Le consentement d’abord
Chaque échange, daté face au choix fait dans la bannière.
Audit RGPD d’application mobile : ce qu’il faut vérifier, et comment le prouver
Une application se déclare dans une politique de confidentialité, mais elle agit dans le trafic qu’elle émet. L’audit confronte les deux : quels acteurs tiers se déclenchent, quelles données partent, à quel moment par rapport au consentement. Voici la méthode complète, le livrable, et ce que ça coûte.
Pourquoi auditer une application mobile, et pourquoi maintenant
En 2025, la CNIL a fait des applications mobiles l’une de ses thématiques prioritaires de contrôle. L’article 82 de la loi Informatique et Libertés encadre toute lecture ou écriture d’informations sur un téléphone, et le RGPD demande de pouvoir démontrer sa conformité.
95
acteurs tiers déclenchés malgré le refus du pistage, sur 20 applications de presse.
Lire l’étude complète2025
Les applications mobiles, l’une des thématiques prioritaires de contrôle de la CNIL.
Ce que vérifie un contrôle CNILCe qu’un audit d’application mobile doit vérifier
Les acteurs tiers réellement actifs
Chaque SDK et chaque acteur tiers qui se déclenche pendant l’usage, avec le domaine contacté et sa catégorie : publicité, mesure d’audience, attribution, réseaux sociaux. Y compris ceux qui s’activent en arrière-plan.
Les données personnelles qui partent
Les identifiants et les données transmis hors de l’appareil, à qui ils partent, et s’ils circulent chez plusieurs acteurs tiers à la fois.
Le moment, face au consentement
Ce qui se déclenche avant la bannière, pendant qu’elle attend une réponse, et après un refus. Le moment est souvent le vrai sujet.
La bannière face aux acteurs actifs
Les acteurs que l’écran de consentement déclare, comparés à ceux qui s’activent vraiment, ceux de la liste IAB comme ceux ajoutés hors de cette liste.
Les permissions demandées et utilisées
Celles que l’application réclame, à quel moment, et celles dont elle se sert réellement pendant le parcours. La proportionnalité se juge sur l’usage.
La destination des données
Le pays de chaque serveur contacté, l’hébergeur qui se trouve derrière, et le niveau de protection des données du pays selon le référentiel de la CNIL.
La méthode : observer l’application en marche
Lire les déclarations
La fiche du magasin, la politique de confidentialité, la liste des partenaires annoncés. Nécessaire, mais déclaratif : rien n’y prouve ce que l’application fait une fois installée.
Inspecter le paquet
L’analyse statique liste les bibliothèques embarquées dans le fichier d’installation. Utile pour l’inventaire, muette sur le comportement : un kit présent peut ne jamais se déclencher, et ce qui part ne s’y lit pas.
Observer l’exécution
L’application tourne sur un vrai téléphone, un parcours réel est suivi, bannière de consentement comprise, et chaque échange sortant est relevé, déchiffré et daté. C’est la méthode de Skanopy, entièrement automatisée.
Rejouer à chaque version
Une mise à jour peut ajouter un SDK ou changer un partenaire sans que rien ne bouge à l’écran. Le même parcours se rejoue sur chaque version, et les rapports se comparent d’une sortie à l’autre.
Lire, inspecter, observer : seule l’observation montre ce qui part vraiment. Et le constat ne vaut que pour la version observée.
Ce que la CNIL attend, prouvé sur vos apps.
Des SDK tiers encadrés
Les acteurs actifs et la société derrière chaque domaine.
Des permissions minimisées
Les permissions demandées, à quel moment, et celles utilisées.
Une information exacte
Le déclaré, face à ce qui quitte l’appareil.
Un refus aussi simple
Ce qui émet encore après un refus, acteur par acteur.
Aucune compétence technique requise.
Aube
- Un lien Google Play Store
- Ou le .apk d’une version non publiée
- Aucune intégration dans l’app
- Sur de vrais téléphones
- Un parcours utilisateur réel rejoué
- Chaque échange consigné
- Une action recommandée par constat
- Une priorité et une preuve datée
- La correction vérifiée à la version suivante
Ce qu’un audit révèle : vingt applications de presse, pistage refusé
Nous avons analysé 20 des apps de presse les mieux classées par l’ACPM, pistage refusé : 95 acteurs tiers se sont déclenchés malgré tout.
