La CNIL a rendu publiques, le 29 octobre 2026, des sanctions totalisant 7 millions d’euros contre FNAC DARTY PARTICIPATIONS ET SERVICES et FNAC DIRECT. Les sanctions ont été décidées le 22 octobre, une semaine avant cette annonce. Le dossier concerne le suivi de la navigation dans l’application mobile Fnac. [1]
Ce que la CNIL a constaté dans l’application
Après une plainte de l’association NOYB, un contrôle réalisé en mars 2024 a mis en évidence un traceur collectant notamment des informations sur les produits consultés. Ces données servaient à personnaliser des recommandations et à entraîner l’algorithme associé, sans consentement au suivi.
La CNIL indique que les échanges avec un domaine tiers comprenaient un identifiant attribué à l’utilisateur et des informations sur son activité. Elle a considéré que les finalités examinées ne relevaient pas des exemptions au consentement. Les amendes sont réparties entre les deux sociétés : 6 millions d’euros et 1 million d’euros. [1]
Pour une entreprise qui commande une application, ce dossier invite à regarder ce que font réellement les outils intégrés, au-delà de la présence d’une fenêtre de préférences. Une interface peut afficher un choix sans que l’ensemble des échanges techniques respecte ce choix.
Permissions du téléphone et consentement : deux vérifications
Les règles sur les traceurs ne concernent pas uniquement les cookies visibles dans un navigateur. La CNIL rappelle le principe d’un consentement préalable aux opérations de stockage ou d’accès aux informations du terminal, avec des exceptions, notamment pour les opérations strictement nécessaires au service expressément demandé. Il faut donc examiner chaque finalité, plutôt que classer tous les outils comme indispensables. [2]
Autre distinction utile : une permission technique du téléphone et un consentement à un traitement de données ne se confondent pas automatiquement. Une permission permet à l’application d’accéder à une ressource de l’appareil ; elle ne suffit pas, à elle seule et dans tous les cas, à établir que l’utilisateur a accepté les finalités poursuivies.
Dans ses recommandations sur les permissions, la CNIL invite à articuler clairement ces demandes pour éviter les confusions. Le prestataire doit pouvoir expliquer les écrans présentés, leur ordre et les opérations qui restent bloquées lorsqu’un accord nécessaire n’est pas donné. [3]
Trois éléments concrets à obtenir du prestataire
La CNIL décrit les SDK comme des ensembles d’outils facilitant le développement d’une application. Ils peuvent ajouter des fonctions sans que l’entreprise cliente en connaisse immédiatement tous les traitements. Avant une livraison ou une nouvelle intégration, trois demandes permettent de rendre la discussion concrète. [4]
Un inventaire compréhensible. Quels outils et services tiers sont intégrés ? Quelles informations utilisent-ils, pour quelles finalités et avec quels destinataires ? Faites distinguer le fonctionnement demandé par l’utilisateur, la mesure d’usage et les recommandations commerciales, sans présumer que ces catégories relèvent du même régime.
Une démonstration du refus et du retrait. Demandez ce qui se passe au premier lancement, après un refus, puis lorsque l’utilisateur change d’avis. La vérification doit porter sur le comportement des outils concernés, pas seulement sur le texte des boutons. Faites conserver un compte rendu des tests et de la version examinée.
Des responsabilités et un suivi écrits. Identifiez qui choisit les outils, qui les configure et qui peut corriger leur comportement. Précisez comment une mise à jour de l’application ou d’un module déclenche une nouvelle vérification, et quels documents seront remis à l’entreprise.
La CNIL recommande notamment de choisir des SDK permettant le blocage des opérations nécessitant un consentement jusqu’à son recueil et facilitant l’exercice des droits. La promesse commerciale d’un outil ne remplace pas la vérification de son intégration. [4]
Quel interlocuteur solliciter pour son application ?
Le développeur ou l’agence qui maintient l’application est le premier interlocuteur pour inventorier les outils, expliquer les échanges et présenter les tests. Un cahier des charges précis permet de demander des livrables identifiables, avec les versions et les paramètres retenus, plutôt qu’une assurance générale de conformité.
Lorsque la question porte sur les finalités, les responsabilités juridiques ou le régime du consentement, associez la personne chargée de la protection des données dans l’entreprise, le DPO s’il existe, ou un conseil compétent en droit du numérique. Pour préparer cet échange, le guide Uminov consacré au premier rendez-vous avec un avocat aide à organiser documents et questions.
Rassemblez le contrat du prestataire, l’inventaire des modules, les écrans de choix et les comptes rendus techniques disponibles. Ces pièces donnent une base de travail aux intervenants ; elles permettent de discuter des fonctions effectivement présentes dans votre application et des corrections à étudier.
