Cookies : ce que la sanction Fnac Darty change pour votre site

Que s'est-il passé entre la CNIL et Fnac Darty ?

La CNIL a sanctionné le 22 octobre 2026 deux sociétés du groupe Fnac Darty pour avoir utilisé, dans l'application mobile de Fnac, des traceurs (le mot technique pour désigner les cookies et leurs équivalents) sans recueillir le consentement des utilisateurs. L'amende totale est de 7 millions d'euros, et la décision a été publiée le 29 octobre.

Les faits, tels que la CNIL les présente sur son site : une plainte de l'association noyb a déclenché un contrôle en mars 2024. Les agents ont constaté que l'application envoyait des requêtes vers un domaine tiers. Ces requêtes contenaient un identifiant attribué par Fnac à l'utilisateur et des informations sur son activité, notamment les produits consultés. L'objectif était d'afficher des recommandations (produits complémentaires, similaires, accessoires) et d'entraîner l'algorithme de recommandation.

Fnac Darty ne l'entend pas de cette oreille. D'après Génération NT, le groupe conteste l'analyse juridique sur le fond, parle d'une divergence d'interprétation, affirme que ces fonctions relevaient du conseil et de la recommandation plutôt que de la publicité ciblée, et se réserve le droit de recourir. Ce n'est donc pas forcément le dernier mot. Mais la CNIL, elle, a tranché.

Pourquoi la CNIL parle-t-elle de cookies pour une application mobile ?

Parce que la loi française ne parle pas seulement de « cookies » : l'article 82 vise tout dispositif qui lit ou écrit des informations sur le terminal de l'utilisateur, que ce soit un navigateur ou une application. La règle est la même, avec un consentement préalable dès que le traceur n'est pas strictement nécessaire.

La CNIL a jugé que les opérations de Fnac ne relevaient d'aucune exemption : elles ne servaient pas à faciliter la communication électronique et n'étaient pas strictement nécessaires à un service que l'utilisateur avait expressément demandé. Elles ne pouvaient donc pas être lancées sans consentement préalable. Elle écrit d'ailleurs que ces opérations « ne pouvaient, dès lors, être mises en œuvre sans le consentement préalable des personnes concernées ».

Deux éléments ont pesé dans le montant, toujours selon la CNIL : le fait que le choix de l'utilisateur de refuser le suivi n'ait pas été respecté, et le grand nombre de personnes qui utilisent l'application. Le Media Leader rappelle aussi que la CNIL a une « doctrine répressive constante » sur ces sujets et qu'elle avait sanctionné Google (325 millions d'euros) et Shein (150 millions d'euros) en 2025 pour des manquements du même ordre.

Une PME avec un petit site peut-elle être concernée par une telle sanction ?

Le montant de cette amende vise un groupe de grande taille avec un très grand nombre d'utilisateurs, et il ne se transpose pas à une PME. En revanche, les règles sur lesquelles repose la décision s'appliquent à tout éditeur de site ou d'application, quelle que soit sa taille.

Honnêtement, la plupart des sites de PME que je vois ne sont pas dans la situation de Fnac. Mais ils ont souvent un point commun : des outils tiers installés au fil des années, que plus personne ne se rappelle avoir ajoutés. Voici les sources de traceurs les plus fréquentes sur un site professionnel :

Le piège n'est pas l'intention, c'est l'oubli. Un site refait il y a trois ans, un module ajouté pour une campagne, un plugin WordPress qui a ajouté son propre suivi après une mise à jour : sans inventaire, personne ne sait vraiment ce que le site fait chez le visiteur.

Quelles sont les règles du consentement aux cookies sur un site ?

D'après la CNIL, le consentement doit se manifester par une action positive d'une personne préalablement informée, il doit précéder le dépôt ou la lecture du cookie, et le visiteur doit pouvoir refuser avec le même degré de simplicité qu'il peut accepter.

Ces trois principes figurent sur la page de la CNIL consacrée à ce que dit la loi. Concrètement, pour un site :

• Pas de dépôt avant le choix. La CNIL écrit que tant que la personne n'a pas donné son consentement, les cookies ne peuvent pas être déposés ni lus sur son terminal. Un bandeau qui s'affiche alors que les outils de suivi se sont déjà lancés derrière ne règle rien.
• Un choix réel. Le consentement n'est valide que si la personne exerce un choix réel. Un refus doit être aussi facile à exprimer qu'une acceptation : un bouton « Tout refuser » visible, au même niveau que « Tout accepter ».
• Le refus doit être respecté. C'est précisément ce que la CNIL a reproché à Fnac. Si le visiteur refuse et que le suivi continue, le bandeau ne sert plus à rien.
• Un nouveau consentement quand la finalité change. Si une nouvelle utilisation nécessitant un consentement s'ajoute aux finalités initiales, il faut le redemander.

La CNIL précise aussi que certains traceurs sont exemptés de consentement : ceux qui sont strictement nécessaires au service demandé (par exemple conserver le contenu d'un panier d'achat), certains traceurs de personnalisation de l'interface, et certains traceurs de mesure d'audience qui respectent des conditions précises. C'est ce dernier cas qui intéresse le plus les sites de PME.

Peut-on mesurer sa fréquentation sans demander le consentement ?

Oui, mais seulement avec un outil configuré pour entrer dans le cadre de l'exemption de la CNIL : mesure d'audience pour le compte exclusif de l'éditeur, uniquement pour produire des statistiques anonymes, sans recoupement des données ni suivi global de la navigation.

