Rapport d’analyse d’application mobile
Synthèse
- 28Vendors actifs
- 23Vendors sans consentement
- 16Non déclarés dans la CMP
Détectez tous les risques de conformité des apps mobiles
Skanopy exécute une app sur un vrai téléphone et relève ce qu’elle envoie, à qui, et à quel moment.
Découvrez Skanopy en 2 minutes.
Le déclaratif montre l’intention. Skanopy montre les faits.
Skanopy exécute une app Android sur un téléphone réel et relève ce qui en sort : quelles données, vers quels acteurs tiers, avant ou après le choix de l’utilisateur.
| Sans Skanopy | Avec Skanopy |
|---|---|
| Le questionnaireCe que les équipes croient avoir intégré. | Les SDK réellement présents, y compris ceux que personne n’a déclarés. |
| La liste de SDKCe qui est embarqué, pas ce qui tourne. | Lesquels s’exécutent vraiment, à quel moment, et ce qu’ils envoient. |
| La bannière de consentementLa liste de vendors qu’elle déclare, sans moyen de la vérifier. | Ceux qu’elle omet, et qui se déclenchent quand même. |
| Le scan de codeCe que l’éditeur a écrit, pas ce que font les briques tierces. | Ce qu’une brique fait une fois lancée, et ce que son serveur lui demande. |
Tout ce qu’une seule analyse relève, portée par une technologie de pointe.
Politique de confidentialité, déclarations, liste des SDK : rien de tout cela ne dit ce que l’app fait à l’exécution. Une analyse automatisée sur un téléphone réel le montre.
Où partent les données
Chaque serveur contacté, le pays d’où il répond et l’organisation qui l’héberge.
Pays-Bas2
Membre UE / EEE
Equativ via LeaseWeb B.V.prg.smartadserver.com
Magnite via Magnite, Inc.prebid-server.rubiconproject.com
À quoi sert chaque acteur
Chaque acteur classé et décrit par un référentiel précis : publicité, analytics, réseaux sociaux et bien d’autres.
pubsocialstats
Ce qui continue après un refus
L’utilisateur refuse le pistage à l’ouverture. Voici ce qui s’arrête, et ce qui continue.
Publicité15Analytique00 s2 min
Quelles données sortent, et vers qui
Adresse e-mail, numéro, empreinte d’appareil : relevés dans les échanges, avec l’acteur tiers qui les reçoit.
TypeValeurActeur tiers
Adresse e-mail
m•••••@gmail.com
Batch
Téléphone
+33 6 •• •• 21 47
Adjust
Empreinte d’appareil
Xiaomi/beryllium/beryllium:10…
Google
Un parcours que vous décrivez
La mesure porte sur ce parcours, pas seulement sur l’ouverture de l’app.
Vous décrivez
Refuser les cookies, se connecter, ouvrir un article, remplir le formulaire de contact.
L’analyse exécute
- Refus du pistage
- Connexion
- Article ouvert
- Formulaire envoyé
La bannière, critère par critère
Chaque critère relevé tel qu’il se présente à l’utilisateur.
Accepter et Refuser d’importance égaleBouton Refuser présent
Bouton Paramétrer présentRetrait du consentement aussi simple
Présents, mais pas déclarés
Les acteurs que l’app active réellement, comparés à la liste que la bannière annonce.
admoxtraxr
bidly
Rien à installer, rien à configurer
Vous donnez un lien, vous recevez un rapport. Sous 48 heures.
Indiquez l’application
Deux façons d’entrer :
- Un lien Google Play Store
- Un fichier .apk, pour une pré-version avant publication
Skanopy l’analyse
Sur de vrais téléphones, un parcours réel rejoué automatiquement :
- Refus du pistage
- Connexion
- Article ouvert
- Formulaire envoyé
Chaque acteur tiers qui se déclenche est cartographié.
Vous recevez votre rapport
Chaque fait, nommé :
- Acteurs tiers actifs
- Identifiants partagés
- Permissions demandées
- Accès au stockage
- Conformité de la bannière de consentement
Refuser le pistage ne suffit pas toujours à l’arrêter.
Nous avons installé 20 des applications de presse les mieux classées et refusé le pistage. En près de deux minutes d’usage, 95 acteurs tiers se sont déclenchés malgré ce refus.
Lire l’étude complète- Publicité40
- Identité et données11
- Infrastructure / CDN11
- Mesure d’audience6
- Vidéo6
- Réseaux sociaux5
- Hors liste16
0acteurs tiers déclenchés
Nombre d’acteurs tiers par catégorie, pistage refusé.
Ce que fait l’app engage l’éditeur, même à son insu.
