La Cnil a sanctionné les sociétés Fnac Darty participations et services et Fnac direct d’une amende de 7 millions d’euros pour non-respect des règles applicables en matière de cookies.Lors d'un contrôle effectué à la suite d'une plainte sur l’application mobile éditée par les sociétés Fnac Darty participations et services et Fnac direct, la Commission nationale de l'informatique et des libertés (Cnil) a constaté que les sociétés avaient recours à un traceur, dont les utilisateurs n’avaient pas consenti au dépôt, collectant notamment leur historique de navigation afin de leur afficher des recommandations de produits et d’entrainer son algorithme de recommandations.
Ce traceur permettait d’afficher au sein de l’application des produits personnalisés, en fonction de l’historique de la navigation, des produits complémentaires à ceux consultés ou achetés comme des accessoires, consommables ou des services associés, ainsi que des produits similaires à ceux consultés par l’utilisateur et d’entrainer l’algorithme de recommandations.
Or, de telles opérations n’entraient pas dans le champ des exemptions prévues à l’article 82 de la loi n° 78-17 du 6 janvier 1978 (loi Informatique et Libertés). Elles n’avaient pas pour finalité de permettre ou faciliter la communication par voie électronique et n’étaient pas strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur. Elles ne pouvaient, dès lors, être mises en œuvre sans le consentement préalable des personnes concernées.
En conséquence, par une délibération SAN-2026-015 du 22 octobre 2026, la formation restreinte de la Cnil a prononcé à l'encontre des deux sociétés une amende de 7 millions d’euros (6 millions d’euros à l’encontre de la société Fnac Darty participations et services et 1 million d’euros à l’encontre de la société Fnac Direct).
En complément, la formation restreinte a adopté une injonction sous astreinte et demande aux sociétés de démontrer que le nouvel outil qu’elles utilisent permet désormais de recueillir le consentement lorsque cela est nécessaire, dans un délai d’un mois à compter de la notification de la décision. A défaut, les sociétés s’exposent au paiement d’une astreinte de 10.000 € par jour de retard.
