7 millions d’euros de sanction pour le cookies FNAC. C’est le prix d’un traceur qui continuait à suivre les utilisateurs de l’application Fnac alors qu’ils n’avaient rien accepté. Derrière le montant, une leçon simple pour tous les sites et applications : un refus doit être respecté, techniquement et pas seulement à l’écran.
« Mais on a un bandeau cookies ! »
C’est la phrase que j’entends le plus souvent quand j’ouvre le sujet des cookies avec un client. Mairie, clinique, PME industrielle, association : tout le monde a « son bandeau ». Il a été installé un jour par l’agence web ou le prestataire, et plus personne ne l’a regardé depuis.
Alors je fais un test tout bête. J’ouvre le site en navigation privée, je clique sur « Refuser », puis j’ouvre les outils de développement du navigateur. Et dans une bonne partie des cas, les requêtes partent quand même vers Google, Meta, un outil de chat ou une régie publicitaire.
Le bandeau est là. Le consentement, lui, n’est pas respecté. C’est exactement ce que la CNIL vient de sanctionner chez Fnac, à hauteur de 7 millions d’euros.
Sanction cookies Fnac
Le 22 octobre 2026, la formation restreinte de la CNIL a infligé 7 millions d’euros d’amende aux sociétés FNAC DARTY PARTICIPATIONS ET SERVICES (6 M€) et FNAC DIRECT (1 M€) pour manquement à l’article 82 de la loi Informatique et Libertés.
Le point de départ : une plainte de NOYB. L’association de Max Schrems a saisi la CNIL, qui a contrôlé l’application mobile Fnac en mars 2024.
Ce qui a été constaté. Pendant l’utilisation de l’application, des requêtes partaient via une API vers un domaine tiers. Elles contenaient un identifiant attribué à l’utilisateur et des informations sur son activité, comme les produits consultés. Le tout sans consentement.
À quoi servait ce traceur. À afficher des recommandations personnalisées (produits similaires, accessoires, services associés) et à entraîner l’algorithme de recommandation.
Pourquoi c’est un manquement. Pour la CNIL, ces opérations n’entrent pas dans les exemptions de l’article 82 : elles ne sont ni nécessaires à la communication électronique, ni strictement nécessaires au service demandé par l’utilisateur. Elles exigeaient donc un consentement préalable.
Ce qui a aggravé la note.
- Le choix de l’utilisateur de ne pas être suivi n’a pas été respecté.
- L’application est utilisée par un très grand nombre de personnes.
- La doctrine de la CNIL sur les traceurs de personnalisation et de ciblage est constante et connue depuis longtemps : pas d’excuse de nouveauté.
Et ce n’est pas fini. La CNIL a aussi prononcé une injonction : Fnac doit démontrer sous un mois que son nouvel outil recueille bien le consentement, sous peine d’une astreinte de 10 000 € par jour de retard. La décision a été rendue publique, ce qui constitue en soi une sanction réputationnelle.
Ce que je retiens, en tant que DPO
Cette affaire casse deux idées reçues.
- « Les cookies, c’est le navigateur. » Faux. Ici, pas de cookie au sens classique : un appel API depuis une application mobile. L’article 82 vise tout traceur, quelle que soit la technologie (cookie, SDK, pixel, identifiant, empreinte, appel serveur).
- « La personnalisation, c’est du service, pas de la pub. » Faux aussi. Recommander des produits à partir de l’historique de navigation, c’est du suivi. Et le suivi exige un accord préalable.
Cookies et RGPD : le cadre en cinq minutes
Deux textes s’articulent. L’article 82 de la loi Informatique et Libertés (transposition de la directive ePrivacy) encadre le dépôt et la lecture de traceurs sur le terminal de l’utilisateur. Le RGPD, lui, définit ce qu’est un consentement valable et régit le traitement des données collectées ensuite.
Les lignes directrices et la recommandation de la CNIL sur les cookies, en vigueur depuis 2020, traduisent tout cela en exigences concrètes.
Exigence | Ce que cela veut dire sur votre site |
|---|---|
Consentement préalable | Aucun traceur non exempté ne se déclenche avant le clic de l’utilisateur. |
Refuser aussi simple qu’accepter | Un bouton « Tout refuser » au même niveau que « Tout accepter ». Fermer le bandeau ne vaut pas accord. |
Consentement libre et spécifique | Un choix par finalité (mesure d’audience, publicité, réseaux sociaux…). Pas de cases précochées. |
Information claire | Qui dépose quoi, pour quelle finalité, avec la liste des partenaires accessible. |
Refus respecté dans les faits | Après un refus, aucune requête de suivi ne doit partir. C’est le cœur de la sanction Fnac. |
Retrait facile | Un lien ou une icône permanente pour changer d’avis à tout moment. |
Preuve | Pouvoir démontrer qu’un consentement a été recueilli (journal de la plateforme de consentement). |
Ce qui peut se passer de consentement. Les traceurs strictement nécessaires : panier, authentification, sécurité, mémorisation du choix cookies, équilibrage de charge. Certains outils de mesure d’audience peuvent aussi être exemptés, mais seulement s’ils respectent les conditions strictes fixées par la CNIL (finalité limitée, données non recoupées ni transmises à des tiers pour leur propre compte…). Un Google Analytics configuré par défaut n’entre pas dans cette case.
