La CNIL vient de republier ses règles sur la géolocalisation dans les applications mobiles. Le timing n’est pas anodin. Plusieurs enquêtes menées par des médias français et internationaux ont mis au jour des bases de données regroupant des millions d’identifiants publicitaires liés à des historiques de déplacement. Des trajectoires reconstituées avec une précision fine, souvent à l’insu des utilisateurs. Le marché de la donnée de géolocalisation existe. Il est structuré, alimenté par des courtiers spécialisés, et largement méconnu du grand public. Ce que la CNIL rappelle aux éditeurs Le point qui change vraiment la donne pour les éditeurs et leurs sous-traitants tient en une phrase de la CNIL : l’autorisation technique accordée au niveau du système d’exploitation ne vaut pas, à elle seule, consentement RGPD. Beaucoup d’organisations partent du principe inverse. L’utilisateur a cliqué sur « Autoriser » dans les réglages iOS ou Android, donc la case est cochée. Ça n’existe simplement pas, du point de vue de l’autorité. La permission technique et le consentement au sens du RGPD répondent à deux logiques distinctes, et seule la seconde couvre un usage publicitaire, un partage avec des tiers ou une revente. Trois obligations concrètes Trois obligations ressortent de ce rappel. D’abord, le consentement est requis dès que la géolocalisation dépasse le strict nécessaire au fonctionnement du service : une appli météo n’a besoin que d’une ville, pas de coordonnées GPS précises en continu. Ensuite, le traitement local est recommandé chaque fois qu’il est techniquement possible, plutôt que la remontée systématique des positions vers un serveur distant. Enfin, la durée de conservation doit rester proportionnée. Conserver plusieurs années d’historique de déplacement pour une appli météo ? Difficilement justifiable. Ce que cela implique pour les organisations Pour les organisations qui embarquent une brique de géolocalisation, même secondaire, cela suppose de reprendre traitement par traitement la base légale retenue, et de documenter noir sur blanc la distinction entre permission OS et consentement RGPD dans le registre des traitements. Les SDK tiers intégrés dans une application, souvent choisis par les équipes produit sans repasser par le DPO, restent le point aveugle le plus fréquent. En cas de contrôle, c’est précisément ce que la CNIL vérifie en premier.
