, situent le montant :

• 2 % de plus de 10 milliards d’euros donnent un plafond théorique supérieur à 200 millions d’euros ;
• 7 millions d’euros représentent moins de 0,07 % du chiffre d’affaires du groupe.

Le montant se lit à côté de l’usage réel de l’application : plus de 1,5 million de téléchargements en France entre mars 2023 et mars 2024, et 37 400 utilisateurs quotidiens en moyenne sur la même période. Il se compare aux 3 millions d’euros infligés à Voodoo pour un schéma voisin. Il se compare mal, en revanche, aux sanctions cookies de 2025 contre Google (325 millions d’euros) et Shein (150 millions), montants rapportés par l’AFP. D’autres ordres de grandeur figurent dans le panorama des amendes RGPD et DSA infligées aux plateformes.

De la plainte de 2023 à l’injonction d’un mois : une procédure de plus de trois ans

Une plainte déclenche la procédure, mais c’est le contrôle de la CNIL qui fixe les faits sanctionnés. L’association noyb a porté plainte en septembre 2023. Son communiqué est daté du 14 septembre, la délibération enregistre la plainte au 15.

La plainte décrivait autre chose que ce qui a été sanctionné. Selon noyb, l’application Android transmettait dès son ouverture, sans choix possible, l’identifiant publicitaire Google (AdID), le modèle et la marque de l’appareil et l’adresse IP locale. Les sociétés ont attribué ce problème à la mauvaise configuration d’un traceur Android, corrigée par une version du 19 septembre 2023. La sanction ne repose pas sur ce test : elle repose sur le constat de la CNIL du 6 mars 2024.

Les étapes de la procédure :

• 6 décembre 2023 : mission de contrôle décidée ;
• 6 mars 2024 : contrôle en ligne de l’application ;
• 19 et 20 décembre 2024 : désactivation de l’API, sur Android puis sur iOS, selon les sociétés ;
• 12 mai 2026 : désignation du rapporteur ;
• 3 juin 2026 : notification du rapport ;
• 15 septembre 2026 : clôture de l’instruction ;
• 1ᵉʳ octobre 2026 : séance ;
• 22 octobre 2026 : délibération ; publication le 29.

Plus de trois ans séparent la plainte de la décision, et deux ans et sept mois le contrôle de la sanction. Les délais qui comptent désormais courent à partir de la notification de la délibération aux sociétés, pas de sa publication.

Les sociétés ont un mois à compter de cette notification pour justifier de leur mise en conformité à l’article 82, et notamment prouver que leur nouvel outil recueille le consentement. Au-delà, une astreinte de 10 000 euros par jour de retard s’applique. Les sociétés font état d’une désactivation de l’API les 19 et 20 décembre 2024. La délibération retient qu’elles ne démontrent pas que les mesures évoquées ont été mises en œuvre (paragraphe 74). Elle n’établit donc pas que l’application actuelle trace sans consentement. Elle dit seulement que la mise en conformité n’était pas démontrée.

Le recours devant le Conseil d’État reste ouvert deux mois après la notification. Au-delà de deux ans, les sociétés ne seront plus identifiables dans la version publiée (paragraphes 79 et 80).

Le choix dans l’application prime sur les réglages du téléphone, et il se retire aussi simplement qu’il se donne

Un réglage du téléphone ne remplace pas le choix exprimé dans l’application. Les permissions du système portent sur l’accès à certaines données : contacts, localisation, micro, caméra. L’identifiant publicitaire relève lui aussi d’un réglage du système. Le traceur sanctionné s’appuyait sur un identifiant attribué par la Fnac, que ces réglages ne gouvernent pas. Le précédent Voodoo montre la même limite, avec un refus du suivi sous iOS contourné par un autre identifiant. Aucun réglage du système ne garantit donc à lui seul l’arrêt de tous les traceurs d’une application.

