Armingaud Avocat

CNIL - Délibération de la formation restreinte n°SAN-2026-015 du 22 octobre 2026 prononçant une sanction pécuniaire à l'encontre des sociétés FNAC DIRECT et FNAC DARTY PARTICIPATIONS ET SERVICES

Case Law
CitationCNIL, formation restreinte, délibération n° SAN-2026-015 du 22 octobre 2026, FNAC DARTY PARTICIPATIONS ET SERVICES et FNAC DIRECT
Date of the decision2026-10-22
Case NumberSAN-2026-015
LanguageFrench
GeographyFrance
Judicial AuthorityCNIL
SummaryDélibération du 22 octobre 2026 par laquelle la formation restreinte de la CNIL sanctionne FNAC DARTY PARTICIPATIONS ET SERVICES (6 M€) et FNAC DIRECT (1 M€), responsables conjoints, pour manquement à l'article 82 de la loi Informatique et Libertés (transposition de l'article 5, paragraphe 3 de la directive ePrivacy). Les sociétés effectuaient des opérations de lecture/écriture sur le terminal des utilisateurs de l'application mobile FNAC, via une API tierce, à des fins de personnalisation, de recommandation de produits complémentaires et d'entraînement d'un algorithme de recommandation, sans consentement, y compris après un clic sur « Continuer sans accepter ». La CNIL écarte l'exemption de stricte nécessité : un traceur multi-finalités ne peut en bénéficier si l'une de ses finalités exige le consentement. Elle fonde l'amende sur la notion d'entreprise (CJUE C-807/21 et C-383/23), donc sur le chiffre d'affaires du groupe FNAC DARTY (plus de 10 Md€ en 2025), et prononce une injonction assortie d'une astreinte de 10 000 € par jour ainsi que la publication de la décision.
Link to official version of the decisionAccéder à la décision ↗

50 min de lecture

Télécharger .md

Executive Summary

Executive Summary

Overview:

  • Issue: Do read/write operations carried out on the terminals of users of the FNAC mobile app, through a third-party API, for personalisation, product recommendations and algorithm training, without prior consent (including after a click on “Continuer sans accepter”, i.e. “Continue without accepting”), breach Article 82 of the French Data Protection Act? Related question: what basis should be used to set the fine (notion of undertaking, group turnover)?
  • Key Dates:
  • 15 Sept. 2023: NOYB complaint.
  • 19 Sept. 2023: Android fix deployed by the companies.
  • 6 Dec. 2023: inspection decision no. 2024-023C.
  • 6 Mar. 2024: online inspection.
  • 19-20 Dec. 2024: API decommissioned (Android/iOS), new tool in January 2025.
  • 12 May 2026: rapporteur appointed.
  • 3 June 2026: sanction report.
  • 2 July, 22 July and 11 Sept. 2026: exchange of submissions.
  • 15 Sept. 2026: close of the investigation.
  • 28 Sept. 2026: request for a closed hearing refused.
  • 1 Oct. 2026: hearing.
  • 22 Oct. 2026: deliberation SAN-2026-015.

Key Findings:

  1. Joint controllership (§19-23): FDPS and FNAC DIRECT jointly determine the purposes and means of the processing carried out through the mobile app; this status was not contested.
  2. Consent required, exemptions rejected (§30-39):
  • personalisation and complementary product suggestions amount to commercial targeting and fall outside the exemptions (§34-36).
  • Displaying similar products could in theory be strictly necessary, but it cannot be isolated: a single tracker serves all the purposes, and a multi-purpose tracker is exempt only if none of its purposes requires consent (cf. SAN-2022-023).
  • Training the recommendation algorithm serves commercial targeting (§38).
  1. User’s refusal ignored (§31, 40, 53): requests containing a FNAC identifier and the products viewed were still sent after a click on “Continue without accepting”, which the banner text itself announced.
  2. “Unsettled doctrine” argument rejected; negligence (§49, 54-55): the breach is not new, even in a mobile app context; the 24 Sept. 2024 recommendation on mobile apps does not change this. Given the 2013 and 2020 guidance and earlier sanctions (SAN-2020-012 and SAN-2020-013, upheld by the Conseil d’État), the companies could not ignore their obligations.
  3. Gravity (§52-53): substantial interference with privacy; more than 1.5 million downloads in France (March 2023 to March 2024) and an average of 37,400 users per day.
  4. No mitigating cooperation (§56-57): answering the inspection is an obligation under Article 31 GDPR (neutral factor, EDPB Guidelines 04/2022); the 2023 outreach merely informed the CNIL that internal investigations were under way.
  5. Notion of undertaking and basis for the fine (§61-69): applying CJEU C-807-21 and C-383-23. With subsidiaries wholly owned, FNAC DARTY SA is presumed to exercise decisive influence; the presumption was not rebutted (no supporting evidence; non-operational holding arguments are insufficient under Cass. com., 18 Oct. 2017). The group’s turnover is used (over EUR 10 billion in 2025), taking into account the financial elements raised by the companies.
  6. Injunction (§72-77): the API was decommissioned, but compliance of the replacement tool was not demonstrated at the close of the investigation; one month granted to comply.
  7. Publicity (§78-80): justified by the gravity of the breach, the scope of the processing and the number of data subjects, despite the pending public tender offer invoked by the companies; proportionate since the companies cease to be named after two years.

Decision:

  • The restricted committee imposed a fine of EUR 6,000,000 on FNAC DARTY PARTICIPATIONS ET SERVICES and EUR 1,000,000 on FNAC DIRECT (EUR 7,000,000 in total) for breach of Article 82 of Act no. 78-17 of 6 January 1978, pursuant to Article 20-IV-7° of the Act and the Article 83 GDPR criteria (paragraph 2, points a and b). It also issued an injunction to demonstrate compliance within one month, backed by a penalty of EUR 10,000 per day of delay, and ordered publication of the deliberation on the CNIL and Légifrance websites, with the companies no longer named after two years.
  • The companies’ defences were dismissed: strict necessity exemption and express user request, complex regulatory context and unsettled doctrine, particular cooperation, exclusion of FNAC DARTY SA’s turnover, disproportionate fine, and objection to publicity. An appeal lies to the Conseil d’État within two months.

