7 millions d’euros d’amende : la CNIL sanctionne le pistage de Fnac Darty

Vous refusez le suivi dans une application, et vos clics continuent pourtant de voyager. C’est ce que reproche la CNIL à Fnac Darty, sanctionnée de 7 millions d’euros. Derrière l’amende, une question concrète : que peut faire une entreprise de votre historique de navigation pour nourrir un algorithme ?

Ce que reproche la CNIL à Fnac Darty

En jeu pour vous : savoir si le bouton « refuser » d’une application sert à quelque chose. Selon ZDNet France, la réponse, dans le cas de l’application mobile de la Fnac, était non.

La Commission nationale de l’informatique et des libertés (CNIL), le régulateur français chargé de la protection des données personnelles, a contrôlé l’application en mars 2024. Le contrôle fait suite aux plaintes de l’association de défense des droits numériques None Of Your Business (NOYB). Les investigations ont montré un contournement des choix de l’utilisateur. Selon ZDNet France, le refus explicite de suivi n’empêchait pas la collecte des données de navigation.

Le mécanisme est technique, mais simple à résumer. Les équipes de Fnac Darty avaient mis en place des requêtes passant par une API. Une API est une porte de communication entre deux logiciels : l’un demande, l’autre répond ou reçoit. Ici, l’application envoyait en arrière-plan, à un domaine tiers (un serveur extérieur à l’application), un identifiant unique attribué par l’enseigne à chaque utilisateur et la liste exhaustive des produits consultés.

En clair : sans que l’utilisateur le voie, l’application transmettait « qui » regardait « quoi ».

À quoi servaient ces données : l’algorithme de recommandation

En jeu pour vous : ces suggestions du type « vous aimerez aussi » ne sortent pas de nulle part.

Selon ZDNet France, les données alimentaient deux usages. Le premier : l’affichage de produits personnalisés et d’accessoires complémentaires dans l’application. Le second : l’entraînement des modèles d’algorithmes de recommandation de l’entreprise.

Un algorithme de recommandation est un programme qui prédit ce qui pourrait vous intéresser. Pour y parvenir, il compare des comportements : si beaucoup de personnes qui ont regardé tel appareil photo ont ensuite acheté telle carte mémoire, il vous proposera la carte mémoire. Plus il reçoit d’historiques de navigation, plus ses prédictions s’affinent. Entraîner un modèle, c’est justement lui faire digérer ces historiques pour qu’il apprenne ces régularités.

C’est là que le sujet dépasse Fnac Darty. Dès qu’un outil de recommandation, ou d’intelligence artificielle, apprend à partir de données de clients identifiables, la question du consentement se pose. L’identifiant unique transmis ici permettait de relier une liste de produits à un utilisateur précis.

Le consentement n’est pas une formalité

En jeu pour vous : votre droit de dire non, et que ce non soit respecté techniquement.

La direction juridique du groupe a tenté de s’appuyer sur les exemptions de l’article 82 de la loi Informatique et Libertés. Cet article encadre le dépôt et la lecture d’informations sur votre appareil (ce que l’on appelle les traceurs). Il prévoit des cas où le consentement n’est pas nécessaire. Fnac Darty soutenait que ses opérations étaient nécessaires à la fourniture du service ou facilitaient la communication par voie électronique.

La CNIL a rejeté cette lecture. Selon ZDNet France, elle a jugé que l’entraînement d’algorithmes commerciaux et le ciblage publicitaire ne participent pas de la fourniture du service de communication en ligne. Autrement dit, ce n’est pas parce qu’une fonction est utile à l’entreprise qu’elle est indispensable au service que vous avez demandé.

La CNIL a aussi écarté l’argument de la surprise. Dès mai 2021, elle avait mis en demeure une vingtaine d’acteurs de l’économie numérique de respecter les lignes directrices issues du RGPD (le règlement européen sur la protection des données) et de la directive e-privacy (qui encadre les traceurs). La règle rappelée alors est binaire : refuser un traceur doit être aussi simple, techniquement, que l’accepter.

À noter : ces éléments viennent du compte rendu de ZDNet France. La source ne rapporte pas la réaction de Fnac Darty à la sanction, ni son éventuelle intention de la contester.

Combien, et qui paie : lire le chiffre de 7 millions

En jeu pour vous : savoir si une telle amende est dissuasive ou symbolique.

La sanction frappe deux entités. La société mère, Fnac Darty Participations et Services, doit 6 millions d’euros. La filiale Fnac Direct est condamnée à 1 million d’euros. Total : 7 millions.

Pour donner un repère : cela fait un euro sur sept pour la filiale (1 million sur 7), le reste pour la maison mère. La source ne donne pas le chiffre d’affaires du groupe, donc on ne peut pas dire ici quelle part de ses revenus cela représente. Selon la CNIL, citée par ZDNet France, le montant reflète le volume massif d’utilisateurs actifs de l’application et la persistance de l’entreprise à ignorer l’opposition au pistage.

La sanction ne s’arrête pas à l’amende. L’enseigne dispose d’un mois pour prouver le déploiement d’un nouvel outil de recueil du consentement. Passé ce délai, une astreinte, c’est-à-dire une pénalité qui s’accumule chaque jour, de 10 000 euros par jour de retard s’appliquera automatiquement. Sur trente jours, cela ferait 300 000 euros : de quoi rendre la mise en conformité plus avantageuse que l’attente.

Ce que cela change pour une PME ou un indépendant

En jeu pour vous : si vous recommandez des produits ou utilisez un outil d’IA sur vos clients, vous pouvez commettre la même erreur à plus petite échelle.

Le cas jugé concerne un grand groupe, mais le raisonnement s’applique à tout site ou application. Voici des pistes de vigilance, déduites de l’affaire et non des conseils juridiques :

• Savoir où partent les données. Dans ce dossier, la transmission se faisait vers un serveur extérieur, en arrière-plan. Un module de recommandation, un outil de statistiques ou un service d’IA peuvent faire de même. Demandez à votre prestataire ce qui est envoyé, et à qui.
• Ne pas se croire exempté trop vite. Fnac Darty a invoqué la « nécessité du service ». La CNIL n’a pas suivi pour l’entraînement d’algorithmes et le ciblage.
• Rendre le refus aussi simple que l’acceptation. C’est la règle rappelée depuis 2021.
• Vérifier que le refus est réellement respecté. Le problème pointé ici n’était pas l’absence de bouton, mais un refus sans effet technique.
• Ne pas présumer que la personnalisation échappe au consentement. La CNIL a refusé l’exemption pour l’entraînement d’algorithmes et le ciblage ; la source ne dit pas ce qu’elle pense de l’affichage personnalisé pris isolément.

Une mise en garde : la source ne détaille pas ce qui serait permis sans consentement, ni les cas intermédiaires, par exemple des recommandations fondées uniquement sur la page en cours. Ce sont des questions à poser à un juriste ou à la CNIL elle-même.

Une question reste ouverte

Cette affaire est partie des plaintes d’une association, NOYB. La prochaine fois que vous refusez le suivi dans une application, rien ne vous montre ce qui se passe réellement derrière. Comment vérifier, côté utilisateur comme côté petite entreprise, qu’un refus est bien un refus ? Les outils de recommandation et d’IA se multiplient ; la réponse à cette question va compter de plus en plus.

Sources

• Traceurs sur applications mobiles : la CNIL inflige 7 millions d’euros d’amende à Fnac Darty (ZDNet France)