Audit RGPD d’application mobile : ce qu’il faut vérifier, et comment le prouver
Une application se déclare dans une politique de confidentialité, mais elle agit dans le trafic qu’elle émet. L’audit confronte les deux : quels acteurs tiers se déclenchent, quelles données partent, à quel moment par rapport au consentement. Voici la méthode complète, le livrable, et ce que ça coûte.
Où partent les données
Chaque serveur contacté, le pays d’où il répond et l’organisation qui l’héberge.
Pourquoi auditer une application mobile, et pourquoi maintenant
L’obligation ne date pas d’hier. L’article 82 de la loi Informatique et Libertés encadre toute lecture ou écriture d’informations sur un téléphone, exactement comme sur le web, et le RGPD demande de pouvoir démontrer sa conformité, pas seulement de l’affirmer. Ce qui a changé, c’est le contrôle : la CNIL a publié sa recommandation sur les applications mobiles en septembre 2024, l’a actualisée au printemps 2025, et a fait des applications l’une de ses thématiques prioritaires de contrôle en 2025.
Les sanctions, elles, existent déjà : un éditeur de jeux mobiles a été sanctionné de 3 millions d’euros pour avoir lu un identifiant d’appareil à des fins publicitaires malgré un refus du pistage exprimé au niveau du système. Le grief ne portait pas sur une politique mal écrite, mais sur ce que l’application faisait réellement.
Or c’est précisément ce que personne ne voit. Le code est compilé, le trafic est chiffré, les SDK tiers, ces briques logicielles prêtes à intégrer, sont des boîtes noires : un éditeur connaît rarement le détail de ce que chaque kit envoie, et beaucoup découvrent leurs propres partenaires au moment où on le leur demande. Faute d’outil, la fiche du magasin et la politique de confidentialité tiennent lieu de preuve.
Un audit sérieux renverse la charge : il établit des constats datés, relevés sur l’application elle-même, opposables à la déclaration et rejouables à chaque version. C’est la matière qui manque aux registres, aux politiques de confidentialité et aux réponses à une autorité de contrôle.
Ce qu’un audit d’application mobile doit vérifier
Six relevés qui, mis côte à côte, disent si la déclaration tient.
Les acteurs tiers réellement actifs
Chaque SDK et chaque acteur tiers qui se déclenche pendant l’usage, avec le domaine contacté et sa catégorie : publicité, mesure d’audience, attribution, réseaux sociaux. Y compris ceux qui s’activent en arrière-plan.
Les données personnelles qui partent
Les identifiants et les données transmis hors de l’appareil, à qui ils partent, et s’ils circulent chez plusieurs acteurs tiers à la fois.
Le moment, face au consentement
Ce qui se déclenche avant la bannière, pendant qu’elle attend une réponse, et après un refus. Le moment est souvent le vrai sujet.
La bannière face aux acteurs actifs
Les acteurs que l’écran de consentement déclare, comparés à ceux qui s’activent vraiment, liste IAB et vendors personnalisés compris.
Les permissions demandées et utilisées
Celles que l’application réclame, à quel moment, et celles dont elle se sert réellement pendant le parcours. La proportionnalité se juge sur l’usage.
La destination des données
Le pays de chaque serveur contacté, l’hébergeur qui se trouve derrière, et le niveau de protection des données du pays selon le référentiel de la CNIL.
La méthode : observer l’application en marche
Lire, inspecter, observer : seule l’observation montre ce qui part vraiment. Et le constat ne vaut que pour la version observée.
Lire les déclarations
La fiche du magasin, la politique de confidentialité, la liste des partenaires annoncés. Nécessaire, mais déclaratif : rien n’y prouve ce que l’application fait une fois installée.
Inspecter le paquet
L’analyse statique liste les bibliothèques embarquées dans le fichier d’installation. Utile pour l’inventaire, muette sur le comportement : un kit présent peut ne jamais se déclencher, et ce qui part ne s’y lit pas.
Observer l’exécution
L’application tourne sur un vrai téléphone, un parcours réel est suivi, bannière de consentement comprise, et chaque échange sortant est relevé, déchiffré et daté. C’est la méthode de Skanopy, entièrement automatisée.
