Traceurs mobiles : consentement préalable exigé pour la personnalisation commerciale et l’entraînement algorithmique

L’article 82 de la loi Informatique et Libertés impose un consentement préalable pour toute lecture ou écriture sur l’équipement terminal, sauf si l’opération vise exclusivement la communication électronique ou est strictement nécessaire à un service demandé par l’utilisateur. La formation restreinte exclut ces exceptions pour les recommandations personnalisées, les produits complémentaires et l’entraînement d’un algorithme commercial. Un traceur poursuivant plusieurs finalités doit être soumis au consentement dès lors que l’une d’elles l’exige. La cessation ultérieure de l’outil n’efface pas le manquement passé.

Les deux sociétés sont responsables conjoints, l’article 4, paragraphe 7, du RGPD étant applicable. La sanction tient compte de la gravité, du nombre d’utilisateurs, de la négligence et de la capacité économique du groupe. L’article 83, paragraphes 1 et 2, du RGPD justifie une amende effective, proportionnée et dissuasive. La société mère est intégrée à l’unité économique en l’absence de preuve renversant la présomption d’influence déterminante.

Une injonction de mise en conformité est prononcée, avec une astreinte de 10 000 euros par jour après un délai d’un mois, les mesures annoncées n’étant pas suffisamment démontrées.

⬇️Télécharger la décision version officielle

Deux sociétés exploitant une application de commerce en ligne maintenaient un traceur actif malgré le choix « Continuer sans accepter ». Celui-ci transmettait un identifiant et des données d’activité pour personnaliser les recommandations et entraîner un algorithme. La CNIL a écarté les justifications tirées de la navigation et du téléchargement de l’application, puis a constaté un manquement à l’article 82 de la loi Informatique et Libertés et prononcé deux amendes, une injonction sous astreinte et une publication.

Deux sociétés exploitant une application mobile de commerce en ligne utilisaient une API réalisant des opérations de lecture et d’écriture sur le téléphone des utilisateurs. Le traceur transmettait un identifiant et des informations relatives à l’activité, notamment les produits consultés, afin de personnaliser les recommandations, proposer des produits similaires ou complémentaires et entraîner un algorithme.

Lors d’un contrôle, ces opérations se poursuivaient après le choix « Continuer sans accepter » dans la plateforme de consentement. Les sociétés invoquaient la nécessité de l’aide à la navigation et la demande résultant du téléchargement de l’application et de l’acceptation des conditions générales. Elles ont ensuite décommissionné l’outil et annoncé une nouvelle solution, sans démontrer sa mise en conformité à la clôture de l’instruction.

La CNIL a retenu un manquement à l’article 82 de la loi Informatique et Libertés, prononcé deux amendes, une injonction sous astreinte et la publication de la sanction.

• Opérations de lecture ou d’écriture sur l’équipement terminal.
• Absence de consentement préalable après le choix de refus.
• Finalités de personnalisation, ciblage commercial ou entraînement algorithmique.
• Absence de nécessité stricte pour fournir le service demandé.
• Traceur unique poursuivant plusieurs finalités dont certaines non exemptées.
• Nombre élevé de personnes concernées et atteinte substantielle à la vie privée.
• Absence de preuve suffisante d’une mise en conformité effective.

• Procès-verbal du contrôle en ligne de l’application mobile.
• Constat des requêtes émises après le clic « Continuer sans accepter ».
• Requêtes contenant un identifiant utilisateur et les produits consultés.
• Réponses des sociétés confirmant les finalités et le fonctionnement du traceur.
• Justificatif du décommissionnement de l’ancien outil.

Les responsables conjoints doivent recueillir le consentement avant tout traceur poursuivant une finalité commerciale ou algorithmique non exemptée. La cessation de l’outil réduit le risque futur mais ne neutralise ni le manquement passé ni l’obligation de démontrer la conformité effective.

• Amendes administratives de six millions et un million d’euros.
• Injonction de démontrer la conformité du traitement à l’article 82.
• Astreinte de 10 000 euros par jour après un mois.
• Contrôle séparé de chaque finalité du traceur utilisé.
• Publication de la sanction pendant deux ans sous identification nominative.

À faire

• Cartographier chaque lecture et écriture sur les terminaux.
• Séparer les finalités commerciales des fonctionnalités strictement nécessaires.
• Bloquer les traceurs jusqu’au recueil d’un consentement valide.
• Conserver les journaux prouvant le choix de l’utilisateur.
• Documenter la mise en conformité et transmettre les justificatifs.

À éviter

• Déposer un traceur après le clic de refus.
• Présenter la personnalisation comme une simple aide à la navigation.
• Regrouper des finalités exemptées et non exemptées dans un traceur unique.
• Se limiter à annoncer un nouvel outil sans preuve de déploiement.
• Négliger l’impact du chiffre d’affaires du groupe sur l’amende.

Le consentement préalable aux opérations de lecture et d’écriture

L’article 82 de la loi Informatique et Libertés soumet ces opérations au consentement préalable, sauf finalité exclusive de communication électronique ou nécessité stricte d’un service demandé. Les opérations litigieuses poursuivaient notamment la personnalisation commerciale et l’entraînement algorithmique ; elles ne relevaient donc pas des exemptions.

Les finalités multiples d’un traceur

Un traceur unique poursuivant plusieurs finalités ne bénéficie des exemptions que si aucune finalité n’exige le consentement. Les recommandations de produits complémentaires et la personnalisation commerciale nécessitaient un consentement. La finalité d’affichage de produits similaires ne pouvait être isolée des autres opérations réalisées par le même traceur.

Les critères de fixation de l’amende administrative

L’article 83, paragraphes 1 et 2, du RGPD impose une amende effective, proportionnée et dissuasive, appréciée notamment selon la gravité, le nombre de personnes concernées et la négligence. Le chiffre d’affaires du groupe a été retenu en raison de l’unité économique et de la présomption non renversée d’influence déterminante de la société mère.

Article 4, paragraphe 7, du RGPD, Article 31 du RGPD, Article 83, paragraphes 1 et 2, du RGPD, Article 20-IV-7° de la loi n° 78-17 du 6 janvier 1978, Article 82 de la loi n° 78-17 du 6 janvier 1978, Article 40, III, du décret n° 2019-536 du 29 mai 2019, Articles 101 et 102 du TFUE