El pasado 22 de octubre de 2026, la Comisión Nacional de Informática y Libertades de Francia (CNIL) impuso una multa de 7 millones de euros a FNAC, una compañía dedicada a la distribución de productos tecnológicos y culturales en Europa, por utilizar tecnologías de seguimiento en su aplicación móvil sin el consentimiento previo de los usuarios, vulnerando el artículo 82 de la Ley francesa de Protección de Datos (LIL).
El conflicto se remonta a septiembre de 2023, cuando la asociación austriaca None ofYour Business (NOYB), dedicada a promover el cumplimiento del Reglamento General de Protección de Datos (RGPD) en la Unión Europea, presentó una denuncia ante la CNIL por el uso de tecnologías de seguimiento en la aplicación móvil de FNAC en Francia, al considerar que permitían rastrear la actividad de los usuarios sin su consentimiento.
A raíz de esta denuncia, en marzo de 2024, la CNIL inspeccionó la aplicación móvil y comprobó que esta recopilaba y transmitía datos sobre la navegación de los usuarios para ofrecer recomendaciones personalizadas y entrenar su algoritmo. Este seguimiento continuaba incluso cuando los usuarios seleccionaban la opción “Continuar sin aceptar” en el aviso sobre cookies, manifestando así su negativa a que se rastrease su actividad.
Durante el procedimiento, las dos entidades del grupo FNAC sancionadas como corresponsables del tratamiento, defendieron que estas operaciones eran necesarias para facilitar la navegación de los usuarios por el catálogo de productos y, por tanto, no requerían el consentimiento previo de los usuarios.
Sin embargo, la CNIL rechazó estos argumentos al considerar que el seguimiento realizado mediante un único rastreador no se limitaba a facilitar la navegación, sino que también perseguía fines comerciales, como ofrecer recomendaciones personalizadas, sugerir productos complementarios y mejorar el algoritmo para fomentar las compras. Estas finalidades no estaban comprendidas en las excepciones del artículo 82 LIL, que permite prescindir del consentimiento cuando las operaciones sirven exclusivamente para facilitar la comunicación electrónica o son estrictamente necesarias para prestar el servicio solicitado expresamente por el usuario. Por ello, las entidades sancionadasdebían haber obtenido el consentimiento previo de los usuarios antes de realizar dichas operaciones.
Por ello, la Comisión impuso multas de 6 millones de euros a una de las entidades y 1 millón de euros a la otra. A la hora de determinar las sanciones, la CNIL consideró especialmente grave que las empresas hubieran ignorado la negativa expresa de los usuarios a ser rastreados, así como el elevado número de personas afectadas.
Adicionalmente, la CNIL ordenó a las empresas demostrar que habían adaptado el tratamiento de datos al artículo 82 de la LIL en el plazo de un mes desde la notificación de la resolución, bajo una multa coercitiva de 10.000 euros por cada día de retraso.