Consentement RGPD et clôture d’une mise en demeure relative aux SDK et bid requests

La clôture intervient après la prise en compte des mesures correctrices communiquées par la société X. Pour les traitements reposant sur les SDK, la fenêtre contextuelle présente chaque finalité au premier niveau et permet à l’utilisateur d’accepter, de refuser ou d’enregistrer ses choix. La Commission considère que ces modalités permettent un consentement informé, spécifique et univoque pour la publicité géolocalisée.

Pour les bid requests, l’organisme s’engage à ne traiter que les données d’utilisateurs ayant consenti au moyen d’une CMP dont la conformité a été préalablement vérifiée. La clôture est publiée selon les mêmes modalités que la mise en demeure, sur les sites de Légifrance et de la CNIL.

Cette clôture demeure limitée au périmètre de la mise en demeure et ne préjuge pas de la conformité du consentement recueilli pour les autres finalités. La persistance ou la réitération des manquements pourrait conduire à une procédure de sanction, conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée.

⬇️Télécharger la décision version officielle

La société a présenté une nouvelle fenêtre de consentement permettant de choisir chaque finalité et d’accepter, de refuser ou d’enregistrer ses choix. Elle s’est engagée à limiter les bid requests aux données d’utilisateurs ayant consenti via une CMP conforme. La CNIL a clôturé le dossier et la procédure de contrôle dans le périmètre de la mise en demeure.

La CNIL avait mis en demeure la société X par une décision du 30 octobre 2018, dans le cadre d’une procédure de contrôle portant sur des traitements fondés sur des SDK et des bid requests.

Après des échanges et une réunion avec l’organisme contrôlé, celui-ci a présenté une nouvelle fenêtre contextuelle permettant d’afficher chaque finalité, de recueillir un consentement par finalité et de proposer l’acceptation, le refus global ou l’enregistrement des choix. Il s’est également engagé à ne traiter, dans les bid requests, que les données provenant d’utilisateurs ayant consenti via une CMP dont la conformité a été vérifiée.

La présidente de la CNIL a clôturé le dossier et la procédure de contrôle, tout en précisant que cette clôture était limitée au périmètre de la mise en demeure et serait publiée.

• Présenter chaque finalité au premier niveau d’information
• Permettre un choix distinct pour chaque finalité
• Prévoir l’acceptation globale des finalités
• Prévoir le refus global des finalités
• Permettre l’enregistrement des choix effectués
• Vérifier préalablement la conformité de la CMP utilisée
• Limiter le traitement des bid requests aux données valablement consenties

• Modèles de fenêtres contextuelles communiqués à la Commission
• Présentation de chaque finalité au premier niveau
• Présence des boutons d’acceptation et de refus globaux
• Possibilité d’enregistrer les choix de l’utilisateur
• Engagement écrit relatif à la vérification des CMP

La société X bénéficie de la clôture du dossier et de la procédure de contrôle pour le périmètre examiné. Elle reste toutefois exposée à une procédure de sanction en cas de persistance ou de réitération des manquements, tandis que la conformité des autres finalités demeure à vérifier.

• Maintenir une fenêtre présentant chaque finalité au premier niveau
• Conserver les options d’acceptation et de refus globaux
• Permettre l’enregistrement détaillé des choix
• Vérifier la conformité des CMP avant tout traitement
• Documenter la conformité des autres finalités
• Anticiper la publication de la clôture

À faire

• Présenter chaque finalité dès le premier niveau
• Permettre le choix par finalité
• Maintenir les boutons d’acceptation et de refus
• Vérifier chaque CMP avant utilisation
• Documenter les contrôles et consentements recueillis

À éviter

• Traiter des données sans consentement vérifié
• Masquer les finalités au second niveau
• Confondre acceptation et refus global
• Étendre la clôture aux finalités non examinées
• Réitérer les manquements constatés

Le consentement informé, spécifique et univoque

La fenêtre contextuelle doit présenter chaque finalité au premier niveau d’information et permettre à l’utilisateur d’exprimer distinctement son choix. La Commission considère que la possibilité d’accepter, de refuser ou d’enregistrer les choix permet, pour la publicité géolocalisée, un consentement informé, spécifique et univoque au sens du RGPD.

La vérification préalable de la conformité d’une CMP

Pour les traitements reposant sur les bid requests, l’organisme s’est engagé à ne traiter que les données d’utilisateurs dont le consentement a été recueilli par une CMP préalablement vérifiée comme conforme. Cet engagement a été pris en compte dans la clôture.

La portée limitée de la clôture d’une mise en demeure

La clôture correspond au périmètre de la mise en demeure et ne préjuge pas de la conformité du consentement pour les autres finalités. La persistance ou la réitération des manquements peut conduire à une procédure de sanction conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée.

Articles 45 et suivants de la loi du 6 janvier 1978 modifiée