On ne badine pas avec les données de géolocalisation. Teemo et Fidzup viennent d’en faire l’amère expérience. Ces deux entreprises collectent via leur SDK des données personnelles sur des applications mobiles, sans recueillir le consentement des utilisateurs. Ce qui a fortement déplu à la Cnil…
Teemo et Fidzup s'appuient sur un modèle économique similaire : elles permettent à des éditeurs de monétiser leurs applications mobiles en y intégrant leurs SDK. Ces derniers collectent diverses données : identifiants publicitaires du mobile, adresses MAC et données de géolocalisation. Lesquelles sont ensuite utilisées pour cibler de la publicité.
Une pratique courante : on se rappelera notamment le cas d’Izly, une application du CROUS destinée aux étudiants mais dotée également d’une dimension publicitaire. Fidzup ne nous est pas totalement inconnue : l’entreprise était le prestataire de JCDecaux dans son projet de suivi des passants à La Défense. Un projet retoqué par la Cnil et par le Conseil d’État pour défaut d’anonymisation et d’information des personnes. Le sous-traitant devait fournir les boîtiers permettant de recueillir les données des passants.
Consentement absent
Le gendarme des données personnelles s’est penché sur Teemo et Fidzup et a constaté que les deux sociétés échouaient à recueillir le consentement des personnes dont ils collectent et traitent les données. Dans le cas de Teemo, les utilisateurs ne sont pas informés lors du téléchargement d’une « application partenaire » qu’un SDK y est niché. Du côté de Fidzup, l’utilisateur n’est « informé ni de la finalité de ciblage publicitaire du traitement mis en œuvre, ni de l'identité du responsable de ce traitement ».
D’autant qu’il n’est pas possible de télécharger ces applications (celles du Figaro ou de Closer, par exemple) sans le SDK : « l'utilisation des applications a pour conséquence automatique la transmission de données aux sociétés » écrit la Cnil. Qui constate en outre que si ces applications demandent effectivement le consentement au traitement des données, cela ne concerne que l’éditeur et l’utilisation de ces données par l’application, et non par un tiers.
13 mois, c’est long
Enfin, Teemo conserve les données collectées pendant 13 mois. Ce qui n’est pas proportionné à la finalité du traitement selon la Cnil. « En effet, l'utilisation de dispositifs de géolocalisation est particulièrement intrusive au regard des libertés individuelles, dans la mesure où ils permettent de suivre de manière permanente et en temps réel des personnes ».
En conséquence des manquements constatés, les deux sociétés ont été mises en demeure de corriger le tir. « Il appartient aux sociétés concernées par la mise en demeure de recueillir le consentement des utilisateurs dans les conditions prévues par la loi, et de définir une durée de conservation adéquate, pour que leur activité soit pleinement conforme aux textes » souligne le gendarme des données personnelles, qui leur laisse trois mois pour se mettre en conformité sans quoi les sanctions ne manqueront pas de tomber.
MàJ : Fidzup a réagi à cette mise en demeure. Olivier Magnan-Saurin, CEO et co-fondateur de Fidzup, explique : « Nous travaillons sur l'évolution de notre méthode de récolte du consentement depuis le début de l'année 2017. La mise en demeure publiée ce jour date d'un contrôle effectué à l'été 2017, moment où ce travail n'était pas encore finalisé et où nous considérions intervenir en tant que sous-traitant de nos partenaires éditeurs. Nous proposions alors le pop-up en option et ne l’imposions pas à nos partenaires. Depuis Fidzup a terminé le nouveau pop-up de récolte du consentement demandé par la CNIL et l'a prescrit à 100% de ses éditeurs partenaires. Nous allons donc notifier la CNIL en ce sens et sommes confiants sur une issue rapide et positive. Par ailleurs cette mise en demeure fait suite à un contrôle plus global de nos activités, qui se trouvent donc validées dans leur ensemble sous réserve de cette demande de pop-up de la CNIL. Nous sommes ravis de cette clarification du régime juridique applicable, que nous sollicitions depuis longtemps. »