La société SINGLESPOT a pour activité l’affichage de publicités pour le compte de clients annonceurs sur des ordiphones de personnes, dont le profil est déterminé à partir de leurs données de géolocalisation. Elle mesure également les visites des utilisateurs d’ordiphones, dans les points de vente de ses clients, grâce à ces mêmes données de géolocalisation.
L’objectif de la société SINGLESPOT étant d’établir des profils de consommateurs afin de leurs adresser de la publicité ciblée, elle a conclu des contrats avec des éditeurs d’applications mobiles, pour qu’ils utilisent un logiciel de géolocalisation permettant de déterminer des points d’intérêt géographiques, tels que les points de vente physique régulièrement fréquentés.
Lors d’un contrôle sur place, la CNIL a pu constater que ledit logiciel de géolocalisation développé par la société SINGLESPOT collectait des données de géolocalisation des personnes tous les 200 mètres ou toutes les 5 minutes, selon le système d’exploitation de leur téléphone.
Surtout, lorsque l’utilisateur d’un ordiphone valide l’autorisation d’accès à ses données de géolocalisation pour le fonctionnement de l’application partenaire, ses données sont également transmises à la société SINGLESPOT sans qu’il en soit spécifiquement informé et sans que son consentement ne soit recueilli pour cette transmission.
Concernant l’obligation d’information préalable de la personne concernée par le traitement, celle-ci n’a pas été respectée, puisqu’au moment de l’installation des applications, les personnes ne sont pas informées de l’identité du responsable du traitement et de la collecte de leurs données de géolocalisation à des fins de profilage et de ciblage publicitaire.
La décision rendue par la CNIL est particulièrement éclairante quant à ce qu’il faut entendre par « consentement de la personne concernée au traitement de ses données pour une ou plusieurs finalité spécifiques », qui constitue l’une des conditions de licéité du traitement listées à l’article 6 du Règlement général sur la protection des données.
Si la CNIL rappelle que ce consentement doit consister en un acte positif clair et spécifique, elle explique de quelle manière cette condition doit se traduire pour une application mobile.
Ainsi, afin que le consentement soit considéré comme « spécifique », l’éditeur de l’application mobile ne peut se contenter d’insérer une fenêtre contextuelle, présentée au moment de l’installation de l’application, demandant à l’utilisateur de donner son accord à la collecter des données relatives à son expérience, sa navigation et sa géolocalisation pour optimiser son expérience utilisateur, analyser son trafic et lui proposer des contenus plus pertinents.
Le fait de présenter l’ensemble des finalités en offrant seulement à l’utilisateur la possibilité d’accepter en bloc ne permet pas de donner un consentement spécifique. Il ne faut en effet pas que l’accord donné pour une finalité entraine automatiquement l’accord pour l’autre finalité.
La CNIL exige également que le consentement soit « univoque », car il ne peut constituer une base juridique approprié que si la personne dispose d’un contrôle et d’un choix réel concernant l’acceptation ou le refus des conditions proposées.
En pratique, la CNIL recommande que la fenêtre contextuelle précitée offre la possibilité claire de refuser la collecte et le traitement de données à caractère personnel, ce qui n’est pas respecté lorsque l’utilisateur n’a le choix qu’entre les deux onglets cliquables suivants : j’accepte ou plus tard.
La CNIL a décidé de laisser une chance à la société SINGLESPOT de se mettre en conformité avec la réglementation en vigueur sur la protection des données dans un délai de trois mois, en la mettant en demeure de ne pas procéder sans base légale au traitement des données de géolocalisation des personnes à des fins de ciblage publicitaire, en particulier, de recueillir, de manière effective, le consentement préalable des utilisateurs des applications éditées par ses partenaires au traitement de leurs données.
Virginie PERDRIEUX
Vivaldi-Avocats
