Avant décembre 2024, le site web et l’application mobile FNAC recommandaient des produits, notamment à travers la fourniture de l’historique d’achat des utilisateurs, sans recueillir le consentement. FNAC utilisait pour cela la solution logicielle de la société Early Birds (cédée à Attraqt, elle-même cédée à Crownpeak, elle-même cédée à Rezolve Ai). NOYB a déposé une plainte à ce sujet en 2023.
Le 1er octobre 2026, la formation restreinte, l’organe de sanction de la CNIL, s’est penchée sur ce manquement. PURR a assisté à la séance.
En défense, FNAC a indiqué qu’elle considérait qu’un utilisateur s’attendait à une expérience identique entre magasin, web, et mobile, d’autant plus dans un contexte de forte concurrence (GAFAM, distributeurs exclusivement en ligne, etc) alors que FNAC est le seul à disposer de boutiques physiques.
La FNAC soutient que l’application mobile ne serait pas installée par hasard. Il y aurait là une volonté d’attente de l’expérience magasin, de retrouver les produits, etc. L’utilisateur demanderait ainsi expressément cette recommandation en installant l’application, en la lançant, et en acceptant les Conditions générales d’utilisation.
La FNAC soutient que le premier niveau de personnalisation relève de l’équivalent de la mise en place des rayonnages ou tête de gondole en magasin, et en conteste tout intérêt publicitaire ou commercial.
Le Rapporteur a retoqué que la restriction des produits aux seuls produits en lien avec la recherche effectuée, revenant à sélectionner un rayon, relevait de l’expertise propre à l’entreprise et ne nécessitait ainsi aucune donnée à caractère personnel. Il en est de même pour la recommandation de produits, par exemple un chargeur si l’utilisateur cherche un téléphone.
Il indique aussi que la situation est bien différente concernant la personnalisation plus avancée, comme les recommandations fondées sur les achats antérieurs, qui, elle, nécessite bien de telles données à caractère personnel. La FNAC mettait d’ailleurs en place les deux modes de personnalisation, avec du consentement sur le second.
La FNAC indique que la mise en place du consentement, suite aux contrôles de la CNIL, a eu des impacts techniques et opérationnels importants, liés à l’absence de cookie dans une application mobile, et qu’il avait été initialement fait le choix de se passer de consentement pour éviter une fatigue du consentement. La Formation Restreinte a cependant fait remarquer que le chiffre d’affaires est en hausse malgré le décomissionnement de l’outil incriminé fin 2024.
En conséquence, le Rapporteur a proposé une sanction par une amende de 10 millions d’euros (8 M€ pour FNAC Darty, 2 M€ pour FNAC Direct), sans injonction puisque le manquement a cessé fin 2024. Il ne demande pas la publicité de la sanction.
La FNAC conteste le montant de cette amende, la trouvant disproportionnée. Elle soutient que la FNAC a coopéré avec la CNIL, et que le traitement en cause avait été initialement bien étudié par toutes les équipes internes (DPO, services juridiques, ancien agent de la CNIL).
Elle soutient aussi que la politique de confidentialité était claire. PURR en doute au vu de sa longueur, et très certainement placée à des endroits inaccessibles pour l’utilisateur.
La FNAC soutient aussi qu’elle s’implique réellement dans la protection des données, avec des équipes dédiées et chevronnées. PURR en doute fortement, étant donné que l’association a connaissance de plusieurs plaintes pour des violations graves à la réglementation (délais abusifs de rétention, défaut de réponse à demande d’accès, défaut de suppression malgré demande de suppression…) et avait encore en ce début d’année obtenu une mise-en-demeure pour des cookies illicites.
La FNAC soutient aussi que la réglementation sur les traçeurs ne seraient ni stable ni établie, avec des lignes directrices de la CNIL en la matière encore en 2026. PURR précise que la directive ePrivacy date de 2002 puis 2009, transposée en droit français depuis 2004, et que les premières lignes directrices de la CNIL datent de 2020.
La FNAC semble être très gênée de la qualification de « négligence caractérisée » retenue par la CNIL, et l’a contesté à de très nombreuses reprises durant l’audience.