L’essentiel
La CNIL rappelle que l’éditeur et le fournisseur peuvent être responsables conjoints de la collecte réalisée au moyen du SDK. L’éditeur, responsable des traitements effectués dans l’application, doit disposer d’une vision claire et contractualisée des traitements opérés par le prestataire. Les traitements réalisés par un tiers pour son propre compte doivent également être encadrés contractuellement lorsqu’ils utilisent des données collectées via l’application.
La délibération n° 2024-061 est abrogée et remplacée par la recommandation modifiée annexée à la nouvelle délibération, publiée au Journal officiel. Cette opération vise à garantir l’accessibilité d’une version complète et consolidée sur Légifrance, en l’absence de fonctionnalité permettant d’y présenter simultanément la décision initiale et sa modification. La délibération est prise notamment au regard de l’article 8-I-2°-b de la loi n° 78-17 du 6 janvier 1978.
En résumé
- Abrogation de la recommandation antérieure et adoption d’une version modifiée
- Contractualisation des traitements réalisés pour le propre compte du fournisseur de SDK
- Responsabilité conjointe de l’éditeur et du fournisseur lors de la collecte
- Clarification de l’articulation entre permission technique et consentement
- Publication de la recommandation modifiée au Journal officiel
Contexte de l’affaire
La modification rappelle que l’éditeur et le fournisseur de SDK peuvent être responsables conjoints de la collecte opérée au moyen du SDK. L’éditeur doit disposer d’une vision claire et contractualisée des traitements réalisés par le prestataire. La version antérieure est abrogée et la recommandation modifiée est adoptée en annexe, afin de permettre sa publication complète sur Légifrance.
Conditions / critères (ce que le juge vérifie)
- Identifier les qualifications juridiques de chaque acteur intervenant via le SDK
- Déterminer si le fournisseur traite les données pour son propre compte
- Prévoir contractuellement la collecte réalisée au moyen du SDK
- Permettre à l’éditeur de connaître précisément les traitements du prestataire
- Qualifier la responsabilité conjointe lorsque l’éditeur et le fournisseur participent à la collecte
Preuves retenues (ce qui a fait pencher la décision)
- Délibération n° 2024-061 du 18 juillet 2024
- Exemple modifié relatif à la lecture et au traitement de données de localisation
- Infographie sur l’articulation entre permission technique et consentement
- Mention préexistante relative aux traitements des tiers pour leur propre compte
- Recommandation modifiée annexée à la délibération
Conséquences pratiques
- Contractualiser les traitements propres du fournisseur de SDK
- Documenter la collecte réalisée à travers chaque SDK
- Qualifier la responsabilité de l’éditeur et du fournisseur
- Utiliser la recommandation modifiée comme référence opérationnelle
- Vérifier l’articulation entre permission technique et consentement
Checklist pour Avocats
À faire
- Recenser les SDK intégrés dans l’application
- Identifier les traitements réalisés pour chaque compte
- Formaliser les traitements propres du fournisseur
- Qualifier les responsabilités dans la collecte
- Vérifier la cohérence du recueil du consentement
À éviter
- Laisser un traitement de SDK sans clause contractuelle
- Confondre permission technique et consentement
- Ignorer les traitements réalisés pour le compte du fournisseur
- Utiliser la recommandation abrogée
- Omettre la documentation des opérations de collecte
FAQ / Q-R juridiques
La contractualisation des traitements par SDK
Lorsqu’un fournisseur de SDK réalise des traitements pour son propre compte, cette intervention doit être prévue contractuellement avec l’éditeur dès l’intégration du SDK. La contractualisation est nécessaire lorsque l’éditeur et le fournisseur sont responsables conjoints de la collecte effectuée au moyen du SDK. Elle doit permettre à l’éditeur, responsable des traitements réalisés dans l’application, de disposer d’une vision claire des traitements opérés par le prestataire.
La responsabilité conjointe de la collecte par SDK
La recommandation modifiée précise que l’éditeur et le fournisseur de SDK peuvent être responsables conjoints de la collecte réalisée à travers le SDK. En revanche, l’éditeur n’est pas responsable des traitements effectués par un tiers pour son propre compte sur des données issues d’opérations de lecture ou d’écriture, sous réserve que la collecte utilisée soit prévue contractuellement entre eux.
L’abrogation d’une recommandation administrative antérieure
La délibération antérieure est abrogée et remplacée entièrement par la version modifiée annexée. Cette méthode vise à rendre accessible une version consolidée sur Légifrance, le fonds des décisions ne permettant pas de présenter simultanément une décision initiale et une décision modificative.
Textes cités
RGPD & protection des données
Approfondir ce sujet :