La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Anne DEBET, Madame Christine MAUGÜÉ et Monsieur Alain DRU, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2021-194C de la présidente de la CNIL du 29 juin 2021 de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société X ou pour son compte ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 20 juin 2022 ;

Vu le rapport de Monsieur Claude CASTELLUCCIA, commissaire rapporteur, notifié à la société X le 22 juillet 2022 ;

Vu les observations écrites versées par la société X le 26 septembre 2022 ;

Vu la réponse du rapporteur à ces observations notifiée le 21 octobre 2022 au conseil de la société ;

Vu les observations écrites de la société X reçues le 21 novembre 2022 ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 8 décembre 2022 :

– Monsieur Claude CASTELLUCCIA, commissaire, entendu en son rapport ;

En qualité de représentants de la société X :

– […]

La société X ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. Faits et procédure

1. Créée en 2013, la société X (ci-après  » la société « ), spécialisée dans l’édition de jeux pour téléphone, est une société par actions simplifiée dont le siège social est situé […]. En septembre 2021, le groupe X, qui comporte une vingtaine de sociétés, employait […] personnes en France, dont […] au sein de la société X. La société détient plusieurs filiales au sein de plusieurs États membres de l’Union européenne dont l’activité exclusive est le développement de jeux mobiles qui sont ensuite publiés et exploités par la société X.

2. En 2020, la société X a réalisé un chiffre d’affaires de plus de […] euros pour un résultat de près de […] euros. En 2021, son chiffre d’affaires s’est élevé à environ […] euros pour un résultat net supérieur à […] euros.

3. En application de la décision n° 2021-194C de la présidente de la CNIL du 29 juin 2021, une délégation de la Commission a procédé à un contrôle en ligne le 19 août 2021 à la fois sur  » www.X.io  » à partir d’un ordinateur et sur l’application « X » à partir d’un téléphone de marque APPLE. Il avait notamment pour objet de constater les cookies et traceurs déposés et/ou lus par la société X. A cette occasion, la délégation a suivi le parcours d’un utilisateur qui télécharge une application éditée par la société X puis l’ouvre pour la première fois sur son téléphone. Elle a constaté qu’à l’ouverture de l’application, une première fenêtre conçue par la société APPLE et dénommée  » App Tracking Transparency  » (ci-après  » la sollicitation ATT « ) est présentée à l’utilisateur afin d’obtenir son consentement au suivi de ses activités sur les applications téléchargées sur son téléphone. Ensuite, elle a constaté que quel que soit le choix exprimé par l’utilisateur en réponse à la  » sollicitation ATT  » une seconde fenêtre relative au suivi publicitaire effectué par X lui est présentée. La délégation a alors suivi deux scénarios, l’un dans lequel l’accord est donné à la  » sollicitation ATT  » et l’autre dans lequel la  » sollicitation ATT  » est refusée. Le procès-verbal n° 2021-194/1, dressé par la délégation à l’issue du contrôle, a été notifié à la société X le jour-même.

4. Le 2 septembre 2021, une mission de contrôle sur pièces a également été réalisée par l’envoi d’un questionnaire auquel la société a répondu le 21 septembre 2021.

5. Une demande de complément d’informations a été adressée à la société le 17 janvier 2022, laquelle y a répondu le 31 janvier 2022.

6. Aux fins d’instruction de ces éléments, la présidente de la Commission a désigné Monsieur Claude CASTELLUCCIA en qualité de rapporteur, le 20 juin 2022, sur le fondement de l’article 39 du décret n° 2019-536 du 29 mai 2019 modifié.

7. Le 18 juillet 2022, à la demande du rapporteur et sur décision de la présidente de la CNIL, de nouvelles vérifications en ligne ont été réalisées à la fois sur le site  » www.X.io  » à partir d’un ordinateur et sur onze applications à partir d’un téléphone de marque APPLE, à savoir  » X  » ;  » X  » ;  » X  » ;  » X  » ;  » X  » ;  » X  » ;  » X  » ;  » X  » ;  » X  » ; » X » et  » X « , présentées sur le site web précité comme étant les plus téléchargées.

