Traceurs mobiles : la CNIL sanctionne une collecte maintenue malgré le refus de consentement

Une décision du 22 octobre, rendue publique le 29

La Commission nationale de l’informatique et des libertés a publié le 29 octobre 2026 une décision prise le 22 octobre : la formation restreinte a infligé au total 7 millions d’euros d’amendes aux sociétés FNAC DARTY PARTICIPATIONS ET SERVICES (6 millions) et FNAC DIRECT (1 million). Le contrôle à l’origine de la procédure remonte à mars 2024. Il faut donc distinguer la date des faits contrôlés, celle de la décision et celle de sa publication. Cette sanction ne constitue pas une nouvelle loi entrée en vigueur le 29 octobre.

L’affaire concerne une application mobile et des opérations de lecture ou d’écriture sur le téléphone des utilisateurs. Selon la CNIL, un traceur continuait de transmettre un identifiant et des informations sur les produits consultés, notamment pour personnaliser les recommandations commerciales et entraîner un algorithme. Les opérations avaient lieu alors même que l’utilisateur avait choisi de continuer sans accepter le suivi. Les faits constatés et le raisonnement juridique figurent dans la délibération SAN-2026-015 publiée sur Légifrance.

Pourquoi l’autorité a écarté l’exception de nécessité

Les sociétés soutenaient que les recommandations facilitaient la navigation dans un vaste catalogue. La formation restreinte a considéré que les opérations de personnalisation commerciale, de suggestion de produits complémentaires et d’entraînement de l’algorithme ne relevaient pas des exceptions de l’article 82 de la loi Informatique et Libertés. Pour un traceur poursuivant plusieurs finalités, la présence d’une finalité potentiellement nécessaire ne dispense pas du consentement si une autre finalité le requiert.

La décision n’affirme pas que toutes les recommandations de produits sont interdites. Elle sanctionne des opérations précises de lecture et d’écriture réalisées sans consentement préalable dans l’application contrôlée. Les modalités techniques, les finalités exactes et l’existence d’une exception doivent être examinées au cas par cas. La CNIL relève par ailleurs que les sociétés avaient remplacé l’outil concerné ; la sanction porte sur des manquements passés.

Ce qu’un petit commerce ou un éditeur d’application peut vérifier

• Lister les traceurs et SDK présents sur le site et, s’il existe, dans l’application mobile : mesure d’audience, publicité, personnalisation, recommandations et outils de partenaires.
• Tester un premier lancement sans consentement, puis un refus explicite : vérifier les appels réseau et les identifiants réellement transmis, pas seulement l’apparence de la bannière.
• Faire confirmer par les fournisseurs les finalités et la base juridique de chaque technologie ; une documentation commerciale ne remplace pas un contrôle technique.
• Vérifier que le refus empêche les opérations qui nécessitent un consentement et qu’un changement de choix est pris en compte.
• Documenter les tests, les corrections, les versions des outils et les responsabilités entre l’entreprise et ses prestataires ; demander un avis juridique en cas de doute.

Un risque qui ne concerne pas uniquement les grandes enseignes

Une petite entreprise peut installer un module de recommandation ou de statistiques fourni par un prestataire sans connaître tous les échanges réseau qu’il réalise. L’enseignement de cette décision est opérationnel : la conformité se vérifie dans le comportement effectif de l’outil, y compris lorsque le visiteur refuse. Une interface affichant un choix de consentement ne prouve pas, à elle seule, que les traceurs respectent ce choix.

Le montant de 7 millions d’euros est propre à cette affaire et à l’appréciation de la CNIL. Il ne s’agit ni d’un barème automatique ni d’une amende prévisible pour une TPE présentant une erreur comparable. La CNIL a aussi ordonné aux sociétés de démontrer la conformité du nouvel outil dans un délai d’un mois à compter de la notification, sous peine d’une astreinte de 10 000 euros par jour de retard. La date de notification n’est pas indiquée dans le communiqué consulté : aucun calendrier précis d’échéance ne peut donc être déduit ici.

À retenir

Le 29 octobre 2026, la CNIL a rendu publique une sanction décidée le 22 octobre au sujet de traceurs dans une application mobile. Pour les indépendants et les PME, l’action raisonnable est de faire tester les mécanismes de consentement et les échanges de données réellement observés, sans conclure que toute recommandation commerciale exige systématiquement le même traitement juridique.