AgentPublic/cnil huggingface dataset:
Au regard des constats effectués par la CNIL et des éléments communiqués postérieurement au contrôle, il apparaît que la société X détermine dans une large mesure les finalités et les moyens des traitements mis en œuvre dans le cadre de l’utilisation du SDK et des dispositifs d’enchères de publicités en temps réel ( bid requests ).
En effet, il ressort des pièces transmises à la délégation que la société traite pour son propre compte les données à caractère personnel collectées via le SDK pour vendre des services d’analyse ou de profilage auprès de ses clients.
En outre, la délégation a été informée que les données des utilisateurs des différentes applications mobiles collectées sont enregistrées au sein de la même base de données, ce que la délégation a constaté.
Enfin, la société X a indiqué à la délégation se considérer comme responsable de traitement.
La société X doit, par conséquent, être regardée comme responsable du traitement mis en œuvre dans le cadre de l’utilisation du SDK.
Sur la collecte de données à caractère personnel
Aux termes de l’article 2 de la loi du 6 janvier 1978 modifiée constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres. Pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne .
Constitue en outre un traitement de données à caractère personnel toute opération ou tout ensemble d'opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction .
La délégation a constaté que la société X collecte, via le SDK installé au sein des applications mobiles et via les dispositifs automatisés d’achat de publicité en ligne ( bid requests ), l’identifiant publicitaire de l’ordiphone associé aux données de géolocalisation de la personne ainsi qu’à des données techniques relatives à l’ordiphone.
L’identifiant publicitaire est un identifiant unique généré par le système d’exploitation de l’ordiphone permettant d’identifier le terminal de l’utilisateur de façon stable dans le temps. Il est mis à disposition de l’ensemble des applications mobiles installées sur celui-ci et est également accessible aux différents SDK installés dans les applications mobiles.
Cet identifiant publicitaire est stocké de façon pérenne dans l’ordiphone de l’utilisateur et permet donc d’identifier l’utilisateur de façon indirecte. Il a vocation à identifier l’utilisateur afin de lui associer un profil publicitaire constitué à partir de ses données de géolocalisation. Il permet donc d’identifier l’utilisateur lors de son utilisation ultérieure d’autres applications mobiles sur son téléphone afin de lui associer son profil publicitaire et de lui afficher des publicités spécifiquement choisies en fonction de ses habitudes de déplacement.
Il en résulte que la société traite des données à caractère personnel en application de l’article 2 de la loi du 6 janvier 1978 modifiée.
Sur les manquements constatés au regard des dispositions de la loi du 6 janvier 1978
Un manquement à l’obligation de disposer d’une base légale pour la mise en œuvre du traitement
 A. Concernant les données issues du SDK de la société X
La délégation a été informée que la société procède à la collecte des données de géolocalisation des personnes à l’aide du SDK intégré dans des applications mobiles téléchargées par les mobinautes. Par la suite, les données de géolocalisation sont croisées avec les POIs afin de qualifier le profil des personnes et de procéder à des opérations de démarchage publicitaire auprès d’elles.
Or, une telle combinaison des données à caractère personnel des mobinautes, à des fins publicitaires, ne peut intervenir que si la société peut se prévaloir de l’une des conditions prévues à l’article 7 de la loi no 78-17 du 6 janvier 1978 modifiée, qui prévoit que :
 Un traitement de données à caractère personnel doit avoir reçu le consentement de la personne concernée ou satisfaire à l'une des conditions suivantes :
1° Le respect d'une obligation légale incombant au responsable du traitement ;
2° La sauvegarde de la vie de la personne concernée ;
3° L'exécution d'une mission de service public dont est investi le responsable ou le destinataire du traitement ;
4° L'exécution, soit d'un contrat auquel la personne concernée est partie, soit de mesures précontractuelles prises à la demande de celle-ci ;
5° La réalisation de l'intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée.
Le traitement des données de géolocalisation aux fins de marketing ciblé est, selon son responsable la société X, fondé sur le consentement des personnes concernées. Il ressort, en effet, des contrats passés entre la société et les éditeurs d’applications mobiles que le consentement des personnes concernées doit être recueilli. À cette fin, la société a indiqué à la délégation qu’elle propose aux éditeurs une interface d’information visant à recueillir le consentement des mobinautes.