Rejouer à chaque version
Une mise à jour peut ajouter un SDK ou changer un partenaire sans que rien ne bouge à l’écran. Le même parcours se rejoue sur chaque version, et les rapports se comparent d’une sortie à l’autre.
Comment Skanopy procède.
Indiquez l’application
Deux façons d’entrer :
- Un lien Google Play Store
- Un fichier .apk, pour une pré-version avant publication
Skanopy l’analyse
Sur de vrais téléphones, un parcours réel rejoué automatiquement :
- Refus du pistage
- Connexion
- Article ouvert
- Formulaire envoyé
Chaque acteur tiers qui se déclenche est cartographié.
Vous recevez votre rapport
Chaque fait, nommé :
- Acteurs tiers actifs
- Identifiants partagés
- Permissions demandées
- Accès au stockage
- Conformité de la bannière de consentement
Ce qu’un audit révèle : vingt applications de presse, pistage refusé
Nous avons installé 20 des applications de presse les mieux classées et refusé le pistage. En près de deux minutes d’usage, 95 acteurs tiers se sont déclenchés malgré ce refus.
Lire l’étude complète- Publicité40
- Identité et données11
- Infrastructure / CDN11
- Mesure d’audience6
- Vidéo6
- Réseaux sociaux5
- Hors liste16
0acteurs tiers déclenchés
Nombre d’acteurs tiers par catégorie, pistage refusé.
Combien coûte un audit d’application mobile ?
Le premier pas est gratuit : l’audit flash analyse votre application et vous envoie sous 48 heures ouvrées la liste des acteurs tiers qu’elle contacte réellement. Un lien Google Play suffit, rien à installer.
L’audit complet, avec le contenu déchiffré des échanges, les données transmises et leur moment face au consentement, s’établit sur devis selon le nombre d’applications et le rythme d’analyse dont vous avez besoin. La facturation est mensuelle et lisible, selon les analyses lancées, pas des jours de conseil facturés, et chaque nouvelle version de l’application peut être analysée sans repartir de zéro.
Questions fréquentes
En trois temps : installer l’application sur un vrai téléphone, suivre un parcours d’usage réel, bannière de consentement comprise, puis relever chaque échange sortant, déchiffré et daté. Le relevé se compare ensuite à ce que l’application déclare. C’est ce que Skanopy automatise de bout en bout, sans accès au code source.
L’audit flash gratuit est livré sous 48 heures ouvrées. Les analyses des offres payantes sont traitées plus rapidement, selon la formule choisie.
L’audit flash est gratuit. L’audit complet s’établit sur devis, facturé au mois selon le nombre d’applications et le rythme d’analyse. Les offres se comparent poste par poste sur la page des tarifs.
Un site s’observe depuis les outils du navigateur. Une application est un binaire compilé, au trafic chiffré, souvent durci contre l’analyse : ses échanges ne se lisent qu’en l’exécutant sur un appareil maîtrisé. C’est ce qui rend son audit plus exigeant, et plus rare.
Un lien Google Play, ou le fichier d’installation si l’application n’est pas encore publiée. Aucun accès au code source, aucun kit à intégrer, rien à installer dans votre infrastructure.
Non, et c’est volontaire. Le rapport établit des faits : acteurs contactés, données transmises, moment face au consentement, permissions utilisées. La qualification juridique appartient au DPO ou au conseil, avec le contexte de l’application en main.
À chaque version qui change un SDK ou un partenaire, et au minimum à un rythme régulier : une mise à jour peut modifier le comportement sans que la bannière bouge. Les rapports de deux versions se lisent côte à côte.
L’analyse porte aujourd’hui sur les applications Android, à partir d’un lien Google Play ou d’un fichier .apk. Les analyses sont traitées en Union européenne.
Comment auditer une application mobile ?
En trois temps : installer l’application sur un vrai téléphone, suivre un parcours d’usage réel, bannière de consentement comprise, puis relever chaque échange sortant, déchiffré et daté. Le relevé se compare ensuite à ce que l’application déclare. C’est ce que Skanopy automatise de bout en bout, sans accès au code source.