La fiche 8 du guide CNIL pour les SPST couvre la sécurité de l’ensemble des outils du service. Elle ne se limite pas au logiciel métier : site internet, portail adhérents, espace salarié et applications mobiles traitent eux aussi des données personnelles et doivent être maîtrisés.
La CNIL a sanctionné Fnac le 22 octobre 2026, par une décision publiée le 29 octobre, pour un traceur intégré à une application mobile. La décision montre qu’un composant tiers mal maîtrisé suffit à constituer un manquement grave.
Ce qui change
Par la délibération SAN-2026-015, la CNIL a prononcé une amende de 7 millions d’euros. Un traceur intégré à l’application mobile transmettait à un tiers un identifiant et la liste des produits consultés, y compris lorsque l’utilisateur avait refusé le dépôt de traceurs.
La CNIL précise dans sa décision que répondre à ses demandes pendant la procédure est une obligation et ne constitue pas une circonstance atténuante. Elle retient aussi la négligence, puisque la règle sur le consentement aux traceurs est ancienne et connue.
Le manquement venait d’un composant intégré à l’application, qui fonctionnait indépendamment du choix exprimé par l’utilisateur. Le responsable de traitement répond de ce que fait chaque composant de son application.
La décision intervient alors que la CNIL annonce consacrer la moitié de ses contrôles de 2026 à la cybersécurité. Les applications et les sites des organismes figurent parmi les cibles les plus simples à contrôler à distance : un agent peut constater, depuis son poste, qu’un traceur se déclenche malgré un refus.
Ce que cela implique pour un SPST
Un service diffuse souvent plusieurs outils en ligne : site institutionnel, portail adhérents, espace salarié, prise de rendez-vous, parfois une application mobile développée par un prestataire. Chacun peut embarquer des composants tiers : mesure d’audience, cartographie, polices de caractères, vidéos, outils de conversation.
- Le service doit connaître la liste des composants tiers de chaque outil et savoir quelles données ils transmettent, et à qui.
- Le refus de l’utilisateur doit être effectivement respecté : aucun traceur soumis au consentement ne doit se déclencher avant l’accord, ni après un refus. Un test technique, réalisé après chaque mise à jour, le vérifie.
- Le contrat avec l’agence ou le développeur doit lui imposer de déclarer les composants intégrés et d’obtenir l’accord du service avant d’en ajouter.
- Pour un espace salarié, les enjeux sont plus lourds : un traceur qui transmettrait à un tiers les pages consultées pourrait révéler des informations relatives à la santé.
- Les services qui exploitent plusieurs domaines (site, portail, espace salarié) doivent veiller à la cohérence du recueil du consentement entre eux. La CNIL a présenté le 15 octobre en séance plénière les modalités d’un consentement couvrant plusieurs propriétés.
Comment le traiter dans DPO SUITE
Ouvrez le registre des logiciels et inscrivez chaque site et application du service, rattachés aux traitements concernés (communication, relation adhérents, espace salarié, prise de rendez-vous). Dans le registre des sous-traitants, complétez la fiche de l’agence web ou du développeur, ainsi que celles des fournisseurs de composants tiers lorsqu’ils agissent comme sous-traitants ultérieurs.
Lancez un audit de l’agence par questionnaire : liste des composants intégrés, données transmises, respect du refus, processus de validation avant ajout d’un composant. Rattachez le rapport de test des traceurs, stocké dans le drive du client connecté, comme preuve.
Pour tout traceur actif sans consentement, créez une non-conformité et une action corrective avec une échéance courte. Dans la fiche du traitement « Gestion du site et des services en ligne », mettez à jour les destinataires et les mesures de sécurité, puis soumettez-la à validation.
Tester la création de votre registre dans DPO SUITE.
Repères
- Article 32 du RGPD
- Délibération CNIL SAN-2026-015 du 22 octobre 2026 (publiée le 29 octobre 2026), cnil.fr
- Séance plénière de la CNIL du 15 octobre 2026
- Guide CNIL SPST, fiche 8
