Je refuse ! Ok, osef !
Fnac Darty collectait et traitait des données personnelles de ses utilisateurs sans recueillir leur consentement ; même lorsqu’ils refusaient explicitement. L’entreprise estimait que ses usages étaient « strictement nécessaires ». La CNIL sanctionne l’entreprise à 7 millions d’euros d’amende et à prouver sa mise en conformité sous peine d’une astreinte de 10 000 euros par jour.
La CNIL vient d’annoncer qu’elle avait sanctionné Fnac Darty Participations et Services et Fnac Direct d’une « amende de 7 millions d’euros pour non-respect des règles applicables en matière de traceurs (cookies) ». 6 millions d’euros pour la première entité, 1 million pour Fnac Direct. Les deux écopent aussi d’une astreinte de 10 000 euros par jour de retard pour justifier s’être mises en conformité, à l’issue d’un délai d’un mois suivant la notification de la délibération.
La Commission explique que « les sociétés avaient recours à un traceur, dont les utilisateurs n’avaient pas consenti au dépôt, collectant notamment leur historique de navigation afin de leur afficher des recommandations de produits et d’entrainer son algorithme de recommandations ».
Plainte en septembre 2023, contrôle en mars 2024
Dans sa délibération, la CNIL explique que, le 15 septembre 2023, elle a été saisie d’une plainte de l’association noyb (None of Your Business) « reprochant aux sociétés d’utiliser des technologies de traçage au sein de son application mobile ». Le 6 décembre 2023, « la vice-présidente déléguée de la CNIL a chargé le secrétaire général de procéder ou de faire procéder à une mission de contrôle ». Contrôle effectué le 6 mars 2024, suivi par des questions à Fnac Darty.
« Les sociétés ont expliqué avoir lancé, après avoir eu connaissance de la saisine de la CNIL par noyb, une revue de la collecte des données effectuée par les traceurs de l’application mobile et avoir identifié un mauvais paramétrage d’un traceur utilisé sur la version Android. Elles ont précisé avoir effectué des correctifs sur l’application mobile et avoir mis à disposition une version corrigée de celle-ci dans sa version Android, le 19 septembre 2023 ». Quatre jours après la plainte, six mois avant les contrôles de la CNIL.
Mais ce n’était visiblement pas suffisant. Lors du contrôle de l’application mobile, « les sociétés réalisaient des opérations de lecture et/ou d’écriture sur le téléphone mobile des utilisateurs de leur application mobile via l’API […], sans recueillir leur consentement préalable et alors même qu’ils avaient cliqué au sein de la bannière de recueil du consentement » plateforme de gestion du consentement « , sur le bouton » Continuer sans accepter » ».
Fnac Darty a confirmé à la CNIL « que les requêtes émises vers le domaine » […] » contenaient un identifiant attribué, par la FNAC, à l’utilisateur ainsi que des informations relatives à son activité, telles que les produits consultés, et ont indiqué que ces opérations étaient effectuées à des fins de personnalisation de contenus et d’entrainement de l’algorithme de recommandation de produits au sein de leur application ».
Strictement nécessaires : oui selon Fnac Darty, non selon la CNIL
Pour le rapporteur, ces fonctions n’étaient pas « strictement nécessaires » au fonctionnement du service et le consentement devait être recueilli. Pour Fnac Darty, sans surprise, c’est le contraire : « les opérations en cause visaient à aider l’utilisateur dans sa navigation sur l’application, en filtrant la présentation des produits, et que l’aide à la navigation est une fonctionnalité essentielle, strictement nécessaire du point de vue des utilisateurs dès lors qu’elle leur permet de naviguer de manière lisible au sein du catalogue de produits ».
La CNIL entre davantage dans les détails sur la notion d’affichage de produits similaires qui « pourrait être, en théorie, selon les modalités de mise en œuvre, considérée comme strictement nécessaire à la fourniture du service de communication demandé par l’utilisateur ». Néanmoins, cette fonctionnalité ne peut être isolée des autres finalités « dès lors qu’elle est réalisée par le biais de la même et unique opération de lecture et écriture via l’API ». La CNIL rappelle qu’« un cookie poursuivant plusieurs finalités ne peut relever des exemptions […] que dans l’hypothèse où aucune des finalités poursuivies par les opérations de lecture et/ou écriture considérées ne nécessite le recueil préalable du consentement ».
Fnac Darty explique avoir décommissionné son API en décembre 2024 sur Android et iOS, remplacée par « un nouvel outil dénommé » […] « , reposant sur un fonctionnement différent, en janvier 2025 ». Suffisant ? Pas pour la CNIL, qui refuse de croire l’entreprise sur parole et demande des preuves que le nouvel outil est bien conforme à la loi.
Dans sa délibération, elle explique que Fnac Darty a produit « un courrier d’un cabinet de conseil présentant une analyse des évolutions qu’elles prévoient de mettre en place », notamment en matière de respect de l’article 82 de la loi Informatique et Libertés. Pour la CNIL, prévoir n’est pas suffisant : les sociétés « ne démontrent pas que les mesures évoquées ont à ce stade été mises en œuvre ». D’où l’injonction en attendant des preuves.
Publier la décision ? Fnac Darty brandit la crainte d’un « préjudice important »
Comme toujours en pareille situation, Fnac Darty demandait à la CNIL de ne pas publier la décision, car cela « serait susceptible de causer un préjudice important au groupe FNAC DARTY actuellement engagé dans une offre publique d’achat et risquerait de fragiliser son équilibre commercial ainsi que la confiance de leurs adhérents, sans apporter de bénéfice à l’intérêt général et tout en favorisant leurs concurrents ».
Pour la CNIL, au contraire, la publication se justifie au « regard de la gravité du manquement en cause, de la portée du traitement et du nombre de personnes concernées ». Selon la CNIL, entre mars 2023 et mars 2024, l’application mobile a été téléchargée plus de 1,5 million de fois en France et a été utilisée en moyenne par 37 400 utilisateurs par jour.
La CNIL parle de négligence, pas d’un acte délibéré : « elle estime que les sociétés ne pouvaient ignorer leurs obligations au titre de l’article 82 de la loi Informatique et Libertés et qu’elles ont fait preuve de négligence en ne les respectant pas ». Fnac Darty peut déposer un recours contre cette décision devant le Conseil d’État pendant deux mois.
L’OPA en cours est celle de Daniel Kretinsky, qui détient déjà 28,5 % du groupe. Comme l’explique Challenges, il « compte avec cette OPA franchir le seuil de 50 %, empêchant de facto le géant chinois du commerce en ligne JD.com d’obtenir davantage de poids dans les décisions de l’entreprise ». La Commission européenne vient tout juste de donner son accord à cette opération.
C’est désormais la dernière ligne droite pour cette opération : « l’Autorité des marchés financiers fera connaître dans les prochains jours le calendrier définitif de l’Offre et notamment la date de clôture de l’Offre ». Le prix est déjà fixé : « 35 euros par action après le paiement le 5 juin 2026 d’un dividende au titre de l’exercice 2025 d’un euro par action et de 81,16 euros par OCEANE [Obligation Convertible En Actions Nouvelles ou Existantes, ndlr] ».
