Cookies et application mobile : sanctions de 7 millions d’euros à l’encontre des sociétés FNAC DARTY PARTICIPATIONS ET SERVICES et FNAC DIRECT

Le contexte

Saisie d’une plainte déposée par l’association None Of Your Business (NOYB), la CNIL a effectué, en mars 2024, un contrôle sur l’application mobile éditée par les sociétés FNAC DARTY PARTICIPATIONS ET SERVICES et FNAC DIRECT.

La CNIL a constaté que les sociétés avaient recours à un traceur, dont les utilisateurs n’avaient pas consenti au dépôt, collectant notamment leur historique de navigation afin de leur afficher des recommandations de produits et d’entrainer son algorithme de recommandations.

Sur la base de ces constatations, la formation restreinte – organe de la CNIL chargé de prononcer les sanctions – a considéré que les sociétés FNAC DARTY PARTICIPATIONS ET SERVICES et FNAC DIRECT avaient manqué aux règles régissant les traceurs (article 82 de la loi Informatique et Libertés) et a prononcé à leur encontre une amende de 7 millions d’euros (6 millions d’euros à l’encontre de la société FNAC DARTY PARTICIPATIONS ET SERVICES et 1 million d’euros à l’encontre de la société FNAC DIRECT).

La formation restreinte a justifié ce montant par la méconnaissance, par les sociétés, du choix exprimé par l’utilisateur de ne pas consentir au suivi de sa navigation dans l’application mobile, ainsi que par le fait que cette application est utilisée par un grand nombre de personnes. La sanction tient également compte de l’existence d’une doctrine répressive constante et bien établie concernant les traceurs utilisés à des fins de personnalisation et de ciblage commercial, lesquels n’entrent pas dans le champ des exemptions définies par l’article 82 de la loi Informatique et Libertés.

En complément, la formation restreinte a adopté une injonction sous astreinte et demande aux sociétés de démontrer que le nouvel outil qu’elles utilisent permet désormais de recueillir le consentement lorsque cela est nécessaire, dans un délai d’un mois à compter de la notification de la décision. À défaut, les sociétés s’exposent au paiement d’une astreinte de 10 000 euros par jour de retard.

Cette décision est rendue publique, au regard de la gravité du manquement, de la portée du traitement et du nombre de personnes concernées.

Le manquement sanctionné

Il a été constaté que, lors de l’utilisation de l’application mobile, des requêtes étaient émises via une API (application programming interface ou interface de programmation d'application en français) vers un domaine tiers. Ces requêtes contenaient un identifiant attribué, par la FNAC, à l’utilisateur ainsi que des informations relatives à son activité, telles que les produits consultés.

Ce traceur permettait d’afficher au sein de l’application des produits personnalisés, en fonction de l’historique de la navigation, des produits complémentaires à ceux consultés ou achetés comme des accessoires, consommables ou des services associés, ainsi que des produits similaires à ceux consultés par l’utilisateur (des produits ayant des caractéristiques proches à celui recherché) et d’entrainer l’algorithme de recommandations.

La CNIL a considéré que de telles opérations n’entraient pas dans le champ des exemptions prévues à l’article 82 de la loi Informatique et Libertés. Elles n’avaient pas pour finalité de permettre ou faciliter la communication par voie électronique et n’étaient pas strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur. Elles ne pouvaient, dès lors, être mises en œuvre sans le consentement préalable des personnes concernées.