Obligation d’information : le contrôle européen de 2026, et ce qu’une application mobile peine à déclarer

Ce que l’action coordonnée 2026 met sur la table

Chaque année, le Comité européen de la protection des données choisit un thème et le fait instruire en même temps par les autorités nationales. Pour 2026, ce sont les obligations de transparence et d’information, articles 12, 13 et 14 du RGPD. L’action a été lancée le 19 mars. « En 2026, 25 autorités de protection des données européennes prendront part à cette initiative », écrit la CNIL, qui précise qu’elle « en assurera la coordination avec le CEPD ».

Les modalités sont annoncées sans détour : « Les autorités participantes prendront bientôt contact avec les responsables de traitement de différents secteurs à travers l’Europe, soit dans le cadre d’une sollicitation par un questionnaire, soit dans le cadre d’enquêtes. » Au second semestre, les conclusions nationales sont mises en commun, puis consolidées dans un rapport adopté au niveau européen.

L’édition précédente portait sur le droit à l’effacement, et son bilan français donne la mesure de l’exercice. Publié le 18 février 2026, il indique que « la CNIL a ainsi procédé à des contrôles sur place auprès de six organismes » et que, à la suite de ces contrôles, « la CNIL a déjà prononcé deux mises en demeure ». Une action coordonnée n’est pas une campagne de sensibilisation.

Les trois mentions qui coincent dans une application

L’article 13 énumère ce qu’il faut dire à la personne au moment où ses données sont collectées. Trois mentions résistent particulièrement au format mobile.

D’abord les tiers qui reçoivent les données : « les destinataires ou les catégories de destinataires des données à caractère personnel, s’ils existent ». Dans une application, ce sont d’abord les briques logicielles tierces intégrées par l’éditeur, les SDK, et derrière elles les acteurs qui exploitent ce qu’elles remontent. Ensuite les transferts, que l’article impose d’annoncer « le cas échéant », ce qui suppose de savoir où atterrissent les données une fois parties : c’est tout le sujet des transferts hors Union européenne. Enfin la conservation, « la durée de conservation des données à caractère personnel ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée » : la durée appliquée par l’éditeur ne dit rien de celle qu’applique le partenaire qui a reçu la donnée.

Le point commun des trois : elles ne décrivent pas une intention de conception, elles décrivent ce qui sort réellement du téléphone. La CNIL le pose dès l’introduction de sa recommandation, où elle note que « les traitements de données mis en œuvre au sein des applications peuvent être ou apparaître opaques » et que « les informations sur l’existence de collectes de données et sur leurs objectifs sont souvent peu claires ».

Ce que la CNIL attend, dans le détail

Sa recommandation applications mobiles traite le sujet dans sa partie consacrée à l’éditeur, sous le titre « Informer correctement les utilisateurs (articles 12 à 14 du RGPD) ». L’information doit inclure « les éléments obligatoires au titre des articles 13 ou 14 du RGPD » et « le caractère obligatoire ou facultatif de chaque traitement (et le cas échéant en quoi le refus impacte l’usage de l’application) ». La CNIL recommande en outre d’y ajouter « la liste des permissions d’accès aux données demandées, leur nature obligatoire ou facultative et les finalités poursuivies via ces permissions », ce qui rejoint la minimisation des permissions.

Sur la monétisation, elle ne laisse pas d’échappatoire : « La transmission de données personnelles des utilisateurs à des partenaires commerciaux, par exemple à des fins de monétisation de l’application, doit être explicitement portée à la connaissance des personnes. »

Sur l’endroit, deux exigences distinctes. « L’éditeur doit s’assurer que la politique de confidentialité est facilement accessible avant que tout traitement soit mis en œuvre, directement depuis l’application », et la CNIL recommande de la mettre à disposition avant même le téléchargement, sur le site de l’éditeur ou sur la page de l’application dans le magasin. C’est le même terrain que la section Sécurité des données du Play Store, avec une exigence de fond différente.

Sur la forme, enfin, elle prend ses distances avec le document unique : « L’utilisation d’une seule politique de confidentialité n’est pas le seul moyen de répondre à cette obligation d’information, et peut souvent, dans le contexte des applications mobiles, ne pas atteindre les objectifs en termes de simplicité et de concision ». Elle recommande de contextualiser l’information au moment de chaque collecte. Le reste de la grille figure dans la recommandation applications mobiles.

L’écart entre le texte et le comportement se mesure

Ce n’est pas une inquiétude théorique. Une étude présentée au 29e symposium USENIX Security, en 2020, a confronté le texte des politiques de confidentialité au comportement observé de 13 796 applications Android : jusqu’à 42,4 % d’entre elles déclarent mal ou omettent de déclarer leurs flux de données sensibles. Les auteurs montrent que l’écart se creuse précisément sur l’identité de celui qui reçoit la donnée : sans distinguer l’éditeur du tiers, on classerait à tort jusqu’à 38,4 % des applications comme conformes à leur propre politique.

La cause est structurelle plus que fautive. L’éditeur intègre une brique logicielle tierce et hérite de son comportement, que son contrat décrit en termes généraux. La CNIL renvoie d’ailleurs une part de la charge au fournisseur : « Le fournisseur de SDK est tenu de s’assurer de la bonne information de l’éditeur de l’application lors de la mise en œuvre de tels traitements pour son propre compte, notamment dans les éléments de contractualisation avec celui-ci. » Reste qu’un engagement contractuel est une promesse, pas un relevé. C’est le sujet de l’angle mort des SDK et des attentes de la CNIL envers les fournisseurs.

Répondre au questionnaire suppose d’avoir observé

Un questionnaire d’autorité demande des faits : quels tiers reçoivent quoi, à quel moment, vers quels pays, pour combien de temps. Un DPO ne peut pas attester une liste qu’il n’a pas vue, et les contrats disent ce qui est convenu avec chaque fournisseur, pas ce que l’application envoie une fois installée.

La seule façon d’établir ces faits est de faire tourner l’application sur un vrai téléphone et de relever ce qui en sort : les acteurs tiers réellement contactés, les données transmises, l’instant de chaque envoi par rapport au choix de l’utilisateur. C’est l’objet d’un audit RGPD d’application mobile, et la matière d’une cartographie de ce que l’application émet.

Une politique de confidentialité écrite à partir de ce relevé se défend devant un contrôleur. Chercher les faits après avoir écrit le texte expose à découvrir l’écart en même temps que l’autorité. Se préparer revient donc à prendre les faits d’abord, et les 166 vérifications de la recommandation donnent la grille point par point.

Sources

Chaque constat de cet article renvoie à l’un de ces documents.

1. CNIL ’26CEF 2026 : Le CEPD lance une action coordonnée concernant les obligations de transparence et d’informationCNIL, 19 mars 2026
2. CEPD ’26CEF 2026: EDPB launches coordinated enforcement action on transparency and information obligations under the GDPRComité européen de la protection des données, 19 mars 2026
3. CNIL ’26Droit à l’effacement : bilan des contrôles de la CNIL dans le cadre de l’action coordonnée européenneCNIL, 18 février 2026
4. RGPDRèglement (UE) 2016/679, articles 12 à 14 : information de la personne concernéeJournal officiel de l’Union européenne
5. CNIL ’25Recommandation relative aux applications mobiles, version modifiéeCNIL, délibération n° 2025-024 du 27 mars 2025
6. USENIX ’20Actions Speak Louder than Words: Entity-Sensitive Privacy Policy and Data Flow Analysis with PoliCheckAndow et al., 29th USENIX Security Symposium, 2020