Traceurs dans une application mobile : 7 M€ d'amende CNIL (29/10/2026)
Un seul traceur, dans une seule application mobile, et 7 millions d'euros d'amende. La décision CNIL rendue publique le 29 octobre 2026 vise une app, pas un site web : c'est là que le dossier devient intéressant pour toute PME des Pays-Bas, de Belgique, de France et du Luxembourg qui a un bandeau impeccable sur son site et une application jamais auditée.
En bref
Le 22 octobre 2026, la CNIL a sanctionné deux sociétés du groupe Fnac Darty à hauteur de 7 millions d'euros au total : 6 millions pour FNAC DARTY PARTICIPATIONS ET SERVICES et 1 million pour FNAC DIRECT[1]. Le motif tient en une ligne : des traceurs dans une application mobile, déposés et lus sans le consentement préalable des utilisateurs. La décision a été rendue publique le 29 octobre 2026, après une plainte de l'association None Of Your Business (NOYB) et un contrôle de la CNIL mené en mars 2024[1].
Ce que la CNIL a réellement constaté
Un seul mécanisme est en cause. Pendant l'utilisation de l'application, des requêtes partaient vers un domaine tiers via une API. Elles contenaient un identifiant attribué à l'utilisateur par la Fnac, ainsi que des informations sur son activité, par exemple les produits consultés[1].
À quoi servait ce traceur ? À afficher des produits personnalisés selon l'historique de navigation — accessoires, consommables, services associés, produits similaires — et à entraîner l'algorithme de recommandations[1].
La CNIL a jugé que ces opérations ne relèvent d'aucune des deux exemptions de l'article 82 de la loi Informatique et Libertés : elles ne servent pas à permettre ou faciliter une communication électronique, et elles ne sont pas strictement nécessaires à la fourniture d'un service demandé expressément par l'utilisateur. Sans exemption, le consentement préalable est obligatoire[1][2].
Trois éléments ont pesé sur le montant : le choix de l'utilisateur de ne pas consentir au suivi n'était pas respecté, l'application est utilisée par un grand nombre de personnes, et il existe sur ce sujet une doctrine répressive « constante et bien établie »[1]. Autrement dit, l'argument de la nouveauté ne fonctionne plus. Une injonction accompagne la sanction : démontrer en un mois que le nouvel outil recueille bien le consentement, sous astreinte de 10 000 euros par jour de retard[1].
Ce que ça change pour une PME
Quatre leçons tiennent, même si votre entreprise n'a rien à voir avec la distribution.
- La règle suit l'appareil, pas le bandeau. Ce qui est encadré, c'est le stockage d'informations dans le terminal et l'accès à celles qui y sont déjà : un site, une application mobile, un SDK, un identifiant publicitaire. Un site irréprochable et une app oubliée, cela reste un dossier ouvert.
- « Personnaliser » n'est pas « nécessaire ». Recommander des produits et entraîner un modèle sont des finalités de confort commercial, hors exemption[1].
- Le refus doit fonctionner, pas seulement s'afficher. Le reproche central de la formation restreinte est exactement là : le choix exprimé n'a pas été honoré[1].
- Le coût n'est pas que l'amende. Pour une PME, c'est la remise en conformité en urgence, avec un délai court et une astreinte au compteur, qui pèse le plus lourd[1].
Un détail de calendrier mérite votre attention : contrôle en mars 2024, décision en octobre 2026[1]. Deux ans et demi. Un défaut posé aujourd'hui dans votre application peut vous être opposé longtemps après le départ du prestataire qui l'a installé. C'est la même logique de traçabilité que pour les e-mails de prospection, où nous avions détaillé le cadre CNIL des adresses professionnelles reconstituées.
Traceurs dans une application mobile : quatre pays, quatre textes
CyberNovaLabs.io travaille aux Pays-Bas, en Belgique, en France et au Luxembourg. Le principe est commun, puisqu'il descend de l'article 5.3 de la directive ePrivacy, mais le texte à citer et l'autorité à qui vous répondez changent d'un pays à l'autre.
| Pays | Texte national | Autorité | Point à retenir |
|---|---|---|---|
| France | Article 82 de la loi Informatique et Libertés | CNIL | Les traceurs de personnalisation et de ciblage commercial sont hors du champ des exemptions[1] |
| Belgique | Législation dite « cookies », qui couvre aussi d'autres techniques de traçage comme le stockage local | APD / GBA | L'autorité vise explicitement les responsables de sites et d'applications mobiles ; un cookie de finalité analytique n'est en principe pas strictement nécessaire[4] |
| Pays-Bas | Article 11.7a de la Telecommunicatiewet | Autoriteit Persoonsgegevens | Les cookies de suivi exigent une autorisation, sur un site comme dans une app ; l'analytique limitée peut en être dispensée si l'impact sur la vie privée est faible ou nul[5] |
| Luxembourg | Article 4.3 e) de la loi modifiée du 30 mai 2005 | CNPD | Consentement préalable obligatoire pour tout cookie non essentiel, après information de l'utilisateur[6] |
Un point vaut pour les quatre pays : depuis l'entrée en application du RGPD, le consentement doit être libre, spécifique, éclairé et univoque, le responsable doit pouvoir démontrer qu'il l'a obtenu, et le retirer doit être aussi facile que le donner[6]. C'est la même exigence de preuve que celle décrite dans notre article sur les obligations RGPD des lunettes connectées.
