Le 29 octobre 2026, la CNIL a annoncé une sanction de 7 millions d’euros à l’encontre de deux sociétés du groupe Fnac Darty pour non-respect des règles relatives aux traceurs sur son application mobile. Une décision qui rappelle aux entreprises une réalité fondamentale : l’innovation et la personnalisation de l’expérience client ne peuvent se faire au détriment du consentement des utilisateurs.
Que s’est-il passé ?
À la suite d’une plainte déposée en 2023 par l’association européenne de défense de la vie privée noyb (None Of Your Business), la Commission nationale de l’informatique et des libertés (CNIL) a mené une enquête sur l’application mobile de la Fnac.
Les investigations, réalisées notamment en mars 2024, ont révélé l’utilisation de traceurs permettant de collecter des informations sur la navigation des utilisateurs sans avoir obtenu leur consentement préalable.
Ces informations étaient notamment utilisées pour proposer des recommandations personnalisées de produits et entraîner un algorithme de recommandation.
Le 22 octobre 2026, la CNIL a prononcé deux sanctions financières :
- 6 millions d’euros à l’encontre de Fnac Darty Participations et Services.
- 1 million d’euros à l’encontre de Fnac Direct.
Les entreprises doivent également démontrer leur mise en conformité dans un délai d’un mois suivant la notification de la décision, sous peine d’une astreinte de 10 000 euros par jour de retard.
Fnac Darty conteste toutefois l’analyse juridique de la CNIL, estimant que les fonctionnalités concernées participaient à son service de conseil et de recommandation plutôt qu’à de la publicité ciblée.
Le véritable enjeu : le consentement des personnes concernées
Au cœur de cette affaire se trouve une question essentielle : jusqu’où une entreprise peut-elle exploiter les données de navigation de sa clientèle pour améliorer leur expérience ?
Aujourd’hui, les algorithmes de recommandation occupent une place centrale dans les stratégies de commerce électronique.
Ils permettent aux entreprises de mieux comprendre les comportements d’achat, d’anticiper les besoins et de proposer des produits pertinents.
Mais cette personnalisation repose souvent sur la collecte de données comportementales.
Or, en vertu de l’article 82 de la loi Informatique et Libertés, les traceurs non exemptés nécessitent un consentement préalable.
La CNIL a considéré que les traceurs utilisés dans cette affaire, notamment pour personnaliser les recommandations commerciales, ne bénéficiaient pas des exemptions prévues par la loi.
Le fait qu’une technologie améliore l’expérience utilisateur ne signifie pas automatiquement qu’elle est indispensable au fonctionnement du service.
Une décision qui dépasse le cas Fnac Darty
Cette sanction constitue un signal important pour l’ensemble de l’écosystème numérique.
Les entreprises investissent massivement dans les technologies de personnalisation, l’intelligence artificielle et l’analyse des comportements clients.
Mais la capacité technique à collecter et exploiter des données ne constitue pas, à elle seule, une autorisation légale.
Les organisations doivent désormais intégrer la protection des données dès la conception de leurs produits et services numériques.
Cela implique notamment :
- D’identifier précisément les données collectées et leurs finalités.
- De vérifier les obligations de consentement applicables aux traceurs.
- De respecter effectivement les choix exprimés par les personnes concernées.
- De contrôler les outils tiers, les SDK et les flux de données intégrés aux applications.
- De documenter les décisions de conformité et de vérifier régulièrement les pratiques techniques.
Ces exigences ne doivent pas être perçues uniquement comme des contraintes réglementaires, mais également comme des éléments essentiels d’une stratégie numérique responsable.
Protection des données et intelligence artificielle : un défi croissant
Cette affaire soulève également une question particulièrement pertinente à l’ère de l’intelligence artificielle.
Les systèmes de recommandation s’appuient sur des données pour apprendre, prédire et personnaliser.
Mais comment garantir que les données utilisées pour entraîner ces systèmes ont été collectées de manière licite ?
Une organisation peut disposer d’un algorithme performant tout en s’exposant à des risques juridiques si les données qui l’alimentent ont été obtenues sans respecter les règles applicables.
