Ce qui a changé
- La CNIL a imposé des amendes d’un montant total de 7 millions d’euros pour des violations de l’article 82 de la loi Informatique et Libertés.
- Un contrôle déclenché par NOYB a révélé des appels d’API transmettant des identifiants d’utilisateurs et des données de navigation vers un domaine tiers sans le consentement des utilisateurs.
- La CNIL a émis une injonction de mise en conformité assortie d’une astreinte de 10 000 € par jour de retard après un délai de grâce d’un mois à compter de la notification.
Les éditeurs d’applications mobiles et les entreprises de commerce électronique opérant au sein de l’Union européenne font face à un contrôle strict concernant le consentement des utilisateurs relatif aux technologies de traçage. Le 22 octobre 2026, l’autorité française de protection des données (CNIL) a rendu la délibération SAN-2026-015, infligeant une amende totale de 7 millions d’euros à FNAC DARTY PARTICIPATIONS ET SERVICES (6 millions d’euros) et FNAC DIRECT (1 million d’euros) pour non-respect des règles régissant les traceurs en vertu de l’article 82 de la loi Informatique et Libertés.
Cette mesure de sanction fait suite à une plainte déposée par l’association à but non lucratif None Of Your Business (NOYB), qui a donné lieu à un contrôle de l’application mobile des sociétés par la CNIL en mars 2024. Les contrôleurs de la CNIL ont constaté que l’application déployait un traceur collectant l’historique de navigation des utilisateurs pour afficher des recommandations de produits personnalisées et entraîner des algorithmes de recommandation, alors même que les utilisateurs n’avaient pas consenti à un tel traçage. L’analyse technique a révélé que des requêtes API étaient adressées à un domaine tiers, transmettant des identifiants d’utilisateur attribués par la FNAC ainsi que des données d’activité telles que les produits consultés.
La formation restreinte de la CNIL a estimé que ces opérations ne relevaient d’aucune exemption de consentement prévue par l’article 82 de la loi Informatique et Libertés. Le traçage n’avait ni pour finalité exclusive de faciliter la communication par voie électronique, ni n'était strictement nécessaire à la fourniture d’un service de communication en ligne expressément demandé par l’utilisateur. En conséquence, ces activités nécessitaient le consentement préalable de l’utilisateur.
Pour justifier la sanction, la CNIL a mis en avant le non-respect du refus explicite du traçage par les utilisateurs, le nombre important d’utilisateurs de l’application, ainsi que la jurisprudence réglementaire établie selon laquelle les traceurs de personnalisation commerciale et de ciblage nécessitent un consentement préalable. En outre, la CNIL a émis une injonction enjoignant les sociétés de justifier de mécanismes de consentement conformes dans un délai d’un mois à compter de la notification de la décision, sous peine d’une astreinte de 10 000 € par jour de retard. La sanction a été rendue publique en raison de la gravité de la violation, de son ampleur et du nombre total d’utilisateurs touchés.
Qui peut être concerné
Utilisateurs de l’application mobile FNAC, commerçants en ligne et éditeurs d’applications mobiles opérant en France et dans l’UE.
Contexte transfrontalier
Applique les règles de consentement ePrivacy de l’UE telles que transposées en droit français (article 82 de la loi Informatique et Libertés) aux applications mobiles et au traçage API tiers transfrontalier.
Points à vérifier ensuite
- Consulter la Délibération SAN-2026-015 du 22 octobre 2026 sur Légifrance.
- Consulter les lignes directrices et recommandations de la CNIL concernant les cookies et traceurs d’applications mobiles.
Cet article fournit des informations générales et ne constitue pas un conseil juridique. Consultez le texte officiel et obtenez des conseils adaptés à votre situation si nécessaire.