La Commission Nationale de l'Informatique et des Libertés (CNIL) a infligé une sanction de 7 millions d’euros aux sociétés FNAC DARTY PARTICIPATIONS ET SERVICES et FNAC DIRECT pour l'utilisation d'un traceur sur leur application mobile, destiné à la personnalisation de recommandations et à l'entraînement d'un algorithme, sans avoir recueilli le consentement préalable des utilisateurs.

Faits et contexte

La Commission Nationale de l'Informatique et des Libertés (CNIL) a publié une décision de sanction à l'encontre des sociétés FNAC DARTY PARTICIPATIONS ET SERVICES et FNAC DIRECT, comprenant le prononcé d'une amende totale de 7 000 000 €, pour des manquements en lien avec les règles applicables aux traceurs.

L'affaire trouve son origine dans une plainte de l'association "Aucune de Vos Affaires" (NOYB), qui a conduit à un contrôle de l'application mobile des sociétés en mars 2024.

Motifs de la décision

• Obligation de recueillir le consentement préalable au dépôt de traceurs non essentiels (article 82 de la loi Informatique et Libertés) : L'autorité a constaté que l'application mobile émettait des requêtes vers un domaine tiers via une interface de programmation d'application (API), contenant un identifiant utilisateur et des informations sur sa navigation. Ce traceur servait à personnaliser les recommandations de produits et à entraîner l'algorithme sous-jacent. La formation restreinte a jugé que ces finalités n'entraient pas dans le champ des exemptions prévues, car elles ne sont ni destinées à permettre ou faciliter la communication électronique, ni strictement nécessaires à la fourniture d'un service expressément demandé par l'utilisateur. Par conséquent, leur mise en œuvre nécessitait le recueil du consentement préalable des personnes concernées, ce qui n'a pas été fait.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 7 000 000 € aux sociétés FNAC DARTY PARTICIPATIONS ET SERVICES (6 000 000 €) et FNAC DIRECT (1 000 000 €).

En outre, l'autorité a ordonné aux sociétés de mettre leurs opérations en conformité avec l'article 82 de la loi Informatique et Libertés, en démontrant sous un mois que leur nouvel outil recueille valablement le consentement. Cette injonction est assortie d'une astreinte de 10 000 € par jour de retard. La décision a également été rendue publique.

Enseignements

Cette décision rappelle que :

• Les traceurs utilisés à des fins de personnalisation de contenu ou de recommandations de produits ne sont pas considérés comme strictement nécessaires à la fourniture d'un service et requièrent donc le consentement préalable de l'utilisateur.
• La collecte de données de navigation via un traceur pour entraîner un algorithme de recommandation constitue une finalité distincte qui est également soumise à l'obligation de recueil du consentement.
• Les obligations relatives aux traceurs s'appliquent de manière identique aux applications mobiles et aux sites web, y compris lorsque les données sont transmises via une interface de programmation d'application (API).