8. Le 22 juillet 2022, le rapporteur a fait notifier à la société un rapport détaillant le manquement à l’article 82 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la  » loi Informatique et Libertés « ) qu’il estimait constitué en l’espèce. Ce rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société, ainsi qu’une injonction, assortie d’une astreinte, de cesser d’utiliser l’ » identifier for vendors  » (ci-après  » IDFV « ) des terminaux à des fins publicitaires en l’absence de consentement de l’utilisateur. Il proposait également que la décision de sanction soit rendue publique, mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

9. Le 26 septembre 2022, la société a produit ses observations en réponse au rapport de sanction.

10. Le rapporteur a répondu aux observations de la société le 21 octobre 2022.

11. Le 21 novembre 2022, la société a produit de nouvelles observations en réponse à celles de la rapporteure.

12. Par courrier du 22 novembre 2022, le rapporteur a informé le conseil de la société que l’instruction était close, en application de l’article 40, III, du décret modifié n°2019-536 du 29 mai 2019.

13. Par courrier du même jour, le conseil de la société a été informé que le dossier était inscrit à l’ordre du jour de la formation restreinte du 8 décembre 2022.

14. Le rapporteur et la société ont présenté des observations orales lors de la séance de la formation restreinte.

II. Motifs de la décision

A. Sur les traitements de données à caractère personnel en cause et la responsabilité de la société X

15. S’agissant des traitements en cause, la formation restreinte note que la procédure porte sur les opérations de lecture et d’écriture effectuées sur l’équipement terminal des utilisateurs et qui relèvent du champ d’application de la directive  » ePrivacy « , en particulier, la lecture de l’ » Identifier For Advertisers  » (ci-après  » IDFA « ) et de l’IDFV, du terminal des utilisateurs embarquant le système d’exploitation iOS.

16. L’IDFA est un identifiant unique attribué à chaque appareil par le système d’exploitation iOS de la société APPLE. Il s’agit d’une série de caractères hexadécimaux créée dans le but de permettre aux acteurs publicitaires d’identifier l’appareil de manière unique dans l’ensemble des applications mobiles installées qui utilisent cet identifiant.

17. L’IDFV est quant à lui un identifiant qui est mis à la disposition des éditeurs par APPLE, leur servant à suivre l’utilisation de leurs applications par les utilisateurs. Contrairement à l’IDFA, l’IDFV n’a la même valeur que pour les applications identifiées comme provenant du même éditeur. L’IDFV est ainsi distinct pour chaque éditeur d’application, mais identique pour toutes les applications distribuées par un même éditeur.

18. S’agissant de la responsabilité de ces traitements, la formation restreinte relève, tout d’abord, que l’article 4, paragraphe 7, du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (ci-après  » RGPD « ) est applicable à la présente procédure en raison du recours à la notion de  » responsable de traitement  » dans l’article 82 de la loi Informatique et Libertés, lequel est justifié par le renvoi opéré par l’article 2 de la directive  » ePrivacy  » à la directive 95/46/CE sur la protection des données personnelles à laquelle s’est substitué le RGPD.

19. Aux termes de l’article 4, paragraphe 7, du RGPD, le responsable de traitement est  » la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement « .

20. La formation restreinte relève ensuite qu’il ressort des éléments versés au dossier que la société X indique qu’elle détermine les finalités et les moyens des traitements des données à caractère personnel des utilisateurs des applications. Les éléments au dossier corroborent cette déclaration.

21. La société X doit donc être regardée comme responsable du traitement consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation des applications qu’elle édite.

B. Sur la procédure

22. La société considère que la procédure suivie par la CNIL ne respecte pas le principe du droit à un procès équitable dans la mesure où le rapporteur n’aurait pas conduit son instruction à charge et à décharge. La société considère que le rapporteur n’aurait pas pris en compte les chiffres qu’elle a fournis le 3 août 2022 relatifs au nombre d’utilisateurs des applications X visées par le contrôle, lesquels sont bien plus représentatifs du nombre de personnes concernées que le nombre de téléchargements sur lequel se fonde le rapporteur dans son rapport initial. Compte tenu de ces éléments, la société demande à la formation restreinte d’écarter des débats le procès-verbal de contrôle du 18 juillet 2022.

23. En premier lieu, la formation restreinte relève que, si la procédure de sanction est bien soumise à certaines exigences du droit à un procès équitable, la société n’apporte pas d’élément tendant à démontrer que la procédure en cause n’aurait pas respecté les droits de la défense.

24. En second lieu, s’agissant des chiffres relatifs au nombre de téléchargements ou d’utilisateurs uniques actifs en France sur iOS, la formation restreinte relève qu’ainsi qu’il l’a exposé en séance, le rapporteur a fait mention du nombre de téléchargements des applications X afin de mettre en avant le nombre de personnes potentiellement concernées par le manquement qu’il estime constitué. Elle note par ailleurs que la phase de contradictoire entre le rapporteur et la société X a permis que soient versés aux débats des chiffres relatifs au nombre de personnes concernées et, qu’en séance, le rapporteur a pris en compte cette volumétrie afin de moduler le montant de l’amende proposée.

