---
title: "Amende CNIL de 7 M€ contre Fnac Darty : ce ne sont pas les cookies qui sont en cause, mais les recommandations de produits"
description: "Le 22 octobre 2026, la CNIL a infligé 7 millions d’euros d’amende à deux sociétés du groupe Fnac Darty. La plupart des commentaires parlent de « cookies ». Ce n’est pas tout à fait ça, et la nuance compte pour toute boutique en ligne. Ce qui est sanctionné, c’est un outil de recommandation de produits […]"
url: "https://www.newp.fr/actualites/creation-refonte/ecommerce-woocommerce/cnil-fnac-darty-recommandations-produits-consentement/"
author: "Kévin Papot"
date: "2026-11-02T08:49:15+00:00"
lang: "fr_FR"
categories: ["E-commerce / WooCommerce"]
tags: ["Shopify", "WooCommerce"]
---

# Amende CNIL de 7 M€ contre Fnac Darty : ce ne sont pas les cookies qui sont en cause, mais les recommandations de produits

Le 22 octobre 2026, la CNIL a infligé **7 millions d'euros d'amende** à deux sociétés du groupe Fnac Darty. La plupart des commentaires parlent de « cookies ». Ce n'est pas tout à fait ça, et la nuance compte pour toute boutique en ligne. Ce qui est sanctionné, c'est un outil de **recommandation de produits** : l'application Fnac envoyait à un service tiers l'identifiant de l'utilisateur et les produits qu'il consultait, y compris quand il avait cliqué sur « Continuer sans accepter ». Les « produits similaires », « vous aimerez aussi » et autres relances de panier fonctionnent souvent exactement de cette façon, sur les sites WooCommerce et Shopify comme dans les applications. Nous avons lu la décision. Voici ce qu'elle dit, ce qu'elle change, et une méthode pour vérifier votre propre boutique en vingt minutes.

*Cet article est une lecture de praticien, pas un avis juridique. Pour une situation précise, faites-vous accompagner par un juriste ou votre délégué à la protection des données.*

## La décision en bref

| Élément | Détail |
|---|---|
| Référence | Délibération [SAN-2026-015](https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000055022778) du 22 octobre 2026, [annoncée par la CNIL](https://cnil.fr/fr/node/169092) le 29 octobre |
| Sociétés | Fnac Darty Participations et Services (6 M€) et Fnac Direct (1 M€), responsables conjointes de l'application |
| Origine | Plainte de l'association NOYB en septembre 2023, contrôle en ligne de l'application le 6 mars 2024 |
| Texte appliqué | Article 82 de la loi Informatique et Libertés, qui encadre tout accès au terminal de l'utilisateur, pas seulement les cookies |
| Ce qui était envoyé | Un identifiant attribué par la Fnac à l'utilisateur et des données sur son activité, notamment les produits consultés, vers le domaine d'un tiers via une API |
| Pour quoi faire | Afficher des recommandations personnalisées et entraîner l'algorithme de recommandation |
| Ampleur | Plus de 1,5 million de téléchargements en France entre mars 2023 et mars 2024, environ 37 400 utilisateurs par jour |
| Suite | Injonction de démontrer la mise en conformité sous un mois, avec une astreinte de 10 000 € par jour de retard |

Le nom du prestataire de recommandation est masqué dans la décision. La Fnac a retiré l'API en décembre 2024, sur Android puis sur iOS.

## Pourquoi ce n'est pas une « affaire de cookies »

L'article 82 ne parle pas de cookies. Il vise toute opération qui lit ou écrit une information sur l'appareil de l'utilisateur : un cookie, mais aussi un identifiant stocké dans une application, dans le stockage local du navigateur, ou envoyé avec une requête. Ici, aucun bandeau à rallonge, aucune régie publicitaire : simplement une application qui, à chaque fiche produit ouverte, prévenait un outil tiers que l'utilisateur numéro X regardait le produit Y.

Beaucoup d'équipes e-commerce pensent être en règle parce que leur bandeau bloque Google Analytics et le pixel Meta. Les outils de recommandation, de relance de panier abandonné, de recherche interne ou de personnalisation passent souvent sous le radar : ils sont vus comme des fonctions de la boutique, pas comme du marketing. C'est précisément l'argument que la Fnac a défendu, et qui a été rejeté.

