Consentement préalable et utilisation publicitaire de l’IDFV sur les applications mobiles

L’article 82 de la loi Informatique et Libertés impose un consentement préalable pour les opérations de lecture ou d’écriture d’informations dans le terminal d’un utilisateur, sauf si le traceur permet exclusivement une communication électronique ou est strictement nécessaire à un service demandé par l’utilisateur. Depuis le RGPD, ce consentement doit être libre, spécifique, éclairé et univoque, conformément à l’article 4, paragraphe 11, du RGPD.

La formation restreinte retient que l’IDFV, combiné à d’autres données techniques et d’utilisation, constitue une donnée à caractère personnel lorsqu’il permet de suivre l’activité au sein des applications d’un même éditeur à des fins publicitaires. La lecture de cet identifiant après le refus de la sollicitation ATT ne relève d’aucune exemption et prive ce refus d’effectivité.

L’information délivrée aux utilisateurs a également été jugée trompeuse : elle laissait croire à l’absence de suivi publicitaire alors que des données relatives aux habitudes de navigation étaient collectées pour personnaliser, même partiellement, les annonces. La responsabilité propre de l’éditeur n’est pas écartée par les contraintes imposées par la plateforme.

La CNIL a prononcé une amende de 3 millions d’euros sur le fondement de l’article 20, III, de la loi Informatique et Libertés, en tenant compte notamment de la gravité, du nombre de personnes concernées, de la portée du traitement et de l’avantage financier retiré, conformément à l’article 83, paragraphe 2, du RGPD. Une injonction de recueillir le consentement a été assortie d’une astreinte de 20 000 euros par jour après un délai de trois mois.

⬇️Télécharger la décision version officielle

Après le refus de la sollicitation publicitaire d’Apple, l’IDFV continuait d’être lu et transmis à des domaines publicitaires avec des informations techniques et d’utilisation. La CNIL a estimé que cette collecte poursuivait une finalité publicitaire, sans consentement préalable ni exemption applicable. Elle a prononcé une amende, une injonction de mise en conformité sous astreinte et la publicité de la décision.

La société X, éditrice de jeux mobiles, exploite des applications sur des terminaux équipés du système iOS. Lors d’un contrôle en ligne, la CNIL a examiné le parcours d’un utilisateur confronté à la sollicitation ATT relative au suivi publicitaire.

Après le refus de cette sollicitation, l’IDFA n’était pas lu, mais l’IDFV continuait d’être lu et transmis à des domaines publicitaires avec diverses informations techniques et données d’utilisation. La société reconnaissait la finalité publicitaire de cette opération.

La CNIL a estimé que cette collecte intervenait sans consentement préalable, qu’elle ne bénéficiait d’aucune exemption et que l’information fournie pouvait laisser croire à l’absence de tout suivi publicitaire. Après une procédure contradictoire, la formation restreinte a prononcé une amende, une injonction de mise en conformité sous astreinte et la publicité de la décision.

• Opération de lecture d’informations dans le terminal de l’utilisateur
• Finalité publicitaire poursuivie par l’utilisation de l’IDFV
• Consentement préalable libre, spécifique, éclairé et univoque absent
• Absence de finalité exclusive de communication électronique
• Absence de nécessité stricte pour fournir un service demandé
• Possibilité de suivre l’activité et les habitudes de navigation
• Information fournie ne correspondant pas au traitement réellement effectué

• Procès-verbal du contrôle en ligne réalisé sur un terminal iOS
• Constat de lecture et transmission de l’IDFV vers plusieurs domaines publicitaires
• Requêtes contenant les caractéristiques techniques du terminal
• Données relatives à l’application utilisée et au temps passé
• Fenêtre d’information affichée après le refus de la sollicitation ATT
• Écritures de la société reconnaissant la finalité publicitaire de l’IDFV

La société doit cesser la lecture publicitaire de l’IDFV sans consentement et démontrer sa mise en conformité. Le manquement entraîne une sanction financière importante, une injonction assortie d’une astreinte et la publicité de la décision.

• Recueillir un consentement préalable spécifique à l’utilisation publicitaire de l’IDFV
• Interrompre la lecture de l’IDFV en cas de refus utilisateur
• Réviser les informations affichées après le refus de l’ATT
• Transmettre les justificatifs de conformité dans le délai de trois mois
• Prévoir une astreinte de 20 000 euros par jour de retard
• Anticiper la publicité de la sanction pendant deux ans

À faire

• Identifier chaque lecture ou écriture effectuée dans le terminal
• Recueillir un consentement préalable, libre et spécifique
• Bloquer l’IDFV après tout refus de suivi publicitaire
• Réécrire l’information sur les finalités réellement poursuivies
• Conserver les preuves de consentement et de mise en conformité

À éviter

• Utiliser l’IDFV à des fins publicitaires sans consentement
• Assimiler le refus de l’ATT à un consentement implicite
• Présenter des publicités personnalisées comme non personnalisées
• Invoquer les contraintes d’une plateforme pour exclure sa responsabilité
• Dépasser le délai de trois mois fixé pour la conformité

Le consentement aux opérations de lecture des terminaux

L’article 82 de la loi Informatique et Libertés exige un consentement préalable pour lire ou inscrire des informations dans le terminal. Le consentement doit être libre, spécifique, éclairé et univoque au sens de l’article 4, paragraphe 11, du RGPD. La lecture de l’IDFV à des fins publicitaires après le refus de la sollicitation ATT ne relève d’aucune exception.

La qualification de l’IDFV comme donnée personnelle

L’IDFV, combiné à des informations relatives au terminal et à son utilisation, permet de suivre l’activité de l’utilisateur dans les applications d’un même éditeur et de personnaliser les publicités. Il constitue donc une donnée à caractère personnel dans les circonstances examinées.

Les critères de l’amende administrative

La CNIL a appliqué l’article 20, III, de la loi Informatique et Libertés et les critères de l’article 83, paragraphe 2, du RGPD. Elle a retenu la gravité du manquement, le nombre de personnes concernées, la portée de la collecte, l’information trompeuse et l’avantage financier tiré du traitement.

Article 82 de la loi n° 78-17 du 6 janvier 1978, Article 20, III, de la loi n° 78-17 du 6 janvier 1978, Article 4, paragraphe 7, du RGPD, Article 4, paragraphe 11, du RGPD, Article 83 du RGPD