TRACEURS SANS CONSENTEMENT :
CE QUE LA SANCTION CNIL
CHANGE POUR VOTRE ENTREPRISE

Le 22 octobre 2026, la formation restreinte de la CNIL a prononcé une sanction de 7 millions d'euros à l'encontre de deux sociétés du groupe Fnac Darty. La décision a été rendue publique le 29 octobre, sous la référence SAN-2026-015 sur Légifrance.

Le motif : un traceur intégré à l'application mobile Fnac continuait à transmettre des données à un tiers même lorsque l'utilisateur avait refusé d'être suivi. L'affaire concerne un grand groupe, mais les règles appliquées valent pour toute entreprise qui collecte des données via un site ou une application, quelle que soit sa taille.

CE QUI S'EST PASSÉ : LES FAITS

La CNIL avait été saisie par l'association NOYB (None Of Your Business) et avait mené un contrôle de l'application mobile Fnac en mars 2024. La délibération a été adoptée le 22 octobre 2026 et rendue publique le 29 octobre.

Le reproche porte sur un traceur précis : via une interface de programmation (API), l'application envoyait à un domaine tiers un identifiant attribué à l'utilisateur ainsi que les produits qu'il avait consultés. Cette transmission avait lieu pour personnaliser les recommandations commerciales et entraîner l'algorithme qui les produit. Le problème : elle se produisait même quand l'utilisateur avait refusé le suivi.

La CNIL a tenu compte du nombre d'utilisateurs concernés et du non-respect du choix exprimé pour fixer le montant de la sanction. Elle a également choisi de rendre la décision publique, en raison de la gravité du manquement et de l'étendue de la collecte. Fnac Darty conteste l'analyse juridique de la CNIL et se réserve la possibilité d'un recours.

LA RÈGLE APPLICABLE : L'ARTICLE 82 DE LA LOI INFORMATIQUE ET LIBERTÉS

En France, les traceurs (cookies, identifiants, pixels, SDK) déposés ou lus sur le terminal d'un utilisateur sont encadrés par l'article 82 de la loi n° 78-17 du 6 janvier 1978, dite loi Informatique et Libertés. Cet article transpose la directive européenne ePrivacy. Il s'applique aussi bien aux sites web qu'aux applications mobiles.

Le principe est simple : un traceur qui n'est pas strictement nécessaire au fonctionnement du service demandé par l'utilisateur ne peut être activé qu'avec son consentement préalable, libre, éclairé et explicite. Afficher une bannière de consentement ne suffit pas si le traceur se déclenche malgré un refus.

La recommandation de la CNIL sur le consentement multi-terminaux, publiée le 16 janvier 2026, précise les conditions dans lesquelles un acteur peut appliquer, sur l'ensemble des appareils d'un utilisateur connecté à son compte, le choix exprimé une seule fois. Cette pratique est optionnelle : les entreprises ne sont pas tenues de la mettre en place. Mais si elles le font, refus et retraits doivent avoir la même portée que l'acceptation, sur tous les appareils.

CE QUE CELA CHANGE POUR UNE TPE OU UNE PME

La sanction vise un grand groupe, mais l'article 82 de la loi Informatique et Libertés s'applique à toute entreprise, quelle que soit sa taille. Une TPE qui exploite un site de vente en ligne, une boutique Shopify, un site WordPress avec un outil d'analyse ou une application mobile est soumise aux mêmes règles.

Quand êtes-vous concerné ?

• Vous avez un site internet avec un outil de mesure d'audience (Matomo, Google Analytics, etc.).
• Votre site ou votre boutique en ligne affiche des publicités ou des recommandations de produits.
• Vous utilisez un pixel de suivi dans vos courriels commerciaux (Meta Pixel, pixel de suivi d'envoi commercial, etc.).
• Vous avez une application mobile, même simple, qui intègre des composants tiers (SDK publicitaires, outils d'analyse).
• Votre outil de gestion de la relation client collecte des données de navigation sur votre site.