Délibération de la formation restreinte n° SAN-2026-015 du 22 octobre 2026 prononçant une sanction pécuniaire à l’encontre des sociétés FNAC DIRECT et FNAC DARTY PARTICIPATIONS ET SERVICES

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mme Isabelle LATOURNARIE-WILLEMS, Mme Marie-Luce CAVROIS, M. Didier KLING et M. Éric THIERS, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2025-1154 QPC du 8 août 2025 du Conseil constitutionnel ;

Vu la décision n° 2024-023C du 6 décembre 2023 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification ;

Vu la décision de la vice-présidente déléguée de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 12 mai 2026 ;

Vu le rapport de M. Fabien TARISSAN, commissaire rapporteur, du 3 juin 2026, notifié aux sociétés FNAC DIRECT et FNAC DARTY PARTICIPATIONS ET SERVICES le 3 juin 2026 ;

Vu les observations écrites des sociétés FNAC DIRECT et FNAC DARTY PARTICIPATIONS ET SERVICES reçues le 2 juillet 2026 ;

Vu la réponse du rapporteur notifiée aux sociétés le 22 juillet 2026 ;

Vu les observations écrites des sociétés FNAC DIRECT et FNAC DARTY PARTICIPATIONS ET SERVICES reçues le 11 septembre 2026 ;

Vu la clôture de l’instruction notifiée aux sociétés FNAC DIRECT et FNAC DARTY PARTICIPATIONS ET SERVICES le 15 septembre 2026 ;

Vu la demande de huis-clos formulée par courrier du 23 septembre 2026, et refusée par le président de la formation restreinte le 28 septembre 2026 ;

Vu les observations orales formulées lors de la séance de la formation restreinte du 1er octobre 2026 ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 1er octobre 2026 :

  • M. Fabien TARISSAN, commissaire, entendu en son rapport ;

En qualité de représentants des sociétés FNAC DIRECT et FNAC DARTY PARTICIPATIONS ET SERVICES :

  • […]

Les sociétés FNAC DIRECT et FNAC DARTY PARTICIPATIONS ET SERVICES ayant été informées de leur droit de garder le silence sur les faits qui leur étaient reprochés et ayant eu la parole en dernier ;

Après en avoir délibéré, la formation restreinte a adopté la décision suivante :

I. Faits et procédure

  1. La société FNAC DARTY PARTICIPATIONS ET SERVICES (ci-après ” la société FDPS ”) et la société FNAC DIRECT (” les sociétés ”) appartiennent au groupe FNAC DARTY (ci-après ” le groupe ”).

  2. La société FDPS est une société anonyme à conseil d’administration créée le 20 mai 2008 et dont le siège social est situé au 9 rue des bateaux – lavoirs à Ivry sur Seine (94200). Société mère de l’ensemble des filiales de l’enseigne FNAC, elle est détenue à 100 % par la société FNAC DARTY SA, holding du groupe FNAC DARTY.

  3. La société FDPS est une centrale d’achats non alimentaires ayant pour activité la distribution et la diffusion de toutes marchandises ou services, spécialement de tous objets de consommation destinés au foyer, aux loisirs, à l’enseignement, à la formation et à l’information ou en relation avec la culture. En mars 2024, la société comptait […] salariés. En 2024, son chiffre d’affaires était d’environ […] et son résultat net s’élevait à plus de […]. En 2025, le chiffre d’affaires de la société s’élevait à environ […] et son résultat net était de […].

  4. La société FNAC DIRECT est une société par actions simplifiée, créée le 22 mai 2008, sise au 9 rue des bateaux – lavoirs à Ivry sur Seine (94200). Elle est détenue à 100 % par la société ALIZE-SFL, elle-même détenue par la société FDPS. Elle a pour activité principale l’exploitation du site web ” fnac.com ” et de l’application mobile FNAC qui lui est rattachée lorsqu’elle est utilisée pour la zone France. En mars 2024, la société ne comptait aucun salarié. En 2024, son chiffre d’affaire était de plus de […] et son résultat net s’élevait à environ […]. En 2025, son chiffre d’affaires s’élevait à plus de […] et son résultat net à environ […].

  5. Le groupe FNAC DARTY a réalisé, en 2024, un chiffre d’affaires de plus de 8 milliards d’euros et un résultat net de l’ensemble consolidé de 43,5 millions d’euros. En 2025, son chiffre d’affaires s’élevait à environ 10 milliards d’euros et son résultat net de l’ensemble consolidé était de - 140,4 millions d’euros.

  6. Le 15 septembre 2023, la Commission nationale de l’informatique et des libertés (ci-après ” CNIL ” ou ” Commission ”) a été saisie d’une plainte émanant de l’association ” None of Your Business ” (ci-après, ” NOYB ”) reprochant aux sociétés d’utiliser des technologies de traçage au sein de son application mobile, en violation de l’article 5 (3) de la directive 2016/680 ” vie privée et communications électroniques ” et de l’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (ci-après ” la loi Informatique et Libertés ”).

  7. Par décision n° 2024-023C du 6 décembre 2023, la vice-présidente déléguée de la CNIL a chargé le secrétaire général de procéder ou de faire procéder à une mission de contrôle afin de vérifier la conformité à la loi Informatique et Libertés et au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après ” le RGPD ” ou ” le Règlement ”), de tout traitement accessible à partir de l’application mobile Fnac (disponible sur les magasins ” App Store ” et ” Google Play ”,) ou portant sur des données à caractère personnel collectées à partir de ces applications.

  8. En application de cette décision, le 6 mars 2024, une délégation a procédé à un contrôle en ligne de l’application mobile au cours duquel elle a reproduit le parcours d’un utilisateur téléchargeant et utilisant l’application. Le procès-verbal n° 2024-023C dressé à l’issue de ce contrôle, accompagné d’un questionnaire, a été notifié aux sociétés par des courriers du 14 mars 2024.

  9. Les sociétés ont fourni à la délégation des éléments de réponse les 29 mars et 24 octobre 2024 portant sur leur organisation, leur qualification en tant que responsables de traitement, le fonctionnement de l’application mobile ainsi que sur les requêtes réseaux émises lors de l’utilisation de l’application mobile à destination du domaine ” […] “. Les sociétés ont expliqué avoir lancé, après avoir eu connaissance de la saisine de la CNIL par NOYB, une revue de la collecte des données effectuée par les traceurs de l’application mobile et avoir identifié un mauvais paramétrage d’un traceur utilisé sur la version Android. Elles ont précisé avoir effectué des correctifs sur l’application mobile et avoir mis à disposition une version corrigée de celle-ci dans sa version Android, le 19 septembre 2023.

  10. Aux fins d’instruction de ces éléments, la vice-présidente déléguée de la Commission a, le 12 mai 2026, désigné M. Fabien TARISSAN en qualité de rapporteur, sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.

  11. Le 1er juin 2026, les sociétés ont apporté des éléments complémentaires en précisant notamment que l’outil […] avait été décommissionné et remplacé par un nouvel outil ayant conduit à une modification du fonctionnement des traitements au sein de l’application mobile.

  12. Le 3 juin 2026, à l’issue de son instruction, le rapporteur a fait notifier aux sociétés un rapport détaillant le manquement à l’article 82 de la loi Informatique et Libertés qu’il estimait constitué en l’espèce. Ce rapport proposait à la formation restreinte de prononcer à l’encontre des sociétés une amende administrative, ainsi qu’une injonction de mettre en conformité leurs traitements avec les dispositions susvisées, assortie d’une astreinte.

  13. Le 2 juillet 2026, les sociétés ont produit des observations en réponse au rapport de sanction.

  14. Le rapporteur a répondu aux observations des sociétés le 22 juillet 2026.

  15. Le 11 septembre 2026, les sociétés ont produit de nouvelles observations en réponse.

  16. Par courrier notifié le 15 septembre 2026, le rapporteur a, en application du III de l’article 40 du décret n° 2019-536 précité, informé les sociétés que l’instruction était close.

  17. Par courrier du 15 septembre 2026, les sociétés ont été informées que le dossier était inscrit à l’ordre du jour de la formation restreinte du 1er octobre 2026.