25. Au regard de ces éléments, la formation restreinte estime que la procédure n’est pas entachée d’irrégularité.

C. Sur le manquement à l’article 82 de la loi Informatique et Libertés

26. Aux termes de l’article 82 de la loi Informatique et Libertés, transposant l’article 5, paragraphe 3, de la directive  » ePrivacy « ,  » tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant :

1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;

2° Des moyens dont il dispose pour s’y opposer.

Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.

Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur :

1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;

2° Soit, est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur « .

27. Depuis l’entrée en application du RGPD, le  » consentement  » prévu à l’article 82 précité doit s’entendre au sens de l’article 4, paragraphe 11 du RGPD, c’est-à-dire qu’il doit être donné de manière libre, spécifique, éclairée et univoque et se manifester par un acte positif clair.

28. La CNIL a précisé dans sa délibération n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l’application de l’article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et écriture dans le terminal d’un utilisateur (notamment aux  » cookies et autres traceurs « ) et abrogeant la délibération n° 2019-093 du 4 juillet 2019 :  » les présentes lignes directrices concernent tous les équipements terminaux visés par cette définition, quels que soient les systèmes d’exploitation ou les logiciels applicatifs (tels que les navigateurs web) utilisés. Elles portent, en particulier, sur l’utilisation des cookies HTTP, par lesquels ces actions de lecture ou écriture sont le plus souvent réalisées, mais également d’autres technologies telles que […] les identifiants générés par les systèmes d’exploitation (qu’ils soient publicitaires ou non : IDFA, IDFV, Android ID, etc.), les identifiants matériels (adresse MAC, numéro de série ou tout autre identifiant d’un appareil), etc.  » (§§ 12 et 13).

29. Le rapporteur observe que lors du contrôle réalisé le 19 août 2021 sur un appareil de la marque APPLE embarquant le système d’exploitation iOS, lorsqu’un utilisateur ouvre pour la première fois une application éditée par la société X, la  » sollicitation ATT  » est présentée à l’utilisateur afin d’obtenir son consentement au suivi de ses activités sur les applications téléchargées sur son téléphone. L’utilisateur a alors la possibilité de cliquer sur  » Demander à l’app de ne pas suivre mes activités  » ou sur  » Autoriser « . Quel que soit le choix exprimé par l’utilisateur en réponse à la  » sollicitation ATT « , une seconde fenêtre, propre à la société X, lui est présentée. Lorsque l’utilisateur clique sur  » Demander à l’app de ne pas suivre mes activités « , la fenêtre qui lui est ensuite présentée par la société X ne contient aucun bouton ou case à cocher destinés à un recueillir son consentement à d’autres formes d’annonces personnalisées. L’utilisateur doit uniquement certifier être âgé de plus de seize ans et accepter la politique de protection des données à caractère personnel de la société.

30. Le rapporteur note que, dans ce scénario, l’IDFA, qui est l’identifiant publicitaire d’APPLE, n’est pas lu mais est remplacé par une chaîne de zéros ( » 00000000-0000-0000-0000-000000000000 « ). En revanche, il constate que l’IDFV est quant à lui lu et transmis à des domaines ayant des finalités publicitaires, avec d’autres informations propres à l’appareil (langue du système, modèle de l’appareil, luminosité de l’écran, niveau de la batterie, espace mémoire disponible notamment) et à son utilisation (application utilisée et temps passé), sans que l’utilisateur ait donné son consentement à cette opération. Il observe que la société X ne conteste pas la finalité publicitaire de cette opération de lecture et il en conclut qu’en utilisant l’identifiant IDFV à cette fin sans consentement préalable de l’utilisateur, la société X méconnaît les obligations de l’article 82 de la loi Informatique et Libertés. Le rapporteur relève en outre que le manquement commis par la société X est d’une particulière gravité dans la mesure où l’information qu’elle présente à l’utilisateur est trompeuse. En effet, lorsque l’utilisateur a refusé la  » sollicitation ATT « , la seconde fenêtre présentée à l’utilisateur contient un texte lui indiquant que les paramètres de son téléphone  » empêchent le suivi à des fins de personnalisation des annonces et publicités en fonction de l’identifiant publicitaire de votre appareil « . Le rapporteur considère dès lors que l’utilisateur s’attend légitimement à ce qu’aucun suivi, quel que soit sa forme, ne soit effectué à des fins publicitaires.

