Consentement publicitaire à l’utilisation de l’IDFV : validation par la CNIL d’un dispositif conforme

La formation restreinte constate la mise en place, lors de l’ouverture d’un jeu sur iOS, d’une fenêtre de consentement apparaissant avant la sollicitation ATT d’Apple. Cette fenêtre distingue la publicité personnalisée de la mesure de performance et de l’amélioration des jeux et applications. Les options sont positionnées par défaut sur l’absence de consentement, tandis qu’un second niveau d’information détaille les finalités, les partenaires destinataires et la possibilité de retirer le consentement.

L’information précise également les conséquences du refus, notamment l’accès à une version alternative du jeu comportant potentiellement davantage de publicités non ciblées. Ces éléments ont permis à la CNIL de considérer que le dispositif constituait un moyen valable de recueillir le consentement à l’utilisation de l’IDFV à des fins publicitaires et que l’injonction avait été exécutée dans le délai fixé. Aucune liquidation de l’astreinte n’a donc été prononcée.

La décision est rendue dans le cadre des articles 20 et suivants de la loi n° 78-17 du 6 janvier 1978, ainsi que du règlement (UE) 2016/679, sans référence à un article précis de ce règlement.

⬇️Télécharger la décision version officielle

La société a produit des éléments décrivant un dispositif déployé lors de l’ouverture d’un jeu sur un terminal iOS. Une première fenêtre, affichée avant la sollicitation ATT d’Apple, demandait le consentement à l’utilisation de données techniques, notamment l’identifiant publicitaire et l’adresse IP, pour proposer des publicités personnalisées, mesurer la performance des contenus et améliorer les jeux et applications.

Le dispositif prévoyait une absence de consentement par défaut, un second niveau d’information sur les finalités et les partenaires, ainsi que la possibilité de retirer le consentement. Le refus donnait accès à une version alternative du jeu avec des publicités non ciblées potentiellement plus nombreuses. La CNIL a considéré l’injonction exécutée dans le délai imparti et n’a pas liquidé l’astreinte.

• Mettre en place un moyen spécifique de recueil du consentement à l’utilisation de l’IDFV.
• Afficher la fenêtre de consentement avant la sollicitation ATT.
• Positionner par défaut les boutons sur l’absence de consentement.
• Distinguer les finalités de publicité personnalisée, mesure et amélioration.
• Présenter les partenaires destinataires et les modalités de retrait.
• Informer sur les conséquences du refus du consentement.
• Transmettre les justificatifs dans le délai fixé par l’injonction.

• Éléments transmis par la société le 14 avril 2023.
• Présentation du dispositif lors de l’ouverture d’un jeu sur iOS.
• Fenêtre de consentement précédant la sollicitation ATT.
• Boutons glissants paramétrés par défaut sur l’absence de consentement.
• Second niveau d’information sur les finalités et les partenaires.

• Absence de liquidation de l’astreinte de 20 000 euros par jour.
• Validation du dispositif de consentement à l’utilisation publicitaire de l’IDFV.
• Prise en compte de l’information sur les finalités et partenaires.
• Maintien d’une publication sur les sites de la CNIL et Légifrance.
• Désidentification de la société à l’issue du délai de deux ans.

À faire

• Afficher le consentement avant la sollicitation ATT.
• Paramétrer l’absence de consentement par défaut.
• Distinguer clairement les finalités publicitaires.
• Documenter les partenaires et le retrait du consentement.
• Transmettre les justificatifs dans le délai imparti.

À éviter

• Lire l’IDFV avant le recueil du consentement.
• Précocher ou activer le consentement par défaut.
• Confondre l’IDFV avec la sollicitation ATT.
• Omettre les conséquences du refus.
• Produire des justificatifs incomplets ou tardifs.

Le contrôle de l’exécution d’une injonction sous astreinte

La formation restreinte vérifie les éléments transmis par le débiteur pour déterminer si l’injonction a été exécutée dans le délai fixé. Lorsque la conformité est démontrée dans ce délai, aucune liquidation de l’astreinte n’est prononcée.

Le recueil du consentement à l’utilisation de l’IDFV

Le dispositif doit permettre de recueillir le consentement de l’utilisateur à l’utilisation de l’IDFV à des fins publicitaires. La CNIL retient ici la présence d’une fenêtre dédiée, affichée avant la sollicitation ATT, avec une absence de consentement par défaut.

Les exigences d’information liées au consentement

La conformité repose également sur la distinction des finalités, l’identification des partenaires destinataires, l’information sur le retrait du consentement et la présentation des conséquences du refus.