← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem

CNIL multa Fnac Darty em € 7 mi por rastrear app sem consentimento

A CNIL multou a Fnac Darty em € 7 milhões porque o app rastreava navegação mesmo após o usuário recusar. Entenda a decisão e o que muda para apps.

2026-11-02

A autoridade francesa de proteção de dados, a CNIL, anunciou em 29 de outubro de 2026 multas que somam € 7 milhões contra duas empresas do grupo varejista Fnac Darty: € 6 milhões para a Fnac Darty Participations et Services e € 1 milhão para a Fnac Direct. Motivo: o aplicativo da Fnac usava um rastreador que coletava o histórico de navegação dos usuários sem consentimento — inclusive de quem tinha dito não. A decisão (SAN-2026-015) foi tomada em 22 de outubro pela formação restrita da CNIL, depois de queixa da associação de privacidade noyb.

O que a Fnac fazia de errado no aplicativo?

Segundo a CNIL, que inspecionou o app em março de 2024, durante o uso eram enviadas requisições, por meio de uma API, para um domínio de terceiro. Essas requisições levavam um identificador atribuído pela Fnac ao usuário e informações sobre sua atividade, como os produtos vistos. O objetivo era:

mostrar produtos personalizados com base no histórico de navegação;
sugerir produtos complementares e semelhantes;
treinar o algoritmo de recomendação.

A CNIL considerou que essas finalidades não se enquadram nas exceções legais — como o que é estritamente necessário para o serviço funcionar — e, portanto, exigiam consentimento prévio. O agravante: a formação restrita entendeu que os usuários tinham manifestado a escolha de não consentir com o rastreamento, e a coleta acontecia mesmo assim.

Rastreador em app conta como cookie?

Sim, para efeito da lei. A base da decisão é o artigo 82 da Lei Informática e Liberdades da França, que regula cookies e "outros rastreadores": ler ou gravar informação no aparelho do usuário exige consentimento prévio, salvo exceções. Como destacou o escritório Leto ao comentar o caso, um rastreador não precisa ser um cookie para cair nessa regra — chamadas de API, SDKs e identificadores em aplicativos também contam.

Item	Decisão da CNIL
Empresas	Fnac Darty Participations et Services (€ 6 mi) e Fnac Direct (€ 1 mi)
Origem	Queixa da noyb; inspeção do app em março de 2024
Infração	Rastreador sem consentimento, mesmo após recusa (art. 82)
Fatores do valor	Desrespeito à recusa, grande número de usuários e jurisprudência consolidada da CNIL
Ordem	Provar em 1 mês que a nova ferramenta coleta consentimento
Multa diária	€ 10 mil por dia de atraso

Por que a multa foi tão alta?

A CNIL listou três fatores: o desrespeito à escolha de quem recusou o rastreamento, o grande número de pessoas que usam o aplicativo e o fato de a autoridade ter uma linha de punição "constante e bem estabelecida" sobre rastreadores de personalização e publicidade — ou seja, as empresas não podiam alegar surpresa. A decisão foi tornada pública justamente pela gravidade e pela escala do tratamento. Além da multa, as empresas têm um mês, a partir da notificação, para demonstrar que a nova ferramenta pede consentimento quando necessário, sob pena de € 10 mil por dia de atraso.

O que isso muda para empresas no Brasil e nos EUA?

A decisão vale na França, mas o recado é global para quem tem aplicativo com usuários europeus: o botão "recusar" precisa funcionar de verdade, também dentro do app, e treinar algoritmo com dados de navegação não é justificativa automática. A questão de fundo — base legal e transparência no uso de dados pessoais para personalização — também aparece na LGPD e nas leis estaduais dos EUA; compare prazos e multas em LGPD, GDPR e leis dos EUA e veja as maiores multas de proteção de dados. Nos EUA, a venda de dados de direção rendeu à GM um acordo recente com 36 estados, tema de outro artigo.

Checklist: como saber se o seu app respeita o consentimento?

Mapeie todos os SDKs e chamadas de API a terceiros que saem do app — não só cookies.
Classifique cada um pela finalidade: estritamente necessário ou personalização/publicidade/treino de modelo.
Garanta que nada não essencial dispara antes do consentimento — e que nada dispara depois de uma recusa.
Teste com ferramentas de inspeção de tráfego em um aparelho de teste, com consentimento negado.
Documente a decisão e revise a cada nova versão do app.

E para o usuário comum?

Recusar rastreamento é um direito, mas convém conferir: nas configurações do celular, limite o rastreamento entre apps (iPhone) e redefina o ID de publicidade (Android), e revise as permissões de cada aplicativo. Veja mais em Dicas, acompanhe decisões de reguladores no Radar e a regulação brasileira em Regulação no Brasil.