Il ressort en outre des éléments fournis par la société à la Commission, notamment les 12 juin et 20 août 2018, que la société a adhéré à l’Interactive Advertising Bureau (IAB) et a développé, en partenariat avec cette association de professionnels du marché de la publicité sur internet, un outil destiné à uniformiser les modalités de recueil du consentement via les SDK. Les documents communiqués à la Commission le 26 octobre 2018 présentent la dernière version de cet outil élaboré par la société X, dénommé Consent Management Provider (CMP).
Ces documents présentent le cheminement suivi par l’utilisateur d’une application ayant intégré le CMP proposé par la société.
Au lancement de l’application, l’éditeur informe l’utilisateur de la collecte de ses données par un texte ainsi rédigé :
Afin d’améliorer notre application et vous adresser du contenu et/ou des offres commerciales personnalisées, nos partenaires et nous-mêmes collectons vos données personnelles comme vos données de navigation ou votre position géographique. Cela nous permet également de vous offrir un accès gratuit à notre service et nous nous engageons à diffuser des publicités dont les formats sont non intrusifs.
En acceptant, vous consentez à ce que nos partenaires et nous-mêmes puissions collecter et traiter vos données personnelles à des fins d’analyse et de publicité.
Vous pouvez changer vos paramètres de confidentialité à tout moment depuis les réglages de l’application. 
Un lien vers les politiques de confidentialité de l’application est proposé après ce texte.
L’utilisateur se voit ensuite proposer le choix entre J’accepte , Je refuse et J’affine mes préférences . Si l’utilisateur choisit la troisième possibilité et décide de personnaliser les paramètres, le principe de la collecte des données est accepté par défaut pour les différentes finalités identifiées. Il devra alors décocher les unes après les autres les cases correspondant aux différentes finalités pour pouvoir s’opposer au traitement de ses données. Il peut, par un clic supplémentaire, accéder à la liste de tous les responsables de traitement traitant ses données, dont X, et peut s’opposer au traitement de ses données par responsable de traitement.
En vertu de l’article 2, point h) de la directive 95/46/CE du 24 octobre 1995, le consentement s’entend comme toute manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l’objet d’un traitement .
À cet égard, la notion de consentement, reprise dans le règlement général sur la protection des données, n’est pas moins exigeante dès lors qu’il est prévu que celui-ci doit être donné par un acte positif clair par lequel la personne concernée manifeste de façon libre, spécifique, éclairée et univoque son accord au traitement des données à caractère personnel la concernant .
Or, il ressort des contrôles et de l’analyse des pièces transmises à la Commission que le mécanisme proposé aux utilisateurs ayant téléchargé les applications des partenaires de la société ne permet pas aux utilisateurs de consentir valablement aux traitements opérés par cette dernière.
En premier lieu, le consentement doit être informé.
Le groupe de travail de l’article 29 ( G29 ), dans son avis 15/2011 du 13 juillet 2011 sur la définition du consentement, a indiqué que le consentement implique que toutes les informations nécessaires doivent être données au moment de la demande du consentement et que ces informations doivent couvrir tous les aspects de fond du traitement que le consentement est censé légitimer .
En outre, le G29 indique que les informations doivent être transmises dans un langage adapté permettant à la personne concernée de comprendre à quoi elle consent et quelles sont les finalités du traitement , et que l’information fournie aux utilisateurs doit être claire et suffisamment visible afin qu’elle ne puisse pas leur échapper. L’information doit être directement communiquée aux personnes concernées. Il ne suffit pas qu’elle soit simplement disponible quelque part .
En l’espèce, la délégation a constaté qu’au moment de l’installation de l’application […] contrôlée, les personnes ne sont pas informées de la collecte de leurs données de géolocalisation via le SDK à des fins de profilage des utilisateurs et de ciblage publicitaire.
Il ressort toutefois des dernières mises à jour communiquées aux services de la Commission que la société X a élaboré un CMP devant être intégré aux applications par les éditeurs partenaires, dont les modalités ont été exposées précédemment.
À cet égard, il apparaît premièrement que le texte de présentation, directement communiqué à l’utilisateur à la première ouverture de l’application et repris in extenso plus haut, ne présente pas la clarté requise en ce qu’il ne permet pas aux personnes concernées de comprendre précisément à quoi elles consentent.