Le visiteur a refusé. Qu'est-ce qui part encore ? Fiche produit « Refuser » cliqué Mesure d'audience : bloquée Pixel publicitaire : bloqué Outil de recommandation :identifiant + produit envoyés C'est le troisième flux, souvent oublié, que la CNIL a sanctionné. Schéma simplifié à partir des faits décrits dans la délibération SAN-2026-015.## Le point clé : un outil qui sert à plusieurs choses demande le consentement

La Fnac soutenait que ses recommandations aidaient l'utilisateur à naviguer, et entraient donc dans l'exemption prévue pour les traceurs strictement nécessaires à un service demandé. La CNIL a distingué trois usages :

- **les produits complémentaires** (accessoires, consommables, services associés) : pas strictement nécessaires au service demandé, donc soumis au consentement ;
- **les produits similaires** : la CNIL admet qu'ils pourraient, en théorie, être nécessaires. Mais le même traceur servait aussi à la personnalisation commerciale. Un traceur à plusieurs finalités ne peut pas bénéficier de l'exemption ;
- **l'entraînement de l'algorithme** : il sert la finalité commerciale, donc consentement obligatoire.

C'est la leçon la moins commentée et la plus utile. La question n'est pas « ma fonction est-elle utile au client ? », mais « le même flux de données sert-il aussi à autre chose ? ». La plupart des outils de recommandation du marché font les trois à la fois : ils affichent des suggestions, les personnalisent selon l'historique, et apprennent de chaque visite. Avec un seul identifiant pour tout, c'est le régime le plus strict qui s'applique.

La CNIL a aussi écarté l'argument selon lequel la doctrine n'était pas stabilisée. Elle juge les règles sur les traceurs commerciaux anciennes et connues, ce qui a pesé dans le montant.

## Et le « server-side », alors ?

Une réponse revient souvent : faire passer les échanges par son propre serveur, plutôt que depuis le navigateur ou l'application. Deux précautions avant d'y voir une solution :

- tant que l'identifiant du visiteur est lu sur son appareil, cookie de premier niveau compris, l'article 82 reste en jeu ;
- même un traitement entièrement réalisé sur le serveur reste soumis au RGPD, qui exige une base légale. Déplacer le flux ne change pas sa finalité.

Le passage côté serveur a de vrais avantages techniques, notamment pour la performance. Ce n'est pas un moyen de se passer du consentement. Nous en parlions à propos de la [nouvelle balise Google et de Tag Manager](https://www.newp.fr/actualites/marketing-acquisition/google-tag-manager-balise-google-fusion/), et du [suivi sans cookie des opérateurs](https://www.newp.fr/actualites/webdesign/tendances-2026/utiq-comprendre-le-tracking-sans-cookie-des-operateurs-telecoms-et-comment-le-refuser/) : changer de technique ne change pas la règle.

## Tester votre boutique en vingt minutes

La FAQ de la CNIL sur les traceurs, mise à jour le 29 avril 2026, est claire : quand un visiteur refuse ou retire son consentement, l'éditeur doit faire cesser les lectures et écritures depuis son site, par exemple en coupant les requêtes vers les domaines tiers. Voici comment le vérifier avec un simple navigateur, Chrome ou Edge.

### 1. Partir d'une page blanche

Ouvrez une fenêtre de navigation privée, puis les outils de développement (touche F12), onglet **Réseau**. Cochez « Conserver le journal » pour garder les requêtes d'une page à l'autre.

### 2. Refuser, puis acheter pour de faux

Chargez la boutique, cliquez sur « Refuser » ou « Continuer sans accepter ». Faites ensuite un vrai parcours : une recherche, deux fiches produits, un ajout au panier, la page panier, et la première étape de la commande avec une adresse e-mail de test.