Un point souvent oublié. Sur les cookies, la CNIL est compétente directement, sans passer par le guichet unique européen. C’est ce qui lui permet d’enchaîner les sanctions, y compris contre des géants étrangers.
Les cinq erreurs que je croise le plus souvent
Pas besoin d’être Fnac pour être concerné. Voici ce que je rencontre régulièrement lors des audits de sites.
1. Le bandeau décoratif. Il s’affiche, mais les traceurs sont chargés dès l’arrivée sur la page, avant tout clic. Typique d’un script Google Analytics ou d’un pixel Meta collé « en dur » dans le thème du site, à côté de la plateforme de consentement.
2. Le refus qui ne refuse rien. C’est le cas Fnac. L’utilisateur dit non, mais un module, un plugin ou une API continue d’envoyer des données. Personne ne s’en rend compte, car personne ne vérifie ce qui se passe après le clic.
3. Les contenus intégrés oubliés. Une vidéo YouTube sur la page d’accueil de la mairie, une carte Google Maps sur la page « Nous trouver » de la clinique, un widget de prise de rendez-vous, un chatbot. Chacun peut déposer ses propres traceurs. Solution courante : un affichage bloqué tant que l’utilisateur n’a pas accepté, ou un mode « sans cookie » quand il existe.
4. Le bouton « Refuser » caché. Un « Tout accepter » bien visible, et le refus planqué derrière « Paramétrer », puis trois écrans plus loin. La CNIL a déjà sanctionné cette asymétrie à plusieurs reprises.
5. L’application mobile hors radar. Le site web a été traité, mais l’application embarque des SDK d’analyse, de crash reporting ou de marketing qui collectent dès l’ouverture. La décision Fnac le rappelle : les applications sont soumises aux mêmes règles.
Et le secteur public, la santé, les PME ?
On pense souvent que les cookies, c’est un sujet d’e-commerce. En réalité, les sites de collectivités et d’établissements de santé sont parmi les plus exposés réputationnellement. Un administré ou un patient qui découvre que sa visite sur la page « Consultation addictologie » ou « Aide sociale » a été transmise à une régie publicitaire, c’est une perte de confiance qui dépasse largement le sujet juridique.
Votre site est-il conforme ? La checklist en 8 points
Vous pouvez faire une première vérification vous-même en une demi-heure.
- Inventaire : je connais la liste des traceurs déposés par mon site et mon application, et qui les dépose.
- Avant le clic : en navigation privée, aucun traceur non exempté n’est actif à l’arrivée sur le site.
- Symétrie : « Tout refuser » est aussi visible et accessible que « Tout accepter », dès le premier niveau.
- Après le refus : aucune requête ne part vers Google, Meta, LinkedIn, une régie ou un outil de recommandation (à vérifier dans l’onglet Réseau du navigateur).
- Contenus intégrés : vidéos, cartes, chats et widgets sont bloqués tant que l’utilisateur n’a pas consenti.
- Retrait : un lien « Gérer mes cookies » est accessible en permanence, par exemple en pied de page.
- Documentation : la politique cookies est à jour, et la plateforme de consentement conserve la preuve des choix.
- Gouvernance : toute nouvelle balise, tout nouveau plugin ou SDK passe par une validation du DPO avant mise en ligne.
Le dernier point est le plus important. La plupart des dérives ne viennent pas d’une mauvaise configuration initiale, mais d’un ajout fait six mois plus tard par le service communication ou l’agence, sans que personne ne pense au consentement. C’est aussi une question de contrat : vos prestataires web doivent être tenus, par écrit, de respecter ces règles.
En résumé
La sanction Fnac ne dit rien de nouveau sur le fond. Elle rappelle simplement que la CNIL ne juge pas la présence d’un bandeau, mais ce qui se passe réellement après le choix de l’utilisateur. Un site conforme en apparence peut être non conforme dans les faits, et c’est souvent invisible sans un contrôle technique.
Faites diagnostiquer votre site gratuitement
Vous ne savez pas ce que votre site dépose réellement chez vos visiteurs ? DPO France propose un diagnostic gratuit de votre site internet aux organisations qui le souhaitent : collectivités, établissements de santé et médico-sociaux, associations, PME.
Ce que nous vérifions :
- les traceurs actifs avant et après le consentement ;
- la conformité du bandeau et du parcours de refus ;
- les contenus tiers intégrés (vidéos, cartes, chats, formulaires) ;
- les mentions obligatoires (politique cookies, mentions légales, politique de confidentialité).
Vous recevez un retour clair, avec les points à corriger par ordre de priorité. Sans engagement.
👉 Demander mon diagnostic gratuit
Sources
- CNIL – Cookies et application mobile : sanctions de 7 millions d’euros à l’encontre de FNAC DARTY PARTICIPATIONS ET SERVICES et FNAC DIRECT (29 octobre 2026)
- Délibération SAN-2026-015 du 22 octobre 2026 – Légifrance
- Article 82 de la loi Informatique et Libertés
- CNIL – Lignes directrices modificatives et recommandation sur les cookies et autres traceurs
