Cookies de recommandation de produits : la CNIL sanctionne Fnac Darty à hauteur de 7 millions d’euros

Délibération de la CNIL n° SAN-2026-015 du 22 octobre 2026, publiée le 29 octobre 2026

La CNIL vient de prononcer deux amendes d’un montant total de 7 millions d’euros à l’encontre des sociétés FNAC DARTY PARTICIPATIONS ET SERVICES et FNAC DIRECT, pour non-respect des règles applicables aux cookies au sein de l’application mobile FNAC. La CNIL reproche aux sociétés d’avoir utilisé un traceur sur les terminaux des utilisateurs à des fins de recommandation de produits et d’entraînement d’un algorithme sans avoir préalablement recueilli leur consentement.

Si elle n’innove pas réellement sur les règles applicables, cette décision apporte un éclairage intéressant sur leur application aux cookies de recommandation de produits utilisés par les plateformes de commerce électronique.

Opérations de traçage maintenues malgré le refus des utilisateurs

La procédure trouve son origine dans une plainte déposée en septembre 2023 par l’association NOYB (None of Your Business). À la suite de cette plainte, la CNIL a procédé, le 6 mars 2024, à un contrôle en ligne de l’application mobile FNAC.

Les investigations ont révélé que, malgré le refus des cookies et autres traceurs non essentiels par les utilisateurs (« Continuer sans accepter »), des requêtes continuaient d’être émises vers une interface de programmation applicative (API). Ces requêtes contenaient notamment un identifiant attribué à l’utilisateur ainsi que des informations sur son activité, comme les produits consultés.

Les sociétés ne contestaient pas la réalité des opérations de lecture et d’écriture réalisées sur les téléphones des utilisateurs. Elles soutenaient toutefois que celles-ci ne nécessitaient pas de consentement préalable, car elles étaient strictement nécessaires à la fourniture du service demandé.

Plus précisément, l’API utilisée poursuivait quatre finalités :

l’affichage de produits personnalisés en fonction de l’historique de navigation et d’achat ;
l’affichage de produits similaires à ceux recherchés ;
la recommandation de produits complémentaires à ceux consultés ; et
l’entraînement d’un algorithme permettant d’améliorer la pertinence des recommandations.

Pour les sociétés, ces fonctionnalités participaient directement à l’expérience de navigation des utilisateurs et pouvaient donc bénéficier de l’exemption de consentement prévue par l’article 82 de la loi Informatique et Libertés.

Interprétation stricte des exemptions de consentement

Pour rappel, l’article 82 de la loi Informatique et Libertés (qui transpose l’article 5(3) de la directive e-Privacy) impose en principe le consentement préalable de l’utilisateur avant toute opération de lecture ou d’écriture d’informations sur son terminal. Une exemption est toutefois prévue lorsque ces opérations sont strictement nécessaires à la fourniture d’un service de communication en ligne expressément demandé par l’utilisateur.

La CNIL examine successivement les quatre finalités invoquées par les sociétés.

Recommandations personnalisées et produits complémentaires : S’agissant de l’affichage des produits personnalisés, la CNIL relève que les recommandations étaient déterminées en fonction du comportement individuel des utilisateurs, notamment leur historique de navigation et leurs achats. Pour l’autorité, ces opérations ne visaient pas simplement à permettre aux utilisateurs de consulter le catalogue de produits ou d’effectuer leurs achats, mais à leur proposer des produits sélectionnés selon leurs préférences supposées, dans un objectif de promotion commerciale.

La CNIL considère ainsi que, même si cette personnalisation peut améliorer l’expérience de navigation, elle ne constitue pas une fonctionnalité strictement nécessaire à la fourniture du service demandé. Les utilisateurs peuvent en effet accéder au catalogue et acheter des produits sans faire l’objet d’un suivi de leur comportement à des fins de recommandations personnalisées. Ces opérations relèvent donc du ciblage commercial et nécessitent un consentement préalable.

L’autorité adopte un raisonnement similaire concernant les recommandations de produits complémentaires. Si celles-ci peuvent être utiles à l’utilisateur, elles visent également à favoriser l’achat de produits supplémentaires, qui ne correspondent pas nécessairement à sa recherche initiale. La CNIL estime donc que ces recommandations poursuivent avant tout une finalité commerciale, distincte du service expressément demandé par l’utilisateur, et ne peuvent bénéficier de l’exemption de consentement.

Affichage de produits similaires : une exemption envisageable : La CNIL adopte une position plus nuancée concernant l’affichage de produits similaires à ceux recherchés. Elle reconnaît qu’une telle fonctionnalité peut faciliter la navigation dans un catalogue en aidant l’utilisateur à identifier le produit correspondant à sa recherche.

L’autorité admet ainsi que cette finalité pourrait, « en théorie », être considérée comme strictement nécessaire à la fourniture du service demandé, selon ses modalités de mise en œuvre.

Toutefois, la CNIL relève que l’ensemble des finalités précédemment décrites était poursuivi au moyen d’un unique traceur. Or, un traceur multifinalités ne peut bénéficier d’une exemption de consentement que si chacune des finalités poursuivies entre elle-même dans le champ des exemptions prévues par l’article 82. En l’espèce donc, même si l’affichage de produits similaires aurait pu bénéficier d’une exemption, il était techniquement associé aux opérations de ciblage commercial. Le consentement des utilisateurs était donc nécessaire pour l’ensemble du dispositif.

Entraînement des algorithmes de recommandation : Enfin, la CNIL considère que l’entraînement de l’algorithme concourait directement à la finalité d’affichage de recommandations commerciales personnalisées, visant à augmenter la probabilité que les utilisateurs achètent davantage de produits.

Cette finalité d’amélioration de l’algorithme s’inscrivait donc dans l’objectif plus large du ciblage commercial et nécessitait également le consentement préalable des utilisateurs.

Sanctions et enseignements

Pour déterminer le montant des sanctions, la CNIL tient notamment compte de la gravité du manquement et du nombre important d’utilisateurs concernés. Elle retient également la notion d’« entreprise » au sens du droit européen de la concurrence, qui permet de considérer plusieurs sociétés juridiquement distinctes comme une seule unité économique lorsqu’elles ne déterminent pas leur comportement sur le marché de manière autonome.

En l’espèce, les sociétés contestaient la prise en compte du chiffre d’affaires consolidé du groupe FNAC DARTY, au motif notamment que les opérations litigieuses concernaient uniquement l’application mobile FNAC. La CNIL rejette cet argument en rappelant qu’une société mère détenant directement ou indirectement la totalité du capital de ses filiales est présumée exercer une influence déterminante sur leur comportement. Les sociétés n’ayant pas renversé cette présomption, l’autorité retient le chiffre d’affaires consolidé du groupe, supérieur à 10 milliards d’euros en 2025, pour apprécier le caractère effectif, proportionné et dissuasif des sanctions. Elle prononce ainsi deux amendes de 6 et 1 million d’euros.

Par ailleurs, que les sociétés aient indiqué avoir abandonné l’API litigieuse en décembre 2024, la CNIL estime qu’elles n’ont pas suffisamment démontré leur mise en conformité. Elle leur enjoint donc de justifier de cette conformité dans un délai d’un mois, sous astreinte de 10 000 euros par jour de retard.

Pour les acteurs du commerce électronique, cette décision rappelle notamment l’importance de distinguer les finalités poursuivies par leurs dispositifs de recommandation et de prévoir, dès leur conception, une séparation technique entre les opérations strictement nécessaires au service et celles poursuivant des objectifs commerciaux.