  18. Le rapporteur et les sociétés ont présenté des observations orales lors de la séance de la formation restreinte.

II. Motifs de la décision

A. Sur le traitement en cause et la qualité de responsable de traitement des sociétés

  1. En droit, le paragraphe 7 de l’article 4 du RGPD - qui s’applique en raison du renvoi fait par l’article 2 de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2006/24/CE du 15 mars 2006 et par la directive 2009/136/CE du 25 novembre 2009 (ci-après, directive ” ePrivacy ”) à l’ancienne directive 95/46/CE à laquelle s’est substitué le RGPD - prévoit que le responsable de traitement est ” la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement “.

  2. En l’espèce, le traitement objet de la présente procédure est relatif aux opérations de lecture et/ou d’écriture réalisées sur le terminal des utilisateurs de l’application mobile de la FNAC par le biais de l’interface de programmation applicative (” application programming interface ” ou ” API ”) […] à des fins d’affichage de recommandations de produits et d’entrainement d’un algorithme de recommandations de produits. Une API est une interface logicielle qui permet de ” connecter ” un logiciel ou un service à un autre logiciel ou service afin d’échanger des données et des fonctionnalités.

  3. La formation restreinte relève que la délégation de la CNIL a été informée dans le cadre du contrôle que les sociétés FDPS et FNAC DIRECT sont responsables de traitement conjoints pour les traitements de données à caractère personnel mis en œuvre à partir de l’application mobile FNAC. Les sociétés ont indiqué qu’elles déterminent ensemble les finalités et les moyens des traitements de données personnelles réalisés lors de l’utilisation des services proposés par l’application mobile pour la zone France, notamment la gestion du compte de l’utilisateur, les opérations de lecture et/ou d’écriture, ainsi que les traitements de données personnelles ultérieurs qui en découlent. Elles déterminent également ensemble la nature des données collectées au sein de l’application mobile FNAC, les bases légales applicables, les durées de conservation des données ainsi que les exigences de sécurité.

  4. La formation restreinte observe par ailleurs que la ” politique de protection des données personnelles ” accessible depuis l’application mobile FNAC, au jour du contrôle en ligne, indique que ” les données personnelles collectées sur le site, l’application mobile FNAC ou lors de vos commandes en magasin sont traitées conjointement par : FNAC DARTY PARTICIPATION & SERVICES RCS Créteil 775 661 390 et ; FNAC DIRECT RCS Créteil 377 853 536 domiciliées le Flavia, 9 rue des bateaux-lavoirs, 94768 Ivry-sur-Seine Cedex. Ci-après dénommées ensemble ” FNAC DARTY “.

  5. Au vu de ce qui précède, la formation restreinte considère, sans que cela ait d’ailleurs été contesté par les sociétés, que les sociétés FDPS et FNAC DIRECT agissent en tant que responsables conjoints des traitements mis en œuvre à partir de l’application mobile FNAC et, notamment, des opérations de lecture et écriture réalisées sur le terminal de ses utilisateurs.

B. Sur le manquement à l’article 82 de la loi Informatique et Libertés

  1. Les règles régissant l’utilisation, par un service de communications électroniques, des cookies et autres traceurs sur les équipements terminaux utilisés dans l’Union européenne sont fixées à l’article 5, paragraphe 3, de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (dite ” directive ePrivacy ”), telle que modifiée par la directive 2009/136/CE du 25 novembre 2009.

  2. Ces règles ont été transposées en droit français à l’article 32, paragraphe II de la loi Informatique et Libertés, devenu l’article 82 depuis la réécriture de cette loi par l’ordonnance n° 2018-1125 du 12 décembre 2018. Celui-ci prévoit que ” tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant :

  • 1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
  • 2° Des moyens dont il dispose pour s’y opposer.

Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.

Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur :

1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;

2° Soit, est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur “.

  1. En l’espèce, le rapporteur relève qu’il ressort des constatations réalisées par la délégation lors du contrôle de l’application mobile que les sociétés réalisaient des opérations de lecture et/ou d’écriture sur le téléphone mobile des utilisateurs de leur application mobile via l’API […], sans recueillir leur consentement préalable et alors même qu’ils avaient cliqué au sein de la bannière de recueil du consentement ” plateforme de gestion du consentement ”,) sur le bouton ” Continuer sans accepter “. Il a relevé que, dans le cadre de l’instruction, les sociétés ont confirmé que les requêtes émises vers le domaine ” […] ” contenaient un identifiant attribué, par la FNAC, à l’utilisateur ainsi que des informations relatives à son activité, telles que les produits consultés, et ont indiqué que ces opérations étaient effectuées à des fins de personnalisation de contenus et d’entrainement de l’algorithme de recommandation de produits au sein de leur application. Le rapporteur considère que ces opérations n’avaient pas pour finalité exclusive de permettre ou faciliter la communication par voie électronique et ne pouvaient pas non plus être regardées comme strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur. Il considère qu’en conséquence, le consentement de l’utilisateur devait être recueilli avant de procéder à ces opérations, ce qui n’était pas le cas en l’espèce. Le rapporteur a pris acte, dans son rapport, du fait que les sociétés avaient cessé d’utiliser cet outil […] et précisé que le manquement demeurait caractérisé pour les faits passés.

  2. En défense, les sociétés soutiennent que les opérations de lecture et/ou d’écriture effectuées sur le téléphone mobile des utilisateurs de leur application mobile, via l’API […], étaient strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur et ne nécessitaient pas le recueil préalable de leur consentement. Elles soutiennent que les opérations en cause visaient à aider l’utilisateur dans sa navigation sur l’application, en filtrant la présentation des produits, et que l’aide à la navigation est une fonctionnalité essentielle, strictement nécessaire du point de vue des utilisateurs dès lors qu’elle leur permet de naviguer de manière lisible au sein du catalogue de produits. Selon les sociétés, ces opérations facilitaient l’accès aux produits et permettaient de transposer, dans un environnement numérique, une organisation comparable à celle des rayons dans les magasins physiques. Elles précisent que ces opérations permettaient de procéder à trois types d’affichage différents. Premièrement, elles permettaient de procéder à un affichage de produits personnalisés auprès de l’utilisateur, c’est-à-dire des produits sélectionnés sur la base de son historique de navigation, de ses consultations et achats de produits ainsi que de l’intérêt manifesté pour certains produits. Deuxièmement, ces opérations permettaient l’affichage de produits similaires, déclenché lorsqu’un utilisateur consultait la fiche d’un produit, à la suite d’une recherche par mot clé, générale, ne répondant pas entièrement à son besoin. Les opérations réalisées à cette fin permettaient de mesurer les interactions des utilisateurs avec un produit (clics, abandons et achats) afin d’identifier quels produits sont réellement perçus comme similaires et utiles en fonction des recherches de l’utilisateur. Les données collectées permettaient d’affiner les règles ou modèles de similarité afin que les produits affichés gagnent en précision pour les clients. Cet affichage permettait ainsi d’effectuer des propositions de produits avec des caractéristiques proches de celui recherché par l’utilisateur. Troisièmement, ces opérations permettaient un affichage de produits complémentaires, permettant d’utiliser ou de compléter le produit consulté ou acheté (par exemple : des accessoires, consommables ou services associés). Son fonctionnement reposait sur l’identification de corrélations entre différents produits à partir des informations des produits et des comportements observés, tels que des achats groupés ou les ajouts au panier d’achat. Quatrièmement, ces opérations permettaient d’alimenter l’algorithme d’aide à la navigation dans le catalogue des produits. Elles permettaient de prendre en compte les consultations de produits, les sélections effectuées ainsi que les interactions avec celles-ci afin d’ajuster les paramètres de l’algorithme. Les sociétés soutiennent que les opérations réalisées à cette fin étaient indispensables au fonctionnement technique de l’application et à l’amélioration continue de la fonctionnalité d’aide à la navigation.