### 3. Filtrer les domaines tiers

Dans le champ de filtre de l'onglet Réseau, tapez `-domain:votre-boutique.fr` pour masquer vos propres requêtes. Tout ce qui reste part ailleurs. Pour chaque domaine, posez-vous une question : qui est-ce, et qu'est-ce qui lui est envoyé ? Cliquez sur une requête et regardez l'onglet « Charge utile » : identifiant de visiteur, référence du produit, contenu du panier, adresse e-mail.

### 4. Regarder ce qui a été déposé

Onglet **Application**, rubriques Cookies et Stockage local : après un refus, seuls les éléments strictement nécessaires (session, panier, choix de consentement) devraient apparaître.

### 5. Tester le retrait

Recommencez en acceptant, puis retirez votre consentement depuis le lien prévu en bas de page. Les requêtes vers les tiers doivent s'arrêter dès la page suivante.

### Les points propres à chaque plateforme

| Plateforme | Ce qu'il faut vérifier |
|---|---|
| Shopify | Shopify fournit une [API de confidentialité](https://shopify.dev/docs/api/customer-privacy) qui indique, par catégorie, si le visiteur a accepté. Après un refus, dans la console du navigateur, `Shopify.customerPrivacy.marketingAllowed()` doit renvoyer `false`. Vérifiez ensuite que chaque application installée (recommandations, avis, relance de panier, fidélité) respecte ce signal : ce n'est pas automatique. |
| WooCommerce | Le plugin [WP Consent API](https://wordpress.org/plugins/wp-consent-api/) transmet le choix du visiteur aux autres plugins. Piège peu connu : si aucun type de consentement n'est défini par votre bandeau, sa fonction de vérification considère que tout est accepté. Vérifiez que votre bandeau le déclare, et que vos plugins de recommandation et de relance s'appuient bien dessus. |
| Application mobile | Les outils du navigateur ne suffisent plus : il faut observer le trafic de l'application avec un proxy d'analyse. C'est le cas Fnac. Demandez à votre prestataire la liste des SDK et des API tierces appelées avant le consentement. |

## Ce qu'il faut faire si un flux part malgré le refus

- **Classer chaque outil par finalité**, et pas par nom de fonction : un « moteur de recherche interne » qui apprend de vos visiteurs n'est pas qu'un moteur de recherche.
- **Séparer ce qui peut l'être** : des produits similaires calculés à partir du seul produit affiché, sans identifiant de visiteur, posent beaucoup moins de questions que des suggestions bâties sur l'historique.
- **Conditionner le reste au consentement**, avec un affichage par défaut non personnalisé (meilleures ventes, produits de la même catégorie).
- **Documenter** : la Fnac n'a pas pu démontrer à temps sa mise en conformité, d'où l'injonction sous astreinte.

La même logique vaut pour les nouveaux usages de l'IA en e-commerce. Les outils qui alimentent les assistants d'achat, dont nous parlions à propos des [fiches produits lues par les agents IA](https://www.newp.fr/actualites/creation-refonte/ecommerce-woocommerce/fiches-produits-agents-ia-merchant-center/) et des [recommandations de produits dans ChatGPT](https://www.newp.fr/actualites/referencement/ia-optimization/chatgpt-no-amazon-recommandations-produits/), reposent sur des données de catalogue, pas sur l'historique de vos visiteurs. Ce sont deux choses à ne pas mélanger. Et si vous confiez des données clients à une IA, notre article sur [Claude et le RGPD](https://www.newp.fr/actualites/marketing-acquisition/marketing-ia/claude-rgpd/) détaille les précautions.

Vous voulez savoir ce que votre boutique envoie vraiment après un refus ? Nous faisons ce contrôle dans le cadre de nos contrats de [maintenance WooCommerce](https://www.newp.fr/maintenance-woocommerce/) et de [maintenance Shopify](https://www.newp.fr/maintenance-shopify/).

## Questions fréquentes

Pourquoi la CNIL a-t-elle sanctionné Fnac Darty ?Parce que l'application Fnac envoyait à un service tiers l'identifiant de l'utilisateur et les produits consultés, pour personnaliser des recommandations et entraîner un algorithme, y compris quand l'utilisateur avait refusé. La CNIL a jugé que ces opérations exigeaient son consentement.

