Le 22 octobre 2026, la formation restreinte de la CNIL a prononcé une amende de 7 millions d’euros contre deux sociétés du groupe Fnac Darty (délibération SAN-2026-015) : 6 millions pour FNAC DARTY PARTICIPATIONS ET SERVICES et 1 million pour FNAC DIRECT, traitées comme responsables conjoints. En cause, une API intégrée à l’application mobile Fnac qui transmettait à un domaine tiers un identifiant de l’utilisateur et les produits qu’il consultait, même après un refus des traceurs. La décision intéresse tout organisme qui publie une application : les traceurs d’une application mobile obéissent aux mêmes règles de consentement qu’un site web, et ils se voient beaucoup moins.
Les faits retenus par la CNIL
La procédure part d’une plainte de l’association noyb déposée le 15 septembre 2023, suivie d’un contrôle en ligne de l’application le 6 mars 2024. La CNIL a constaté que l’application envoyait, via une interface de programmation dont le nom est masqué dans la décision, des requêtes vers un domaine extérieur. Ces requêtes contenaient un identifiant attribué par la Fnac à l’utilisateur et des informations sur son activité, comme les produits consultés.
Les finalités : afficher des produits personnalisés selon l’historique, proposer des produits similaires ou complémentaires (accessoires, consommables, services), entraîner l’algorithme de recommandation. Les opérations de lecture et d’écriture avaient lieu même lorsque l’utilisateur cliquait sur « Continuer sans accepter » dans l’outil de gestion du consentement. Le communiqué de la CNIL et le texte de la délibération détaillent le raisonnement.
La formation restreinte retient un manquement à l’article 82 de la loi Informatique et Libertés. Ces opérations ne servaient pas à transmettre une communication électronique et n’étaient pas strictement nécessaires à un service demandé par l’utilisateur. Elle ajoute qu’un traceur qui poursuit plusieurs finalités, dont certaines ne sont pas exemptées, exige le consentement pour l’ensemble.
Pour fixer le montant, la CNIL a tenu compte du non-respect du refus exprimé, du nombre d’utilisateurs de l’application et d’une doctrine constante sur les traceurs de personnalisation. La décision assortit l’amende d’une injonction : démontrer, dans le mois suivant la notification, que le nouvel outil recueille le consentement quand il le faut, sous astreinte de 10 000 euros par jour de retard. Les sociétés indiquaient avoir retiré l’API en décembre 2024 et déployé un nouvel outil en janvier 2025, mais la formation restreinte n’a pas reçu la preuve de son bon fonctionnement à la clôture de l’instruction.
Pourquoi les traceurs d’une application mobile échappent aux contrôles habituels
Sur un site, un audit de cookies se fait avec un navigateur et ses outils de développement. Dans une application, les traceurs prennent la forme de SDK et d’appels d’API intégrés au code, souvent ajoutés par les équipes marketing ou produit, parfois par l’agence qui a développé l’application. Ils ne déposent pas forcément de cookie. Ils lisent un identifiant, en créent un, envoient des événements vers un serveur tiers. L’article 82 vise toute opération de lecture ou d’écriture sur le terminal, quel que soit le procédé technique.
La CMP (plateforme de gestion du consentement) affichée au lancement ne garantit rien si les SDK démarrent avant elle ou ignorent son résultat. Le dossier Fnac montre exactement ce défaut : un bouton de refus présent à l’écran, et des requêtes qui partent quand même.
Audit des traceurs d’une application : la méthode
Inventaire
- Demander à l’éditeur ou au prestataire la liste des SDK et bibliothèques tierces intégrés, version par version.
- Repérer les appels vers des domaines extérieurs dans le code et dans la configuration.
- Pour chaque élément : finalité, données transmises, destinataire, exemption éventuelle (sécurité, authentification, mesure d’audience strictement exemptée).
Tests réels
- Installer l’application sur un terminal de test et intercepter le trafic réseau avec un proxy, dans trois scénarios : avant tout choix, après acceptation, après refus.
- Vérifier qu’après refus aucune requête ne part vers un domaine de personnalisation, de publicité ou d’analyse non exemptée.
- Contrôler l’identifiant publicitaire du système et tout identifiant propre transmis à un tiers.
- Refaire les tests à chaque nouvelle version publiée sur les magasins d’applications.
Documentation et contrats
- Inscrire au registre les traitements liés aux SDK, en précisant si le fournisseur agit comme sous-traitant (contrat article 28) ou comme responsable de traitement distinct.
- Exiger contractuellement de l’éditeur de l’application qu’il signale tout nouvel SDK avant mise en production.
- Conserver les résultats de tests datés : en cas de contrôle, ils sont la preuve que l’outil de consentement fonctionne.
Les organismes publics et sanitaires ne sont pas à l’abri. Une application de prise de rendez-vous, l’application d’une collectivité ou celle d’un SPST pour les entreprises adhérentes peuvent embarquer un outil d’analyse ou de rapport d’erreurs qui transmet un identifiant à un tiers. Quand l’application touche à la santé, la sensibilité des parcours consultés aggrave le risque. La page de la CNIL sur les règles applicables aux traceurs rappelle le cadre général.
Les DPO du réseau DPO FRANCE accompagnent les organismes dans l’audit des sites et des applications mobiles, de l’inventaire des SDK jusqu’aux tests de consentement. Le logiciel DPO SUITE rattache chaque traceur au traitement concerné, garde la trace des prestataires et des contrats, et conserve les preuves de tests.