La gouvernance des données devient ainsi indissociable de la gouvernance de l’intelligence artificielle.
Un algorithme performant ne suffit pas : les données qui l’alimentent doivent également être collectées et utilisées légalement.
La confiance numérique comme avantage concurrentiel
Au-delà des sanctions financières, les entreprises doivent prendre en compte un enjeu stratégique : la confiance de la clientèle.
Les utilisateurs sont de plus en plus attentifs à la manière dont leurs données personnelles sont collectées, partagées et exploitées.
Une politique de confidentialité transparente, des mécanismes de consentement compréhensibles et un véritable respect des préférences individuelles peuvent contribuer à renforcer la relation client.
La conformité ne doit donc plus être envisagée comme une simple obligation juridique.
Elle doit devenir une composante de la qualité du service et de la réputation de l’entreprise.
Une tendance mondiale : l’Australie renforce également la protection contre le tracking
L’affaire Fnac Darty n’est pas un cas isolé. À l’international, les autorités de protection des données s’intéressent de plus en plus aux technologies de suivi numérique et à leurs conséquences sur la vie privée.
En juin 2026, l’Office of the Australian Information Commissioner (OAIC) a constaté que Monash IVF et Medmate Australia avaient manqué à leurs obligations en matière de protection des données personnelles sensibles.
Les enquêtes ont montré que des pixels de suivi tiers pouvaient transmettre à des plateformes publicitaires externes des informations sur l’activité de navigation des personnes concernées. Dans le cas de Monash IVF, des informations relatives à la consultation de pages sur la congélation d’ovocytes ont notamment été utilisées à des fins de reciblage publicitaire.
Ces affaires soulèvent des questions plus larges sur les risques liés au suivi par des tiers et sur le moment où la personnalisation peut devenir intrusive.
Elles montrent aussi pourquoi les organisations doivent aller au-delà de la simple possibilité technique de collecter des données et se demander si cette collecte est appropriée, licite et proportionnée.
France et Australie : des contextes différents, un même enjeu
Bien que les cadres juridiques français et australien soient distincts, ces affaires illustrent une préoccupation commune : assurer une collecte et une utilisation transparentes, proportionnées et légalement justifiées des données personnelles.
En France, la CNIL rappelle l’importance du consentement préalable pour les traceurs qui ne bénéficient pas d’une exemption légale.
En Australie, l’OAIC souligne notamment la nécessité d’obtenir un consentement pour la collecte d’informations sensibles par des pixels publicitaires.
Pour les entreprises, ces décisions appellent à une vigilance accrue sur les technologies utilisées dans leurs environnements numériques.
Vers une approche « Privacy-First » du marketing digital
Mesurer la performance d’un site internet ne signifie pas nécessairement transmettre les données de visite à des plateformes publicitaires tierces.
Les organisations peuvent privilégier des solutions analytiques offrant davantage de contrôle sur les données, notamment grâce à l’anonymisation des adresses IP, à des configurations sans cookies et à des politiques de conservation adaptées.
Ces fonctionnalités ne garantissent toutefois pas automatiquement la conformité : celle-ci dépend de la configuration, des finalités poursuivies et des réglementations applicables.
L’avenir du marketing digital ne repose pas uniquement sur la capacité à personnaliser, mais aussi sur la capacité à mesurer et à innover tout en respectant la vie privée.
Les affaires Fnac Darty, Monash IVF et Medmate Australia montrent que la protection des données devient un enjeu mondial de gouvernance, de responsabilité et de confiance numérique.
Conclusion : innover, oui, mais pas sans consentement
La sanction de 7 millions d’euros prononcée contre Fnac Darty rappelle que les stratégies de personnalisation doivent respecter les droits des personnes concernées.
Pour les entreprises, le message est clair : la performance commerciale, l’intelligence artificielle et l’exploitation des données doivent s’inscrire dans un cadre juridique maîtrisé.
À mesure que les technologies deviennent plus sophistiquées, les organisations devront démontrer qu’elles sont capables d’innover tout en respectant la vie privée.
Car, dans l’économie numérique, la confiance ne se collecte pas : elle se construit.
