Auditer une application mobile, du RGPD au contrôle CNIL
Sur mobile, ce qu’une application déclare et ce qu’elle fait divergent. Skanopy mesure l’écart : les données qui partent, à qui, et à quel moment par rapport au consentement. Des faits datés, prêts pour un contrôle.
Où partent les données
Chaque serveur contacté, le pays d’où il répond et l’organisation qui l’héberge.
La CNIL contrôle désormais les applications mobiles
En 2025, les applications mobiles ont été l’une des thématiques prioritaires de contrôle de la CNIL, et la campagne a démarré au printemps. Sa recommandation sur les applications mobiles, publiée en septembre 2024 et actualisée au printemps 2025, précise les responsabilités le long de la chaîne : l’éditeur est responsable de traitement, et un fournisseur de SDK peut devenir co-responsable dès qu’il réutilise les données pour son propre compte.
Ce qui encadre la lecture et l’écriture d’informations sur un téléphone, c’est l’article 82 de la loi Informatique et Libertés. Il ne distingue pas le navigateur de l’application : déposer un identifiant ou lire une donnée relève des mêmes règles. L’obligation est la même que sur le web ; le contrôle, lui, est désormais réel sur le mobile.
Le problème, c’est la visibilité. Le code est compilé, le trafic est chiffré, et les SDK tiers embarqués sont des boîtes noires. Un éditeur connaît rarement le détail de ce que chaque kit envoie, et un DPO n’a pas d’outil pour l’observer. Faute de mieux, le déclaré tient lieu de preuve.
Le principe de responsabilité demande l’inverse : il ne suffit pas d’être en règle, il faut pouvoir le démontrer. Cela suppose des faits vérifiables sur l’application elle-même, relevés sur un vrai téléphone, à une date, et rejouables à l’identique.
Ce que regarde la CNIL sur une application mobile
En pratique, la recommandation et les contrôles de la CNIL tournent autour de ces grands points.
Le consentement avant tout dépôt
Le consentement doit être recueilli avant qu’un SDK ou un traceur ne lise ou n’écrive une information sur l’appareil, et refuser doit rester aussi simple qu’accepter. Article 82 : le choix précède le déclenchement, il ne le suit pas.
Les permissions demandées
La justification et la proportionnalité des permissions (localisation, contacts, stockage) au regard des fonctions réellement offertes par l’application.
Les SDK tiers
La configuration des kits tiers embarqués, les données qu’ils collectent, et la répartition des responsabilités entre l’éditeur et ses fournisseurs.
L’information des personnes
Une information claire et accessible, dans l’application, sur les données collectées, leurs finalités et leurs destinataires.
L’exercice des droits
Un moyen simple, depuis l’application, d’exercer ses droits : accès, effacement, opposition, retrait du consentement.
La sécurité des données
Des mesures techniques et organisationnelles adaptées. La CNIL cite le guide de test OWASP (MASTG) comme appui pour évaluer la sécurité d’une application.
Ce que Skanopy mesure
Skanopy exécute l’application sur un vrai téléphone, suit un parcours réel, et relève ce qu’elle transmet comme ce qu’elle touche sur l’appareil. Des signaux factuels, datés et reproductibles. La qualification juridique reste au DPO.
Les acteurs tiers contactés
Chaque vendor et pisteur que l’application déclenche, le domaine visé, et sa catégorie : publicité, mesure d’audience, attribution, réseaux sociaux. Y compris ceux qui s’activent en arrière-plan, sans que rien ne l’indique à l’écran.
Les données personnelles transmises
Les identifiants et données qui quittent l’appareil, à qui ils partent, et s’ils sont persistants ou partagés entre plusieurs destinataires.
Les lectures et écritures sur l’appareil
Ce que les SDK inscrivent sur le téléphone et relisent ensuite : identifiants stockés, cookies posés par les vues web. C’est le geste exact que vise l’article 82.
Les permissions vraiment utilisées
Les permissions que l’application demande, à quel moment, et celles dont elle se sert pendant le parcours. La proportionnalité se juge sur l’usage, pas sur la liste déclarée.
Où partent les données
Le pays de chaque serveur contacté, l’hébergeur qui se trouve derrière, et le niveau de protection des données du pays selon le référentiel de la CNIL. Les transferts hors Union européenne se lisent directement.
Le moment, par rapport au consentement
Ce qui se déclenche avant la bannière, pendant qu’elle attend une réponse, et après un refus. Le moment est souvent le vrai sujet.
