Données personnelles des applications mobiles : un cadre juridique renforcé

Applications mobiles et données personnelles : un cadre juridique renforcé

La CNIL a récemment adopté sa nouvelle Délibération n° 2025-024 en date du 27 mars 2025, qui concerne les applications mobiles et abroge la délibération n° 2024-061 du 18 juillet 2024.

À qui s’adresse cette recommandation ?

Cette recommandation a pour but de rappeler et d’expliciter le cadre juridique applicable aux traitements de données personnelles des utilisateurs d’applications mobiles. Elle est destinée à orienter les professionnels du secteur des applications mobiles vers une conformité avec la réglementation sur la protection des données. Les destinataires incluent les éditeurs d’applications, les développeurs, les fournisseurs de kits de développement logiciel, les fournisseurs de systèmes d’exploitation, ainsi que les gestionnaires de magasins d’applications. Elle s’adresse particulièrement aux professionnels ayant un impact sur la protection des données personnelles, tels que les délégués à la protection des données, et est également utile pour tous les conseillers en matière de protection des données. Cette recommandation vise à aider chaque professionnel à déterminer sa qualification juridique selon le RGPD, qu’il soit responsable, co-responsable du traitement ou sous-traitant, afin de mieux appréhender ses obligations. Les obligations, recommandations et bonnes pratiques associées à chaque acteur sont détaillées dans les sections pertinentes, tout en encourageant chaque acteur à se référer aux recommandations de ses partenaires pour une compréhension globale des obligations.

Définition des applications mobiles

Le terme « application mobile » désigne les logiciels applicatifs qui sont distribués dans l’environnement des smartphones et des tablettes, c’est-à-dire des dispositifs portables permettant d’accéder à Internet et, souvent, au réseau téléphonique, tout en permettant l’installation et l’exécution d’applications tierces. Cette définition englobe toutes les typologies d’applications, qu’elles soient utilisées dans un cadre privé ou professionnel. Ces applications sont généralement distribuées via des plateformes intégrées par les fabricants et fonctionnent de manière isolée grâce à un modèle de « bac à sable » (sandbox). Elles peuvent accéder à diverses fonctionnalités et données du système via des interfaces de programmation applicatives (API) fournies par le système d’exploitation.

Typologies d’applications mobiles

La recommandation couvre toutes les typologies d’applications, notamment :

– Les applications « natives », développées dans le langage de programmation spécifique au système d’exploitation (Kotlin ou Java pour Android, Swift ou Objective-C pour iOS).
– Les applications « hybrides », créées avec des langages et technologies web, puis transformées en applications via des outils spécifiques (comme React-Native ou Flutter).
– Les « web progressives » (PWA), qui sont des pages web dynamiques présentées sous forme d’applications.

Les applications mobiles constituent aujourd’hui un des principaux canaux d’accès aux services numériques. Étant installées sur des appareils personnels souvent perçus comme intimes, leur utilisation soulève des enjeux cruciaux en matière de protection des données. C’est dans ce contexte que la CNIL a adopté, le 27 mars 2025, la délibération n° 2025-024, modifiant ses recommandations antérieures sur les applications mobiles.

Un écosystème complexe soumis à de nouvelles responsabilités

La CNIL souligne que de nombreux acteurs participent au développement et à la diffusion d’applications mobiles, incluant les éditeurs et développeurs d’applications, les fournisseurs de systèmes d’exploitation (comme Android ou iOS), les gestionnaires de magasins d’applications (App Store, Play Store), ainsi que les fournisseurs de kits de développement logiciel (SDK). La délibération met l’accent sur la nécessité de clarifier les responsabilités de chaque acteur, en particulier dans les situations de co-traitance ou de sous-traitance des données.

Des règles renforcées pour la transparence et le consentement

La CNIL insiste sur l’importance d’informer l’utilisateur de manière claire et compréhensible sur les traitements effectués via son mobile. L’objectif est de garantir un consentement éclairé, notamment pour :

– L’accès aux capteurs (micro, GPS, caméra) ;
– La collecte de données de navigation ou d’usage ;
– L’utilisation d’identifiants publicitaires (comme l’IDFA ou AAID).

La transparence doit être assurée à chaque étape : avant le téléchargement de l’application, lors de l’installation, et tout au long de son utilisation.

