L’essentiel
L’article 45-II, dernier alinéa, permet au bureau de la Commission de statuer sur la publicité de cette mise en demeure. La publicité a été jugée justifiée par la gravité des manquements, le risque particulier pour la vie privée, le nombre massif de personnes potentiellement concernées et la nécessité d’assurer une transparence suffisante sur la collecte et les finalités poursuivies.
La décision rappelle que la mise en demeure ne constitue pas une sanction. Si l’organisme respecte intégralement les exigences dans le délai imparti, la procédure est clôturée et cette clôture est également rendue publique. La mise en demeure et la délibération sont anonymisées deux ans après leur publication.
En résumé
- Publication de la mise en demeure en raison de manquements graves
- Consentement requis pour la géolocalisation à des fins publicitaires
- SDK collectant les données environ toutes les cinq minutes
- 1 635 402 identifiants publicitaires collectés en une journée
- Publicité destinée à garantir transparence et contrôle des personnes
Contexte de l’affaire
Le traitement enregistrait les données environ toutes les cinq minutes et concernait potentiellement une large partie de la population. Sur une journée, 1 635 402 identifiants publicitaires ont été collectés.
La présidente de la CNIL a mis en demeure la société de faire cesser les manquements dans un délai de trois mois. Le bureau de la Commission a ensuite décidé de rendre cette mise en demeure publique en raison de la gravité des manquements, du risque pour la vie privée et du nombre de personnes concernées. La mise en demeure ne constitue pas une sanction et sera anonymisée après deux ans.
Conditions / critères (ce que le juge vérifie)
- Constater un manquement à l’obligation de recueillir le consentement
- Établir un traitement de données de géolocalisation à des fins publicitaires
- Caractériser un risque particulier pour la vie privée
- Évaluer le nombre massif de personnes potentiellement concernées
- Prendre en compte la fréquence de collecte des données
- Garantir la transparence et le contrôle des personnes concernées
Preuves retenues (ce qui a fait pencher la décision)
- Technologie SDK collectant les données via les smartphones
- Intégration du SDK dans des dizaines d’applications mobiles
- Collecte des données de géolocalisation environ toutes les cinq minutes
- Collecte de 1 635 402 identifiants publicitaires en une journée
- Constatations de la délégation de la CNIL
Conséquences pratiques
La société doit cesser les manquements dans le délai fixé par la mise en demeure, faute de quoi la procédure peut se poursuivre. Les personnes concernées bénéficient d’une transparence accrue, tandis que les professionnels du secteur sont alertés sur les exigences applicables aux dispositifs publicitaires fondés sur la géolocalisation.
- Respecter intégralement les exigences de la mise en demeure
- Recueillir le consentement avant toute collecte de géolocalisation
- Renforcer l’information sur les finalités du traitement
- Évaluer les flux entre éditeurs, SDK et annonceurs
- Anticiper la publicité de la clôture ou de la procédure
Checklist pour Avocats
À faire
- Identifier les données de géolocalisation collectées
- Vérifier le recueil préalable du consentement
- Documenter les finalités de profilage publicitaire
- Mesurer la fréquence et l’ampleur des collectes
- Informer clairement les personnes concernées
À éviter
- Collecter la géolocalisation sans consentement
- Masquer les finalités publicitaires du traitement
- Sous-estimer le risque lié aux habitudes de déplacement
- Ignorer les responsabilités des éditeurs et annonceurs
- Laisser expirer le délai de mise en conformité
FAQ / Q-R juridiques
La publicité d’une mise en demeure fondée sur l’article 45
nLa publicité peut être décidée sur le fondement de l’article 45-II, dernier alinéa, de la loi du 6 janvier 1978 modifiée. Elle est justifiée ici par la gravité des manquements, le risque particulier pour la vie privée, l’ampleur du traitement et la nécessité d’assurer la transparence sur la collecte et ses finalités.n
Le consentement au traitement des données de géolocalisation
nLa collecte de données de géolocalisation à des fins de profilage et de ciblage publicitaire sans consentement constitue le manquement retenu. La Commission souligne que ces données révèlent les déplacements et les habitudes de vie des personnes, ce qui crée un risque particulier pour leur vie privée.n
La mise en demeure dépourvue de caractère sanctionnateur
nLa mise en demeure ne constitue pas une sanction. Si l’organisme respecte intégralement les exigences dans le délai imparti, aucune suite n’est donnée à la procédure et la clôture est également rendue publique. Les décisions sont anonymisées deux ans après leur publication.
Textes cités
n° 2018-287 du 5 juillet 2018 décidant de rendre publique la mise en demeure n°MED-2018-022 du 25 juin 2018 prise à l’encontre de la société X – Thématiques associées : RGDP / CNIL — collecte illicite — Paternité des données brutes : Ministère de la justice / Cour de cassation — Licence Open Data — Date de dernière mise à jour des données réutilisées 7 octobre 2026.
RGPD & protection des données
Approfondir ce sujet :