L'Annuaire
Focus·31 octobre 2026·9 min de lecture

Fnac Darty : 7 M€ d'amende, la recommandation n'est pas un service

La Cnil inflige 7 M€ à Fnac Darty pour un traceur de recommandation déposé sans consentement dans l'application Fnac. Focus sur un annonceur devenu régie data.

Par la rédaction d'adgencia

Fnac Darty : 7 M€ d'amende, la recommandation n'est pas un service

Un distributeur qui vend aux marques l'accès à 40 millions de profils shoppers, et qui se fait sanctionner pour avoir suivi la navigation de ses propres clients sans leur accord : c'est le paradoxe que met en lumière la décision publiée le 29 octobre par la Cnil. Le 22 octobre, la formation restreinte de l'autorité a infligé 7 millions d'euros d'amende à deux sociétés du groupe Fnac Darty pour un traceur déposé dans l'application mobile Fnac sans le consentement des utilisateurs. L'annonceur conteste l'analyse juridique « sur le fond ». Focus sur un cas qui pose une question simple à tout le retail media : où s'arrête le conseil, où commence le ciblage ?

Ce que la Cnil a trouvé dans l'application Fnac

Les faits tiennent en quelques lignes, publiées par la Cnil le 29 octobre. Saisie d'une plainte de l'association None Of Your Business (NOYB), l'autorité a contrôlé en mars 2024 l'application mobile éditée par Fnac Darty Participations et Services et par Fnac Direct, la filiale qui exploite le site et l'application de la Fnac. Elle a constaté que, lors de l'utilisation de l'application, « des requêtes étaient émises via une API vers un domaine tiers », contenant « un identifiant attribué, par la FNAC, à l'utilisateur ainsi que des informations relatives à son activité, telles que les produits consultés ». Ces données servaient à afficher des produits personnalisés selon l'historique de navigation, des accessoires, consommables ou services associés aux produits consultés ou achetés, des produits similaires, et « à entraîner l'algorithme de recommandations ».

Le point juridique est celui de l'article 82 de la loi Informatique et Libertés, qui n'exempte de consentement que les traceurs nécessaires à la communication électronique ou strictement nécessaires à un service expressément demandé. Pour la Cnil, la recommandation de produits n'entre dans aucune de ces deux cases : « Elles ne pouvaient, dès lors, être mises en œuvre sans le consentement préalable des personnes concernées. » La sanction se répartit en 6 millions d'euros pour la holding et 1 million pour Fnac Direct. Son montant est justifié « par la méconnaissance, par les sociétés, du choix exprimé par l'utilisateur de ne pas consentir au suivi de sa navigation dans l'application mobile, ainsi que par le fait que cette application est utilisée par un grand nombre de personnes ». Autrement dit : le traceur fonctionnait aussi chez ceux qui avaient refusé. S'y ajoute une injonction sous astreinte de 10 000 euros par jour : les sociétés ont un mois à compter de la notification pour démontrer que « le nouvel outil qu'elles utilisent » recueille désormais le consentement quand il le faut. La Cnil ne donne ni le nombre d'utilisateurs concernés, ni le nom du domaine tiers, ni la période du manquement.

Un annonceur qui plaide la prescription, pas la publicité

La défense de Fnac Darty, transmise à l'AFP et reprise par le JDN, est intéressante parce qu'elle ne porte pas sur les faits mais sur la qualification. Le groupe évoque « une divergence d'interprétation des modalités d'application de l'article 82 de la loi Informatique et libertés concernant certaines fonctionnalités de recommandation de produits dans l'application mobile Fnac ». Il soutient que ces fonctionnalités « participaient au service de conseil et de recommandation proposé à [ses] clients, dans le prolongement du rôle historique de prescription de la Fnac, et ne relevaient pas de la publicité ciblée ». Il rejette « la qualification de négligence et la gravité retenues », tout en indiquant faire « évoluer [ses] dispositifs afin de tenir compte des attentes exprimées par la CNIL », et se réserve « le droit d'exercer les recours à [sa] disposition ».

L'argument de la prescription n'est pas absurde chez un distributeur dont les vendeurs ont construit la marque. Mais la Cnil répond par la constance de sa doctrine : la sanction « tient également compte de l'existence d'une doctrine répressive constante et bien établie concernant les traceurs utilisés à des fins de personnalisation et de ciblage commercial, lesquels n'entrent pas dans le champ des exemptions ». Pour l'autorité, personnaliser une vitrine à partir de l'historique de navigation est un ciblage commercial, que l'on vende ses propres produits ou ceux d'un tiers. Le site spécialisé Juriguide précise d'ailleurs que la décision ne crée aucune interdiction générale des recommandations de produits : ce qui est sanctionné, c'est de les alimenter par un traceur sans consentement, et de passer outre un refus.

