Recommandation CNIL sur les applications mobiles : l’essentiel pour les éditeurs
La CNIL a publié sa recommandation relative aux applications mobiles en septembre 2024, puis l’a légèrement révisée en avril 2025. Depuis le printemps 2025, elle mène des contrôles dédiés. Pour les éditeurs, le cadre est désormais posé : la conformité d’une application ne se présume pas, elle se démontre.
Un texte pensé pour tout l’écosystème
La recommandation distingue cinq rôles : éditeur, développeur, fournisseur de SDK, fournisseur de système d’exploitation et magasin d’applications. L’éditeur concentre l’essentiel des obligations. C’est lui qui choisit les SDK, déclenche la collecte et répond devant l’utilisateur.
La CNIL précise qu’un éditeur assume a minima une co-responsabilité pour les traceurs utilisés par un SDK intégré à son application. Externaliser la mesure d’audience ou la monétisation n’externalise pas la responsabilité.
Ce que la CNIL attend concrètement
Le texte revient toujours aux mêmes fondamentaux : un consentement valide avant toute lecture ou écriture par les SDK, une politique de confidentialité accessible avant le téléchargement comme dans l’application, et un refus aussi simple que l’acceptation.
S’y ajoutent la minimisation des permissions, la sécurité des données, pour laquelle le texte cite le référentiel OWASP MASTG, et l’audit des partenaires. Chaque point se vérifie techniquement, et c’est précisément ce que feront les contrôleurs.
La permission la plus détaillée par la recommandation est la localisation, avec des exigences très concrètes : tronquer les coordonnées avant l’envoi, ne pas collecter quand l’application n’est pas utilisée. C’est aussi la donnée qui sort d’une application par le plus grand nombre de chemins.
Des contrôles bien réels
Les contrôles annoncés ont eu lieu. La CNIL a fait des applications mobiles une priorité de 2025, en ciblant le paramétrage des SDK et l’accès aux données du téléphone via les permissions. Son bilan 2025 fait état de premières mises en demeure d’éditeurs, notamment sur la vérification de l’âge.
Le reste de l’Europe suit la même trajectoire : l’autorité norvégienne a vu confirmer en appel l’amende infligée à Grindr pour des données partagées via les SDK publicitaires de son application, et l’autorité italienne a sanctionné l’éditeur de l’application Replika.
Par où commencer
Trois chantiers produisent l’essentiel du résultat : cartographier les tiers réellement contactés, car le déclaré ne suffit pas, vérifier ce que l’application transmet avant consentement et après refus, et réduire les permissions au strict nécessaire.
C’est l’ordre dans lequel un contrôleur regardera votre application. Autant le suivre avant lui, et voir comment s’y préparer concrètement, point par point.
Les trois chantiers se traitent d’un coup en partant du comportement réel de l’application, ce que fait un audit RGPD d’application mobile : ce qui sort du téléphone, vers qui, et à quel moment par rapport au choix de l’utilisateur. Le détail des attentes de la CNIL est aussi disponible en clair, dans les 166 vérifications de sa recommandation.
Questions fréquentes
- Que demande la recommandation de la CNIL sur les applications mobiles ?
- Elle répartit les obligations entre cinq acteurs, de l’éditeur au magasin d’applications, en passant par le développeur, le fournisseur de SDK et le système d’exploitation. L’éditeur y est responsable de traitement. Les attentes portent sur le consentement recueilli avant toute lecture ou écriture sur l’appareil, le paramétrage des SDK tiers, les permissions réduites au nécessaire, et l’information donnée aux personnes.
- La recommandation de la CNIL est-elle obligatoire ?
- La recommandation n’est pas en elle-même un texte contraignant : elle expose la façon dont la CNIL interprète des obligations qui, elles, s’imposent déjà. L’article 82 de la loi Informatique et Libertés encadre toute lecture ou écriture d’informations sur un terminal, application comprise. En pratique, c’est la grille que les contrôleurs appliquent.
- Depuis quand la CNIL contrôle-t-elle les applications mobiles ?
- La recommandation a été publiée en septembre 2024, avec une mise en conformité attendue au printemps 2025. En 2025, les applications mobiles ont été l’une des thématiques prioritaires de contrôle de la CNIL, qui s’est intéressée en particulier au paramétrage des SDK tiers et aux permissions demandées.