Quel est le montant de l'amende ?7 millions d'euros au total : 6 millions pour Fnac Darty Participations et Services et 1 million pour Fnac Direct, avec une injonction de mise en conformité sous un mois et une astreinte de 10 000 euros par jour de retard.

Les recommandations de produits nécessitent-elles toujours le consentement ?Pas toujours, mais souvent. La CNIL admet que des produits similaires pourraient être strictement nécessaires au service. En revanche, des recommandations fondées sur l'historique, des produits complémentaires ou l'entraînement d'un algorithme exigent le consentement, et un outil qui mélange ces usages aussi.

Cette décision concerne-t-elle seulement les applications mobiles ?Le cas Fnac porte sur une application, mais l'article 82 s'applique de la même façon aux sites web. Un widget de recommandation ou de relance de panier qui envoie un identifiant de visiteur à un tiers pose la même question.

Passer en « server-side » dispense-t-il du consentement ?Non. Si un identifiant est lu sur l'appareil du visiteur, l'article 82 s'applique, et le traitement reste soumis au RGPD et à son exigence de base légale. Changer la technique ne change pas la finalité.

Comment vérifier que ma boutique respecte le refus des visiteurs ?En navigation privée, refusez le consentement, faites un parcours d'achat, puis regardez dans l'onglet Réseau des outils de développement les requêtes envoyées à des domaines tiers et leur contenu. Après un refus, aucun identifiant de visiteur ne devrait partir vers un outil marketing ou de personnalisation.

{"@context": "https://schema.org", "@type": "FAQPage", "mainEntity": \[{"@type": "Question", "name": "Pourquoi la CNIL a-t-elle sanctionné Fnac Darty ?", "acceptedAnswer": {"@type": "Answer", "text": "Parce que l'application Fnac envoyait à un service tiers l'identifiant de l'utilisateur et les produits consultés, pour personnaliser des recommandations et entraîner un algorithme, y compris quand l'utilisateur avait refusé. La CNIL a jugé que ces opérations exigeaient son consentement."}}, {"@type": "Question", "name": "Quel est le montant de l'amende ?", "acceptedAnswer": {"@type": "Answer", "text": "7 millions d'euros au total : 6 millions pour Fnac Darty Participations et Services et 1 million pour Fnac Direct, avec une injonction de mise en conformité sous un mois et une astreinte de 10 000 euros par jour de retard."}}, {"@type": "Question", "name": "Les recommandations de produits nécessitent-elles toujours le consentement ?", "acceptedAnswer": {"@type": "Answer", "text": "Pas toujours, mais souvent. La CNIL admet que des produits similaires pourraient être strictement nécessaires au service. En revanche, des recommandations fondées sur l'historique, des produits complémentaires ou l'entraînement d'un algorithme exigent le consentement, et un outil qui mélange ces usages aussi."}}, {"@type": "Question", "name": "Cette décision concerne-t-elle seulement les applications mobiles ?", "acceptedAnswer": {"@type": "Answer", "text": "Le cas Fnac porte sur une application, mais l'article 82 s'applique de la même façon aux sites web. Un widget de recommandation ou de relance de panier qui envoie un identifiant de visiteur à un tiers pose la même question."}}, {"@type": "Question", "name": "Passer en « server-side » dispense-t-il du consentement ?", "acceptedAnswer": {"@type": "Answer", "text": "Non. Si un identifiant est lu sur l'appareil du visiteur, l'article 82 s'applique, et le traitement reste soumis au RGPD et à son exigence de base légale. Changer la technique ne change pas la finalité."}}, {"@type": "Question", "name": "Comment vérifier que ma boutique respecte le refus des visiteurs ?", "acceptedAnswer": {"@type": "Answer", "text": "En navigation privée, refusez le consentement, faites un parcours d'achat, puis regardez dans l'onglet Réseau des outils de développement les requêtes envoyées à des domaines tiers et leur contenu. Après un refus, aucun identifiant de visiteur ne devrait partir vers un outil marketing ou de personnalisation."}}\]}

---

*Source : [www.newp.fr](https://www.newp.fr/actualites/creation-refonte/ecommerce-woocommerce/cnil-fnac-darty-recommandations-produits-consentement/)*