Mise en conformité après mise en demeure : données personnelles, consentement et sécurité

L’autorité clôt la mise en demeure après avoir constaté la mise en œuvre de mesures correctrices concernant trois manquements. La société a réduit de moitié le volume de données de télémétrie afin de ne conserver que celles directement liées à l’état du système et a ajouté un choix relatif à l’utilisation des données pour la publicité personnalisée.

La procédure d’installation impose désormais aux utilisateurs de configurer puis de valider le paramétrage de l’identifiant publicitaire avant de finaliser l’installation. Cette activation ne dispense toutefois pas les développeurs d’applications de recueillir eux-mêmes l’accord des internautes. Des mesures de sécurité ont également été adoptées, notamment l’interdiction des codes PIN trop communs et la temporisation après plusieurs erreurs d’authentification.

La clôture n’exclut pas une procédure ultérieure : la persistance ou la réitération des manquements pourrait conduire à une sanction sur le fondement des articles 45 et suivants de la loi du 6 janvier 1978 modifiée, sans nouvelle mise en demeure préalable.

⬇️Télécharger la décision version officielle

La société a réduit de moitié les données de télémétrie collectées, ajouté un choix relatif à la publicité personnalisée et modifié l’installation de son système d’exploitation pour permettre la validation de l’identifiant publicitaire. Elle a également renforcé la sécurité des codes PIN. L’autorité a clôturé le dossier et la procédure de contrôle, tout en prévoyant une éventuelle sanction en cas de persistance ou de réitération des manquements.

L’autorité avait mis en demeure la société X à la suite d’une procédure de contrôle portant sur plusieurs manquements relatifs au traitement de données personnelles.

La société a indiqué avoir réduit de moitié les données collectées au niveau de la télémétrie et avoir ajouté un choix concernant leur utilisation pour la publicité personnalisée. Elle a également modifié l’installation de son système d’exploitation afin que les utilisateurs paramètrent et valident le choix relatif à l’identifiant publicitaire.

Enfin, elle a instauré des règles de sécurité renforcées, interdisant les codes PIN trop communs et prévoyant une temporisation après une saisie incorrecte. L’autorité a clôturé le dossier et la procédure de contrôle, tout en réservant la possibilité d’engager ultérieurement une procédure de sanction en cas de persistance ou de réitération des manquements.

• Réduire la collecte de télémétrie aux informations directement liées à l’état du système
• Permettre à l’utilisateur de choisir l’utilisation des données pour la publicité personnalisée
• Imposer la configuration et la validation du choix relatif à l’identifiant publicitaire
• Recueillir séparément l’accord des internautes par les développeurs d’applications
• Interdire les combinaisons de codes PIN trop communes
• Prévoir une temporisation après une saisie incorrecte

• Réponses de la société aux injonctions de la mise en demeure
• Réduction de moitié du volume de données de télémétrie collectées
• Écran d’installation imposant la configuration et la validation du choix publicitaire
• Modification de la procédure d’installation du système d’exploitation
• Mise en place de règles sur les codes PIN et la temporisation d’authentification

La société bénéficie de la clôture de son dossier et de la procédure de contrôle après la mise en œuvre des mesures correctrices. Cette clôture ne fait pas obstacle à une procédure de sanction ultérieure si les manquements persistent ou se reproduisent.n

• Clôture du dossier et de la procédure de contrôle
• Maintien d’une obligation de conformité des traitements
• Recueil distinct de l’accord des utilisateurs et des internautes concernés
• Renforcement des contrôles sur les codes PIN et l’authentification
• Risque de sanction sans nouvelle mise en demeure

À faire

• Limiter la télémétrie aux données directement pertinentes
• Documenter les mesures correctrices mises en œuvre
• Faire valider le choix relatif à l’identifiant publicitaire
• Recueillir l’accord des internautes au niveau des applications
• Renforcer les règles de codes PIN et d’authentification

À éviter

• Conserver des données de télémétrie excessives
• Activer la publicité personnalisée sans choix utilisateur
• Confondre activation de l’identifiant et consentement applicatif
• Autoriser les codes PIN trop communs
• Réitérer les manquements après la clôture

La clôture d’une mise en demeure après mesures correctrices

nLa procédure est clôturée après prise en compte de mesures destinées à remédier aux manquements constatés : réduction de la collecte de télémétrie, choix relatif à la publicité personnalisée, modification de l’installation et renforcement de la sécurité. La clôture repose sur les éléments de réponse apportés par la société et sur la mise en conformité constatée par l’autorité.n

Le consentement préalable à l’accès aux informations du terminal

nL’installation impose désormais à l’utilisateur de configurer puis de valider son choix concernant l’identifiant publicitaire. L’autorité précise que l’activation de cet identifiant ne dispense pas les développeurs d’applications de recueillir également l’accord des internautes avant l’accès aux informations de leur équipement terminal.n

La sanction après persistance ou réitération des manquements

nEn cas de persistance ou de réitération des manquements, une procédure de sanction peut être engagée conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. La désignation d’un rapporteur peut être notifiée sans qu’une nouvelle mise en demeure soit préalablement adressée.

Articles 45 et suivants de la loi du 6 janvier 1978 modifiée