31. En défense, la société conteste l’affirmation du rapporteur selon laquelle la  » sollicitation ATT  » n’est plus présentée à l’utilisateur qui a téléchargé plusieurs applications X dès lors qu’il a refusé le suivi publicitaire à l’occasion de l’ouverture de la première application. Elle précise que la  » sollicitation ATT  » est présentée à l’utilisateur à chaque téléchargement d’une nouvelle application X, sauf si l’utilisateur a désactivé l’option  » Autoriser les demandes de suivi des apps  » disponible dans les réglages  » Confidentialité  » /  » Suivi  » de son iPhone et non pas une seule fois pour toutes les applications X. Elle considère que son dispositif de recueil du consentement à l’utilisation des identifiants à des fins publicitaires et l’information fournie aux utilisateurs sont partiellement conformes aux dispositions de l’article 82 de loi Informatique et Libertés. La société indique que, s’agissant de l’information fournie aux utilisateurs, celle-ci est certes maladroite, mais ne saurait pour autant être qualifiée de trompeuse et ne présente pas le caractère de gravité souligné par le rapporteur. En effet, si, dans la fenêtre qu’elle affiche, la société mentionne qu’elle collecte des données pour une  » finalité de publicité non ciblée  »  » en fonction [des] habitudes de navigation  » des utilisateurs, cette information doit s’interpréter par rapport au traçage des  » habitudes de navigation  » rendu possible par l’IDFA qui permet un suivi à travers toutes les applications téléchargées par un utilisateur sur son terminal embarquant le système d’exploitation iOS. La société fait valoir que par contraste, lorsqu’il est collecté, l’IDFV ne permet qu’un suivi parmi les applications proposées par un même éditeur. La société indique que c’est en ce sens que la société X affirmait ne pas faire de  » suivi  » des utilisateurs en cas de refus de l’ATT.

32. En premier lieu, la formation restreinte rappelle que l’article 82 de la loi Informatique et Libertés exige un consentement aux opérations de lecture et d’écriture d’informations dans le terminal d’un utilisateur mais prévoit des cas spécifiques dans lesquels certains traceurs bénéficient d’une exemption au consentement : soit lorsque celui-ci a pour finalité exclusive de permettre ou faciliter la communication par voie électronique, soit lorsqu’il est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.

33. En l’espèce, la formation restreinte relève que la société ne conteste pas qu’une opération de lecture de l’IDFV propre au terminal de l’utilisateur est réalisée lorsque celui-ci refuse la  » sollicitation ATT  » – laquelle sollicitation permet, lorsqu’elle est acceptée, de recueillir le consentement de l’utilisateur au suivi de ses activités sur les applications téléchargées. La société confirme également que la lecture de l’IDFV des utilisateurs poursuit une finalité publicitaire.

34. La formation restreinte relève que cette opération n’a ainsi pas pour finalité de permettre ou de faciliter la communication par voie électronique et n’est pas strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur. Par conséquent, une telle opération de lecture de l’IDFV ne relève d’aucune des exceptions définies à l’article 82 de la loi  » Informatique et Libertés  » et ne peut être effectuée sur le terminal de la personne sans consentement préalable.

35. La formation restreinte considère que, quand bien même l’IDFV ne permet pas un traçage aussi étendu que celui rendu possible par l’IDFA, il n’en demeure pas moins que, comme cela ressort des pièces du dossier et des écritures de la société et en particulier de la fenêtre qu’elle présente à l’utilisateur, que cet identifiant permet de suivre l’activité de l’utilisateur au sein des applications édités par X à des fins publicitaires et sans l’accord préalable des intéressés. La formation restreinte note de surcroît qu’en refusant la  » sollicitation ATT « , l’utilisateur a déjà exprimé sa volonté que son activité ne soit pas suivie par quel qu’acteur que ce soit. Ainsi, le fait pour la société de tout de même procéder à des opérations de lecture et/ou d’écriture à des fins publicitaires prive d’effectivité le choix exprimé par l’utilisateur.