  3. Les sociétés considèrent que les opérations de lecture et/ou d’écriture réalisées à ces fins résultaient par ailleurs d’une demande expresse de l’utilisateur dès lors que ce dernier avait accompli plusieurs actions positives et cumulatives en vue de bénéficier des services proposés par la FNAC, incluant l’aide à la navigation, et se matérialisant par le téléchargement de l’application, son lancement et l’acceptation des conditions générales d’utilisation du compte client.

  4. Les sociétés expliquent, enfin, avoir décommissionné l’API […] le 19 décembre 2024 sur Android et le 20 décembre 2024 sur iOS et avoir déployé un nouvel outil dénommé ” […] ”, reposant sur un fonctionnement différent, en janvier 2025. Si les sociétés précisent dans leurs premières observations que ce nouvel outil offrait une expérience de navigation dégradée, elles indiquent dans leurs secondes observations qu’elles ont décommissionné l’API […] au motif qu’il était inefficace et précisent que le nouvel outil ” […] ” est mieux adapté aux enjeux de la FNAC s’agissant de l’aide à la navigation.

  5. La formation restreinte rappelle que l’article 82 de la loi n° 78-17 du 6 janvier 1978 impose le recueil d’un consentement préalable avant de procéder à des opérations de lecture ou d’écriture sur l’équipement terminal (ordinateur, téléphone, etc.) de la personne concernée. Toute action visant à stocker des informations ou à accéder à des informations stockées dans l’équipement terminal d’un abonné ou d’un utilisateur est en principe soumise à cette exigence. Ces mêmes dispositions prévoient des exceptions à cette obligation pour les opérations, soit ayant pour finalité exclusive de permettre ou faciliter la communication par voie électronique, soit strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur. Ces dispositions ont été interprétées par la CNIL dans ses lignes directrices et sa recommandation du 17 septembre 2020 (délibérations nos 2020-091 et 2020-092 du 17 septembre 2020).

  6. À titre liminaire, en ce qui concerne le parcours utilisateur, la formation restreinte relève que lors du premier lancement de l’application mobile, une plateforme de gestion du consentement est présentée à l’utilisateur l’informant que ” l’application mobile utilise des technologies déposées par FNAC DARTY ou des partenaires ainsi que des cookies lorsque vous naviguez dans le site internet Fnac au travers de l’application. Certains sont nécessaires pour le fonctionnement optimal, et pour vous conseiller au mieux. Nous l’utilisons aussi pour l’analyse des performances et pour sécuriser vos transactions. En cliquant sur le bouton continuer sans accepter, ces derniers seront quand même déposés. Les autres cookies ou technologies similaires déposés par FNAC DARTY ou par ses partenaires IAB sont soumis à votre consentement pour vous fournir des fonctionnalités non essentielles ou publicitaires “. Il a également été constaté par la délégation de contrôle qu’après avoir cliqué au sein de cette plateforme de gestion du consentement sur le bouton ” Continuer sans accepter ”, des requêtes, contenant un identifiant attribué par la FNAC à l’utilisateur ainsi que des informations relatives à son activité telles que les produits consultés, étaient émises vers le domaine ” […] “.

  7. La formation restreinte relève que les sociétés ne contestent pas que des opérations de lecture et/ou d’écriture d’informations sur le téléphone mobile des utilisateurs de leur application étaient réalisées, lors du contrôle de la CNIL, même lorsque les personnes cliquaient sur le bouton ” Continuer sans accepter ” au sein de cette plateforme de gestion du consentement. Elles contestent néanmoins le fait qu’il était nécessaire de recueillir préalablement le consentement des personnes concernées pour la mise en œuvre de ces opérations au vu des finalités visées par celles-ci.

  8. La formation restreinte considère qu’il importe de souligner que les opérations de lecture et d’écriture en cause, bien qu’elles permettent de réaliser les différentes finalités décrites ci-dessus, résultent du recours à un unique traceur. Elle rappelle également que les requêtes réalisées via l’API contenaient un identifiant attribué, par la FNAC, à l’utilisateur ainsi que des informations relatives à son activité, telles que les produits consultés.

  9. Tout d’abord, s’agissant des opérations de lecture et/ou écriture d’informations permettant d’afficher des produits personnalisés aux utilisateurs de l’application mobile, la formation restreinte relève que celles-ci reposent sur le suivi de la navigation des personnes concernées et, notamment, sur les consultations et achats de produits qu’elles ont effectués ainsi que sur l’intérêt manifesté pour certains produits. La finalité de ces opérations est de promouvoir, auprès des utilisateurs, des produits vendus par la FNAC afin que ceux-ci les achètent.

  10. La doctrine répressive de la formation restreinte de la CNIL est constante et bien établie : les opérations poursuivant des finalités de personnalisation des produits affichés à l’utilisateur et de ciblage commercial n’entrent pas dans le champ des exemptions définies par l’article 82 de la loi Informatique et Libertés et ne peuvent, dès lors, être mises en œuvre sans le consentement préalable des personnes concernées. Or, en l’espèce, un tel consentement n’était pas recueilli.

  11. Ensuite, la formation restreinte relève que l’API […] permettait aux sociétés d’effectuer un affichage de produits complémentaires à ceux consultés ou achetés par un utilisateur. L’objectif poursuivi par les sociétés était également dans ce cas d’inciter l’utilisateur à acheter un produit supplémentaire. La formation restreinte rappelle à cet égard que, pour mobiliser l’exemption de recueil du consentement mentionnée à l’article 82 point 2 de la loi Informatique et Libertés, un lien doit être clairement établi entre la stricte nécessité de l’opération et la fourniture du service explicitement demandé par l’utilisateur. Elle considère que le recours à des traceurs permettant, sur la base d’une analyse des attributs des produits consultés par les utilisateurs et des comportements de ces derniers (notamment les achats groupés ou les ajouts au panier), de leur recommander l’achat d’autres produits n’a pas pour finalité exclusive de permettre ou faciliter la communication par voie électronique et ne constitue pas non plus un élément intrinsèque du service. Il n’est, en effet, pas strictement nécessaire au fonctionnement du service de proposer des produits complémentaires à ceux recherchés par l’utilisateur.

