L’identifiant publicitaire Android : une donnée personnelle, pas un réglage technique
Rares sont les applications Android qui connaissent le nom de leurs utilisateurs. Toutes, en revanche, peuvent demander à lire une même chaîne de trente-six caractères : l’identifiant publicitaire. GAID, AAID ou AD_ID selon la documentation qui le nomme, il est la clé de voûte de la publicité mobile, l’une des données qui quittent le plus souvent un téléphone.
Un identifiant conçu pour être partagé
L’identifiant publicitaire est attribué à l’appareil par les services Google Play. Sa propriété décisive tient en une phrase : toutes les applications du téléphone lisent la même valeur. C’est sa raison d’être, permettre aux acteurs publicitaires de recouper ce que chaque application sait d’une même personne, pour cibler, plafonner, attribuer une installation à une campagne.
L’utilisateur peut le réinitialiser ou le retirer dans les réglages. Mais tant qu’il est là, chaque SDK qui le lit l’envoie accompagné du reste : modèle du téléphone, version du système, adresse IP. Un identifiant stable, partagé entre applications et adossé à un profil, voilà exactement ce que le pistage demande.
Une donnée personnelle au sens plein
Le RGPD cite les identifiants en ligne parmi les éléments qui rendent une personne identifiable (considérant 30), et celui-ci est précisément conçu pour suivre la même personne d’une application à l’autre : l’identifiant publicitaire est une donnée personnelle.
En France, sa lecture sur le téléphone relève en outre de l’article 82 de la loi Informatique et Libertés, comme toute lecture ou écriture d’informations sur un terminal. La recommandation de la CNIL en tire la conséquence : hors stricte nécessité du service, ce geste suppose un consentement, et l’autorisation technique accordée par le système n’en tient pas lieu.
Ce que Google a déjà verrouillé
La plateforme elle-même a resserré l’accès. Depuis Android 12, un utilisateur qui désactive la personnalisation voit son identifiant remplacé par une suite de zéros. Une application qui cible Android 13 ou version ultérieure doit déclarer une permission dédiée, com.google.android.gms.permission.AD_ID, dans son manifeste : sans elle, la valeur servie est également mise à zéro.
Détail qui compte pour un éditeur : cette permission peut arriver dans votre application sans qu’aucun développeur de votre équipe ne l’ait écrite. Il suffit qu’un SDK la déclare dans son propre manifeste pour qu’elle soit fusionnée au vôtre. Autrement dit, ce que votre application embarque décide de ce qu’elle demande, permissions comprises.
Pour un public d’enfants, la politique Familles de Google Play va plus loin : l’identifiant publicitaire ne doit pas être transmis du tout. Un point qui rejoint le front ouvert par la CNIL sur les applications utilisées par des mineurs.
Le zéro n’est pas un blanc-seing
Une suite de zéros à la place de l’identifiant est un refus lisible, pas un vide à combler. La tentation existe pourtant : compenser la perte par un autre identifiant de l’appareil, ou par une empreinte composée du modèle, de la langue et de la résolution d’écran. C’est précisément ce type de contournement que les autorités sanctionnent : la CNIL a déjà infligé 3 millions d’euros d’amende à un éditeur de jeux mobiles qui lisait un autre identifiant du terminal à des fins publicitaires malgré un refus exprimé au niveau du système.
La règle de lecture est simple : le choix exprimé vaut pour la finalité, pas pour la technique employée. Changer d’identifiant ne change pas le refus.
Ce qu’un éditeur doit savoir répondre
Trois questions résument le sujet, et ce sont celles d’un contrôle. L’identifiant part-il avant que le consentement soit donné ? Vers quels acteurs part-il, sachant que chacun peut le recouper avec ce qu’il collecte ailleurs ? Et après un refus, la valeur à zéro est-elle respectée, ou un autre identifiant prend-il le relais ?
Aucune de ces réponses ne se lit dans une documentation. Elles s’observent dans le trafic réel de l’application, requête par requête, horodatage à l’appui. C’est exactement ce qu’établit un audit d’application mobile : la liste des acteurs qui reçoivent l’identifiant, et le moment de chaque envoi par rapport au choix de l’utilisateur, donnée par donnée.
Sources
Chaque constat de cet article renvoie à l’un de ces documents.
- Google PlayIdentifiant publicitaireAide Play Console, Google
- Android 13Behavior changes: Apps targeting Android 13 or higherDocumentation Android Developers, Google
- Google PlayRègles Google Play pour les contenus familiauxAide Play Console, Google
- CNIL ’25Recommandation relative aux applications mobiles, version modifiéeCNIL, délibération n° 2025-024 du 27 mars 2025
- CNIL ’22Jeux mobiles : la CNIL sanctionne VOODOO à hauteur de 3 millions d’eurosCNIL, délibération SAN-2022-026 du 29 décembre 2022
- RGPDRèglement (UE) 2016/679, considérant 30 : les identifiants en ligneJournal officiel de l’Union européenne
Questions fréquentes
- L’identifiant publicitaire est-il une donnée personnelle ?
- Oui. C’est un identifiant en ligne rattaché à un appareil, donc à son détenteur, et il est conçu pour suivre la même personne d’une application à l’autre. Le RGPD cite les identifiants en ligne parmi les éléments qui rendent identifiable, et sa lecture sur le téléphone relève en France de l’article 82 de la loi Informatique et Libertés.
- Faut-il un consentement pour lire l’identifiant publicitaire ?
- Dès lors qu’il sert au pistage publicitaire, oui : ce n’est pas une opération strictement nécessaire au service demandé. L’autorisation technique du système ne vaut pas consentement, et la recommandation de la CNIL le dit expressément.
- Que signifie un identifiant composé uniquement de zéros ?
- Que l’utilisateur a retiré son identifiant dans les réglages, ou que l’application, dès lors qu’elle cible Android 13, ne déclare pas la permission AD_ID. La valeur zéro est un refus lisible : la remplacer par un autre identifiant ou par une empreinte de l’appareil revient à contourner le choix exprimé.
- Comment savoir qui reçoit l’identifiant de mon application ?
- En observant le trafic réel : l’identifiant apparaît dans les requêtes sortantes, avec le domaine qui le reçoit et l’instant de l’envoi. Un audit relève ces envois acteur par acteur et les situe par rapport au consentement.