Le contrôle que vous pouvez faire vous-même, en une heure
- Installez votre application sur un appareil neuf, ou effacez ses données. Au premier lancement, refusez tout.
- Observez le trafic réseau sortant. Toute requête vers un domaine tiers portant un identifiant d'utilisateur, après un refus, est un problème à documenter.
- Demandez à votre prestataire la liste écrite des SDK embarqués dans la dernière version publiée, avec la finalité de chacun. Comparez-la au contenu de votre bandeau.
- Faites le même test sur votre site, en navigation privée : un tag qui part avant tout clic reste la faute la plus courante.
- Vérifiez que vous pouvez produire la preuve d'un consentement daté, et que le retrait est accessible au même niveau que l'acceptation.
Si la réponse de votre prestataire met plus de quelques jours à arriver, c'est déjà une information utile sur votre niveau de maîtrise.
À faire cette semaine
- Lister par écrit les SDK et les tags de votre application et de votre site, avec leur finalité.
- Tester un refus complet et vérifier qu'aucune requête tierce ne part ensuite.
- Rendre le refus aussi direct que l'acceptation, au même niveau d'écran.
- Reclasser « recommandation » et « personnalisation » en finalités soumises à consentement.
- Archiver les preuves de consentement et savoir en produire une sur demande.
- Envoyer une demande écrite à l'agence ou à l'éditeur : quels traceurs, pour quelle finalité, depuis quelle version.
Chez CyberNovaLabs.io
Nous construisons des sites et des applications où le bandeau de consentement n'est pas un décor : les traceurs non essentiels ne partent qu'après un oui, le refus est au même niveau que l'acceptation, et la liste des SDK est écrite dans la documentation du projet. Si vous ne savez pas ce que votre application envoie aujourd'hui, demandez-nous un état des lieux. Vous pouvez aussi consulter notre offre de création de site et nos repères pour la prise de rendez-vous B2B en France.
Sources
- CNIL — Cookies et application mobile : sanctions de 7 millions d'euros a l'encontre des societes FNAC DARTY PARTICIPATIONS ET SERVICES et FNAC DIRECT (publie le 29/10/2026)
- CNIL (English) — Cookies and mobile application: 7 million euros fine against FNAC DARTY PARTICIPATIONS ET SERVICES and FNAC DIRECT (29/10/2026)
- L'Independant / AFP — La Fnac ecope d'une amende de 7 millions d'euros (29/10/2026)
- Autorite de protection des donnees (Belgique) — Cookies et autres traceurs (mise a jour 17/11/2023)
- Autoriteit Persoonsgegevens (Pays-Bas) — Cookies (regles et article 11.7a Telecommunicatiewet)
- CNPD (Luxembourg) — Cookies : contexte juridique (article 4.3 e) de la loi modifiee du 30 mai 2005)
Des rendez-vous qualifiés, sans engagement.
Critères écrits avant le lancement, paiement au rendez-vous ou au forfait, arrêt par simple e-mail.
À lire aussi
NIS2 Luxembourg : construction et BTP, concernés ?
Au Luxembourg, la construction et le BTP ne figurent pas dans la liste des secteurs NIS2 publiée par l'ILR. La loi du 5 mai 2026, le seuil de taille et l'enregistrement du 10 juillet 2026 ne s'appliquent pas du seul fait de construire.
Lire l'article →3 novembre 2026 · 7 min de lectureCyberattaque au SPF Finances : echeance repoussee (28/10/2026)
Quatre jours sans MyMinfin, Tax-on-Web ni Biztax, et une date limite qui, elle, ne bougeait pas. Aucune donnee n'est sortie : le cout est ailleurs. Ce que la cyberattaque du SPF Finances change concretement pour une PME en Belgique, en France, aux Pays-Bas et au Luxembourg.
Lire l'article →30 octobre 2026 · 8 min de lectureIA en PME : les 5 taches a automatiser en premier
20,0 % des entreprises europeennes de 10 salaries et plus utilisaient l'IA en 2025, contre 13,5 % un an plus tot. Les usages mesures donnent un ordre de priorite clair pour une PME : cinq taches, dans cet ordre, et trois a laisser de cote.
Lire l'article →30 octobre 2026 · 7 min de lectureNIS2 Luxembourg : les cabinets d'avocats sont-ils concernés ?
Un cabinet d'avocats luxembourgeois n'est pas une entité NIS2. Trois portes latérales de la loi du 5 mai 2026 l'atteignent quand même, et l'article 35 de la loi de 1991 lui impose une contrainte que la loi cyber ignore.
Lire l'article →29 octobre 2026 · 7 min de lecturePHP : 218 produits encore vulnerables, inventaire NCSC-NL (28/10/2026)
Le correctif PHP du 21 octobre ne clot pas le dossier. Le 28 octobre, le NCSC-NL recense 218 produits encore vulnerables sur 757 suivis, et un troisieme vecteur reste sans correctif.
Lire l'article →29 octobre 2026 · 9 min de lecturePrise de rendez-vous B2B : immobilier et gestion locative
Agences, administrateurs de biens, syndics : la prise de rendez-vous B2B est permise dans les quatre pays, mais le code de deontologie belge suit votre prestataire et le droit neerlandais change selon la forme juridique de l'appele. Ce qu'il faut verifier avant le premier appel.
Lire l'article →