36. En deuxième lieu, la formation restreinte relève qu’en cas de refus de la  » sollicitation ATT « , l’information suivante est présentée à l’utilisateur :  » Vous avez désactivé le suivi publicitaire sur votre terminal  » (en rouge) et  » La protection des données est un enjeu primordial pour X et nous respectons votre choix. Veuillez noter que les paramètres de votre appareil empêchent le suivi à des fins de personnalisation des annonces et publicités en fonction de l’identifiant publicitaire de votre appareil. D’autres données techniques n’impliquant pas de suivi (telles que des informations liées au type d’appareil, au type de connexion ou à son adresse IP par exemple) peuvent toujours être collectées tel que décrit dans notre politique de confidentialité, notamment pour vous permettre de profiter de nos jeux mais aussi pour que nous puissions continuer à améliorer et résoudre les problèmes potentiels de nos jeux (finalité d’analyse et de correction) et à vous proposer des publicités non-personnalisées en fonction de vos habitudes de navigation (finalité de publicité non ciblée) « . La formation restreinte considère que l’utilisateur qui prend connaissance de ces informations peut légitimement s’attendre à ce qu’aucun suivi de son activité ne soit effectué à des fins de personnalisation des annonces. En outre, la formation restreinte observe que les termes employés dans cette fenêtre ne correspondent pas à la réalité du traitement effectué par la société. En effet, la société indique collecter des  » données techniques n’impliquant pas de suivi  » afin de proposer  » des publicités non personnalisées en fonction de vos habitudes de navigation « . Or, la formation restreinte considère que le fait de collecter des informations sur les  » habitudes de navigation  » des utilisateurs afin de leur proposer des publicités fait nécessairement obstacle à ce que ces publicités puissent être qualifiées de  » non personnalisées « , quand bien même les données associées à l’identifiant ne permettent qu’une faible personnalisation, limitée au contexte de l’application utilisée. Elle considère ainsi que l’information est de nature à induire en erreur les utilisateurs quant aux conséquences du refus de la  » sollicitation ATT « .

37. Au regard de ce qui précède, la formation restreinte considère qu’en utilisant l’identifiant IDFV, à des fins publicitaires sans consentement de l’utilisateur, la société X méconnaît les obligations de l’article 82 de la loi Informatique et Libertés.

III. Sur les mesures correctrices et leur publicité

38. Aux termes de l’article 20, III, de la loi du 6 janvier 1978 modifiée,  » Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut également, le cas échéant après lui avoir adressé l’avertissement prévu au I du présent article ou, le cas échéant en complément d’une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : […]

2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l’État, d’une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; […]

7° A l’exception des cas où le traitement est mis en œuvre par l’État, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. […] La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83 « .

39. L’article 83 du RGPD prévoit quant à lui que  » chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives « , avant de préciser les éléments devant être pris en compte pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.

A. Sur le prononcé d’une amende administrative et son montant

40. En défense, la société fait valoir que la proposition d’amende du rapporteur est insuffisamment motivée. Elle rappelle ensuite que le cadre juridique applicable aux traceurs a évolué de façon constante, pour partie imprévisible et hétérogène aux niveaux français et européen de 2019 à 2021.

41. Elle met également en avant les contraintes auxquelles son activité économique est soumise et notamment sa situation de dépendance et de vulnérabilité vis-à-vis des plateformes en situation de monopole qui contrôlent les magasins d’application. Elle rappelle que l’obligation d’utiliser la  » sollicitation ATT  » a contraint les éditeurs d’applications à développer leur propre dispositif de recueil du consentement qui doit s’appliquer en plus de la fenêtre ATT. Selon la société, APPLE a ainsi forcé les éditeurs  » à adopter des modalités de recueil du consentement peu satisfaisantes car complexes pour l’utilisateur « . Elle souligne que ses revenus dépendent quasi exclusivement de l’affichage de publicités.

42. Elle considère que tout manquement qu’elle aurait commis ne serait que d’une portée limitée dans la mesure où les données collectées ne sont pas directement identifiantes, ne sont pas intrusives, voire ne constituent pas des données à caractère personnel. Elle souligne que la durée de la collecte est très courte, en moyenne 17,4 minutes par mois par utilisateur, que le traitement en cause a été mis en œuvre récemment puisque l’ATT date d’avril 2021 et que le manquement ne concernerait que les utilisateurs disposant du système d’exploitation iOS qui n’auraient pas consenti à la  » sollicitation ATT « , soit un nombre de personnes concernées largement inférieur au nombre de téléchargements avancé par le rapporteur.

43. Enfin, la société considère que le prononcé d’une sanction à son égard ne serait pas cohérent avec le plan d’action dévoilé le 24 novembre par la CNIL dont l’objectif est d’accompagner les acteurs de l’écosystème des applications mobiles.

