La personnalisation de l’expérience d’achat constitue un levier majeur pour les enseignes, notamment dans le commerce en ligne. Mais son utilisation reste soumise à des règles strictes en matière de protection des données personnelles. Fnac Darty vient d’en faire l’expérience avec une sanction de 7 millions d’euros prononcée par la Commission nationale de l’informatique et des libertés (CNIL) à l’encontre de deux sociétés du groupe : Fnac Darty Participations et Services, condamnée à 6 millions d’euros, et Fnac Direct, sanctionnée à hauteur d’un million d’euros.

Cette décision fait suite à une plainte déposée par l’association None Of Your Business (NOYB), spécialisée dans la défense de la vie privée. En mars 2024, la CNIL avait procédé à un contrôle de l’application mobile de l’enseigne, révélant l’utilisation d’un traceur collectant des informations sur la navigation des utilisateurs sans avoir préalablement recueilli leur consentement.

Un algorithme de recommandation alimenté par les données de navigation

Au cœur du dispositif mis en cause figure un traceur permettant de transmettre, via une interface de programmation (API), des informations à un domaine tiers. Les requêtes contenaient notamment un identifiant attribué à chaque utilisateur par la Fnac, ainsi que des données relatives aux produits consultés dans l’application.

Ces informations étaient exploitées pour personnaliser les recommandations commerciales : proposer des produits similaires à ceux recherchés, suggérer des accessoires ou consommables complémentaires, ou encore mettre en avant des services associés à un achat. Le dispositif contribuait également à l’entraînement de l’algorithme de recommandation, afin d’améliorer la pertinence des suggestions proposées aux utilisateurs.

Pour la CNIL, ces fonctionnalités, bien qu’elles participent à l’expérience commerciale, ne sont pas indispensables au fonctionnement de l’application. Elles ne peuvent donc bénéficier des exemptions de consentement prévues par l’article 82 de la loi Informatique et Libertés. L’autorité considère ainsi que le refus exprimé par les utilisateurs de voir leur navigation suivie n’a pas été respecté.

Une sanction financière assortie d’une astreinte de 10 000 euros par jour

Pour déterminer le montant de l’amende, la formation restreinte de la CNIL a notamment retenu le non-respect du choix des utilisateurs, le nombre important de personnes utilisant l’application et l’existence d’une doctrine réglementaire établie concernant les traceurs destinés à la personnalisation et au ciblage commercial.

Au-delà de la sanction financière, la CNIL impose aux deux sociétés de démontrer que leur nouvel outil de gestion du consentement respecte désormais les obligations légales. Les entreprises disposent d’un délai d’un mois à compter de la notification de la décision pour apporter ces garanties. À défaut, elles s’exposent à une astreinte de 10 000 euros par jour de retard. La décision a également été rendue publique, compte tenu de la gravité du manquement, de la portée du traitement des données et du nombre de personnes concernées.

Personnalisation et intelligence artificielle : un enjeu pour les distributeurs

Au-delà du cas Fnac Darty, cette décision soulève une question stratégique pour l’ensemble des distributeurs qui développent leurs outils de personnalisation et leurs dispositifs de recommandation automatisée. Dans le commerce omnicanal, l’exploitation des données de navigation permet d’affiner la connaissance client, d’améliorer la pertinence des offres et de favoriser les ventes additionnelles. Ces fonctionnalités prennent une importance croissante avec le développement des algorithmes de recommandation et de l’intelligence artificielle.

La CNIL rappelle toutefois que l’intérêt commercial d’un dispositif ne suffit pas à justifier une collecte de données sans consentement. Le fait qu’un traceur contribue à améliorer l’expérience d’achat ou les performances d’un algorithme ne le rend pas strictement nécessaire à la fourniture du service demandé par le consommateur.

La distinction est particulièrement importante pour les enseignes d’électroménager, d’électronique et d’équipement de la maison, dont les parcours d’achat reposent largement sur la comparaison de produits, les recommandations d’accessoires et les propositions de services complémentaires. La décision ne remet pas en cause le principe des recommandations personnalisées. Elle rappelle en revanche que les technologies utilisées pour collecter et exploiter les données des consommateurs doivent respecter les règles applicables au consentement. Pour les distributeurs, l’enjeu consiste donc à concilier performance commerciale, innovation algorithmique et maîtrise réglementaire des données clients.

Cookies, traceurs et consentement : les règles à respecter

L’article 82 de la loi Informatique et Libertés, qui transpose en droit français les dispositions de la directive européenne ePrivacy, encadre l’utilisation des cookies et autres traceurs. Certains traceurs restent exemptés de consentement, notamment ceux nécessaires à l’authentification des utilisateurs, à la mémorisation d’un panier d’achat ou, sous certaines conditions, à la mesure d’audience. En revanche, les traceurs utilisés pour personnaliser les recommandations commerciales à partir du suivi de navigation ne bénéficient pas, du seul fait de cette finalité, d’une telle exemption. Les 5 principes majeurs rappelés par la CNIL sont les suivants :

Le consentement doit être explicite. La simple poursuite de la navigation ne constitue pas un accord valable. L’utilisateur doit manifester son choix par un acte positif clair.
Le refus doit être aussi simple que l’acceptation. La CNIL recommande notamment la présence de boutons « Tout accepter » et « Tout refuser » sur les interfaces de consentement.
Une information transparente. Les finalités des traceurs et l’identité des acteurs qui les utilisent doivent être clairement présentées.
Un consentement révocable. L’utilisateur doit pouvoir retirer facilement son accord à tout moment.
Une obligation de preuve. Les entreprises doivent être en mesure de démontrer la validité du consentement recueilli.