Recommandation CNIL sur les applications mobiles : l’essentiel pour les éditeurs

Quel texte fait foi, et depuis quand

Deux versions coexistent dans les mémoires, une seule s’applique. La première a été adoptée par la délibération n° 2024-061 du 18 juillet 2024 et publiée le 24 septembre 2024, à l’issue d’une consultation publique. La seconde, adoptée par la délibération n° 2025-024 du 27 mars 2025 et publiée le 8 avril 2025, abroge la première. C’est elle, et elle seule, qu’un contrôleur ouvre aujourd’hui.

La CNIL qualifie elle-même les changements de « quelques modifications, non substantielles ». Si votre grille de conformité date de l’automne 2024, elle n’est donc pas fausse sur le fond, mais elle ne renvoie plus aux bonnes pages ni aux bonnes formulations, ce qui compte le jour où il faut justifier point par point.

Le calendrier, lui, était annoncé dès la publication : « Elle s’assurera, dès 2025, que celles-ci sont bien prises en compte par une campagne spécifique de contrôles. » La campagne a eu lieu.

Cinq rôles, cinq listes de vérifications

La recommandation distingue cinq acteurs : l’éditeur, le développeur, le fournisseur de SDK, le fournisseur de système d’exploitation et le fournisseur de magasin d’applications. Chacun a son chapitre, et chaque chapitre se termine par une liste de vérifications. Au total 166 points, répartis de façon plus équilibrée qu’on ne l’imagine.

Celui qui porte le poids

L’éditeur n’a pas la liste la plus longue, mais il est le seul qui réponde de toutes les autres. C’est lui qui choisit les SDK, déclenche la collecte et fait face à l’utilisateur. La CNIL précise qu’il assume a minima une co-responsabilité pour les traceurs utilisés par un SDK intégré à son application : externaliser la mesure d’audience ou la monétisation n’externalise pas la responsabilité, et ce que votre application embarque vous engage.

Le texte va même plus loin que ce que la plupart des éditeurs anticipent. Il traite le cas de celui qui commande une application sans la mener au bout : « L’éditeur reste potentiellement responsable de traitement même s’il ne va pas jusqu’au bout du développement de l’application. » Si le projet s’arrête en cours de route, il faut s’opposer explicitement à sa mise à disposition du public, faute de quoi la responsabilité demeure.

Ce qui déclenche le consentement, et les quatre cas qui en dispensent

C’est la partie la plus utile au quotidien, et la plus rarement lue en entier. Le consentement ne se déclenche pas parce qu’il y a « des données », mais parce qu’il y a une lecture ou une écriture sur le terminal, au sens de l’article 82 de la loi Informatique et Libertés.

La recommandation énumère ce que cela couvre : « l’usage des identifiants spécifiques à l’environnement mobile (identifiant unique du terminal, adresse MAC, etc.) ou d’autres techniques de traçage telles que le fingerprinting », « l’accès à certaines informations contenues dans le terminal (galerie photographique, contacts, etc.) » et « l’accès à certains capteurs du terminal (appareil photo, microphone, localisation etc.) ».

Le principe est le consentement. La CNIL en donne trois exemples : la collecte de l’identifiant publicitaire à des fins publicitaires, la collecte des données de contact à des fins de découverte de contact, la collecte de la localisation à des fins de recommandation de contenus.

Quatre cas en dispensent, et quatre seulement. Le premier vise les opérations dont la finalité exclusive est « de permettre ou de faciliter la communication par voie électronique », comme la répartition de charge ou le routage. Les trois autres relèvent du strictement nécessaire à un service demandé : une fonctionnalité demandée expressément par l’utilisateur (« accès au GPS pour fournir une fonctionnalité de localisation demandée », identifiants d’authentification), un usage de sécurisation « centré sur la protection de l’utilisateur » (traceurs contre le déni de service ou le bourrage d’identifiants), et la mesure d’audience limitée, réduite au « simple comptage du nombre d’utilisateurs journaliers à des fins de dimensionnement du service ».

Deux conséquences pratiques. Une brique de mesure d’audience complète, avec identifiant publicitaire et événements, ne tient pas dans cette dernière case. Et un SDK qui se déclenche avant la bannière ne devient pas exempté parce qu’il est technique : c’est la finalité de l’opération qui décide, pas sa nature.

Ce que la CNIL attend de l’éditeur

Le texte revient toujours aux mêmes fondamentaux : un consentement valide avant toute lecture ou écriture par les SDK, une politique de confidentialité accessible avant le téléchargement comme dans l’application, et un refus aussi simple que l’acceptation. S’y ajoutent la sécurité des données, pour laquelle le texte cite le référentiel OWASP MASTG, et l’audit des partenaires.

Sur la minimisation, les exemples sont volontairement terre à terre : « il est exclu de collecter la date de naissance complète si le traitement n’a besoin que de l’année ». La CNIL recommande aussi, « chaque fois que cela est possible, de privilégier des données fournies manuellement par l’utilisateur » plutôt que remontées par le terminal. Une application de météo peut demander une ville plutôt que lire le GPS, et les permissions se réduisent de la même façon.

