Fnac Darty collectait nos données sans notre consentement : la CNIL lui inflige 7 millions d’euros d’amende
La CNIL a sanctionné Fnac Darty d’une amende de 7 millions d’euros pour avoir eu recours à un traceur collectant les informations de navigation des utilisateurs sans leur autorisation.
En mars 2024, la CNIL (Commission nationale de l’informatique et des libertés) lançait un contrôle de l’application mobile de Fnac Darty. Une procédure consécutive au dépôt d’une plainte de l’association None Of Your Business (NOYB), qui accusait le groupe français de collecte abusive des données des utilisateurs. Deux ans et demi plus tard, une sanction a été prononcée à son encontre.
“Sur la base de ces constatations, la formation restreinte – organe de la CNIL chargé de prononcer les sanctions – a considéré que les sociétés FNAC DARTY PARTICIPATIONS ET SERVICES et FNAC DIRECT avaient manqué aux règles régissant les traceurs (article 82 de la loi Informatique et Libertés) et a prononcé à leur encontre une amende de 7 millions d’euros”, communique la CNIL. Dans le détail, 6 millions d’euros sont à l’encontre de la société FNAC DARTY PARTICIPATIONS ET SERVICES et 1 million d’euros pour FNAC DIRECT.
L’application Fnac suivait notre navigation à la trace sans consentement
“La CNIL a constaté que les sociétés avaient recours à un traceur, dont les utilisateurs n’avaient pas consenti au dépôt, collectant notamment leur historique de navigation afin de leur afficher des recommandations de produits et d’entrainer son algorithme de recommandations”, explique l’organisme pour justifier sa décision. Lors de l’utilisation de l’app mobile, des requêtes étaient émises via une API vers un domaine tiers. Celles-ci contenaient un identifiant attribué à l’utilisateur, associé à des informations relatives à son activité, telles que les produits consultés.
Le montant de l’amende a été décidé en fonction de la faute elle-même (ne pas donner le choix à l’utilisateur de refuser le suivi de sa navigation) et du volume de personnes concernées, l’application étant utilisée par un grand nombre de consommateurs. La décision a été rendue publique “au regard de la gravité du manquement, de la portée du traitement et du nombre de personnes concernées”.
Cette sanction s’accompagne d’une injonction sous astreinte. Les sociétés devront prouver “que le nouvel outil qu’elles utilisent permet désormais de recueillir le consentement lorsque cela est nécessaire”. Elles disposent d’un mois pour se mettre en conformité à compter de la notification de la décision. Au-delà, elles s’exposent au paiement d’une astreinte de 10 000 euros par jour de retard.
