Publicité d’une mise en demeure de la CNIL pour géolocalisation sans consentement

La publicité est justifiée par la gravité particulière des traitements de géolocalisation à des fins de profilage et de ciblage publicitaire, leur capacité à révéler les déplacements et habitudes de vie, ainsi que par l’ampleur du nombre de personnes potentiellement concernées. La Commission retient également la nécessité d’assurer la transparence des traitements et de permettre aux personnes de conserver le contrôle de leurs données.

La décision rappelle que la mise en demeure ne constitue pas une sanction. Aucune suite n’est donnée à la procédure si l’organisme se conforme intégralement aux exigences dans le délai fixé. La clôture est alors également rendue publique. La décision et la délibération sont anonymisées deux ans après leur publication.

⬇️Télécharger la décision version officielle

La CNIL a constaté la collecte de données de géolocalisation via le SDK ainsi que la conservation de données similaires reçues dans les enchères publicitaires. Dans les deux hypothèses, le consentement des personnes n’était pas valablement recueilli.

La présidente de la CNIL a mis en demeure la société de faire cesser ces manquements dans un délai de trois mois. Saisi conformément à l’article 45-II de la loi n° 78-17, le bureau a décidé de rendre cette mise en demeure publique, en raison du risque pour la vie privée, du nombre de personnes concernées et de la technicité des traitements. Il a rappelé que cette mesure n’était pas une sanction.

• Manquements relatifs au consentement des personnes
• Traitements de données de géolocalisation à des fins publicitaires
• Risque particulier pour la vie privée et les habitudes de vie
• Nombre massif de personnes potentiellement concernées
• Technicité des traitements et défaut de transparence pour le public
• Nécessité de permettre le contrôle des données par les personnes

• SDK intégré à une vingtaine d’applications mobiles
• Collecte de données de géolocalisation environ toutes les cinq minutes
• 5 150 201 identifiants publicitaires collectés directement
• Plus de 42 934 160 identifiants issus des enchères publicitaires
• Données provenant de plus de 32 708 applications

• Faire cesser la collecte sans consentement valable
• Revoir les traitements opérés via le SDK
• Examiner les données reçues par enchères publicitaires
• Renforcer l’information et la transparence envers les personnes
• Suivre le délai de trois mois fixé par la mise en demeure
• Anticiper la publication de la décision et de sa clôture

À faire

• Cartographier les flux de géolocalisation collectés
• Vérifier le recueil effectif du consentement
• Documenter les finalités de profilage publicitaire
• Informer clairement les personnes concernées
• Respecter le délai de trois mois

À éviter

• Conserver des données sans consentement valable
• Ignorer les flux issus d’applications tierces
• Masquer la finalité de ciblage publicitaire
• Sous-estimer les risques liés à la géolocalisation
• Négliger la publicité d’une éventuelle clôture

Le consentement aux traitements de géolocalisation

La société collectait et conservait des données de géolocalisation à des fins de profilage et de ciblage publicitaire sans recueillir valablement le consentement des personnes. Le bureau retient ce manquement dans les deux circuits de collecte : le SDK et les enchères publicitaires.

La publicité des mises en demeure de la CNIL

Sur le fondement de l’article 45-II, dernier alinéa, de la loi n° 78-17 du 6 janvier 1978, le bureau peut statuer sur la demande de publicité. Il la justifie ici par le risque particulier pour la vie privée, l’ampleur du traitement, la nécessité de transparence et la sensibilisation du secteur.

La portée non sanctionnatoire de la mise en demeure

La mise en demeure prise sur le fondement de l’article 45 de la loi n° 78-17 ne constitue pas une sanction. Une mise en conformité complète dans le délai imparti entraîne la clôture de la procédure, elle-même rendue publique.