L’autorité française chargée de la protection des données a infligé une amende totale de 7 millions d’euros à deux sociétés du groupe Fnac Darty pour des pratiques de suivi dans l’application mobile du détaillant. La CNIL a imposé 6 millions d’euros à Fnac Darty Participations et Services et 1 million d’euros à Fnac Direct, décision datée du 22 octobre et rendue publique le 29 octobre.
L’affaire a démarré à la suite d’une plainte du collectif de protection de la vie privée noyb et d’une inspection menée par la CNIL en mars 2024. Selon l’organisme, l’application envoyait un identifiant utilisateur et des informations sur les produits consultés vers un domaine tiers. Ces données étaient utilisées pour des recommandations de produits personnalisées et pour entraîner l’algorithme de recommandation.
Pourquoi l’exemption de consentement ne s’appliquait pas
La question juridique portait sur le consentement. L’article 82 de la loi française relative à la protection des données autorise certains stockage ou accès sur un dispositif sans consentement uniquement lorsque cela est strictement nécessaire au service demandé par l’utilisateur ou pour des communications électroniques. La CNIL a conclu que la personnalisation et le ciblage commercial ne répondaient pas à ces exemptions.
L’autorité a estimé que les entreprises n’avaient pas respecté le choix des utilisateurs de ne pas consentir et a relevé l’audience importante de l’application. Elle leur a en outre ordonné de démontrer, sous un mois, qu’un nouvel outil obtient le consentement lorsque cela est nécessaire. Tout retard pourrait entraîner une contravention de 10 000 euros par jour.
Fnac conteste l’analyse juridique
Fnac a déclaré à l’AFP qu’il conteste l’analyse juridique sur le fond et se réserve le droit d’engager les recours disponibles. Cette position est significative : l’amende résulte de la décision de l’autorité, tandis que le recours de l’entreprise représente sa position exprimée. Aucun tribunal n’a encore tranché le différend tel que rapporté.
Cette affaire revêt une importance au-delà d’un seul distributeur car elle applique des règles bien connues sur les cookies aux flux de données des applications mobiles. Un traceur n’est pas exonéré simplement parce qu’il aide à améliorer les recommandations ou à entraîner un algorithme. Les éditeurs doivent identifier quelles opérations sont réellement nécessaires et obtenir le consentement préalable pour le reste.
Une mise en garde plus large pour les applications mobiles
Les prochaines étapes concrètes consistent à réunir les éléments de conformité et à examiner les recours éventuels. Les utilisateurs d’applications n’ont pas besoin d’en déduire que chaque recommandation est illégale : la décision porte sur une mise en œuvre et un chemin de consentement précis. Pour les développeurs, la leçon pratique est d’auditer les identifiants, les requêtes tierces et les données utilisées pour l’entraînement des algorithmes avant de traiter les analyses comme une fonction de fond invisible.