Permissions : vers une approche plus sobre et contextualisée

La CNIL encourage les développeurs à restreindre les permissions demandées au strict nécessaire. Elle recommande de :

– Proposer des alternatives manuelles (par exemple, saisir un code postal au lieu d’utiliser la géolocalisation) ;
– Favoriser le traitement local des données (sur le terminal) plutôt que leur envoi vers des serveurs distants ;
– Expliquer clairement l’utilité de chaque autorisation.

Un cadre juridique plus clair : RGPD et directive ePrivacy

La délibération précise les règles juridiques en vigueur :

– Le RGPD s’applique à tout traitement de données personnelles effectué dans l’UE ou visant des personnes se trouvant dans l’UE.
– La directive ePrivacy, intégrée à l’article 82 de la loi Informatique et Libertés, impose le recueil du consentement pour toute opération de lecture/écriture sur le terminal.

Les bonnes pratiques recommandées par la CNIL

La CNIL propose des mesures concrètes à mettre en œuvre :

– Permissions et protection des données dès la conception : l’accès aux ressources du téléphone est souvent soumis à un système de permission, où l’utilisateur doit autoriser son système d’exploitation à accéder à certains types de données. La CNIL considère que la mise en place de systèmes de permissions pour accéder à certaines ressources (localisation, contacts, photos, etc.) en fonction du choix de l’utilisateur est une bonne pratique, indépendamment des obligations légales. Lors du développement d’une application, le choix des permissions d’accès et des traitements de données associés est crucial pour la protection de la vie privée.

– Réaliser une analyse d’impact (AIPD) pour les traitements à risque ;
– Tenir un registre des traitements ;
– Encadrer les relations avec les partenaires via des contrats de sous-traitance (DPA) ;
– Assurer une revue de sécurité régulière des applications et des SDK utilisés.

Un point d’attention sur les SDK et les transferts de données

L’utilisation de SDK tiers est fréquente dans les applications, notamment pour l’analyse, la publicité ou le paiement. La CNIL appelle à la vigilance concernant les données transmises à ces tiers, souvent situés en dehors de l’UE, et insiste sur la nécessité d’encadrer les transferts internationaux de données.

Utiliser les permissions

Comment analyser les permissions au regard des textes applicables ? Les permissions elles-mêmes ne visent pas à répondre à des obligations légales et constituent une mesure technique indépendante. Cependant, l’accès à une ressource du terminal suite à une demande de permission peut être soumis :

– Au respect de l’article 82 de la loi Informatique et Libertés et au RGPD, qui impose un consentement préalable, sauf si les opérations de lecture/écriture sont nécessaires au fonctionnement du protocole de communication électronique ou à la fourniture du service demandé par l’utilisateur.
– À l’obtention d’un consentement au titre du RGPD.

Des difficultés pratiques peuvent survenir dans l’articulation entre ces deux types de consentement et la permission. Lorsque la permission concerne l’accès à des données personnelles, l’éditeur doit s’assurer que l’utilisateur accorde la permission en toute connaissance de cause, en fournissant toutes les informations nécessaires pour qu’il comprenne pourquoi l’accès aux données est demandé. Il est recommandé d’indiquer clairement si la fonctionnalité liée à la permission est nécessaire pour le fonctionnement de l’application, pour activer une fonction accessoire, ou pour des traitements effectués pour le bénéfice de l’éditeur ou d’un tiers.

Mise en œuvre d’une démarche de sélection des permissions

Dans une logique de protection des données dès la conception, la CNIL recommande d’instaurer une procédure de sélection des permissions suivant des étapes précises.

Cas d’usages pratiques pour la sélection de permissions

Comment gérer l’usage de la localisation ? L’éditeur doit identifier, au cas par cas, parmi les permissions disponibles, celle qui permet de remplir les objectifs tout en respectant le principe de minimisation :

– Une localisation approximative plutôt que précise ;
– Une permission limitée à une seule fois plutôt qu’une permission permanente ;
– Une permission active uniquement lorsque l’application est au premier plan plutôt qu’en permanence ;
– Une permission qui ne transmet pas d’informations à des tiers lorsque cela est possible.

