Audit CNIL d’une application mobile : ce que le contrôle vérifie
Le déclaré ne tient pas face à un contrôle. Skanopy mesure l’écart sur l’application elle-même : les données qui partent, à qui, et à quel moment par rapport au consentement. Des faits datés, prêts à être présentés.
La CNIL contrôle désormais les applications mobiles
En 2025, les applications mobiles ont été l’une des thématiques prioritaires de contrôle de la CNIL. Sa recommandation précise les responsabilités : l’éditeur est responsable de traitement, et un fournisseur de SDK peut devenir co-responsable s’il réutilise les données pour son propre compte.
95
acteurs tiers déclenchés malgré le refus du pistage, sur 20 applications de presse.
Lire l’étude complète2025
Les applications mobiles, l’une des thématiques prioritaires de contrôle de la CNIL.
Ce que vérifie un contrôle CNILCe que regarde la CNIL sur une application mobile
En pratique, la recommandation et les contrôles de la CNIL tournent autour de ces grands points.
Le consentement avant tout dépôt
Le consentement doit être recueilli avant qu’un SDK ou un traceur ne lise ou n’écrive une information sur l’appareil, et refuser doit rester aussi simple qu’accepter. Article 82 : le choix précède le déclenchement, il ne le suit pas.
Les permissions demandées
La justification et la proportionnalité des permissions (localisation, contacts, stockage) au regard des fonctions réellement offertes par l’application.
Les SDK tiers
La configuration des kits tiers embarqués, les données qu’ils collectent, et la répartition des responsabilités entre l’éditeur et ses fournisseurs.
L’information des personnes
Une information claire et accessible, dans l’application, sur les données collectées, leurs finalités et leurs destinataires.
L’exercice des droits
Un moyen simple, depuis l’application, d’exercer ses droits : accès, effacement, opposition, retrait du consentement.
La sécurité des données
Des mesures techniques et organisationnelles adaptées. La CNIL cite le guide de test OWASP (MASTG) comme appui pour évaluer la sécurité d’une application.
Ce que Skanopy mesure
Les acteurs tiers contactés
Chaque acteur tiers et chaque pisteur que l’application déclenche, le domaine visé, et sa catégorie : publicité, mesure d’audience, attribution, réseaux sociaux. Y compris ceux qui s’activent en arrière-plan, sans que rien ne l’indique à l’écran.
Les données personnelles transmises
Les identifiants et données qui quittent l’appareil, à qui ils partent, et s’ils sont persistants ou partagés entre plusieurs acteurs tiers.
Les lectures et écritures sur l’appareil
Ce que les SDK inscrivent sur le téléphone et relisent ensuite : identifiants stockés, cookies posés par les vues web. C’est le geste exact que vise l’article 82.
Les permissions vraiment utilisées
Les permissions que l’application demande, à quel moment, et celles dont elle se sert pendant le parcours. La proportionnalité se juge sur l’usage, pas sur la liste déclarée.
Où partent les données
Le pays de chaque serveur contacté, l’hébergeur qui se trouve derrière, et le niveau de protection des données du pays selon le référentiel de la CNIL. Les transferts hors Union européenne se lisent directement.
Le moment, par rapport au consentement
Ce qui se déclenche avant la bannière, pendant qu’elle attend une réponse, et après un refus. Le moment est souvent le vrai sujet.
Les écarts avec la bannière
Les acteurs actifs que l’écran de consentement ne déclare pas, vérifiés contre la liste IAB et les acteurs ajoutés hors de cette liste.
Des constats factuels, datés et reproductibles. La qualification juridique reste au DPO.
Un exemple : vingt applications de presse, pistage refusé
Nous avons analysé 20 des apps de presse les mieux classées par l’ACPM, pistage refusé : 95 acteurs tiers se sont déclenchés malgré tout.
Lire l’étude complèteAucune compétence technique requise.
Aube
- Un lien Google Play Store
- Ou le .apk d’une version non publiée
- Aucune intégration dans l’app
- Sur de vrais téléphones
- Un parcours utilisateur réel rejoué
- Chaque échange consigné
- Une action recommandée par constat
- Une priorité et une preuve datée
- La correction vérifiée à la version suivante
Questions fréquentes
Conformité
En comparant ce que l’application déclare avec ce qu’elle fait une fois installée. Quatre points se vérifient sur l’appareil : quels acteurs tiers sont contactés, quelles données quittent le téléphone, à quel moment par rapport au choix de l’utilisateur, et quelles permissions servent réellement. Ces constats ne valent pas verdict : ils donnent au délégué à la protection des données la matière factuelle qui lui manque pour trancher.
En réunissant les preuves avant d’être interrogé : la liste réelle des acteurs tiers actifs, ce qui part avant et après le consentement, les permissions utilisées. La checklist CNIL des applications mobiles donne les vérifications attendues, et une analyse sur un vrai téléphone fournit les constats datés qui y répondent.
Oui. En 2025, les applications mobiles ont été l’une des thématiques prioritaires de contrôle de la CNIL, dans la foulée de sa recommandation de septembre 2024, et la campagne a démarré au printemps. Les contrôles portent notamment sur le paramétrage des SDK tiers, le consentement et les permissions demandées.
Chaque serveur contacté est situé par pays, avec l’hébergeur qui se trouve derrière et le niveau de protection des données du pays selon le référentiel de la CNIL. Vous voyez quels acteurs reçoivent des données hors Union européenne, sans avoir à le déduire d’une politique de confidentialité.
Non. Skanopy établit des faits datés et reproductibles : ce sont des constats, pas des verdicts. La qualification juridique revient au DPO, avec le contexte complet de l’application. Le livrable est un rapport d’analyse technique, pas un avis juridique.
Il donne la matière que réclament vos documents de conformité : les acteurs tiers réellement actifs, les données qui quittent l’appareil et vers qui, le moment par rapport au consentement, les permissions utilisées. De quoi mettre à jour une politique de confidentialité, compléter un registre, ou documenter un dossier avec des constats datés.
Non. Un lien Google Play suffit, ou le fichier d’installation si l’application n’est pas encore publiée. L’analyse observe l’application comme un utilisateur la vit, sans accès au code.
C’est le plus sûr. Une mise à jour peut ajouter un SDK, changer un partenaire ou modifier un comportement sans que la bannière bouge d’un pouce. Chaque version se déclare et s’analyse à part, et les rapports restent côte à côte : vous voyez ce qui a changé d’une sortie à l’autre, et avant publication si vous analysez le fichier d’installation.
Non. Aujourd’hui, l’analyse porte sur les applications Android : un lien Google Play ou un fichier .apk suffit. iOS est dans notre feuille de route. Vos analyses restent en Europe.