Lire l’étude complèteCombien coûte un audit d’application mobile ?
Audit flash
Gratuit
Découvrez quels acteurs tiers votre app contacte, sans rien engager.
- Cartographie des acteurs tiers et SDK actifs (briques logicielles intégrées à l’app)
- Premiers écrans de l’app
- Synthèse PDF envoyée par email
- Résultats sous 48 h
Une app par demande.
Audit complet
Sur devis
Chaque problème, prouvé et priorisé, de la conformité aux revenus pub.
- Tout ce qu’il y a dans l’audit flash, plus :
- Chaque problème priorisé par la plateforme IA, avec sa preuve et sa correction
- Données transmises, lues dans les échanges déchiffrés
- Bannière de consentement passée au crible
- Consentement reçu par chaque partenaire
- Scout, votre agent IA, dans la messagerie de votre équipe
- Publicités qui ne se chargent pas
- Identifiants et données personnelles détectés
Une app, une version, jusqu’à 15 écrans.
Sur-mesure
Sur devis
Vos parcours les plus complexes, taillés à votre app.
- Tout ce qu’il y a dans l’audit complet, plus :
- Parcours stratégiques : tunnel d’achat, abonnement, lecture vidéo…
- Paramétrage granulaire du consentement
- Analyses prioritaires de vos apps
Questions fréquentes
L’audit
C’est la comparaison entre ce qu’une application déclare et ce qu’elle fait réellement une fois exécutée. Un audit de conformité d’application mobile relève, sur un appareil, les acteurs tiers contactés, les identifiants et données transmis, les permissions employées et le moment de chaque envoi par rapport au consentement, puis confronte ces constats à la politique de confidentialité, à la fiche du magasin et au registre des traitements. Il produit des faits datés et rejouables, pas un avis : la qualification juridique revient au délégué à la protection des données.
En trois temps : installer l’application sur un vrai téléphone, suivre un parcours d’usage réel, bannière de consentement comprise, puis relever chaque échange sortant, déchiffré et daté. Le relevé se compare ensuite à ce que l’application déclare. C’est ce que Skanopy automatise de bout en bout, sans accès au code source.
L’audit flash gratuit est livré sous 48 h. Les analyses des offres payantes sont traitées plus rapidement, selon la formule choisie.
L’audit flash est gratuit. L’audit complet s’établit sur devis, facturé chaque mois selon les analyses lancées, sans forfait par app. Les offres se comparent poste par poste sur la page des tarifs.
Un site s’observe depuis les outils du navigateur. Une application est un binaire compilé, au trafic chiffré, souvent durci contre l’analyse : ses échanges ne se lisent qu’en l’exécutant sur un appareil maîtrisé. C’est ce qui rend son audit plus exigeant, et plus rare.
Un lien Google Play, ou le fichier d’installation si l’application n’est pas encore publiée. Aucun accès au code source, aucun kit à intégrer, rien à installer dans votre infrastructure.
Il documente les faits que la recommandation demande de vérifier : le moment de chaque échange par rapport au consentement, les SDK réellement actifs, les permissions demandées et utilisées, l’écart entre la déclaration publique et le comportement observé, l’effet du refus. Le rapport établit ces constats ; la conformité elle-même s’apprécie avec votre DPO ou votre conseil.
Non, et c’est volontaire. Le rapport établit des faits : acteurs contactés, données transmises, moment face au consentement, permissions utilisées. La qualification juridique appartient au DPO ou au conseil, avec le contexte de l’application en main.
À chaque version qui change un SDK ou un partenaire, et au minimum à un rythme régulier : une mise à jour peut modifier le comportement sans que la bannière bouge. Les rapports de deux versions se lisent côte à côte.
Non. L’analyse porte aujourd’hui sur les applications Android, à partir d’un lien Google Play ou d’un fichier .apk ; iOS est dans notre feuille de route. Les analyses sont traitées en Union européenne.