Publicité d’une mise en demeure CNIL pour collecte de géolocalisation sans consentement

L’article 45-II, dernier alinéa, de cette loi permettait à la présidente de saisir régulièrement le bureau de la CNIL afin qu’il statue sur la publicité de la mise en demeure. Le bureau a retenu plusieurs éléments justifiant cette publicité : le risque particulier pour la vie privée lié à la géolocalisation, l’ampleur du traitement, la collecte régulière des données et le nombre élevé d’identifiants publicitaires concernés.

La publicité vise également à assurer la transparence du traitement, à permettre aux personnes de conserver le contrôle de leurs données et à sensibiliser les professionnels intervenant dans l’écosystème de la publicité mobile. La mise en demeure n’est pas une sanction : la procédure est clôturée si l’organisme respecte intégralement les exigences dans le délai imparti, cette clôture étant elle-même rendue publique.

⬇️Télécharger la décision version officielle

Les investigations de la CNIL ont établi que des données de géolocalisation étaient collectées environ toutes les cinq minutes, sans consentement des personnes, afin de permettre le profilage et le ciblage publicitaire. Le SDK était intégré à des dizaines d’applications et 5 529 383 identifiants publicitaires avaient été collectés.

La présidente de la CNIL a mis en demeure la société de faire cesser ces manquements dans un délai de trois mois. Le bureau de la CNIL a ensuite décidé de rendre cette mise en demeure publique, en raison du risque pour la vie privée, de l’ampleur du traitement et de la nécessité d’assurer la transparence. La mise en demeure devait être clôturée en cas de mise en conformité complète.

• Manquements présentant un risque particulier pour la vie privée
• Collecte de géolocalisation sans consentement des personnes
• Utilisation des données à des fins de profilage et ciblage publicitaire
• Nombre massif de personnes susceptibles d’être impactées
• Nécessité d’assurer la transparence du traitement
• Objectif de permettre aux personnes de conserver le contrôle de leurs données

• Constatations issues des investigations de la CNIL
• SDK intégré à des dizaines d’applications mobiles
• Collecte des données de géolocalisation environ toutes les cinq minutes
• Recensement de 5 529 383 identifiants publicitaires
• Collecte sans consentement constatée par la délégation de la CNIL

• Mettre fin à la collecte sans consentement
• Vérifier la conformité du traitement de géolocalisation
• Respecter les exigences dans le délai de trois mois
• Préparer la transparence sur la collecte et ses finalités
• Anticiper la publicité de la mise en demeure ou de sa clôture

À faire

• Vérifier le consentement avant toute collecte de géolocalisation
• Documenter les finalités de profilage et ciblage publicitaire
• Contrôler les données collectées par le SDK
• Renforcer la transparence envers les personnes concernées
• Respecter les exigences dans le délai de trois mois

À éviter

• Collecter la géolocalisation sans consentement
• Ignorer le risque lié aux habitudes de déplacement
• Sous-estimer l’ampleur d’un SDK déployé dans plusieurs applications
• Négliger l’information sur les finalités du traitement
• Présenter la mise en demeure comme une sanction

La publicité des mises en demeure administratives

nLa présidente de la CNIL peut saisir le bureau afin qu’il statue sur la publicité d’une mise en demeure, conformément à l’article 45-II, dernier alinéa, de la loi n° 78-17 du 6 janvier 1978 modifiée. La publicité est justifiée ici par les caractéristiques des manquements, leur ampleur, le risque pour la vie privée et la nécessité de garantir la transparence du traitement.n

Le consentement aux traitements de géolocalisation publicitaire

nLa mise en demeure porte notamment sur l’absence de consentement des personnes à la collecte de données de géolocalisation utilisées pour le profilage et le ciblage publicitaire. Le bureau relève que ces données révèlent les déplacements et habitudes de vie, ce qui caractérise un risque particulier pour la vie privée.n

La nature non punitive de la mise en demeure

nLa mise en demeure ne constitue pas une sanction. Aucune suite n’est donnée à la procédure si l’organisme respecte intégralement les exigences dans le délai imparti. Dans ce cas, la mise en demeure est clôturée, et cette clôture est également rendue publique.