Les écarts avec la bannière
Les acteurs actifs que l’écran de consentement ne déclare pas, vérifiés contre la liste IAB, les vendors personnalisés et le Google Additional Consent.
Un exemple : vingt applications de presse, pistage refusé
Nous avons installé 20 des applications de presse les mieux classées et refusé le pistage. En près de deux minutes d’usage, 95 acteurs tiers se sont déclenchés malgré ce refus.
Lire l’étude complète- Publicité40
- Identité et données11
- Infrastructure / CDN11
- Mesure d’audience6
- Vidéo6
- Réseaux sociaux5
- Hors liste16
0acteurs tiers déclenchés
Nombre d’acteurs tiers par catégorie, pistage refusé.
Comment Skanopy procède.
Indiquez l’application
Deux façons d’entrer :
- Un lien Google Play Store
- Un fichier .apk, pour une pré-version avant publication
Skanopy l’analyse
Sur de vrais téléphones, un parcours réel rejoué automatiquement :
- Refus du pistage
- Connexion
- Article ouvert
- Formulaire envoyé
Chaque acteur tiers qui se déclenche est cartographié.
Vous recevez votre rapport
Chaque fait, nommé :
- Acteurs tiers actifs
- Identifiants partagés
- Permissions demandées
- Accès au stockage
- Conformité de la bannière de consentement
Questions fréquentes
En comparant ce que l’application déclare avec ce qu’elle fait une fois installée. Quatre points se vérifient sur l’appareil : quels acteurs tiers sont contactés, quelles données quittent le téléphone, à quel moment par rapport au choix de l’utilisateur, et quelles permissions servent réellement. Ces constats ne valent pas verdict : ils donnent au délégué à la protection des données la matière factuelle qui lui manque pour trancher.
En l’exécutant sur un vrai téléphone et en observant ce qui en sort. Le code est compilé, le trafic est chiffré, et les SDK embarqués sont des boîtes noires : ni la fiche du magasin ni la politique de confidentialité ne disent ce qui part vraiment. Il faut déchiffrer les échanges pendant que l’application tourne, ce qu’un outil de navigateur ne permet pas.
Oui. En 2025, les applications mobiles ont été l’une des thématiques prioritaires de contrôle de la CNIL, dans la foulée de sa recommandation de septembre 2024, et la campagne a démarré au printemps. Les contrôles portent notamment sur le paramétrage des SDK tiers, le consentement et les permissions demandées.
Chaque serveur contacté est situé par pays, avec l’hébergeur qui se trouve derrière et le niveau de protection des données du pays selon le référentiel de la CNIL. Vous voyez quels acteurs reçoivent des données hors Union européenne, sans avoir à le déduire d’une politique de confidentialité.
Non. Skanopy établit des faits datés et reproductibles : ce sont des signaux, pas des verdicts. La qualification juridique revient au DPO, avec le contexte complet de l’application. Le livrable est un rapport d’analyse technique, pas un avis juridique.
Il donne la matière que réclament vos documents de conformité : les acteurs tiers réellement actifs, les données qui quittent l’appareil et vers qui, le moment par rapport au consentement, les permissions utilisées. De quoi mettre à jour une politique de confidentialité, compléter un registre, ou documenter un dossier avec des constats datés.
Non. Un lien Google Play suffit, ou le fichier d’installation si l’application n’est pas encore publiée. L’analyse observe l’application comme un utilisateur la vit, sans accès au code.
C’est le plus sûr. Une mise à jour peut ajouter un SDK, changer un partenaire ou modifier un comportement sans que la bannière bouge d’un pouce. Chaque version se déclare et s’analyse à part, et les rapports restent côte à côte : vous voyez ce qui a changé d’une sortie à l’autre, et avant publication si vous analysez le fichier d’installation.
Aujourd’hui, l’analyse porte sur les applications Android. Un lien Google Play ou un fichier .apk suffit. Vos analyses restent en Europe.
Comment savoir si mon application mobile est conforme au RGPD ?
En comparant ce que l’application déclare avec ce qu’elle fait une fois installée. Quatre points se vérifient sur l’appareil : quels acteurs tiers sont contactés, quelles données quittent le téléphone, à quel moment par rapport au choix de l’utilisateur, et quelles permissions servent réellement. Ces constats ne valent pas verdict : ils donnent au délégué à la protection des données la matière factuelle qui lui manque pour trancher.