Le texte manque de transparence, en ce qu’il peut laisser croire à l’utilisateur que son refus que ses données soient collectées et traitées entraînera soit un modèle économique payant, soit une impossibilité d’utiliser l’application. Il peut également être amené à penser que le refus de la collecte de ses données rendra les publicités affichées plus intrusives ( Cela nous permet également de vous offrir un accès gratuit à notre service et nous nous engageons à diffuser des publicités dont les formats sont non intrusifs ).
Deuxièmement, les définitions apportées aux finalités présentées par la société X sont rédigées en des termes peu clairs qui ne permettent pas à la personne de comprendre ce à quoi elle consent.
À titre d’exemple, la finalité de personnalisation mise en avant dans le CMP est définie comme collecte et traitement d’informations relatives à votre utilisation de ce service afin de vous adresser ultérieurement des publicités et/ou du contenu personnalisé dans d’autres contextes, par exemple sur d’autres sites ou applications. En général, le contenu du site ou de l’application est utilisé pour faire des déductions concernant vos intérêts, ce qui sera utile dans le cadre de sélections ultérieures de publicité et/ou de contenu . Cette définition s’avère peu compréhensible et ne saurait permettre l’expression d’un consentement éclairé. En effet, d’une part, elle est imprécise en ce qu’elle couvre un grand nombre de situations. D’autre part, sa rédaction, compte tenu de la complexité des termes utilisés, n’est pas adaptée au grand public objet des traitements réalisés.
Troisièmement, les personnes ne sont pas valablement informées de l’identité des sociétés par qui leurs données seront traitées et qui auront, de ce chef, la qualité de responsable du traitement.
Dans un avis 15/2011 du 13 juillet 2011, le G29 a considéré qu’une information relative à l’identité du responsable du traitement doit nécessairement être communiquée à l’utilisateur. Cet élément est en effet considéré par le G29 comme étant crucial à l’utilisateur pour opérer un choix. Le groupe de travail a également précisé que si le consentement sollicité servira de base à plusieurs responsables (conjoints) du traitement ou si les données seront transférées à, ou traitées par, d’autres responsables qui souhaitent se fonder sur le consentement original, ces organisations devraient toutes être nommées .
En l’espèce, l’information relative à l’identité des responsables des traitements n’est pas directement accessible aux personnes. Elle nécessite que l’utilisateur, à l’ouverture de l’application, fasse le choix d’affiner ses préférences, et fasse défiler son écran jusqu’à atteindre un lien intitulé Voir tous les partenaires . Un clic sur ce lien le renverra vers une page listant tous les partenaires de l’application, dont X.
Cette présentation implique qu’à l’affichage de la première page, où figurent les boutons cliquables J’accepte , Je refuse et J’affine mes préférences , l’utilisateur n’est pas informé des destinataires de ses données, et que l’éventuel consentement qu’il donnerait en cliquant sur le bouton J’accepte ne serait pas un consentement informé.
Par conséquent, et même dans l’hypothèse où la nouvelle version du CMP serait déployée sur l’intégralité des applications au sein desquelles la société X a installé son SDK, les personnes ne sont pas dûment informées de la collecte de leurs données de géolocalisation par la société X, via l’installation d’un SDK, à des fins de publicité ciblée.
En deuxième lieu, le consentement doit être spécifique.
Dans un avis 15/2011 du 13 juillet 2011, le G29 a rappelé que pour être valable, le consentement doit être spécifique. En d’autres termes, un consentement général, sans préciser la finalité exacte du traitement, n’est pas acceptable. Pour être spécifique, le consentement doit être intelligible. Il doit mentionner, de façon claire et précise, l’étendue et les conséquences du traitement des données […] Le consentement doit être donné sur les différents aspects, clairement définis, du traitement. […] En effet, il ne saurait être considéré comme couvrant toutes les finalités légitimes poursuivies par le responsable du traitement .
La délégation a constaté à l’occasion du contrôle sur place que les personnes sont amenées à valider l’autorisation de collecter leurs données de géolocalisation uniquement pour l’utilisation de l’application mobile téléchargée.