44. La formation restreinte rappelle que l’article 20, paragraphe III, de la loi Informatique et Libertés lui donne compétence pour prononcer diverses sanctions, notamment des amendes administratives dont le montant maximal peut être équivalant à 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent réalisé par le responsable de traitement ou à 10 millions d’euros. Elle ajoute que la détermination du montant de ces amendes s’apprécie au regard des critères précisés par l’article 83 du RGPD.

45. La formation restreinte relève ensuite que l’ensemble des écritures qui ont été portées à sa connaissance, tant par le rapporteur que par la société, contiennent l’ensemble des éléments permettant d’apprécier le montant de l’amende proposée.

46. En premier lieu, s’agissant des contraintes générées par la mise en place de la  » sollicitation ATT « , la formation restreinte considère que cette circonstance ne saurait exonérer la société de sa responsabilité propre : en l’absence d’un consentement exprès de l’utilisateur, la formation restreinte considère que la société ne peut pas procéder à des opérations de lecture dans le terminal de ce dernier à des fins publicitaires.

47. En deuxième lieu, la formation restreinte souligne qu’il convient, en l’espèce, de faire application du critère prévu à l’alinéa a) de l’article 83, paragraphe 2, du RGPD relatif à la gravité du manquement compte tenu de la portée du traitement et du nombre de personnes concernées par ce dernier.

48. La formation restreinte relève, tout d’abord, qu’en ne recueillant pas le consentement des utilisateurs à la lecture de l’IDFV, la société les prive de la possibilité d’exercer leur choix conformément aux dispositions de l’article 82 précité. En outre, elle observe que le manquement est aggravé par le fait que l’information présentée à l’utilisateur qui a refusé la  » sollicitation ATT  » lui laisse légitimement penser qu’il ne fera l’objet d’aucune forme de traçage.

49. S’agissant du nombre de personnes concernées, la formation restreinte note qu’il ressort des chiffres transmis par la société dans ses dernières écritures que les onze applications ayant fait l’objet du contrôle comptent au total 5,8 millions d’utilisateurs en France sur iOS entre avril 2021 et juillet 2022. La formation restreinte note que s’il ne s’agit pas nécessairement de 5,8 millions d’utilisateurs uniques et que, selon la société, 43 % d’entre eux acceptent le suivi de leurs activités, il n’en demeure pas moins que ce volume important de personnes reflète la place centrale occupée par la société dans le secteur des jeux sur téléphone, laquelle revendique sur son site web 150 millions d’utilisateurs actifs par mois dans le monde, faisant d’elle l’une des principales entreprises du secteur.

50. S’agissant enfin de la portée du manquement, la formation restreinte considère que le fait que chaque utilisateur ne joue en moyenne que 17 minutes par mois ne signifie pas pour autant que la quantité de données collectée serait insignifiante. Elle observe que lors des contrôles effectués par la délégation de la CNIL, celle-ci n’a ouvert les applications X que durant quelques minutes mais a néanmoins constaté, d’une part, que de nombreuses requêtes contenant l’IDFV du terminal utilisé ont été adressées à plusieurs domaines publicitaires et que, d’autre part, ces requêtes contenaient des informations liées aux caractéristiques techniques du terminal (langue du système, modèle de l’appareil, luminosité de l’écran, niveau de la batterie, espace mémoire disponible notamment) et à son utilisation (application utilisée et temps passé). Ainsi, l’utilisation d’un jeu X même durant un laps de temps limité se traduit par une collecte de données, alimentant un traitement à vocation publicitaire, collecte significative pour l’utilisateur.

51. La formation restreinte rappelle en outre que l’IDFV, en ce qu’il est combiné à d’autres informations caractéristiques du terminal de l’utilisateur, permet, comme l’indique la société dans la fenêtre qu’elle présente, de suivre  » les habitudes de navigation  » des personnes et en particulier les catégories de jeu qu’elles privilégient, afin justement de personnaliser les annonces vues par chacune d’entre elles. L’IDFV constitue bien, dans ces circonstances, une donnée à caractère personnel.

52. En troisième lieu, la formation restreinte estime qu’il convient également de faire application du critère prévu à l’alinéa k) de l’article 83, paragraphe 2, du RGPD relatif à toute autre circonstance applicable aux circonstances de l’espère et aux avantages financiers obtenus du fait du manquement.

53. La formation restreinte relève que le modèle d’affaires de la société repose quasi exclusivement sur la publicité, puisque plus de […] de ses rev