  12. En ce qui concerne les opérations réalisées par le biais de l’API à des fins d’affichage de produits similaires, c’est-à-dire permettant de présenter à l’utilisateur des produits avec des caractéristiques proches de celui recherché, la formation restreinte prend acte des arguments développés par les sociétés selon lesquels de telles opérations permettaient de répondre au mieux aux recherches effectuées par l’utilisateur et de l’aider à identifier plus aisément le produit recherché au sein du vaste catalogue de la FNAC. Si une telle finalité pourrait être, en théorie, selon les modalités de mise en œuvre, considérée comme strictement nécessaire à la fourniture du service de communication demandé par l’utilisateur, elle observe, en tout état de cause, qu’elle ne peut cependant, en l’espèce, être isolée des finalités décrites ci-dessus dès lors qu’elle est réalisée par le biais de la même et unique opération de lecture et écriture via l’API […]. Or, un cookie poursuivant plusieurs finalités ne peut relever des exemptions prévues par l’article 82 de la loi Informatique et Libertés que dans l’hypothèse où aucune des finalités poursuivies par les opérations de lecture et/ou écriture considérées ne nécessite le recueil préalable du consentement. Dans le cas contraire, le consentement doit être recueilli. La formation restreinte a ainsi sanctionné une société qui déposait un cookie multi-finalités, dont certaines entraient dans le champ des exemptions et d’autres poursuivaient une finalité de lutte contre la fraude publicitaire n’entrant pas dans le champ des exemptions, sans recueillir le consentement des personnes (délibération SAN-2022-023 du 19 décembre 2022, paragraphes 50 à 54).

  13. Enfin, en ce qui concerne les opérations effectuées à des fins d’entrainement de l’algorithme de recommandations de produits, la formation restreinte relève que celles-ci permettent d’alimenter l’algorithme grâce aux interactions des utilisateurs avec les produits vendus par la société FNAC et, ce faisant, d’adapter les résultats affichés aux comportements observés. La formation restreinte considère que cette finalité d’amélioration de la recommandation de produits, par et pour le compte de la société, concourt directement à la finalité principale d’affichage de recommandations commerciales, notamment personnalisées, laquelle ne relève pas, comme indiqué ci-dessus, des exemptions prévues par l’article 82 de la loi Informatique et Liberté. En effet, la formation restreinte considère que cette finalité est mise en œuvre, par les sociétés, dans le but d’optimiser la probabilité que des clients achètent davantage de produits, en leur présentant les produits les plus susceptibles d’être achetés au vu de leur historique de navigation, de leurs achats ou de leur consultation de produits. Une telle finalité s’inscrit dans l’objectif plus large du ciblage commercial et nécessite en conséquence le recueil d’un consentement.

  14. Compte tenu de ces éléments, la formation restreinte considère que la mise en œuvre de l’API […] par les sociétés, dès lors qu’elle permet de réaliser plusieurs finalités dont certaines n’entrent pas dans le champ des exemptions prévues par l’article 82 de la loi Informatique et Libertés, nécessite que l’utilisateur donne son consentement préalable aux opérations en cause pour l’ensemble des finalités prévues.

  15. En conséquence, la formation restreinte considère que les faits précités constituent un manquement à l’article 82 de la loi Informatique et Libertés pour les faits relevés au jour du contrôle, dès lors que des opérations de lecture et/ou d’écriture sur le téléphone mobile des utilisateurs de l’application mobile de la société FNAC, à des fins de personnalisation de contenus et d’entrainement de l’algorithme de recommandation de produits, via l’API […], étaient réalisées sans recueillir leur consentement préalable, et alors même que ceux-ci avaient manifesté leur volonté de ne pas voir leurs activités suivies en cliquant sur ” Continuer sans accepter ” dans la plateforme de gestion du consentement.

III. Sur les mesures correctrices

  1. En droit, l’article 20 de la loi n° 78-17 du 6 janvier 1978 modifiée prévoit que : ” lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : […]

2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans les cas où le traitement est mis en œuvre par l’Etat, d’une astreinte dont le montant ne peut excéder 100 000 euros par jour de retard à compter de la date fixée par la formation restreinte ;

7° À l’exception des cas où le traitement est mis en œuvre par l’État, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l’article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d’euros et 4 % dudit chiffre d’affaires. La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83”.

  1. L’article 83 du RGPD prévoit en outre que : “Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives”, avant de préciser les éléments devant être pris en compte pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.

  2. Par ailleurs, à titre d’illustration, les lignes directrices 04/2022 sur le calcul des amendes administratives au titre du RGPD rappellent que ” ledit responsable [de traitement est] […] soumis à une obligation générale de coopération en vertu de l’article 31 du RGPD et que la non-coopération peut entraîner l’imposition de l’amende prévue à l’article 83, paragraphe 4, point a), du RGPD. Il convient donc de considérer que le devoir ordinaire de coopération est obligatoire et que ce facteur doit donc être réputé neutre (et non considéré comme un facteur atténuant). Néanmoins, lorsque la coopération avec l’autorité de contrôle a eu pour effet de limiter ou de prévenir les retombées négatives sur les droits des personnes concernées, qui auraient pu se manifester en l’absence de coopération, l’autorité de contrôle peut estimer que cette coopération constitue un facteur atténuant au sens de l’article 83, paragraphe 2, point f), du RGPD, entraînant dès lors une minoration de l’amende. Tel peut être le cas, par exemple lorsqu’un responsable du traitement ou un sous-traitant a ” réagi d’une manière particulière aux demandes de l’autorité de contrôle pendant la phase d’enquête dans ce cas spécifique, de telle sorte que les incidences sur les droits des personnes concernées ont été considérablement limitées ” (paragraphe 97).

  3. Le considérant 150 du RGPD prévoit que ” lorsque des amendes administratives sont imposées à une entreprise, ce terme doit, à cette fin, être compris comme une entreprise conformément aux articles 101 et 102 du traité sur le fonctionnement de l’Union européenne “.

  4. Les lignes directrices sur l’application et la fixation des amendes administratives aux fins du règlement 2016/679 précisent que la notion d’entreprise doit s’entendre comme ” une unité économique pouvant être formée par la société mère et toutes les filiales concernées. Conformément au droit et à la jurisprudence de l’Union, il y a lieu d’entendre par entreprise l’unité économique engagée dans des activités commerciales ou économiques, quelle que soit la personne morale impliquée “.

  5. Dans un arrêt du 5 décembre 2023 (CJUE, grande chambre, C-807-21), la CUJE a considéré, s’agissant de la notion d’ ” entreprise ” qu’ ” ainsi que l’a relevé M. l’avocat général au point 45 de ses conclusions, c’est dans ce contexte spécifique du calcul des amendes administratives imposées pour des violations visées à l’article 83, paragraphes 4 à 6, du RGPD qu’il y a lieu d’appréhender le renvoi, effectué au considérant 150 de ce règlement, à la notion d’ ” entreprise ”, au sens des articles 101 et 102 TFUE. À cet égard, il convient de souligner que, aux fins de l’application des règles de la concurrence, visées par les articles 101 et 102 TFUE, cette notion comprend toute entité exerçant une activité économique, indépendamment du statut juridique de cette entité et de son mode de financement. Elle désigne ainsi une unité économique même si, du point de vue juridique, cette unité économique est constituée de plusieurs personnes physiques ou morales. Cette unité économique consiste en une organisation unitaire d’éléments personnels, matériels et immatériels poursuivant de façon durable un but économique déterminé (arrêt du 6 octobre 2021, Sumal, C 882/19, EU:C:2021:800, point 41 et jurisprudence citée). Ainsi, il ressort de l’article 83, paragraphes 4 à 6, du RGPD, qui vise le calcul des amendes administratives pour les violations énumérées dans ces paragraphes, que, dans le cas où le destinataire de l’amende administrative est ou fait partie d’une entreprise, au sens des articles 101 et 102 TFUE, le montant maximal de l’amende administrative est calculé sur la base d’un pourcentage du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise concernée. En définitive, ainsi que M. l’avocat général l’a relevé au point 47 de ses conclusions, seule une amende administrative dont le montant est déterminé en fonction de la capacité économique réelle ou matérielle de son destinataire, et donc imposée par l’autorité de contrôle en se fondant, en ce qui concerne le montant de celle-ci, sur la notion d’unité économique au sens de la jurisprudence citée au point 56 du présent arrêt, est susceptible de réunir les trois conditions énoncées à l’article 83, paragraphe 1, du RGPD, à savoir d’être à la fois effective, proportionnée et dissuasive. Dès lors, lorsqu’une autorité de contrôle décide, au titre des pouvoirs qu’elle détient en vertu de l’article 58, paragraphe 2, du RGPD, d’imposer à un responsable du traitement, qui est ou fait partie d’une entreprise, au sens des articles 101 et 102 TFUE, une amende administrative en application de l’article 83 dudit règlement, cette autorité est tenue de se fonder, en vertu de cette dernière disposition, lue à la lumière du considérant 150 du même règlement, lors du calcul des amendes administratives pour les violations visées aux paragraphes 4 à 6 de cet article 83, sur la notion d’” entreprise ”, au sens de ces articles 101 et 102 TFUE ” (paragraphes 55 à 59).

