← Alle artikelen

Trackers in een app: 7 miljoen euro boete van de CNIL (29-10-2026)

Gepubliceerd op 30 oktober 2026 · 7 min lezen · CyberNovaLabs.io

Eén tracker, één mobiele app, 7 miljoen euro boete. Het besluit van de Franse CNIL werd op 29 oktober 2026 openbaar gemaakt en gaat over een app, niet over een website. Precies daarom is het relevant voor elk mkb-bedrijf in Nederland, België, Frankrijk en Luxemburg met een nette cookiebanner op de site en een app die nog nooit is nagekeken.

Kort

Op 22 oktober 2026 legde de Franse toezichthouder CNIL twee vennootschappen van de groep Fnac Darty samen 7 miljoen euro boete op: 6 miljoen voor FNAC DARTY PARTICIPATIONS ET SERVICES en 1 miljoen voor FNAC DIRECT^[1]. De reden past in één regel: trackers in een app, geplaatst en uitgelezen zonder voorafgaande toestemming van de gebruikers. Het besluit werd op 29 oktober 2026 openbaar gemaakt, na een klacht van de vereniging None Of Your Business (NOYB) en een controle van de CNIL in maart 2024^[1].

Wat de CNIL feitelijk vaststelde

Het gaat om één mechanisme. Tijdens het gebruik van de app gingen er verzoeken via een API naar een domein van een derde partij. Die verzoeken bevatten een door Fnac aan de gebruiker toegekende identificatie en informatie over zijn activiteit, bijvoorbeeld de bekeken producten^[1].

Waarvoor diende die tracker? Voor het tonen van persoonlijke producten op basis van het surfgedrag — accessoires, verbruiksartikelen, bijbehorende diensten, vergelijkbare artikelen — en voor het trainen van het aanbevelingsalgoritme^[1].

Volgens de CNIL valt dit onder geen van de twee uitzonderingen van artikel 82 van de Franse privacywet: het dient niet om elektronische communicatie mogelijk te maken of te vergemakkelijken, en het is niet strikt noodzakelijk voor een dienst die de gebruiker uitdrukkelijk heeft gevraagd. Zonder uitzondering is voorafgaande toestemming verplicht^[1][2].

Drie factoren bepaalden de hoogte van de boete: de keuze van de gebruiker om niet te worden gevolgd werd niet gerespecteerd, de app wordt door veel mensen gebruikt, en er bestaat op dit punt een vaste en goed gevestigde handhavingslijn^[1]. Het argument dat dit nieuw zou zijn, gaat dus niet meer op. Bij de boete hoort een bevel: binnen één maand aantonen dat het nieuwe hulpmiddel wél toestemming vraagt waar dat nodig is, op straffe van 10 000 euro per dag vertraging^[1].

Wat dit betekent voor een mkb-bedrijf

Vier lessen blijven staan, ook als uw bedrijf niets met retail te maken heeft.

• De regel volgt het apparaat, niet de banner. Wat geregeld is, is het opslaan van informatie op het apparaat en het benaderen van informatie die er al staat: een website, een mobiele app, een SDK, een advertentie-identificatie. Een vlekkeloze site plus een vergeten app blijft een open dossier.
• Persoonlijk maken is niet hetzelfde als noodzakelijk. Producten aanbevelen en een model trainen zijn commerciële gemaksdoelen en vallen buiten de uitzonderingen^[1].
• Weigeren moet werken, niet alleen te zien zijn. Daar zit het kernverwijt: de uitgesproken keuze werd niet gevolgd^[1].
• De boete is niet de hele rekening. Voor een mkb-bedrijf weegt het herstel onder tijdsdruk, met een dwangsom die meeloopt, meestal zwaarder^[1].

Eén detail in de tijdlijn verdient aandacht: controle in maart 2024, besluit in oktober 2026^[1]. Tweeënhalf jaar. Een fout die vandaag in uw app komt, kan u nog lang worden aangerekend, ook als de leverancier die hem plaatste al weg is. Dezelfde logica van aantoonbaarheid geldt voor prospectiemail, waarover wij de lijn van de CNIL over geraden zakelijke e-mailadressen uitwerkten.

Trackers in een app: vier landen, vier teksten

CyberNovaLabs.io werkt in Nederland, België, Frankrijk en Luxemburg. Het beginsel is gemeenschappelijk, want het komt uit artikel 5, lid 3, van de ePrivacyrichtlijn, maar de tekst die u aanhaalt en de toezichthouder aan wie u verantwoording aflegt verschillen per land.

Eén eis geldt in alle vier de landen: sinds de AVG van toepassing is, moet toestemming vrij, specifiek, geïnformeerd en ondubbelzinnig zijn, moet de verantwoordelijke kunnen aantonen dat hij die heeft gekregen, en moet intrekken net zo eenvoudig zijn als geven^[6]. Dat is dezelfde bewijslast als in ons stuk over de AVG-verplichtingen voor smartbrillen volgens de EDPB.

De controle die u zelf in een uur doet

1. Zet uw app op een schoon toestel, of wis de gegevens. Bij de eerste start: weiger alles.
2. Kijk naar het uitgaande netwerkverkeer. Elk verzoek naar een extern domein met een gebruikersidentificatie ná een weigering is een probleem om vast te leggen.
3. Vraag uw leverancier een schriftelijke lijst van de SDK's in de laatst uitgebrachte versie, met het doel van elke SDK. Leg die naast uw banner.
4. Doe dezelfde test op uw website in een privévenster: een tag die afgaat vóór enige klik blijft de meestgemaakte fout.
5. Controleer of u een gedateerd bewijs van toestemming kunt overleggen, en of intrekken op hetzelfde niveau staat als accepteren.

Duurt het antwoord van uw leverancier meer dan een paar dagen, dan zegt dat al iets over hoe goed dit onder controle is.

Chez CyberNovaLabs.io

Wij bouwen websites en apps waarin de toestemmingsbanner geen decor is: niet-essentiële trackers gaan pas af na een ja, weigeren staat op hetzelfde niveau als accepteren, en de SDK-lijst staat in de projectdocumentatie. Weet u niet wat uw app vandaag verstuurt, vraag ons dan een doorlichting. U kunt ook ons aanbod website laten maken bekijken, en onze lokale aantekeningen over B2B-afspraken laten maken in Amsterdam.

Bronnen

1. CNIL — Cookies et application mobile : sanctions de 7 millions d'euros a l'encontre des societes FNAC DARTY PARTICIPATIONS ET SERVICES et FNAC DIRECT (publie le 29/10/2026)
2. CNIL (English) — Cookies and mobile application: 7 million euros fine against FNAC DARTY PARTICIPATIONS ET SERVICES and FNAC DIRECT (29/10/2026)
3. L'Independant / AFP — La Fnac ecope d'une amende de 7 millions d'euros (29/10/2026)
4. Autorite de protection des donnees (Belgique) — Cookies et autres traceurs (mise a jour 17/11/2023)
5. Autoriteit Persoonsgegevens (Pays-Bas) — Cookies (regles et article 11.7a Telecommunicatiewet)
6. CNPD (Luxembourg) — Cookies : contexte juridique (article 4.3 e) de la loi modifiee du 30 mai 2005)

Lees ook