Protection des données dans les applications mobiles : contractualisation des traitements par SDK

La CNIL rappelle que l’éditeur et le fournisseur peuvent être responsables conjoints de la collecte réalisée au moyen du SDK. L’éditeur, responsable des traitements effectués dans l’application, doit disposer d’une vision claire et contractualisée des traitements opérés par le prestataire. Les traitements réalisés par un tiers pour son propre compte doivent également être encadrés contractuellement lorsqu’ils utilisent des données collectées via l’application.

La délibération n° 2024-061 est abrogée et remplacée par la recommandation modifiée annexée à la nouvelle délibération, publiée au Journal officiel. Cette opération vise à garantir l’accessibilité d’une version complète et consolidée sur Légifrance, en l’absence de fonctionnalité permettant d’y présenter simultanément la décision initiale et sa modification. La délibération est prise notamment au regard de l’article 8-I-2°-b de la loi n° 78-17 du 6 janvier 1978.

⬇️Télécharger la décision version officielle

La modification rappelle que l’éditeur et le fournisseur de SDK peuvent être responsables conjoints de la collecte opérée au moyen du SDK. L’éditeur doit disposer d’une vision claire et contractualisée des traitements réalisés par le prestataire. La version antérieure est abrogée et la recommandation modifiée est adoptée en annexe, afin de permettre sa publication complète sur Légifrance.

• Identifier les qualifications juridiques de chaque acteur intervenant via le SDK
• Déterminer si le fournisseur traite les données pour son propre compte
• Prévoir contractuellement la collecte réalisée au moyen du SDK
• Permettre à l’éditeur de connaître précisément les traitements du prestataire
• Qualifier la responsabilité conjointe lorsque l’éditeur et le fournisseur participent à la collecte

• Délibération n° 2024-061 du 18 juillet 2024
• Exemple modifié relatif à la lecture et au traitement de données de localisation
• Infographie sur l’articulation entre permission technique et consentement
• Mention préexistante relative aux traitements des tiers pour leur propre compte
• Recommandation modifiée annexée à la délibération

• Contractualiser les traitements propres du fournisseur de SDK
• Documenter la collecte réalisée à travers chaque SDK
• Qualifier la responsabilité de l’éditeur et du fournisseur
• Utiliser la recommandation modifiée comme référence opérationnelle
• Vérifier l’articulation entre permission technique et consentement

À faire

• Recenser les SDK intégrés dans l’application
• Identifier les traitements réalisés pour chaque compte
• Formaliser les traitements propres du fournisseur
• Qualifier les responsabilités dans la collecte
• Vérifier la cohérence du recueil du consentement

À éviter

• Laisser un traitement de SDK sans clause contractuelle
• Confondre permission technique et consentement
• Ignorer les traitements réalisés pour le compte du fournisseur
• Utiliser la recommandation abrogée
• Omettre la documentation des opérations de collecte

La contractualisation des traitements par SDK

Lorsqu’un fournisseur de SDK réalise des traitements pour son propre compte, cette intervention doit être prévue contractuellement avec l’éditeur dès l’intégration du SDK. La contractualisation est nécessaire lorsque l’éditeur et le fournisseur sont responsables conjoints de la collecte effectuée au moyen du SDK. Elle doit permettre à l’éditeur, responsable des traitements réalisés dans l’application, de disposer d’une vision claire des traitements opérés par le prestataire.

La responsabilité conjointe de la collecte par SDK

La recommandation modifiée précise que l’éditeur et le fournisseur de SDK peuvent être responsables conjoints de la collecte réalisée à travers le SDK. En revanche, l’éditeur n’est pas responsable des traitements effectués par un tiers pour son propre compte sur des données issues d’opérations de lecture ou d’écriture, sous réserve que la collecte utilisée soit prévue contractuellement entre eux.

L’abrogation d’une recommandation administrative antérieure

La délibération antérieure est abrogée et remplacée entièrement par la version modifiée annexée. Cette méthode vise à rendre accessible une version consolidée sur Légifrance, le fonds des décisions ne permettant pas de présenter simultanément une décision initiale et une décision modificative.