Sanction CNIL Fnac Darty : 7 M€ pour pistage sans accord

La CNIL a sanctionné le 22 octobre 2026 les sociétés Fnac Darty Participations et Services (6 millions d'euros) et Fnac Direct (1 million d'euros). Dans l'application mobile, un identifiant et les produits consultés partaient vers un domaine tiers sans votre accord, y compris après un refus du suivi. Il ne s'agit pas d'une fuite de données.

Que reproche la CNIL à Fnac Darty ?

Selon la page officielle de la CNIL, lorsque vous utilisiez l'application mobile, des requêtes étaient envoyées par une API vers un domaine tiers. Elles contenaient un identifiant attribué par la Fnac à l'utilisateur et des informations sur son activité, par exemple les produits consultés.

Ce traceur servait à afficher des recommandations personnalisées et à entraîner l'algorithme de recommandation. La CNIL retient que les utilisateurs n'avaient pas consenti à ce dépôt et que ces opérations ne relevaient pas des exceptions de l'article 82 de la loi Informatique et Libertés. Elle ajoute que les sociétés ne respectaient pas le choix de ceux qui refusaient le suivi de leur navigation dans l'application.

Les faits : montants, dates, injonction

Montants : 6 millions d'euros pour Fnac Darty Participations et Services, 1 million pour Fnac Direct, soit 7 millions au total.
Dates : la formation restreinte a prononcé la sanction le 22 octobre 2026, la CNIL l'a rendue publique le 29 octobre.
Origine : une plainte de l'association noyb a conduit la CNIL à un contrôle en mars 2024.
Injonction : les sociétés doivent démontrer sous un mois, après notification, que leur nouvel outil recueille le consentement quand il est nécessaire, sous peine d'une astreinte de 10 000 € par jour de retard.
Personnes concernées : la CNIL ne donne aucun chiffre et parle seulement d'« un grand nombre de personnes ». Nous n'avons pas d'autre estimation fiable.

Ce que la décision ne dit pas

Rien n'indique un vol de données, ni que le suivi ait servi à autre chose qu'aux recommandations. Méfiez-vous donc de tout message qui, en s'appuyant sur cette actualité, vous demanderait de « confirmer vos données » ou de payer pour être « remboursé » : rien de tel n'est annoncé par la CNIL.

Pourquoi un identifiant d'application compte-t-il ?

Un identifiant stable associé à vos produits consultés forme un profil : il révèle vos centres d'intérêt, vos projets d'achat, parfois votre budget. Tant que ce profil reste chez l'enseigne, le risque est surtout commercial. Dès qu'il part vers un tiers, vous perdez la maîtrise de sa circulation. C'est précisément ce que le consentement doit encadrer.

Pour le cadre général, notre article sur le refus du profilage publicitaire détaille vos leviers côté navigateur et téléphone.

Donnée suivie, risque concret, parade

Information suivie	Risque concret	Parade
Identifiant client attribué par l'enseigne	Recoupement de votre activité entre services	Réglages de l'application, demande d'accès
Produits consultés	Profil de centres d'intérêt, publicités ciblées	Refuser le suivi, couper l'identifiant publicitaire
Adresse e-mail liée au compte	Démarchage et hameçonnage mieux ciblés	Adresse jetable pour les inscriptions

Pour que votre vraie adresse reste hors de ces fichiers, utilisez une boîte e-mail jetable avec sa propre boîte de réception pour vos achats et inscriptions, que vous pouvez couper à tout moment.

Que faire aujourd'hui, cette semaine, ensuite ?

Aujourd'hui

Ouvrez l'application Fnac, ses réglages de confidentialité, et vérifiez que le suivi est bien refusé.
Sur votre téléphone, désactivez ou réinitialisez l'identifiant publicitaire dans les réglages de confidentialité.

Cette semaine

Adressez à l'enseigne une demande d'accès (article 15 du RGPD) pour savoir quelles données sont conservées. Le modèle ci-dessous peut servir.
Passez en revue vos autres applications de commerce : refus du suivi, droits d'accès. Notre guide sur le droit d'accès RGPD explique la démarche.

Dans les mois qui viennent

Supprimez les applications que vous n'utilisez plus et demandez l'effacement du compte (article 17).
Si une réponse vous paraît insuffisante, vous pouvez saisir la CNIL via son service de plaintes.

Modèle de demande d'accès

Objet : Demande d'accès à mes données (article 15 du RGPD)

Madame, Monsieur,

Je suis titulaire du compte associé à l'adresse [votre e-mail]. Je vous demande de me communiquer l'ensemble des données personnelles me concernant, notamment celles collectées via l'application mobile (identifiants, historique de consultation), les destinataires de ces données, leur finalité et leur durée de conservation.

Je vous remercie de répondre dans le délai d'un mois prévu par le RGPD.

Cordialement, [nom, prénom]

EffaceData à vos côtés

Ce que vous faites vous-même

Régler l'application et l'identifiant publicitaire de votre téléphone.
Envoyer la demande d'accès à l'enseigne et, si besoin, saisir la CNIL.

Ce qu'EffaceData prend en charge pour vous

Des demandes de suppression (article 17 du RGPD) auprès de 100 courtiers de données, pour limiter le profilage commercial.
Une boîte e-mail jetable avec boîte de réception pour vos inscriptions, afin que votre vraie adresse reste hors des fichiers.
La surveillance du darknet, qui vous prévient quand vos données apparaissent dans une nouvelle fuite.

EffaceData ne règle pas à votre place les réglages de vos applications, ne peut pas retirer les données qu'une enseigne détient déjà, ne porte pas plainte et ne donne pas de conseil juridique.

Activer la surveillance du darknet et la suppression chez les courtiers

Questions fréquentes

Mes données ont-elles fuité chez Fnac ?

Non, il ne s'agit pas d'une fuite ni d'un piratage. La CNIL reproche un suivi de l'activité dans l'application mobile sans consentement valable. Aucune donnée volée n'est mentionnée dans la décision.

Puis-je obtenir un remboursement ou une indemnité ?

L'amende est versée à l'État, pas aux clients. La décision de la CNIL ne prévoit aucune indemnisation individuelle. Si vous estimez avoir subi un préjudice, vous pouvez vous renseigner sur les voies de recours existantes. Ceci n'est pas un conseil juridique.

Comment savoir si l'application me suivait malgré mon refus ?

Vous ne pouvez pas le vérifier vous-même sans outils techniques. Vous pouvez en revanche adresser à Fnac une demande d'accès (article 15 du RGPD) pour connaître les données conservées à votre sujet.

Que faire dès maintenant dans l'application ?

Ouvrez les réglages de confidentialité de l'application, vérifiez vos choix, désactivez l'identifiant publicitaire de votre téléphone et, si vous n'utilisez plus l'application, supprimez-la et demandez la suppression de votre compte.

Les cookies, au-delà de la Fnac

La CNIL rappelle ses règles sur les cookies et autres traceurs : refuser doit être aussi simple qu'accepter. Pour limiter la collecte à la source, réduisez les nouvelles traces de vos données grâce à une adresse jetable et à la suppression chez les courtiers. Et pour savoir si votre adresse figure déjà dans une fuite, vérifiez gratuitement votre e-mail.

Ceci n'est pas un conseil juridique.