Les montants restent modestes au regard des précédents que rappelle The Media Leader : 325 millions d'euros pour Google et 150 millions pour Shein en 2025, pour des manquements comparables sur les cookies. Mais la décision est rendue publique « au regard de la gravité du manquement, de la portée du traitement et du nombre de personnes concernées », et elle porte sur une application mobile, un terrain que la Cnil a investi ces dernières années avec ses recommandations sur les SDK, rappelle Juriguide, là où les sanctions précédentes visaient surtout des sites web.

La même donnée, vendue aux marques par Retailink

Ce qui rend le cas singulier, c'est le second métier de Fnac Darty. Retailink, « la régie omnicanale du groupe Fnac Darty », vend aux annonceurs et à leurs agences l'accès à cette audience. Son site revendique 25,8 millions de visiteurs uniques dédupliqués par mois en moyenne au quatrième trimestre 2025, un indice d'affinité de 130 sur les CSP+, et des offres qui vont du display on-site au « Generative Engine Advertising » dans les conversations de ChatGPT, en passant par la possibilité de « capitaliser sur la data 1st party Fnac Darty au-delà de nos écosystèmes ». En janvier 2026, CB News rapportait le partenariat de Retailink avec Canal+ Brand Solutions : « une base de 40 millions de profils activables » et « plus d'une centaine de segments shoppers » construits « à partir des comportements de navigation et d'achat sur les sites Fnac et Darty, ainsi que des transactions en magasin des porteurs de carte de fidélité », activables dans l'application Canal+ via une clean room. En avril, The Media Leader décrivait la nouvelle plateforme MyRetailink, refondue avec Converteo, dotée d'un assistant IA baptisé MiRa et appuyée sur « 36 millions de contacts CRM, 11 millions de clients fidélisés et 25,8 millions de visiteurs mensuels ».

Il faut être précis : la Cnil ne sanctionne pas Retailink, et rien dans la décision ne vise la commercialisation de données à des tiers. Le traceur en cause servait la recommandation interne et l'entraînement de l'algorithme maison. Mais la matière première est la même, l'historique de navigation et d'achat des clients, et la question que pose la décision vaut pour toute la chaîne : si recommander ses propres produits à partir de la navigation exige un consentement, alors la base de profils que l'on propose aux marques dépend elle aussi, segment par segment, de la qualité du consentement recueilli en amont. Nous l'écrivions à propos de Valiuz et de Carrefour : la promesse du retail media, c'est une donnée de première main que l'open web n'a plus. La décision Fnac Darty rappelle que « première main » ne veut pas dire « sans permission ».

Ce que les agences doivent en retenir

Pour les agences média et data, trois enseignements. Le premier est que l'application mobile est devenue un terrain de contrôle à part entière, au moment même où Apple réécrit sa fenêtre ATT en France : le consentement in-app est désormais doublement surveillé, par la plateforme et par le régulateur. Le deuxième est que la frontière entre service et ciblage ne se décrète pas : un distributeur de la taille de Fnac Darty a cru, de bonne foi, que la recommandation relevait du conseil, et la Cnil a tranché l'inverse. Les agences qui bâtissent des audiences sur la first-party data de leurs clients ont intérêt à documenter, pour chaque segment, le fondement du consentement, comme nous le disions à propos des pixels d'ouverture dans l'e-mail. Le troisième est commercial : un annonceur qui, comme Kingfisher ou Fnac Darty, devient régie, vend sa donnée à des marques qui en portent une part du risque réputationnel. Demander à une régie retail comment elle recueille le consentement de ses shoppers n'est plus une question de juriste, c'est une question de plan média.

Les angles morts sont réels. On ignore le nombre d'utilisateurs concernés, la durée du manquement, l'identité du prestataire derrière le « domaine tiers », et si Fnac Darty exercera un recours. Il faudra lire la délibération SAN-2026-015 sur Légifrance pour mesurer la portée exacte du raisonnement.

En résumé

Le 22 octobre, la Cnil a sanctionné Fnac Darty Participations et Services (6 M€) et Fnac Direct (1 M€) pour un traceur qui, dans l'application Fnac, transmettait à un domaine tiers l'identifiant et les produits consultés par l'utilisateur afin de personnaliser les recommandations et d'entraîner l'algorithme maison, y compris après un refus. L'annonceur plaide la prescription, la Cnil répond ciblage commercial, et lui donne un mois pour prouver que son nouvel outil recueille le consentement. Pour un groupe qui vend par ailleurs, via Retailink, 40 millions de profils shoppers aux marques, la décision rappelle que la valeur du retail media repose d'abord sur la licéité du consentement recueilli en amont. Pour comparer les agences média, data et digital à Paris et en région, notre annuaire des agences permet de filtrer par métier et par implantation.

Sources

← Tous les articles