Chaque acteur tiers qui se déclenche relève de sa responsabilité. Skanopy rend cette activité visible et vérifiable.
| Motif | ||||
|---|---|---|---|---|
| 530 M€ | Transfert de données d’utilisateurs européens vers la Chine. | DPC Irlande | 2025 | |
La DPC irlandaise conclut que des données d’utilisateurs européens étaient accessibles depuis la Chine sans garantie équivalente au droit de l’Union. En cours de procédure, TikTok a reconnu que des données avaient bien été stockées sur des serveurs chinois, contrairement à ses déclarations antérieures. | ||||
| 150 M€ | Refuser les cookies rendu plus difficile que les accepter. | CNIL | 2022 | |
Sur google.fr et youtube.com, un bouton unique suffisait pour accepter les cookies quand le refus imposait plusieurs clics. La CNIL a jugé que cette asymétrie décourageait le refus, et a assorti l’amende d’une injonction sous astreinte journalière. | ||||
| 60 M€ | Traceurs publicitaires déposés sans recueil du consentement. | CNIL | 2022 | |
Décision rendue le même jour que celle visant Google, sur le même grief : refuser les cookies demandait plus d’efforts que les accepter. La CNIL statue ici au titre des règles issues de la directive ePrivacy, ce qui lui permet d’agir sans passer par le guichet unique du RGPD. | ||||
| 40 M€ | Publicité ciblée sans preuve du consentement, confirmée par le Conseil d’État. | CNIL | 2023 | |
Criteo suit les internautes pour du reciblage publicitaire, mais ne pouvait pas démontrer que le consentement avait bien été recueilli par ses partenaires éditeurs. La CNIL a également relevé des manquements à l’information et à l’exercice des droits. | ||||
| 35 M€ | Cookies publicitaires déposés avant tout consentement. | CNIL | 2020 | |
Des cookies publicitaires étaient déposés dès l’arrivée sur amazon.fr, avant toute action de l’internaute, et l’information affichée ne mentionnait pas leur finalité publicitaire. | ||||
| 8 M€ | Identifiant publicitaire lu sur l’appareil sans consentement, sur l’App Store. | CNIL | 2023 | |
Sur iOS 14.6, les identifiants servant à personnaliser les publicités de l’App Store étaient lus sans consentement préalable, alors même qu’Apple imposait ce consentement aux applications tierces. | ||||
| 6,5 M€ | Données partagées avec des partenaires publicitaires sans consentement valable. | Norvège | 2021 | |
L’autorité norvégienne a sanctionné le partage de données avec des partenaires publicitaires : le seul fait d’être utilisateur de Grindr révèle une orientation sexuelle, donnée sensible qui exige un consentement explicite. Le montant initialement envisagé a été réduit après examen des observations de l’entreprise. | ||||
| 3 M€ | Identifiant d’appareil lu pour la publicité malgré le refus de pistage. | CNIL | 2022 | |
L’éditeur de jeux mobiles lisait un identifiant technique à des fins publicitaires alors que l’utilisateur avait refusé le suivi dans les réglages d’iOS. Le refus exprimé au niveau du système ne suffisait donc pas à l’arrêter. | ||||
Le RGPD prévoit jusqu’à 20 M€ d’amende, ou 4 % du chiffre d’affaires mondial.
Ce que la CNIL attend de votre application mobile, et où vous en êtes.
La recommandation fait 98 pages et s’adresse à cinq rôles à la fois : difficile d’y voir sa part, et plus encore de dire où l’on en est. Vous repartez avec la vôtre, et vous savez ce qui est fait, ce qui ne l’est pas, et ce qui ne se saura qu’en faisant tourner l’application.
Obtenir ma liste- Éditeur
- Développeur
- Fournisseur de SDK
- Fournisseur de système d’exploitation
- Fournisseur de magasin d’applications
Recommandation relative aux applications mobiles, CNIL. Texte reproduit sans modification, sous licence CC BY-ND 4.0 FR.
J’ai construit ces outils pour le web. Je les apporte au mobile.
Mohamed
Fondateur, Skanopy
Chez Didomi, le leader européen de la gestion du consentement, j’ai conçu le compliance monitoring qui surveille la conformité du web : trackers, cookies, preuves. J’ai accompagné des dizaines de grands éditeurs européens, dans les médias, la presse et le e‑commerce, vers leur conformité.
Sur mobile, c’est le même problème, en plus opaque, et personne ne le traite vraiment.
J’ai construit Skanopy pour appliquer aux applications ce qui a fait ses preuves sur le web.
Nos derniers articles
Ce que nous relevons sur le terrain, ce que les autorités ont décidé et ce que la recherche a déjà mesuré.
Section Sécurité des données du Play Store : la déclaration que personne ne vérifie
La section Sécurité des données d’une fiche Play Store est remplie par l’éditeur, et Google ne la recoupe pas avec le comportement réel de l’application.
Lire l’article
Cohérence entre la politique de confidentialité d’une application et sa propre fiche Sécurité des données (Mozilla, 40 applications parmi les plus populaires du Play Store, février 2023)