Protection des données personnelles et responsabilités dans les applications mobiles

La CNIL adopte une recommandation destinée à préciser l’application du règlement général sur la protection des données aux applications mobiles. Elle prend en compte la diversité des acteurs de l’écosystème — développeurs, fournisseurs de systèmes d’exploitation, gestionnaires de magasins, éditeurs de SDK et autres intervenants — ainsi que le partage possible des rôles et responsabilités entre eux.

La recommandation rappelle les difficultés propres aux applications mobiles : opacité des traitements, compréhension insuffisante des autorisations, accès aux capteurs et collecte potentiellement intrusive de données. Elle organise les obligations, recommandations et bonnes pratiques applicables aux cinq catégories d’acteurs identifiées, notamment en matière d’information des utilisateurs et de contrôle des accès aux données.

La délibération est fondée notamment sur l’article 8-I-2°-b de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. La recommandation, soumise à consultation publique puis adoptée, est publiée au Journal officiel.

⬇️Télécharger la décision version officielle

La CNIL a adopté une recommandation sur les applications mobiles, dont les capteurs permettent l’accès à de nombreuses données parfois sensibles. Après consultation publique, elle précise les rôles des développeurs, systèmes d’exploitation, magasins d’applications et fournisseurs de SDK, ainsi que les obligations et bonnes pratiques applicables à ces acteurs.

La Commission nationale de l’informatique et des libertés adopte une recommandation consacrée aux applications mobiles. Elle constate que ces applications constituent un moyen majeur d’accès aux contenus et services numériques et qu’elles peuvent accéder, grâce aux capteurs des téléphones, à des données personnelles nombreuses et parfois sensibles.

Les utilisateurs rencontrent des difficultés pour comprendre les collectes réalisées, leurs finalités et la portée des autorisations demandées. L’écosystème mobile réunit plusieurs catégories d’acteurs, notamment les développeurs, les fournisseurs de systèmes d’exploitation, les gestionnaires de magasins d’applications et les éditeurs de kits de développement logiciel.

Après consultation publique, la CNIL précise les règles applicables, la répartition des rôles et responsabilités ainsi que les obligations et bonnes pratiques propres à ces acteurs. La recommandation est adoptée et sa publication au Journal officiel est décidée.

• Identifier les traitements de données réalisés par l’application
• Déterminer les rôles respectifs des acteurs de l’écosystème mobile
• Préciser les finalités des collectes et des échanges de données
• Évaluer les accès aux capteurs et aux données du terminal
• Rendre les autorisations et informations compréhensibles pour l’utilisateur
• Appliquer les obligations du RGPD au contexte des applications mobiles

• Consultation publique préalable de la recommandation
• Identification des capteurs intégrés aux téléphones multifonctions
• Analyse des autorisations demandées par les applications
• Recensement des catégories d’acteurs et de leurs interactions

Les acteurs de l’écosystème mobile doivent intégrer la protection des données dans la conception, la fourniture et la distribution des applications. Les utilisateurs doivent disposer d’informations compréhensibles sur les collectes, leurs finalités et les autorisations sollicitées.

• Cartographier les acteurs et leurs responsabilités respectives
• Recenser les données accessibles depuis les capteurs du terminal
• Clarifier les finalités des collectes et des partages
• Présenter les autorisations de manière compréhensible
• Documenter les mesures de conformité au RGPD

À faire

• Identifier chaque traitement de données de l’application
• Recenser les accès aux capteurs du téléphone
• Définir les responsabilités de chaque intervenant
• Clarifier les finalités des collectes et partages
• Rendre les autorisations compréhensibles

À éviter

• Masquer l’existence des collectes de données
• Demander des autorisations insuffisamment expliquées
• Ignorer les échanges de données entre applications
• Négliger le rôle des fournisseurs techniques
• Traiter les capteurs comme des accès sans risque

La protection des données dans les applications mobiles

La recommandation rappelle que les traitements réalisés par les applications mobiles relèvent de la réglementation relative aux données à caractère personnel. Elle vise notamment la collecte d’informations par les capteurs du téléphone, la clarté des finalités et la compréhension des autorisations demandées aux utilisateurs.

La répartition des responsabilités entre acteurs de l’écosystème mobile

Les obligations doivent être examinées au regard des rôles respectifs des développeurs, fournisseurs de systèmes d’exploitation, gestionnaires de magasins d’applications, éditeurs de SDK et autres acteurs. La recommandation analyse le partage des rôles et responsabilités au sens du RGPD, y compris lorsque des applications peuvent échanger des données.

L’article 8-I-2°-b de la loi Informatique et Libertés

La délibération est notamment prise au visa de l’article 8-I-2°-b de la loi n° 78-17 du 6 janvier 1978. La recommandation adoptée précise, dans le contexte mobile, les obligations et bonnes pratiques destinées à assurer le respect des droits des utilisateurs.

Article 8-I-2°-b de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés