Publicité d’une mise en demeure CNIL pour collecte illicite de données de géolocalisation

L’article 45-II, dernier alinéa, permet au bureau de la Commission de statuer sur la publicité de cette mise en demeure. La publicité a été jugée justifiée par la gravité des manquements, le risque particulier pour la vie privée, le nombre massif de personnes potentiellement concernées et la nécessité d’assurer une transparence suffisante sur la collecte et les finalités poursuivies.

La décision rappelle que la mise en demeure ne constitue pas une sanction. Si l’organisme respecte intégralement les exigences dans le délai imparti, la procédure est clôturée et cette clôture est également rendue publique. La mise en demeure et la délibération sont anonymisées deux ans après leur publication.

⬇️Télécharger la décision version officielle

Le traitement enregistrait les données environ toutes les cinq minutes et concernait potentiellement une large partie de la population. Sur une journée, 1 635 402 identifiants publicitaires ont été collectés.

La présidente de la CNIL a mis en demeure la société de faire cesser les manquements dans un délai de trois mois. Le bureau de la Commission a ensuite décidé de rendre cette mise en demeure publique en raison de la gravité des manquements, du risque pour la vie privée et du nombre de personnes concernées. La mise en demeure ne constitue pas une sanction et sera anonymisée après deux ans.

• Constater un manquement à l’obligation de recueillir le consentement
• Établir un traitement de données de géolocalisation à des fins publicitaires
• Caractériser un risque particulier pour la vie privée
• Évaluer le nombre massif de personnes potentiellement concernées
• Prendre en compte la fréquence de collecte des données
• Garantir la transparence et le contrôle des personnes concernées

• Technologie SDK collectant les données via les smartphones
• Intégration du SDK dans des dizaines d’applications mobiles
• Collecte des données de géolocalisation environ toutes les cinq minutes
• Collecte de 1 635 402 identifiants publicitaires en une journée
• Constatations de la délégation de la CNIL

La société doit cesser les manquements dans le délai fixé par la mise en demeure, faute de quoi la procédure peut se poursuivre. Les personnes concernées bénéficient d’une transparence accrue, tandis que les professionnels du secteur sont alertés sur les exigences applicables aux dispositifs publicitaires fondés sur la géolocalisation.

• Respecter intégralement les exigences de la mise en demeure
• Recueillir le consentement avant toute collecte de géolocalisation
• Renforcer l’information sur les finalités du traitement
• Évaluer les flux entre éditeurs, SDK et annonceurs
• Anticiper la publicité de la clôture ou de la procédure

À faire

• Identifier les données de géolocalisation collectées
• Vérifier le recueil préalable du consentement
• Documenter les finalités de profilage publicitaire
• Mesurer la fréquence et l’ampleur des collectes
• Informer clairement les personnes concernées

À éviter

• Collecter la géolocalisation sans consentement
• Masquer les finalités publicitaires du traitement
• Sous-estimer le risque lié aux habitudes de déplacement
• Ignorer les responsabilités des éditeurs et annonceurs
• Laisser expirer le délai de mise en conformité

La publicité d’une mise en demeure fondée sur l’article 45

nLa publicité peut être décidée sur le fondement de l’article 45-II, dernier alinéa, de la loi du 6 janvier 1978 modifiée. Elle est justifiée ici par la gravité des manquements, le risque particulier pour la vie privée, l’ampleur du traitement et la nécessité d’assurer la transparence sur la collecte et ses finalités.n

Le consentement au traitement des données de géolocalisation

nLa collecte de données de géolocalisation à des fins de profilage et de ciblage publicitaire sans consentement constitue le manquement retenu. La Commission souligne que ces données révèlent les déplacements et les habitudes de vie des personnes, ce qui crée un risque particulier pour leur vie privée.n

La mise en demeure dépourvue de caractère sanctionnateur

nLa mise en demeure ne constitue pas une sanction. Si l’organisme respecte intégralement les exigences dans le délai imparti, aucune suite n’est donnée à la procédure et la clôture est également rendue publique. Les décisions sont anonymisées deux ans après leur publication.