Sur les partenaires, l’obligation est une cartographie, pas une confiance : l’éditeur « doit donc, en qualité de responsable du traitement, avoir une vision complète des acteurs intervenant dans le traitement de données et des mesures mises en œuvre par ses partenaires », au titre de l’article 24.1 du RGPD.

La permission la plus détaillée par la recommandation est la localisation, avec des exigences très concrètes : tronquer les coordonnées avant l’envoi, ne pas collecter quand l’application n’est pas utilisée. C’est aussi la donnée qui sort d’une application par le plus grand nombre de chemins.

Sur la vérification enfin, la recommandation ne s’en remet pas aux déclarations : « Une méthode d’audit par interception des communications réseaux peut être envisagée », avec cinq points à contrôler, dont « le SDK ne collecte pas plus de données que défini dans le registre fourni ». C’est exactement la méthode qu’une autorité européenne a employée pour établir qu’un module de notifications envoyait 36 catégories de données à l’insu de son éditeur.

Des contrôles bien réels

Les contrôles annoncés ont eu lieu. La CNIL a fait des applications mobiles une priorité de 2025, en ciblant le paramétrage des SDK et l’accès aux données du téléphone via les permissions. Son bilan 2025 fait état de premières mises en demeure d’éditeurs, notamment sur la vérification de l’âge.

Le reste de l’Europe suit la même trajectoire : l’autorité norvégienne a vu confirmer en appel, le 21 octobre 2025, l’amende infligée à Grindr, faute de consentements valables pour transmettre des données à des partenaires publicitaires, et l’autorité italienne a sanctionné l’éditeur de l’application Replika.

Le bilan publié en février 2026 met des chiffres sur cette première année de contrôles : 259 décisions rendues en 2025, dont 83 sanctions pour un total de 486,8 millions d’euros et 143 mises en demeure. Plusieurs visaient des applications mobiles et des jeux en ligne dont une part importante des utilisateurs sont des mineurs, sommés de renforcer la vérification de l’âge et la transparence. Et si les applications ne figurent plus parmi les thématiques prioritaires affichées pour 2026, l’essentiel des contrôles se déclenche hors de ces thèmes : le terrain reste ouvert.

Ce que la recommandation ne règle pas

Trois limites, utiles à connaître avant de s’appuyer dessus.

Elle n’est pas contraignante par elle-même. Elle expose la lecture que fait la CNIL d’obligations qui, elles, s’imposent déjà : l’article 82 de la loi Informatique et Libertés et le RGPD. En pratique, c’est la grille que les contrôleurs appliquent, ce qui revient au même sur le terrain.

Elle ne couvre pas les autres terrains. Le texte précise qu’il vaut « sans préjudice des règles applicables sur d’autres fondements juridiques que la protection des données personnelles, notamment le droit de la concurrence » et le règlement sur les marchés numériques. Une pratique qui tient côté RGPD peut être attaquée ailleurs.

Et surtout, elle ne dit rien de votre application. Elle décrit ce qu’il faut vérifier, pas ce que votre code fait. Une partie des 166 points se coche sur des documents, contrats, registre, politique de confidentialité : le reste ne se coche que sur le comportement observé.

Par où commencer

Trois chantiers produisent l’essentiel du résultat : cartographier les tiers réellement contactés, car le déclaré ne suffit pas, vérifier ce que l’application transmet avant consentement et après refus, et réduire les permissions au strict nécessaire.

C’est l’ordre dans lequel un contrôleur regardera votre application. Autant le suivre avant lui, et voir comment s’y préparer concrètement, point par point.

Les trois chantiers se traitent d’un coup en partant du comportement réel de l’application, ce que fait un audit de conformité RGPD d’une application mobile : ce qui sort du téléphone, vers qui, et à quel moment par rapport au choix de l’utilisateur. Le détail des attentes de la CNIL est aussi disponible en clair, dans les 166 vérifications de sa recommandation.

Sources

Chaque constat de cet article renvoie à l’un de ces documents.

1. CNIL ’24Applications mobiles : la CNIL publie ses recommandations pour mieux protéger la vie privéeCNIL, 24 septembre 2024, mise à jour du 8 avril 2025
2. CNIL ’25Recommandation relative aux applications mobiles, version modifiée (98 pages)CNIL, délibération n° 2025-024 du 27 mars 2025, abrogeant la délibération n° 2024-061 du 18 juillet 2024
3. LILLoi n° 78-17 du 6 janvier 1978 modifiée, article 82 : lecture et écriture sur le terminalTexte consolidé publié par la CNIL
4. CNIL ’25Les contrôles de la CNIL en 2025 : applications mobiles, administration pénitentiaire, cybersécurité des collectivitésCNIL, programme annuel des contrôles
5. CNIL ’26Sanctions et mesures correctrices : la CNIL présente le bilan 2025CNIL, 9 février 2026
6. CNIL ’26Les contrôles en 2026 : recrutement, répertoire électoral unique et fédérations sportivesCNIL, programme annuel des contrôles
7. Datatilsynet ’25The Court of Appeal upholds the fine against GrindrAutorité norvégienne de protection des données, 21 octobre 2025
8. GPDP ’25IA : le Garante sanctionne la société qui gère le chatbot ReplikaGarante per la protezione dei dati personali, communiqué du 19 mai 2025, 5 millions d’euros contre Luka Inc. (provvedimento du 10 avril 2025)