Votre levier principal est le paramétrage de consentement de chaque application. Les lignes directrices de la CNIL en fixent les règles :

• refuser doit être aussi simple qu’accepter ;
• retirer son consentement doit être aussi simple que le donner, et possible à tout moment ;
• l’acceptation des CGU ne vaut pas consentement ;
• chaque nouvelle finalité appelle un nouveau consentement.

La CNIL a précisé ces règles pour les applications dans une recommandation (délibération n° 2024-061 du 18 juillet 2024, publiée le 24 septembre 2024 et modifiée le 8 avril 2025). Le texte s’adresse à toute la chaîne : éditeurs, développeurs, fournisseurs de kits de développement (SDK), de systèmes d’exploitation et de magasins d’applications. Il articule le consentement et les permissions techniques du système. La CNIL y annonçait une campagne de contrôle des applications à partir du printemps 2025.

Si un refus ne semble pas respecté, la démarche officielle passe d’abord par l’organisme. La CNIL demande de contacter l’éditeur, ou son délégué à la protection des données, et de garder la preuve de cette démarche. La plainte se dépose ensuite par un formulaire en ligne, avec un compte qui permet d’en suivre l’avancement. La même logique s’applique pour faire valoir vos droits en cas de fuite de données.

La CNIL ne peut ni représenter le plaignant ni lui obtenir de dommages et intérêts. Une plainte individuelle alimente un contrôle, dont l’issue se compte en années, comme le montre le dossier Fnac. Elle ne produit pas de réparation pour celui qui l’a déposée.

La ligne de partage, traceur par traceur

La dernière ligne est celle qui sert le plus. Quand une application présente une fonction comme indispensable, la question à poser est de savoir si elle passe par une requête à part. Une fonction réellement nécessaire, mêlée à une finalité commerciale, ne dispense plus de votre accord.

Questions fréquentes

Une application peut-elle utiliser des traceurs sans mon accord ?

Oui, mais seulement dans les deux cas prévus par l’article 82 de la loi Informatique et libertés : la transmission technique, ou ce qui est strictement nécessaire à un service que vous avez expressément demandé. La CNIL range dans ces cas le panier, l’authentification, la langue d’interface ou la mémoire de votre choix. Pour la CNIL, les recommandations commerciales et le profilage exigent votre consentement préalable.

Accepter les conditions générales d’une application vaut-il consentement aux traceurs ?

Non. Selon les lignes directrices de la CNIL du 17 septembre 2020, l’acceptation des conditions générales d’utilisation ne vaut pas consentement. Dans la délibération SAN-2026-015, la formation restreinte a refusé l’exemption invoquée par les sociétés sur un autre terrain. Promouvoir des produits et cibler l’utilisateur ne sont pas strictement nécessaires au service.

L’application Fnac trace-t-elle encore ses utilisateurs sans consentement ?

La délibération ne l’établit pas. Les sociétés font état d’une désactivation de l’API en cause les 19 et 20 décembre 2024, mais la délibération retient qu’elles ne démontrent pas que les mesures évoquées ont été mises en œuvre. La CNIL leur laisse un mois pour prouver que leur nouvel outil recueille le consentement, sous astreinte de 10 000 euros par jour. La décision peut être contestée devant le Conseil d’État dans les deux mois suivant sa notification.

Désactiver l’identifiant publicitaire du téléphone suffit-il à bloquer les traceurs ?

Rien ne le garantit. Les réglages du système couvrent l’identifiant publicitaire et certaines permissions, comme la localisation ou les contacts. Le traceur sanctionné chez la Fnac utilisait un identifiant attribué par l’éditeur. Le choix exprimé dans chaque application reste donc le levier principal.

Une plainte à la CNIL permet-elle d’être indemnisé ?

Non. La CNIL ne peut ni représenter le plaignant ni obtenir de dommages et intérêts pour lui. Elle demande de contacter d’abord l’organisme ou son délégué à la protection des données, puis de déposer la plainte par son formulaire en ligne. Une plainte peut déclencher un contrôle et, des années plus tard, une sanction.