La Cnil a frappé fort. Le gendarme français des données personnelles a infligé une amende de 3,5 millions d’euros à une grande enseigne du sport pour des pratiques jugées non conformes en matière d’exploitation des données clients à des fins publicitaires. Une décision qui concerne des millions d’Européens.

La décision, datée du 30 décembre 2025 et rendue publique le 22 janvier 2026, visait initialement une entreprise non nommée. Il s’agit en réalité d’Intersport, dont l’identité a rapidement circulé, avant d’être confirmée par l’enseigne elle-même dans un communiqué transmis à la presse.

Au cœur du dossier : la transmission de données issues du programme de fidélité vers un réseau social, en l’occurrence Facebook, afin d’affiner le ciblage publicitaire. La Cnil considère que cette pratique a été réalisée sans consentement préalable clair et éclairé des utilisateurs, estimant que les informations fournies lors de l’inscription étaient insuffisantes et difficiles d’accès.

Un consentement jugé trop flou par la Cnil

Intersport estimait avoir recueilli l’accord de ses membres lorsqu’ils acceptaient de recevoir des communications par SMS ou e-mail. Mais la Cnil a jugé que rien n’indiquait explicitement que leurs données pourraient être exploitées sur un réseau social, rendant ce consentement juridiquement invalide.

Des manquements sur la sécurité des comptes

L’autorité de contrôle a également pointé des failles techniques. Les mots de passe des comptes clients ne répondaient pas à des critères de robustesse suffisants et les conditions de stockage des données n’étaient pas jugées assez sécurisées. Ces manquements ont pesé dans l’évaluation globale de la sanction.

Une gestion des cookies en infraction

Autre reproche majeur : l’utilisation des cookies et traceurs. La Cnil a constaté que onze cookies soumis à consentement étaient activés avant même que l’internaute n’ait donné son accord. Pire encore, certains traceurs restaient actifs même après un refus, en contradiction avec les règles prévues par la loi Informatique et libertés.

Plus de 10,5 millions de clients concernés en Europe

Cette affaire dépasse le cadre français. Le programme de fidélité d’Intersport concerne plus de 10,5 millions de personnes réparties dans 16 pays européens. La décision s’inscrit dans un cadre de coopération entre autorités européennes de protection des données, soulignant l’ampleur du dossier.

La réaction d’Intersport et l’arrêt des campagnes

Dans sa réponse, l’enseigne affirme n’avoir « jamais revendu » les données de ses clients et explique avoir utilisé un outil publicitaire proposé par un réseau social. Elle indique avoir interrompu ces campagnes dès février 2024. Intersport assure avoir pleinement coopéré avec la Cnil et prendre acte de la sanction, précisant qu’aucune donnée sensible n’est concernée.