À titre d’exemple, s’agissant de l’application mobile […], au moment de l’installation de celle-ci sur Android, il est demandé à la personne de donner son accord de la manière suivante Autoriser l’application […] à accéder à la position de l’appareil . S’agissant de l’application installée sur IOS, la fenêtre suivante s’affiche lors de l’installation : Autoriser […] à accéder à vos données de localisation (même lorsque vous n’utilisez pas l’app) pour vous informer des évènements autour de chez vous) .
La dernière version du CMP présentée par la société X dans son envoi de pièces du 26 octobre 2018 vient affiner les modalités de recueil du consentement mais ne modifie pas l’absence de spécificité du consentement recueilli.
Il est en effet proposé à l’utilisateur, après une brève présentation reprise précédemment, de cliquer sur deux boutons J’accepte ou Je refuse .
Ces deux boutons initialement présentés à l’utilisateur ne permettent pas à celui-ci de consentir spécifiquement au traitement de ses données à caractère personnel en vue de l’affichage de publicités ciblées, ou en vue de l’élaboration d’un profil commercial à visée marketing.
Si une facilité d’utilisation peut être proposée par un bouton d’acceptation ou de refus global, cette fonctionnalité ne peut pas lui être présentée avant que les différentes finalités du traitement ne lui soient exposées, faute de quoi l’utilisateur donnerait un consentement global à plusieurs traitements qu’il ne connaît pas et pour lesquels un consentement spécifique n’a pas été sollicité. Par sa présentation même, la gestion globale du consentement (acceptation ou refus) doit indiquer l’existence de plusieurs traitements ou de plusieurs finalités.
Une acceptation globale, sans même que l’utilisateur ne soit clairement informé de l’existence de plusieurs traitements ou de plusieurs finalités, ne saurait répondre au critère de spécificité du consentement exigé par le G29.
Les utilisateurs des applications mobiles partenaires ne consentent donc pas spécifiquement au traitement de leurs données de géolocalisation à des fins de profilage et de ciblage publicitaire.
En dernier lieu, le consentement doit être exprimé par une action positive de l’utilisateur.
Le G29, dans son avis 15/2011 du 13 juillet 2011 précité, a indiqué qu’ un consentement fondé sur l’inaction ou le silence de la personne concernée, en particulier dans l’environnement en ligne, ne constitue pas un consentement valable. Cette question se pose, notamment, dans le cas de l’utilisation de paramètres par défaut que la personne concernée est tenue de modifier pour refuser le traitement.
Ainsi, lors de l’ouverture de l’application […), la fenêtre suivante informant les personnes est affichée : Lors de l’installation ou de l’utilisation de l’application mobile de […], vous pouvez être amené(e) à nous communiquer certaines de vos données. […], dans le cadre du Règlement Général sur la Protection des Données, tient à vous informer en toute transparence des traitements qui sont amenés à être effectués sur les données que nous récoltons […]. Vous pouvez ainsi cliquer sur Accepter pour continuer à bénéficier globalement des services proposés par […] ou cliquer sur personnaliser pour gérer vos préférences sur l’utilisation de l’application. Dans ce cas une explication vous sera donnée sur les différents usages que nous faisons des données recueillies. Au regard de la législation en vigueur, vous devez avoir 15 ans pour pouvoir accepter ou personnaliser vos préférences. Si vous n’avez pas 15 ans, nous vous demandons de vous rapprocher de vos parents ou d’une personne titulaire de l’autorité parentale à votre égard pour effectuer ce choix.
Les personnes doivent faire défiler l’intégralité du texte pour faire apparaître le lien cliquable Personnaliser , puis cliquer sur ce dernier pour avoir accès aux pages relatives à la confidentialité des données. Ainsi, après avoir cliqué sur l’onglet Régie publicitaire , une nouvelle fenêtre s’ouvre, les informant que nous [l’application] utilisons des fonctionnalités de ciblage proposées par nos partenaires, qui permettent de vous adresser des publicités ciblées, adaptées à vos centres d’intérêts, géoadaptées et des offres commerciales personnalisées en fonction de l’endroit où vous vous trouvez et de votre profil. Vos données collectées à ces fins sont transmises à nos partenaires . Enfin, les personnes peuvent cliquer sur l’onglet Personnalisation afin de désactiver l’autorisation par défaut de collecte de données de leurs données à des fins de publicité ciblée.
