La Cnil s’attaque aux applications mobiles. Après être intervenu sur le dépôt de cookies sur ordinateur via les sites web ces dernières années, l’institution veut contrôler davantage le respect du RGPD au sein des applications mobiles. Autrement dit, mettre de l’ordre dans le recueil des données personnelles et le tracking au sein des applications.
Si les fournisseurs de SDK pour le drive-to-store avaient été ciblés en 2018 (Teemo, Fidzup, Singlespot et Vectaury ont été sanctionnés) en raison de plusieurs pratiques jugées très problématiques et conduisant à l’absence de validité du consentement utilisateur au recueil de leurs données personnelles, les contrôles ont depuis peu touché l’écosystème applicatif.
“Depuis 2018, seules les applications médias ont implémenté des CMP in-app, et principalement en raison des exigences du Transparency and consent framework (TCF), souligne pourtant Jérôme Perani, expert du marketing sur mobile et ex-directeur du marketing de Purchasely. En dehors de rares exceptions – comme l’application Ornikar, qui recueille les consentements utilisateurs via la CMP d’Axeptio -, les applications hors médias et celles des jeux ont délaissé ce sujet, faute de rappel à l’ordre.”
Après des velléités affichées une première fois dans une déclaration d’intention à l’automne 2022, puis en février 2023 dans son plan stratégique 2022-2024, la Cnil a publié au cœur de l’été, le 21 juillet, un projet de recommandation lié aux applications. Soit la façon dont elle veut interpréter le RGPD pour ses acteurs. Son objectif affiché : “Clarifier les obligations des différents acteurs de cet écosystème” en matière de données personnelles. Le document inclut la synthèse des réponses du marché reçues d’un précédent appel à contributions pour mieux comprendre les enjeux économiques associés à la collecte et au traitement des données dans l’écosystème.
Les applications mobiles forment un écosystème différent des sites internet, plus opaque, plus incertain, et contrôlé en partie par Google et Apple. Il est aussi potentiellement beaucoup plus intrusif. Les applications sont attachées au téléphone portable et à ses capacités pointues et sensibles en matière de données personnelles : géolocalisation, coordonnées personnelles, annuaire de contacts, paiement intégré, données de santé… Notre analyse en 2022 des prestataires présents dans l’écosystème applicatif français montrait d’ailleurs son foisonnement et sa complexité.
mind Media a interrogé différents acteurs du marché pour analyser les intentions affichées par la Cnil dans son document. L’exercice est salué, des améliorations sont entrevues, mais des lacunes sont également pointées.
Un travail salué et attendu
Avec ce projet de recommandation, la Cnil présente les rôles qu’elle veut attribuer à chaque acteur dans le traitement des données liées aux applications mobiles – éditeurs d’applications, développeurs, fournisseurs de SDK, fournisseurs d’OS et fournisseurs de magasin d’applications – et les obligations à respecter. Sa recommandation est également applicable à d’autres environnements et équipements, observe Masaki Halle, head of data chez Havas Media France. “Le texte concerne aussi les objets connectés – on peut penser ici à la domotique, qui se développe rapidement et qui capte des données particulièrement intimes puisque du ressort de ce qu’il se passe à l’intérieur du domicile -, les montres connectées et les voitures connectées”, souligne-t-il.
“La Cnil assume les effets économiques découlant de sa régulation et compte bien organiser le secteur”
Paul Ouvrard-Arnaud, Dentsu France
Beaucoup de nos interlocuteurs soulignent l’intérêt du travail fourni par la Cnil. “Il faut saluer l’effort considérable de pédagogie déployé par la Cnil dans ce document”, souligne ainsi Priya Saint Olive, chief data and digital operations officer de CMI France.