Amende de la CNIL contre Fnac Darty : la télémétrie de recommandation assimilée à des cookies

La bannière de consentement dans une application d’achat n’est pas là pour faire joli, même si de nombreuses équipes produit l’ont traitée comme une sorte de plante verte juridique. Dans l’affaire Fnac Darty, la CNIL indique que les utilisateurs n’avaient pas consenti à un traceur qui collectait pourtant leur historique de navigation pour des recommandations de produits et l’entraînement d’un algorithme. C’est la partie utile de la sanction, et celle vers laquelle pointe le cadrage centré sur le traceur de Leto.legal : la télémétrie de recommandation peut ressembler à du suivi par cookies pour un régulateur, même lorsqu’elle se trouve dans une application mobile.

Ce n’est pas une histoire visant à savoir si les cookies sont réglementés. Cette question a été tranchée il y a longtemps, généralement par une bannière qui réussit à agacer tout le monde de la même façon. La leçon plus nette est que les signaux comportementaux utilisés pour les recommandations et l’amélioration des modèles ne deviennent pas magiquement des données opérationnelles simplement parce que l’équipe ML aimerait que ce soit le cas. Si l’application enregistre ce qu’une personne a consulté et utilise ces informations pour personnaliser ce qui s’affiche ensuite, l’analyse du consentement commence avant l’expédition du SDK.

Ce que la CNIL a réellement sanctionné

Selon la CNIL, le 22 octobre 2026, elle a infligé une amende de 7 millions d’euros à FNAC DARTY PARTICIPATIONS ET SERVICES et FNAC DIRECT pour non-respect des règles françaises sur les cookies et les traceurs. NOYB indique que l’amende faisait suite à sa plainte déposée en 2023, et la CNIL précise qu’elle a contrôlé l’application mobile des entreprises en mars 2024. La CNIL a réparti la sanction entre 6 millions d’euros pour FNAC DARTY PARTICIPATIONS et 1 million d’euros pour FNAC DIRECT.

@title De la plainte à l’amende
@source Cookies and mobile application
@source noyb win

  2023 ····· NOYB complaint
  March 2024 ····· CNIL inspection
  22 October 2026 ····· CNIL fine

@caption Le parcours de mise en application est allé d’une plainte de NOYB à un contrôle de la CNIL, puis à une sanction.

La description de la CNIL est importante parce qu’elle est précise sur la finalité. L’autorité indique que le traceur collectait l’historique de navigation des utilisateurs afin d’afficher des recommandations de produits et d’entraîner l’algorithme de recommandation. Dans le langage d’un régulateur, ce ne sont pas de simples résidus de fond d’une session d’application. Il s’agit d’une collecte de données à des fins de personnalisation et d’amélioration de modèle, exactement le type de finalité qui devrait rendre un gestionnaire de consentement moins décoratif.

Pourquoi les données de recommandation posent un problème de conformité

La CNIL a constaté que l’application mobile utilisait un traceur sans le consentement des utilisateurs, et que ce traceur permettait d’afficher des produits personnalisés à partir de l’historique de navigation, selon l’avis de l’autorité. Les exemples donnés par la CNIL relèvent de mécanismes de vente au détail ordinaires : produits similaires, produits complémentaires et recommandations tirées de ce que l’utilisateur avait consulté. Ordinaire ne veut pas dire exempté. Le droit ne se lasse pas simplement parce qu’une fonctionnalité figure sur toutes les feuilles de route e-commerce.

Le récit de NOYB ajoute la dimension des tiers, en indiquant que les applications accédaient à des données personnelles et les partageaient avec des tiers à des fins d’analyse lorsque les applications étaient ouvertes. Cela ne signifie pas que tous les systèmes de recommandation sont illégaux, et LinkedIn survivra sans cette affirmation. Cela signifie bien que les concepteurs devraient cesser de traiter la télémétrie de recommandation comme une catégorie d’ingénierie privée et commencer à la traiter comme une finalité de traitement suivie. Si un refus du suivi n’arrête pas le flux d’événements qui alimente la personnalisation, le bouton de consentement relève du théâtre.

Les obligations simples pour les concepteurs

La lecture pratique de l’avis de la CNIL est assez simple pour tenir dans un document d’exigences produit, ce qui laisse peu d’excuses pour la cacher dans une revue juridique de fin de parcours. Si l’historique de navigation est collecté pour personnaliser des recommandations, consignez explicitement cette finalité et déterminez si un consentement est requis avant le début de la collecte. Si les mêmes données servent à entraîner l’algorithme de recommandation, traitez l’entraînement comme un usage distinct qui doit être communiqué et contrôlé, et non comme une note de bas de page dans l’analytique. Si un tiers reçoit les données, l’examen des fournisseurs doit couvrir le traceur, les finalités et ce qui se passe lorsqu’un utilisateur refuse son consentement.

La CNIL indique également que les sociétés s’exposent à une astreinte de 10 000 euros par jour de retard si elles ne satisfont pas à l’injonction décrite dans l’avis de sanction. C’est le levier d’application que les équipes produit devraient remarquer. Un régulateur ne s’est pas contenté de se plaindre d’un texte de bannière mal rangé. Il s’est opposé au fait que l’application continue d’utiliser un traceur pour des recommandations fondées sur la navigation et pour l’entraînement après que les utilisateurs n’avaient pas donné leur consentement.

Ce que cela signifie pour les équipes produit et ML

Selon NOYB, Fnac Darty est active au-delà de la France, notamment en Espagne, en Italie, au Portugal, en Belgique et en Suisse. Cette présence géographique rappelle que les choix de suivi dans les applications mobiles restent rarement locaux pour les groupes opérant au-delà des frontières. Une fonctionnalité de recommandation construite une seule fois peut devenir un problème de consentement sur plusieurs marchés si le flux de données est réutilisé sans examen propre à chaque juridiction. Les concepteurs doivent accomplir le travail peu glamour : cartographier les événements, les finalités, les destinataires, les états de consentement et les usages d’entraînement des modèles avant le lancement.

La tâche tournée vers l’avenir n’est pas de supprimer la personnalisation. Elle consiste à rendre la télémétrie de recommandation banalement gouvernable : aucune collecte avant que l’état du consentement soit connu, aucune finalité d’entraînement dissimulée sous l’analytique, et aucun point de terminaison fournisseur qui continue de recevoir l’historique de navigation après un refus. Observez si la CNIL et d’autres régulateurs européens appliquent le même raisonnement à davantage de systèmes de personnalisation fondés sur des applications. Si c’est le cas, la frontière de conformité des moteurs de recommandation sera moins dessinée par l’architecture des modèles que par l’humble question que tout avocat en protection de la vie privée pose en premier : quelles données ont circulé, pourquoi, et avec la permission de qui.