L’essentiel
En application de l’article 45-II, dernier alinéa, de cette loi, le bureau de la CNIL peut statuer sur la publicité d’une mise en demeure. Il retient ici la gravité du manquement, compte tenu de la sensibilité des données révélant les déplacements et habitudes de vie, ainsi que l’ampleur du traitement, le SDK étant intégré à de nombreuses applications et 5 962 383 identifiants publicitaires ayant été collectés.
La publicité vise également à garantir aux personnes un niveau élevé de transparence et le contrôle de leurs données, tout en sensibilisant les acteurs de l’écosystème publicitaire mobile. La mise en demeure ne constitue pas une sanction : sa procédure est clôturée, et cette clôture rendue publique, si l’organisme se conforme intégralement aux exigences dans le délai imparti. Les décisions sont anonymisées deux ans après leur publication.
En résumé
- Publicité de la mise en demeure en raison de la gravité du manquement
- Collecte de géolocalisation sans consentement pour ciblage publicitaire
- 5 962 383 identifiants publicitaires distincts collectés
- Risque accru pour la vie privée et les habitudes de vie
- Clôture publique possible après conformité dans le délai imparti
Contexte de l’affaire
La collecte intervenait sans consentement des personnes. La CNIL a relevé que les données de géolocalisation pouvaient révéler les déplacements et habitudes de vie, et que le traitement concernait potentiellement un nombre très important de personnes. Les investigations ont établi la collecte de 5 962 383 identifiants publicitaires distincts, chacun permettant d’identifier le smartphone d’une personne ayant téléchargé l’application d’un partenaire.
La Présidente de la CNIL a mis en demeure la société de faire cesser le manquement dans un délai de trois mois. Le bureau de la CNIL a ensuite décidé de rendre cette mise en demeure publique en raison de la gravité et de l’ampleur du traitement.
Conditions / critères (ce que le juge vérifie)
- Établir une collecte de données personnelles sans consentement
- Identifier une finalité de ciblage publicitaire
- Caractériser la sensibilité particulière des données de géolocalisation
- Évaluer le nombre de personnes potentiellement impactées
- Constater l’ampleur du traitement via les applications partenaires
- Justifier la publicité par la transparence et le contrôle des données
Preuves retenues (ce qui a fait pencher la décision)
- Constatations d’investigation de la CNIL
- Utilisation d’un SDK sur des smartphones
- Collecte de données de géolocalisation sans consentement
- Intégration du SDK à des dizaines d’applications mobiles
- Collecte de 5 962 383 identifiants publicitaires distincts
Conséquences pratiques
- Mise en conformité avec les exigences de la mise en demeure
- Recueil préalable du consentement des personnes
- Renforcement de la transparence sur la collecte et ses finalités
- Contrôle des pratiques des éditeurs et annonceurs partenaires
- Publication de la clôture en cas de conformité complète
Checklist pour Avocats
À faire
- Identifier les données de géolocalisation collectées
- Recueillir le consentement avant tout traitement publicitaire
- Documenter les finalités et mécanismes de collecte
- Auditer le SDK et les applications partenaires
- Respecter le délai de trois mois
À éviter
- Collecter la géolocalisation sans consentement
- Masquer la finalité de ciblage publicitaire
- Ignorer l’ampleur des identifiants collectés
- Négliger les pratiques des partenaires mobiles
- Présenter la mise en demeure comme une sanction
FAQ / Q-R juridiques
La publicité d’une mise en demeure de la CNIL
La publicité est justifiée par la gravité du manquement, l’ampleur du traitement et la nécessité d’assurer la transparence sur la collecte et ses finalités. Elle est décidée par le bureau de la CNIL en application de l’article 45-II, dernier alinéa, de la loi n° 78-17 du 6 janvier 1978.
Le consentement au traitement des données de géolocalisation
La collecte de données de géolocalisation à des fins de ciblage publicitaire sans consentement constitue le manquement relevé au regard de l’article 45 de la loi n° 78-17 du 6 janvier 1978. La CNIL souligne le risque particulier pour la vie privée lié à la révélation des déplacements et habitudes de vie.
La nature non sanctionnatrice de la mise en demeure
La mise en demeure ne constitue pas une sanction. Si l’organisme respecte intégralement les exigences dans le délai de trois mois, la procédure est clôturée et cette clôture est également rendue publique. Les décisions sont anonymisées après deux ans.
Textes cités
n° 2018-288 du 5 juillet 2018 décidant de rendre publique la mise en demeure n°MED-2018-023 du 25 juin 2018 prise à l’encontre de la société X – Thématiques associées : RGDP / CNIL — géolocalisation publicitaire — Paternité des données brutes : Ministère de la justice / Cour de cassation — Licence Open Data — Date de dernière mise à jour des données réutilisées 7 octobre 2026.
RGPD & protection des données
Approfondir ce sujet :