Cookies et recommandations personnalisées : sanction de 7 millions d’euros à l’encontre de FNAC

Après un contrôle ayant fait suite à une plainte de l’association None Of Your Business (NOYB), la formation restreinte de la CNIL a prononcé, le 22 octobre 2026, une amende totale de 7 millions d’euros à l’encontre des sociétés FNAC DARTY PARTICIPATIONS ET SERVICES et FNAC DIRECT pour avoir déposé des cookies et autres traceurs sur le terminal des utilisateurs de l’application mobile FNAC, sans leur consentement, y compris après un clic sur « Continuer sans accepter ».

‍

Cette décision rappelle que tout traceur servant à recommander des produits ou à entraîner un algorithme de recommandation relève du ciblage commercial. Il ne peut donc ni être déposé ni fonctionner sans le consentement préalable de l’utilisateur, et ce, même lorsque l’éditeur le présente comme une simple aide à la navigation.

‍

I. La décision

‍

Le 15 septembre 2023, la CNIL a été saisie d’une plainte déposée par l’association NOYB, organisation européenne de défense de la vie privée, à l’encontre des sociétés FNAC DARTY PARTICIPATIONS ET SERVICES et FNAC DIRECT, responsables conjointes du traitement des données effectué au moyen de l’application mobile FNAC. En cause, un traceur de l’application mobile qui transmettait l’historique de navigation des utilisateurs à un domaine tiers, via une API, pour personnaliser les recommandations et entraîner l’algorithme. Ce flux continuait de fonctionner même après un refus de l’utilisateur.

‍

La FNAC soutenait qu’il s’agissait d’une aide à la navigation, strictement nécessaire à la fourniture du service demandé par l’utilisateur, bénéficiant donc de l’exemption au consentement.  

‍

La CNIL a écarté cet argument et retenu un manquement aux articles 5(3) de la Directive ePrivacy et 82 de la loi Informatique et Libertés pour deux raisons :  

‍

• Poursuite de finalités de personnalisation et de ciblage commercial ne bénéficiant d’aucune exemption au consentement. L’affichage de produits personnalisés et complémentaires, fondé sur la navigation, les consultations, les achats et l’intérêt manifesté par les utilisateurs, ainsi que l’entraînement de l’algorithme de recommandation à partir des interactions des utilisateurs visent à promouvoir les produits et à inciter à l’achat. Aucune de ces opérations n’est strictement nécessaire au service expressément demandé par l’utilisateur.

‍

• Recours à un traceur unique poursuivant plusieurs finalités sans accord des utilisateurs, alors même que certaines étaient soumises au consentement. Si la CNIL admet que l’affichage de produits similaires pourrait, selon ses modalités, faciliter la navigation des utilisateurs dans le catalogue, elle fixe une limite claire : lorsque cette fonctionnalité repose sur le même cookie que celui permettant la personnalisation et le ciblage commercial, elle ne peut pas bénéficier de l’exemption au consentement.

‍

Au regard de la gravité du manquement, caractérisé par l’absence de consentement et le non-respect du refus exprimé par les utilisateurs, du nombre de personnes concernées et de l’ancienneté des règles applicables aux traceurs, la CNIL a prononcé une amende de 6 millions d’euros contre FNAC DARTY PARTICIPATIONS ET SERVICES et de 1 million d’euros contre FNAC DIRECT.  

‍

L’autorité de protection des données a également prononcé une injonction de démontrer, dans un délai d’un mois suivant la notification de la décision, que le nouvel outil de recommandation mis en place recueille bien le consentement lorsque celui-ci est requis, sous astreinte de 10 000 euros par jour de retard.  

‍

II. Vérifiez vos traceurs et cookies !

‍

Par principe, seuls les cookies et traceurs ayant pour finalité exclusive de permettre ou de faciliter la communication par voie électronique, ou strictement nécessaires au fonctionnement du service demandé par l’utilisateur, peuvent être déposés sans consentement.

‍

Toute recommandation de produits selon un historique de navigation, proposition de produits complémentaires ou entraînement d’algorithmes de recommandation à partir du comportement des utilisateurs relève du ciblage commercial : le consentement est obligatoire et tout refus de l’utilisateur doit être documenté et respecté.  

‍

• Recensez l’ensemble des traceurs auxquels vous avez recours et qui lisent ou écrivent des informations sur le terminal des utilisateurs (y compris SDK et appels tiers) ;  

‍

• Documentez chacune de leurs finalités et vérifiez, pour chacune d’elles, si elle relève d’une exemption ou si le consentement est obligatoire ;  

‍

• Dissociez techniquement les opérations strictement nécessaires de celles soumises au consentement, ou subordonnez l’ensemble des opérations au consentement préalable ;

‍

• En cas de recours à une mesure d’audience exemptée de consentement, assurez-vous qu’elle respecte strictement les conditions posées par la CNIL et que les données collectées ne sont pas réutilisées à d’autres fins, notamment pour alimenter un moteur de recommandation ;

‍

• Testez le parcours de refus et vérifiez les requêtes réellement émises après un refus ou un paramétrage restrictif des traceurs ;  

‍

• Conservez la preuve de vos paramétrages et tests (registre des consentements, configuration de l’outil de gestion du consentement, relevés des requêtes émises, etc.).  

‍

Enfin, comme pour toute obligation en matière de protection des données, la documentation est essentielle : en cas de contrôle ou de demande d’une personne concernée, vous devez être en mesure de justifier des finalités poursuivies et des conditions applicables.  

‍

‍

Pour toute question ou besoin d’accompagnement, n’hésitez pas à contacter notre équipe IT/Data !    

‍

Jeannie Mongouachon, avocate associée, et Juliette Lobstein, avocate collaboratrice chez Squair