Un refus qui ne changeait rien Mars 2024. Une délégation de la CNIL télécharge l'application mobile Fnac, clique sur « Continuer sans accepter » et observe le trafic réseau. Les requêtes partent quand même vers un outil de recommandation, avec un identifiant attribué à l'utilisateur et la liste des produits consultés. Le contrôle faisait suite à une plainte de l'association noyb, déposée en septembre 2023. La sanction est tombée le 22 octobre 2026. 7 millions d'euros au total : 6 M€ pour Fnac Darty Participations et Services, 1 M€ pour Fnac Direct, les deux sociétés étant responsables conjoints. S'y ajoute une injonction de démontrer la mise en conformité dans un délai d'un mois, sous astreinte de 10 000 euros par jour de retard. L'application, elle, comptait plus de 1,5 million de téléchargements en France sur un an. Le piège du traceur multi-finalités La défense tenait en un argument : ces opérations étaient strictement nécessaires, puisqu'elles aidaient à naviguer dans un catalogue immense. Une sorte d'équivalent numérique des rayons d'un magasin. La formation restreinte ne l'a pas suivie. Un seul traceur servait à afficher des produits personnalisés, à suggérer des produits complémentaires, à proposer des produits similaires et à entraîner l'algorithme de recommandation. Certaines de ces finalités auraient pu, en théorie, relever de l'exemption. D'autres non. Et dès qu'une seule finalité exige le consentement, c'est l'ensemble du traceur qui y est soumis. Autre précision qui pèsera au-delà de ce dossier : l'entraînement d'un algorithme de recommandation est rattaché au ciblage commercial. Pas à une fonction technique. Le groupe comme assiette, pas la filiale Les sociétés contestaient l'usage du chiffre d'affaires du groupe. Refus net. La filiale étant détenue à 100 %, la présomption d'influence déterminante de la société mère joue, conformément à la jurisprudence de la CJUE. Plus de 10 milliards d'euros de chiffre d'affaires en 2025. Ce qu'il faut vérifier dans vos applications La conformité d'une application en matière de cookies ne se juge pas à l'écran de consentement. Elle se juge aux requêtes émises après un refus. Concrètement, il faut cartographier chaque SDK et chaque appel réseau finalité par finalité, isoler ce qui est réellement nécessaire au service, et rejouer le parcours de refus à chaque nouvelle version. Les équipes mobiles livrent vite. Le test, lui, est rarement dans la recette.