Les conditions sont cumulatives. Sur sa page consacrée aux solutions de mesure d'audience, la CNIL indique que le traceur doit servir à produire des données statistiques anonymes uniquement. Il ne doit pas recouper les données avec d'autres traitements, ni transmettre des données non anonymes à des tiers, ni permettre de suivre la personne sur différents sites. Un identifiant commun à plusieurs sites pour mesurer un taux de couverture unifié est donc exclu.

La CNIL recommande par ailleurs, sans que ce soit une obligation légale :

• une durée de vie du traceur limitée, treize mois étant cité comme exemple, sans prolongation automatique à chaque nouvelle visite ;
• une conservation des données de vingt-cinq mois au maximum ;
• l'information des utilisateurs, par exemple dans la politique de confidentialité.

Autre point qui compte pour un chef d'entreprise : la CNIL signale que certaines offres de mesure d'audience réutilisent les données pour leur propre compte, sauf configuration contraire, et que le fait qu'un prestataire ait réalisé une auto-évaluation ne préjuge pas du contrôle de la CNIL. En cas de manquement, la responsabilité de l'éditeur du site et celle du sous-traitant peuvent être engagées. Autrement dit, « c'est mon outil qui est configuré comme ça » n'est pas une défense assurée.

Comment vérifier les cookies de votre site en une heure ?

En quatre temps : lister ce qui se charge, regarder ce qui part avant tout clic, tester le refus, puis garder une trace écrite. Sans être développeur, vous pouvez faire les deux premières étapes avec le navigateur ; la troisième se constate à l'œil nu.

1. Ouvrir le site en navigation privée. Vous partez ainsi d'un visiteur qui n'a encore rien accepté ni refusé.
2. Regarder avant de cliquer. Dans les outils du navigateur (touche F12, onglets « Réseau » et « Application »), notez les cookies présents et les domaines extérieurs contactés alors que vous n'avez pas encore répondu au bandeau. C'est la partie la plus parlante : si des outils publicitaires ou statistiques tiers sont déjà là, il y a un sujet.
3. Cliquer sur « Tout refuser » et recommencer. Rechargez la page, naviguez deux ou trois pages, puis regardez de nouveau. Les cookies non nécessaires ne doivent pas apparaître. Le refus doit aussi être mémorisé, sans que le bandeau revienne à chaque page.
4. Faire le même test sur un téléphone. Le bandeau doit rester utilisable sur mobile, avec les deux choix visibles.
5. Noter le résultat. Date, outils trouvés, ce qui est nécessaire ou non, décision prise. Cette trace vous servira si un client, un prestataire ou la CNIL pose la question.

Si le site comporte une application mobile, le raisonnement est le même, avec un point d'attention de plus : les « kits de développement » (SDK) tiers intégrés à l'application envoient parfois des données sans que l'équipe l'ait remarqué. C'est précisément le genre de flux que la CNIL a relevé chez Fnac.

Quelles erreurs voit-on le plus souvent sur les sites de PME ?

Un bandeau installé mais pas branché sur les outils, un bouton de refus caché, des vidéos ou des cartes intégrées qui chargent des éléments externes sans demander, et une politique de confidentialité jamais mise à jour. Ce sont des défauts de réglage, rarement de mauvaise foi.

Voici ce que je rencontre le plus quand je reprends un site existant. Ce sont des constats généraux, pas des cas de clients :

• Le bandeau décoratif. Il s'affiche, le visiteur clique, mais les outils de suivi se chargent de toute façon. Sans test, personne ne s'en aperçoit.
• Le refus noyé dans un menu. Le bouton « Accepter » est grand et coloré, le refus demande trois clics. Cela va à l'encontre du principe de refus aussi simple que l'acceptation.
• Les contenus intégrés. Une vidéo ou une carte placée sur la page d'accueil peut contacter des serveurs extérieurs dès le chargement. Une solution simple consiste à afficher d'abord une image et à ne charger le contenu qu'au clic.
• Les outils ajoutés puis oubliés. L'ancien pixel de campagne, l'ancien module de chat, l'ancienne extension de statistiques.
• Les mises à jour qui changent tout. Une extension de site qui ajoute une nouvelle fonction de suivi après une mise à jour. D'où l'intérêt de refaire le test à chaque grosse évolution.

Rien de tout cela ne demande de refaire le site. Dans la plupart des cas, il s'agit d'un inventaire, de quelques réglages et d'un test, puis d'une vérification de temps en temps.

Comment faire vérifier et mettre en règle les cookies de votre site ?

Je peux auditer les cookies et outils tiers de votre site, corriger le bandeau et le chargement des outils, et vous remettre un récapitulatif écrit de ce qui a été contrôlé. Devis gratuit sous 24 h, sans engagement.

Je suis développeur indépendant depuis une vingtaine d'années, et la mise en conformité d'un site fait partie du travail courant. Je ne suis pas juriste : pour les questions qui relèvent du droit, je vous recommande de vous appuyer sur les textes de la CNIL ou sur un avocat. Ma partie, c'est de faire en sorte que le site se comporte réellement comme prévu.

Si vous avez un site à refaire ou une application à créer, ces règles sont prévues dès le départ, c'est plus simple et moins coûteux que de les ajouter après coup. Voir la création de site internet et les applications sur mesure. Si vos statistiques et vos campagnes sont au cœur de votre activité, je peux aussi vous aider via le référencement et la visibilité dans les réponses IA.

Le plus simple : envoyez-moi l'adresse de votre site par le formulaire de contact ou appelez le 06 37 29 19 67. Je regarde ce que fait votre site avant et après le clic sur le bandeau, et je vous dis ce qu'il faut corriger.

Vos questions

Article publié le 7 novembre 2026.