Si ce système récemment développé permet d’améliorer l’information de l’utilisateur, il ne saurait pour autant remplir les exigences relatives à la notion de consentement.
Le fait que l’ensemble des finalités de collecte soient pré-acceptées par défaut ne saurait aboutir à l’expression d’un consentement de la part de l’utilisateur. En effet, son action n’est requise que pour s’opposer au traitement par le fait de décocher les cases correspondant aux différentes finalités.
Il en va de même dans la dernière version du CMP présentée par la société X dans les pièces communiquées le 26 octobre.
Dans cette nouvelle interface, l’utilisateur qui décide d’affiner ses préférences se voit informer des cinq finalités présentées par l’éditeur de l’application ( conservation et accès aux informations , personnalisation , sélection, diffusion et signalement de publicités , sélection, diffusion et signalement de contenu et évaluation ).
L’ensemble de ces finalités sont pré-acceptées par défaut.
Il résulte de tout ce qui précède que le consentement des personnes n’est pas valablement recueilli, et que les données jusqu’ici détenues et traitées par la société X le sont sans base légale.
 B. Concernant les données issues des bid requests reçues par X
La délégation a été informée que la société X est destinataire de données à caractère personnel, notamment des données de géolocalisation et des identifiants publicitaires d’ordiphones, par le biais d’enchères en temps réel ( bid requests ) auxquelles elle décide, ou non, de donner suite.
Ces données sont collectées, à l’origine, dans des applications sans lien contractuel avec X, soit par un code directement intégré par l’éditeur dans l’application, soit par le SDK d’une autre société. Ces données sont transmises, pendant la procédure d’enchère, à divers intermédiaires avant de parvenir aux sociétés […] ou […], puis d’être envoyées à X par ces dernières.
La société conserve et traite ultérieurement ces données personnelles qu’elle ait ou non enchéri sur l’enchère en question, puis qu’elle ait ou non remporté ladite enchère.
Dans un premier temps, ces données sont traitées afin d’analyser, par un procédé informatique automatique et quasiment instantané, l’opportunité de répondre à l’offre d’enchère proposée.
Après que l’offre d’enchère a été acceptée ou refusée par la société X, et après que cette enchère a été gagnée ou perdue, les données sont conservées et à nouveau traitées pour analyser la conversion physique des campagnes publicitaires mobiles, cibler des campagnes de prospection et améliorer les profils des personnes concernées déjà présentes dans les bases de données de la société.
Les deux finalités pour lesquelles les données sont transmises à X sont donc la passation d’une enchère d’une part, et la définition d’un profil commercial des individus d’autre part.
Pour autant, les opérations de collecte et de traitement de ces données à caractère personnel ne sont autorisées que si elles répondent aux exigences prévues à l’article 7 de la loi no 78-17 du 6 janvier 1978 modifiée, qui prévoit que :
 Un traitement de données à caractère personnel doit avoir reçu le consentement de la personne concernée ou satisfaire à l'une des conditions suivantes :
1° Le respect d'une obligation légale incombant au responsable du traitement ;
2° La sauvegarde de la vie de la personne concernée ;
3° L'exécution d'une mission de service public dont est investi le responsable ou le destinataire du traitement ;
4° L'exécution, soit d'un contrat auquel la personne concernée est partie, soit de mesures précontractuelles prises à la demande de celle-ci ;
5° La réalisation de l'intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée. 
La société X met en avant le consentement donné par les utilisateurs pour mettre en œuvre le traitement des données à caractère personnel, notamment de géolocalisation, contenues dans les offres d’enchère en temps réel.
Comme indiqué précédemment, il ressort des pièces communiquées le 12 juin 2018 par la société X que cette dernière s’est enregistrée auprès de l’IAB, association de professionnels du marché de la publicité sur internet.
Dans le cadre de son activité de groupe de pression, l’association a élaboré une liste de finalités spécifiques à l’activité publicitaire sur internet[4]. Ces finalités sont les suivantes :
le stockage et accès à l’information ;
la personnalisation ;
la sélection des publicités, diffusion, compte-rendu ;
la sélection du contenu, diffusion, compte-rendu ;
la mesure.