  6. Cette position a été confirmée par la Cour dans son arrêt du 13 février 2025 (CJUE, cinquième chambre, C-383-23).

A. Sur le prononcé d’une amende administrative et son montant

1. Sur le prononcé d’une amende administrative

  1. Le rapporteur propose à la formation restreinte de prononcer à l’encontre des sociétés FDPS et FNAC DIRECT une amende administrative au regard du manquement constitué à l’article 82 de la loi Informatique et Libertés.

  2. En défense, les sociétés contestent avoir commis un manquement à l’article 82 de la loi Informatique et Libertés et, par conséquent, la gravité des faits retenue par le rapporteur. Elles considèrent le prononcé de mesures correctrices infondé au motif que les constatations effectuées par la CNIL ont été réalisées dans un contexte législatif et réglementaire en cours de construction et complexe, les acteurs devant composer avec une juxtaposition de normes, telles que le RGPD, la directive ePrivacy, la loi ” Informatique et Libertés ” et le Digital Services Act. Elles soutiennent également que la doctrine de la CNIL n’était, à la date des opérations de contrôles, pas stabilisée dans la mesure où la recommandation de la CNIL sur les applications mobiles a été publiée le 24 septembre 2024, et alors que la CNIL avait annoncé que les contrôles sur cette thématique seraient engagés à compter du printemps 2025.

  3. Elles indiquent par ailleurs avoir coopéré avec la CNIL tout au long de la procédure de contrôle en répondant de manière circonstanciée aux sollicitations de la délégation de contrôle et soutiennent avoir eu une démarche proactive en contactant la Présidente de la CNIL en septembre 2023 pour l’informer qu’elles suivaient avec attention les travaux de la Commission sur les applications mobiles et qu’elles procédaient aux investigations nécessaires pour réagir aux observations de l’association NOYB. Elles soutiennent également que leur coopération a eu pour effet de prévenir ou, à tout le moins, de réduire les retombées négatives sur les droits des personnes concernées qui auraient pu se manifester en l’absence d’un tel concours de leur part.

  4. La formation restreinte rappelle que, pour évaluer l’opportunité de prononcer une amende, elle doit tenir compte des critères précisés à l’article 83 du RGPD tels que la nature, la gravité et la durée de la violation, la portée ou la finalité du traitement concerné, le nombre de personnes concernées, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le fait que la violation a été commise par négligence, le degré de coopération avec l’autorité de contrôle, les catégories de données concernées et le niveau de dommage subi par les personnes.

  5. En premier lieu, la formation restreinte considère qu’il y a lieu de faire application du critère prévu à l’article 83, paragraphe 2, a) relatif à la gravité du manquement compte tenu de la nature, de la portée ou de la finalité du traitement, ainsi que du nombre de personnes concernées.

  6. Elle considère que la gravité du manquement réside dans la réalisation des opérations en cause, en l’absence du consentement de l’utilisateur et de la non prise en compte, par les sociétés, du refus exprimé par ce dernier ayant cliqué au sein de la plateforme de gestion du consentement sur le bouton ” Continuer sans accepter “. La formation restreinte considère qu’un tel manquement constitue une atteinte substantielle au droit au respect de la vie privée des personnes concernées. Elle souligne également le nombre important de personnes concernées par le manquement, l’application mobile ayant fait l’objet de plus de 1,5 millions de téléchargements, en France entre mars 2023 et mars 2024 et ayant été utilisée en moyenne, sur la même période, par 37 400 utilisateurs par jour.

  7. En deuxième lieu, la formation restreinte estime qu’il convient de tenir compte du critère prévu à l’article 83, paragraphe 2, b) du RGPD, relatif au fait que la violation ait été commise délibérément ou par négligence.

  8. La formation restreinte rappelle que la CNIL a accompagné les acteurs du numérique dès 2013, en publiant une recommandation et des lignes directrices rappelant les principes qu’il convient de respecter pour permettre l’utilisation des cookies et autres traceurs. De nouvelles recommandations et lignes directrices ont été adoptées en 2020 et ont, elles aussi, fait l’objet d’une large diffusion. La formation restreinte rappelle également avoir déjà sanctionné à de nombreuses reprises des organismes pour non-respect de l’obligation de recueillir le consentement de l’utilisateur avant toute opération de lecture et/ou d’écriture n’entrant pas dans le champ des exemptions prévues par l’article 82 de la loi Informatique et Libertés (délibération n° SAN-2020-012 du 7 décembre 2020 validée par le Conseil d’État dans sa décision n° 44209 du 28 janvier 2022 ; délibération n° SAN-2020-013 du 7 décembre 2020 validée par le Conseil d’État dans sa décision n° 451423 du 27 juin 2022). Elle remarque que les opérations sanctionnées n’ont pas été analysées à la lumière de la recommandation de la CNIL relative aux applications mobiles publiées le 24 septembre 2024 et que le manquement retenu n’est pas nouveau, quand bien même les opérations en cause sont mises en œuvre au sein d’une application mobile. Par conséquent, elle estime que les sociétés ne pouvaient ignorer leurs obligations au titre de l’article 82 de la loi Informatique et Libertés et qu’elles ont fait preuve de négligence en ne les respectant pas. Cette négligence est d’autant plus caractérisée que les sociétés disposent de l’ensemble des moyens nécessaires à la mise en œuvre des règles et principes applicables en matière de traceurs, et qu’elles auraient ainsi pu prendre les mesures qui s’imposaient avant fin 2024.