En tant que bonne pratique, l’éditeur peut proposer une alternative à l’utilisation de cette permission, comme l’entrée manuelle d’un code postal. La CNIL recommande également de traiter la donnée de localisation sur le terminal, par exemple, en intégrant une liste de lieux dans l’application et en calculant localement le lieu le plus proche. À moins que cette collecte ne soit nécessaire pour fournir un service expressément demandé par l’utilisateur, l’éditeur doit obtenir un consentement valide pour la collecte distante de la donnée de localisation. Avant tout envoi des données de localisation vers les serveurs, l’éditeur doit déterminer le niveau de précision minimal requis et tronquer localement les coordonnées en conséquence. La CNIL préconise de ne pas conserver la donnée de localisation sur un serveur distant, mais plutôt de la garder dans l’application pour la proposer à nouveau à l’utilisateur. Enfin, il est recommandé de ne pas collecter la localisation lorsque l’application n’est pas activement utilisée, et de rappeler à l’utilisateur l’existence de la permission de manière visible dans l’interface de l’application.

À qui s’adresse cette recommandation ?

Cette recommandation s’adresse aux professionnels du secteur des applications mobiles, notamment :

– Les éditeurs d’application
– Les développeurs d’application
– Les fournisseurs de kits de développement logiciel
– Les fournisseurs de systèmes d’exploitation
– Les fournisseurs de magasins d’applications

Elle vise à clarifier les obligations des acteurs en matière de protection des données personnelles.

Quelles sont les typologies d’applications mobiles couvertes par la recommandation ?

La recommandation couvre plusieurs typologies d’applications mobiles :

– **Natives** : Développées dans le langage propre au système d’exploitation (ex. : Kotlin pour Android).

– **Hybrides** : Utilisent des langages web et sont transformées en applications via des outils spécifiques.

– **Web progressives (PWA)** : Pages web dynamiques présentées comme des applications.

Ces applications sont souvent perçues comme intimes, ce qui soulève des enjeux en matière de protection des données.

Quelles sont les responsabilités des acteurs dans l’écosystème des applications mobiles ?

La CNIL souligne la nécessité de clarifier les responsabilités des différents acteurs, notamment :

– Les éditeurs et développeurs d’applications
– Les fournisseurs de systèmes d’exploitation
– Les gestionnaires de magasins d’applications
– Les fournisseurs de SDK

Cela est particulièrement important dans les cas de co-traitance ou de sous-traitance des données.

Quelles règles sont renforcées concernant la transparence et le consentement ?

La CNIL insiste sur l’importance d’informer clairement l’utilisateur des traitements de données. Cela inclut :

– L’accès aux capteurs (micro, GPS, caméra)
– La collecte de données de navigation
– L’utilisation d’identifiants publicitaires

La transparence doit être assurée à chaque étape, depuis le téléchargement jusqu’à l’utilisation de l’application.

Quelles recommandations la CNIL fait-elle concernant les permissions ?

La CNIL recommande de limiter les permissions demandées au strict nécessaire. Cela inclut :

– Proposer des alternatives manuelles (ex. : saisie d’un code postal)
– Favoriser le traitement local des données
– Expliquer clairement l’utilité de chaque autorisation

Cette approche vise à minimiser l’impact sur la vie privée des utilisateurs.

Quel cadre juridique est précisé par la délibération ?

La délibération précise que :

– Le RGPD s’applique à tout traitement de données personnelles dans l’UE.
– La directive ePrivacy impose le recueil du consentement pour toute opération de lecture/écriture sur le terminal.

Ces règles visent à renforcer la protection des données personnelles.

Quelles bonnes pratiques sont recommandées par la CNIL ?

La CNIL propose plusieurs bonnes pratiques, telles que :

– Permissions et protection des données dès la conception
– Réaliser une analyse d’impact pour les traitements à risque
– Tenir un registre des traitements
– Encadrer les relations avec les partenaires via des contrats de sous-traitance

Ces mesures visent à garantir la conformité et la sécurité des applications.

Quel point d’attention la CNIL souligne-t-elle concernant les SDK et les transferts de données ?

La CNIL appelle à la vigilance sur l’utilisation de SDK tiers, notamment pour l’analyse et la publicité. Elle insiste sur :

– La nécessité d’encadrer les transferts internationaux de données
– La protection des données transmises à des tiers, souvent situés hors de l’UE

Cela vise à garantir la sécurité des données personnelles des utilisateurs.