La CNIL vise les fournisseurs de SDK : ce que change sa recommandation
En septembre 2024, la CNIL a publié une recommandation dédiée aux applications mobiles. Elle ne s’adresse pas qu’aux éditeurs : elle désigne toute la chaîne, et y inclut nommément les fournisseurs de SDK.
Toute la chaîne, pas seulement l’éditeur
La recommandation de la CNIL répartit les responsabilités entre l’éditeur, le développeur, les fournisseurs de SDK, les magasins d’applications et les systèmes d’exploitation. Chacun doit être qualifié, par contrat, comme responsable, responsable conjoint ou sous-traitant, selon ce qu’il fait réellement des données.
La CNIL précise qu’elle ne se considère pas liée par les qualifications que les parties se donnent entre elles. Un fournisseur de SDK qui décide, pour son propre compte, de ce qu’il collecte ne se retranche pas derrière l’étiquette de simple sous-traitant.
Une permission n’est pas un consentement
La recommandation rappelle qu’une autorisation technique accordée par le système, l’accès au stockage, à l’identifiant publicitaire ou à la localisation, ne vaut pas consentement au sens du RGPD. Le consentement doit rester libre, spécifique, éclairé et univoque.
Pour un SDK, obtenir un accès n’autorise donc pas à s’en servir tant que le choix de l’utilisateur, exprimé dans la bannière, n’est pas respecté.
Les contrôles ont commencé
La CNIL a lancé une campagne de contrôle des applications mobiles à partir du printemps 2025, dans le prolongement de ses vérifications de 2023 sur le pistage sans consentement. Les manquements au RGPD exposent à des sanctions pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial.
Le précédent Grindr, sanctionné pour des données transmises à des partenaires publicitaires via des SDK, montre que ce type de traitement est déjà jugé et sanctionné en Europe.
Ce qu’un fournisseur de SDK peut faire
Documenter, sur de vraies applications, ce que son SDK fait une fois intégré : à quel moment il se déclenche par rapport à la bannière, ce qu’il émet, ce qu’il continue d’envoyer après un refus. C’est la matière qui manque quand tout se passe côté éditeur.
C’est l’objet d’une vérification côté régie et adtech : un constat factuel et daté, application par application, pour objectiver ce que le contrat ne garantit pas.