  9. En troisième lieu, s’agissant des mesures prises par le responsable de traitement pour atténuer le dommage subi par les personnes concernées et de la coopération particulière dont les sociétés indiquent avoir fait preuve avec la CNIL, la formation restreinte rappelle que les sociétés ont contacté la CNIL en 2023 en raison d’une saisine de l’association NOYB, qui portait sur des opérations de lecture et d’écriture sur le terminal des utilisateurs encadrées par l’article 82 de la loi Informatique et Libertés et uniquement pour l’informer que des investigations étaient en cours. Elle observe que dans le cadre du contrôle diligenté par la CNIL à la suite de cette plainte, les sociétés ont simplement répondu aux demandes effectuées par les services de la CNIL, ce qu’elles sont tenues de faire en application de l’article 31 du RGPD en vertu duquel le responsable de traitement ” [coopère] avec l’autorité de contrôle, à la demande de celle-ci, dans l’exécution de ses missions “.

  10. Partant, la formation restreinte considère que les sociétés n’ont pas fait preuve d’une particulière coopération avec la CNIL qui justifierait d’être prise en compte au titre des circonstances atténuantes, ni mis en œuvre des mesures particulières et rapides afin d’atténuer le dommage subi par les personnes.

  11. En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative pour le manquement à l’article 82 de la loi Informatique et Libertés.

2. Sur le montant de l’amende administrative

  1. En défense, les sociétés contestent la prise en compte du chiffre d’affaires de la société FNAC DARTY SA comme assiette du calcul de l’amende dès lors que celle-ci n’exerce pas d’influence déterminante dans la mise en œuvre des opérations visées dans la procédure de sanction.

  2. De plus, elles soutiennent que le montant de l’amende proposée par le rapporteur est disproportionné et excessif. Elles indiquent qu’il représente 13,7 % du résultat net annuel du groupe FNAC DARTY pour l’année 2024. Elles précisent que les opérations visées par la procédure concernent uniquement l’application mobile FNAC ayant permis de générer […] de chiffre d’affaires en 2024, soit environ […] de l’activité totale du groupe FNAC DARTY. Elles invoquent également un recul continu de la rentabilité du groupe FNAC DARTY dont le résultat net part du groupe de l’ensemble consolidé, pour 2025, est déficitaire de - 146 millions d’euros. Elles soutiennent, par ailleurs, que le résultat opérationnel courant, la marge opérationnelle ou la valeur ajoutée constituent des indicateurs plus pertinents pour apprécier leur capacité économique réelle, qui devraient donc être pris en compte pour refléter la réalité économique de l’activité du groupe, et elles précisent le résultat opérationnel courant réalisé en 2025 par le groupe FNAC DARTY (203 100 000 euros).

  3. La formation restreinte relève qu’en application des dispositions de l’article 20-IV-7° de la loi Informatique et Libertés, elle peut prononcer à l’encontre d’un responsable du traitement ayant commis les manquements constatés, une ” amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu “. Elle rappelle ensuite que les amendes administratives doivent être dissuasives et proportionnées, au sens de l’article 83, paragraphe 1, du RGPD.

  4. La formation restreinte considère qu’en visant le RGPD à l’article 20 de la loi Informatique et Libertés, le législateur français a fait le choix d’harmoniser les règles relatives à la détermination du montant des amendes en matière de protection des données à caractère personnel, que l’amende ait vocation à sanctionner un manquement au titre du RGPD ou de la loi Informatique et Libertés. La formation restreinte relève en outre que compte tenu de la proximité entre le RGPD et la directive ePrivacy, il est cohérent que les règles régissant l’imposition d’amendes aux organismes soient uniformes qu’il s’agisse d’un manquement trouvant son origine dans le RGPD ou dans la directive ePrivacy.

  5. Elle considère qu’il convient donc en l’espèce de recourir à la notion d’” entreprise ” en droit de la concurrence, en vertu de la référence directe et explicite effectuée à cette notion par le considérant 150 du RGPD ainsi que par les lignes directrices sur l’application et la fixation des amendes administratives aux fins du règlement 2016/679. Elle souligne que dans des arrêts rendus au titre du RGPD, la CJUE a confirmé que la notion d’ ” entreprise ” contenue à l’article 83 du RGPD devait bien s’appréhender au regard du droit de la concurrence, régit par les articles 101 et 102 du TFUE (CJUE, grande chambre, 5 décembre 2023, C-807-21 et CJUE, cinquième chambre, 13 février 2025, C-383-23).

  6. S’agissant ensuite de ce que recouvre la notion d’” entreprise ”, la formation restreinte relève que dans son arrêt précité du 5 décembre 2023, la CJUE retient qu’une entreprise est une unité économique, même si du point de vue juridique cette unité économique est constituée de plusieurs personnes morales. La CJUE précise qu’à l’instar du droit de la concurrence (Cour de Cassation, ch. com., 7 juin 2023, pourvoi n° 22-10.545 ; Autorité de la concurrence, décisions n° 21-D-10 du 3 mai 2021 et n° 21-D-28 du 9 décembre 2021), lorsqu’une filiale est détenue directement ou indirectement à 100% par sa maison mère, il existe une présomption réfragable selon laquelle la maison mère exerce une influence déterminante sur le comportement de la société. Pour déterminer le montant de l’amende envisagée, et qu’il corresponde à la capacité économique réelle de son destinataire, il convient alors, selon les deux arrêts précités, si les deux sociétés peuvent matériellement être regardées comme relevant de la même unité économique, de prendre en compte le chiffre d’affaire de la maison mère afin que l’amende soit effective, proportionnée et dissuasive.

  7. En l’espèce, la formation restreinte rappelle que les sociétés FDPS et FNAC DIRECT appartiennent au groupe FNAC DARTY. La société FDPS est détenue à 100 % par la société mère FNAC DARTY SA, holding du groupe FNAC DARTY. En outre, la société FNAC DIRECT est détenue à 100 % par la société ALIZE-SFL, elle-même détenue à 100 % par la société FPDS. Il existe par conséquent une présomption selon laquelle la société FNAC DARTY SA exerce effectivement une influence déterminante sur le comportement de ses filiales.

  8. Pour renverser cette présomption, les sociétés indiquent qu’en tant que holding, la société FNAC DARTY SA a pour activité principale la détention et la gestion de participations financières. Elles précisent que celle-ci exerce une activité principalement patrimoniale et que, si elle définit la stratégie globale du groupe FNAC DARTY, elle n’intervient pas dans la gestion opérationnelle de ses filiales, elle ne définit pas les finalités des activités mises en œuvre par celles-ci, ne détermine pas leurs moyens opérationnels et n’intervient pas dans leurs décisions quotidiennes.

  9. La formation restreinte observe toutefois que les sociétés n’apportent aucun élément justificatif au soutien de ces affirmations.

  10. La formation restreinte rappelle en outre qu’au regard de la jurisprudence de la Cour de cassation, les éléments avancés par les sociétés ne seraient, en tout état de cause, pas de nature à renverser la présomption d’influence déterminante de la société mère sur ses filiales. La Chambre commerciale de la Cour de cassation a en effet jugé dans un arrêt du 18 octobre 2017 (Cass. Com., 18 octobre 2017, n° 16-19.120), d’une part, que ” dans le cas où une société mère détient la totalité ou la quasi-totalité du capital de sa filiale (…), la présomption réfragable selon laquelle la société mère exerce effectivement une influence déterminante sur sa filiale, peut être renversée par la preuve contraire, (…) établissant que sa filiale se comporte de manière autonome sur le marché et ne constitue donc pas avec elle une unité économique ”, mais, d’autre part, que ne constituent pas des éléments de nature à renverser cette présomption le fait que la société mère ” soit une holding non opérationnelle assurant une direction financière en coordonnant notamment les investissements financiers au sein du groupe ”, ” la non-immixtion de la holding dans les activités de la filiale ”, ” la diversité des activités, la configuration du groupe et l’éloignement géographique de la société mère ”, ou encore ” le fait que la filiale dispose de sa propre direction locale et de ses propres moyens “. Ainsi, alors que les sociétés font uniquement état du fait que la société FNAC DARTY SA n’intervient pas auprès de ses filiales dans leur gestion opérationnelle, ne définit pas les finalités de leurs activités mises en œuvre, ne détermine pas leurs moyens opérationnels et n’intervient pas dans leurs décisions quotidiennes, elles ne parviennent pas à renverser la présomption d’influence déterminante de la société mère sur ses filiales.