Ce que la CNIL vérifie en pratique

Depuis 2025, la CNIL ne se contente plus de contrôler l'apparence de la bannière de consentement. Elle vérifie si les traceurs soumis au consentement s'arrêtent réellement lorsque l'utilisateur refuse. Un SDK ou un outil tiers qui s'initialise avant d'avoir recueilli le consentement, ou qui continue à transmettre des données après un refus, constitue un manquement caractérisé, même si votre bandeau de cookies est bien visible.

INJONCTION ET ASTREINTE : LES DEUX VOLETS DE LA SANCTION

Au-delà de l'amende de 7 millions d'euros, la CNIL a prononcé une injonction : les deux sociétés doivent démontrer que leur nouvel outil recueille bien le consentement lorsqu'il est requis, dans le délai d'un mois à compter de la notification de la décision. En cas de retard, une astreinte de 10 000 euros par jour s'applique.

Ce mécanisme existe aussi pour les petites structures. La CNIL dispose d'une procédure simplifiée pour les organismes de taille modeste : les amendes sont plafonnées, mais les injonctions et les astreintes s'appliquent de la même façon. Depuis janvier 2026, la CNIL a prononcé plusieurs dizaines de sanctions dans ce cadre, visant des structures de toutes tailles.

La CNIL publie chaque année la liste des sanctions prononcées sur cnil.fr. Vous pouvez y vérifier les manquements les plus fréquemment sanctionnés pour calibrer vos priorités.

CE QU'IL FAUT VÉRIFIER SUR VOTRE SITE OU VOTRE APPLICATION

La décision Fnac Darty pointe trois exigences pratiques que tout éditeur de site ou d'application doit respecter.

• Aucun traceur non essentiel ne doit s'activer avant le consentement. Testez votre site dès le premier chargement, avant toute interaction de l'utilisateur, avec l'outil de vérification réseau de votre navigateur ou un outil dédié.
• Le refus doit être aussi simple que l'acceptation. Un bouton « Tout refuser » doit être aussi visible et accessible que le bouton « Tout accepter ».
• Le refus doit être effectif. Après un clic sur « Refuser », aucun traceur soumis au consentement ne doit être activé. Testez ce comportement à chaque mise à jour de votre site ou de votre application.
• Documentez la preuve du consentement. Conservez un journal horodaté du choix exprimé par l'utilisateur, de la version du bandeau affichée et des finalités proposées.
• Vérifiez les outils tiers que vous intégrez. Un plugin de réseaux sociaux, un pixel publicitaire ou un outil de chat en ligne peut déposer des traceurs à votre insu. Lisez la documentation de chaque composant et configurez-le pour qu'il n'agisse qu'après consentement.

CE QUE VOUS POUVEZ FAIRE DÈS MAINTENANT

• Testez votre site dès cette semaine : chargez-le dans un navigateur en mode navigation privée et vérifiez qu'aucun traceur non essentiel ne se déclenche avant votre clic sur le bandeau de consentement.
• Vérifiez que votre bandeau propose un bouton « Tout refuser » aussi accessible que « Tout accepter » : c'est une exigence de la CNIL depuis 2022.
• Après avoir cliqué sur « Refuser », contrôlez dans les outils développeur de votre navigateur qu'aucune requête vers un domaine tiers publicitaire ou analytique n'est émise.
• Dressez la liste de tous les outils tiers intégrés à votre site ou à votre application (plugins, SDK, pixels) et vérifiez pour chacun s'il nécessite un consentement.
• Conservez une preuve datée des choix de consentement : la plupart des plateformes de gestion du consentement le font automatiquement, mais vérifiez que la fonctionnalité est activée.
• Consultez la page cookies et traceurs sur cnil.fr pour connaître les lignes directrices à jour avant de modifier votre configuration.

Article de veille préparé avec l'aide d'un outil d'intelligence artificielle à partir des sources citées, puis vérifié contre ces sources. Informations à jour au 2 novembre 2026. Il ne remplace pas l'avis de votre expert-comptable ou de votre conseil juridique pour une situation particulière.