La CNIL sanctionne le groupe FNAC à 7 M€ pour recommandations sans consentement

La formation restreinte de la CNIL, par la délibération SAN-2026-015 du 22 octobre 2026LegifranceLegifrance, a sanctionné deux sociétés de FNAC DARTY pour des manquements cookies et traceurs dans l'application mobile FNACLegifrance : 6 000 000 euros à l'encontre de FNAC DARTY PARTICIPATIONS ET SERVICES (FDPS)Legifrance et 1 000 000 euros à l'encontre de FNAC DIRECTLegifrance. Les deux sociétés, détenues à 100 % dans la chaîne du groupe sous la holding FNAC DARTY SALegifrance, agissent comme responsables conjoints des traitements de données personnelles mis en œuvre via l'application pour la zone FranceLegifrance. L'affaire a commencé par une plainte du 15 septembre 2023 de l'association None of Your Business (NOYB), suivie d'une mission de vérification, d'un rapport du rapporteur du 3 juin 2026 et d'une séance le 1er octobre 2026.

Le manquement vise l'article 82 de la loi Informatique et LibertésLegifrance, qui exige un consentement préalable avant toute opération de lecture ou d'écriture sur l'équipement terminal d'un utilisateur, sauf pour les opérations ayant pour finalité exclusive de permettre la communication électronique ou strictement nécessaires à la fourniture d'un service en ligne expressément demandé par l'utilisateurLegifrance. Le contrôle a constaté que l'application réalisait des opérations de lecture/écriture sur les téléphones des utilisateurs via une interface de programmation applicative de recommandationLegifrance, transmettant un identifiant attribué par la FNAC avec des données d'activité telles que les produits consultésLegifrance, pour personnaliser les contenus affichés et entraîner l'algorithme de recommandation de produitsLegifranceLegifrance. Ces opérations s'effectuaient sans consentement préalableLegifrance, y compris après que les utilisateurs avaient cliqué sur Continuer sans accepter dans la plateforme de gestion du consentementLegifrance.

Les sociétés soutenaient que le traceur était strictement nécessaire : il aidait les utilisateurs à naviguer dans un vaste catalogue comme les rayons organisent les magasins physiques, et le téléchargement et le lancement de l'application ainsi que l'acceptation des conditions du compte client valaient demande expresse. La formation a écarté chaque brancheLegifrance. La finalité de ces opérations est de promouvoir, auprès des utilisateurs, les produits vendus par la FNAC afin que ceux-ci les achètentLegifrance. Selon la doctrine répressive constante de la formation, les opérations de personnalisation des produits affichés et de ciblage commercial n'entrent pas dans les exemptions de l'article 82Legifrance, et aucun consentement n'avait été recueilli en l'espèceLegifrance. Recommander des produits complémentaires à partir d'attributs et de comportements analysés n'est pas un élément intrinsèque du serviceLegifrance. Les suggestions de produits similaires ne pouvaient être isolées des finalités non exemptées dès lors qu'un traceur unique les servait toutesLegifrance, et un traceur multi-finalités exige le consentement sauf si chaque finalité est exemptéeLegifrance. Entraîner l'algorithme de recommandation à partir des interactions des utilisateurs sert la même finalité commerciale et exige également le consentementLegifrance.

Pour le montant, le 7° du IV de l'article 20 de la loi Informatique et Libertés plafonne l'amende à 10 millions d'euros ou, pour une entreprise, à 2 % du chiffre d'affaires mondial total de l'exercice précédent, le montant le plus élevé étant retenuLegifrance, avec l'exigence d'effectivité, de proportionnalité et de dissuasion de l'article 83 du RGPD. Appliquant la notion d'entreprise du droit de la concurrence validée par la Cour de justice (C-807/21, C-383/23), la formation a retenu que les filiales détenues à 100 % sont présumées sous l'influence déterminante de FNAC DARTY SALegifrance — présomption que les sociétés n'ont pas renverséeLegifrance — et a donc apprécié le plafond et la capacité économique réelle sur le chiffre d'affaires du groupeLegifrance, supérieur à 10 milliards d'euros en 2025Legifrance, avec les éléments financiers soulevés par les sociétés. En tant que responsables conjoints, FDPS supporte 6 millions d'euros et FNAC DIRECT 1 millionLegifrance.

Les sociétés ayant décommissionné l'interface en décembre 2024Legifrance et déployé un nouvel outil en janvier 2025Legifrance sans en démontrer la conformité à la clôture de l'instructionLegifrance, la formation leur a enjoint de démontrer la mise en conformité avec l'article 82Legifrance, sous astreinte de 10 000 euros par jour de retardLegifrance à l'issue d'un délai d'un mois à compter de la notificationLegifrance, les justificatifs devant être adressés à la formation. La décision sera publiée sur les sites de la CNIL et de Légifrance, les sociétés n'étant plus nommées deux ans après la publication. Fondement juridique : loi n° 78-17 du 6 janvier 1978, articles 82 et 20Legifrance ; règlement (UE) 2016/679, article 83 ; délibération CNIL SAN-2026-015 du 22 octobre 2026.