  11. Compte tenu de ce qui précède, la formation restreinte considère que pour déterminer le plafond de l’amende encourue, mais également pour apprécier la capacité économique réelle et matérielle des sociétés FDPS et FNAC DIRECT en vue de prononcer une amende réunissant les trois conditions de l’article 83 paragraphe 1 du RGPD, à savoir d’être effective, proportionnée et dissuasive, il y a lieu de retenir le chiffre d’affaires du groupe FNAC DARTY, qui s’est élevé, en 2025, à plus de 10 milliards d’euros. Elle considère qu’il y a également lieu de prendre en compte les éléments financiers évoqués par les sociétés au paragraphe 61 de la présente délibération.

  12. S’agissant de la répartition de la charge financière de l’amende prononcée, la formation restreinte relève que les sociétés FDPS et FNAC DIRECT sont responsables de traitement conjoints pour les traitements de données à caractère personnel mis en œuvre à partir de l’application mobile.

  13. Ainsi, au regard de la responsabilité des sociétés FDPS et FNAC DIRECT, des capacités financières du groupe et des critères pertinents de l’article 83 du RGPD, la formation restreinte considère qu’apparaît dissuasif et proportionné le fait de prononcer, pour le manquement constitué à l’article 82 de la loi Informatique et Libertés, une amende administrative d’un montant de six millions (6 000 000) d’euros à l’encontre de la société FPDS, et une amende administrative d’un montant d’un million (1 000 000) d’euros à l’encontre de la société FNAC DIRECT.

B. Sur le prononcé d’une injonction

  1. Dans son rapport, le rapporteur proposait à la formation restreinte de prononcer une injonction de mettre en conformité le traitement avec les dispositions de l’article 82 de la loi Informatique et Libertés, assortie d’une astreinte.

  2. Dans leurs observations, les sociétés indiquent avoir décommissionné l’API […] les 19 et 20 décembre 2024 et avoir mis en production à compter de janvier 2025 un nouvel outil dénommé ” […] “. Elles produisent un justificatif démontrant que l’API […] a été décommissionnée en décembre 2024. De plus, les sociétés produisent un courrier d’un cabinet de conseil présentant une analyse des évolutions qu’elles prévoient de mettre en place en ce qui concerne la gestion des recommandations dans l’application mobile de la FNAC et le recours à l’outil ” […] “. Selon cette note, les recommandations personnalisées, reposant sur la base du profil et de la navigation individuelle dans l’application, seraient effectuées à la suite du recueil du consentement des personnes dans le système de gestion du consentement de l’application. Par ailleurs, s’agissant des opérations à des fins d’affichage de produits génériques, effectué en fonction du produit consulté et sans lien avec l’historique de navigation, il est indiqué que la solution ” […] ” ne nécessite pas le recours à un traceur. Pour la finalité d’alimentation des algorithmes d’aide à la navigation permettant d’identifier les produits cohérents à proposer aux clients, la solution ” […] ” serait alimentée à partir de données de navigation préalablement anonymisées pouvant, dans une telle hypothèse, être réutilisées, tel qu’indiqué par la CNIL dans son ” outil d’auto-évaluation relatif à la mise en œuvre d’une solution de mesure d’audience exemptée de consentement “. L’alimentation des algorithmes de recommandations s’effectuerait ” à partir de données de webanalytics exempté de consentement préalablement anonymisées “.

  3. En premier lieu, la formation restreinte relève que, si les sociétés décrivent le fonctionnement de leur nouvel outil de recommandations au sein de l’application mobile, elles ne démontrent pas que les mesures évoquées ont à ce stade été mises en œuvre. Ainsi, la formation restreinte considère que les sociétés n’ont pas démontré, au jour de la clôture de l’instruction, leur conformité avec les dispositions de l’article 82 précité et qu’il convient donc de prononcer une injonction sur ce point.

  4. En second lieu, la formation restreinte rappelle que le montant doit être à la fois proportionné à la gravité du manquement commis et adapté aux capacités financières des responsables de traitement.

  5. Au regard de ces éléments, la formation restreinte considère comme justifié le prononcé d’une injonction assortie d’une astreinte d’un montant de 10 000 euros par jour de retard à compter de la notification de la présente décision.

  6. S’agissant du délai accordé aux sociétés pour se conformer à l’injonction, la formation restreinte estime, au vu des explications fournies, qu’un délai d’un mois à compter de la notification de la présente décision est suffisant pour régulariser la situation.

C. Sur la publicité de la sanction

  1. Les sociétés soutiennent que la publicité de la sanction n’est pas justifiée. Elles considèrent notamment que celle-ci serait injustifiée et disproportionnée au regard des efforts effectués en matière de conformité à la réglementation, au regard de l’absence de gravité du manquement invoqué et des mesures qu’elles ont prises pour assurer la protection des données. En outre, les sociétés considèrent qu’une publication de la décision serait susceptible de causer un préjudice important au groupe FNAC DARTY actuellement engagé dans une offre publique d’achat et risquerait de fragiliser son équilibre commercial ainsi que la confiance de leurs adhérents, sans apporter de bénéfice à l’intérêt général et tout en favorisant leurs concurrents.

  2. La formation restreinte considère que la publicité de la présente décision se justifie au regard de la gravité du manquement en cause, de la portée du traitement et du nombre de personnes concernées.

  3. Elle estime en outre que cette mesure apparait proportionnée dès lors que la décision n’identifiera plus nommément les sociétés à l’issue d’un délai de deux ans à compter de sa publication.

PAR CES MOTIFS

La formation restreinte de la CNIL, après en avoir délibéré, décide de :

  • prononcer à l’encontre de la société FNAC DARTY PARTICIPATIONS ET SERVICES une amende administrative d’un montant de six millions (6 000 000) d’euros ;
  • prononcer à l’encontre de la société FNAC DIRECT une amende administrative d’un montant d’un million (1 000 000) d’euros ;
  • prononcer une injonction, à l’encontre des deux sociétés, de démontrer avoir mis en conformité le traitement avec les dispositions de l’article 82 de la loi Informatique et Libertés ;
  • assortir l’injonction d’une astreinte de 10 000 € (dix mille euros) par jour de retard à l’issue d’un délai d’un mois suivant la notification de la présente délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai ;
  • rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément les sociétés à l’expiration d’un délai de deux ans à compter de sa publication.

Le Président

Philippe-Pierre CABOURDIN

Cette décision peut faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.

Vue Graphique