L'autorité française de protection des données, la CNIL, a infligé une amende de 7 millions d'euros au détaillant FNAC pour avoir suivi les utilisateurs de son application sans consentement valable. Le régulateur a également ordonné à l'entreprise de modifier ses parcours de consentement sous un mois. La décision de la CNIL concernant l'amende infligée à la FNAC pour le suivi dans son application est un rappel utile que ce qui se passe à l'intérieur d'une application mobile est soumis aux mêmes règles de confidentialité que ce qui se passe sur un site web, et que le « consentement » doit avoir une signification réelle.

Cet article couvre ce qui a été rapporté, ce que l'ordre exige, et ce que vous pouvez faire sur votre propre téléphone. Il examine également où un VPN intervient, et où il n'intervient pas.

Ce que la CNIL a reproché à la FNAC

Selon les informations de Cybernews, la CNIL a conclu que la FNAC suivait les utilisateurs de son application sans obtenir de consentement valable. C'est le cœur de la sanction : un suivi qui a eu lieu sans que l'utilisateur y ait proprement consenti.

Les informations dont nous disposons ne détaillent pas chaque aspect technique du suivi, nous ne spéculerons donc pas sur les traqueurs ou les types de données concernés. Ce que la conclusion principale nous indique, c'est le principe en jeu. Selon les règles européennes de confidentialité, le suivi qui n'est pas strictement nécessaire exige généralement un choix clair et éclairé de la personne suivie. Si une application commence à collecter ou à partager des données avant que ce choix ne soit fait, ou si le choix n'est pas véritablement libre, les régulateurs peuvent considérer le consentement comme invalide.

Le montant de l'amende, 7 millions d'euros, signale également que les régulateurs considèrent le suivi dans les applications comme un domaine de conformité sérieux et non comme une simple technicité.

Ce que la FNAC doit changer sous un mois

Au-delà de la sanction financière, la CNIL a donné à la FNAC un mois pour corriger ses parcours de consentement. En pratique, un parcours de consentement est la séquence d'invitations et de paramètres qu'une application affiche lorsque vous l'ouvrez pour la première fois, ainsi que la manière dont elle enregistre et respecte vos réponses.

Pour une entreprise dans cette situation, un parcours de consentement licite signifie généralement :

  • Demander avant que le suivi non essentiel ne commence, et non après.
  • Présenter le choix clairement, afin que les utilisateurs comprennent ce à quoi ils consentent.
  • Rendre le refus aussi facile que l'acceptation.
  • Respecter la décision prise par un utilisateur, y compris lorsqu'il refuse.

Il s'agit d'attentes générales au titre des règles européennes de confidentialité plutôt que d'une citation de l'ordre exact de la CNIL, il convient donc de les considérer comme du contexte. Le délai d'un mois est le détail concret issu des informations rapportées, et il montre que les régulateurs veulent une correction rapide, et non une remise en conformité prolongée.

Les régulateurs français et les expositions de données ont déjà fait l'actualité. Notre couverture d'une fuite chez un fournisseur de messagerie français ayant exposé 40 millions d'enregistrements montre un autre aspect de la même question : comment les défaillances dans le traitement des données, que ce soit par le suivi ou par une sécurité défaillante, retombent sur les utilisateurs ordinaires.

Comment limiter le suivi dans les applications sur iPhone et Android

Une décision comme celle-ci met la pression sur les entreprises, mais vous n'avez pas à attendre qu'elles se conforment. Les contrôles intégrés de votre téléphone sont le moyen le plus direct de limiter le suivi dans les applications. Les noms des menus changent selon les versions et les fabricants, cherchez donc la correspondance la plus proche.

Sur iPhone :

  • Ouvrez Réglages, puis Confidentialité et sécurité, puis Suivi.
  • Désactivez « Autoriser les apps à demander le suivi » pour bloquer entièrement l'invitation, ou vérifiez les applications que vous avez déjà autorisées.
  • Vérifiez les autorisations de Localisation et de Photos pendant que vous y êtes.

Sur Android :

  • Ouvrez Réglages et cherchez Confidentialité, puis Ads (la formulation varie selon l'appareil).
  • Supprimez ou réinitialisez votre identifiant publicitaire, et désactivez la personnalisation des annonces lorsque l'option est proposée.
  • Consultez le gestionnaire d'autorisations pour la localisation, les contacts et autres accès sensibles, et retirez tout ce dont une application n'a pas besoin.

Examinez également les invitations de consentement au sein des applications individuelles. Beaucoup proposent un écran de préférences où vous pouvez refuser le suivi non essentiel, et vous pouvez généralement modifier votre choix ultérieurement.

Ce qu'un VPN peut et ne peut pas faire contre le suivi dans les applications

Les VPN sont souvent présentés comme une solution universelle contre le suivi, ce qui n'est pas exact. Un VPN chiffre votre connexion et masque votre adresse IP aux sites et services auxquels vous vous connectez. Cela peut limiter le suivi qui repose sur votre adresse IP ou sur la localisation qui en est déduite, et cela protège votre trafic sur les réseaux non fiables tels que le Wi-Fi public.

Ce qu'un VPN ne peut pas faire, c'est empêcher une application de collecter des données une fois que vous êtes connecté ou que vous lui avez accordé des autorisations. Si une application enregistre ce que vous touchez, quels écrans vous consultez, ou relie l'activité à votre compte ou aux identifiants de votre appareil, cela se passe à l'intérieur de l'application. Le VPN ne le voit pas et ne peut pas le bloquer. Le type de suivi en cause dans les affaires de consentement est généralement de ce type, au sein de l'application.

Ainsi, un VPN est une couche limitée, et non un substitut aux paramètres d'autorisation et aux choix éclairés. La même logique s'applique aux autres expositions de données : notre rapport sur un bucket mal configuré chez 302.ai ayant exposé 17,6 M de fichiers est un cas où aucun VPN du côté de l'utilisateur n'aurait pu changer l'issue.

Ce que cela signifie pour vous

Si vous utilisez l'application de la FNAC, vous pourriez voir des changements dans ses invitations de consentement à mesure que l'entreprise s'efforce de respecter le délai d'un mois fixé par la CNIL. Lisez-les plutôt que de cliquer frénétiquement, et choisissez les options qui correspondent à vos préférences.

Plus largement, la décision montre que les régulateurs européens sanctionneront un consentement qui n'est pas valable, et que vous avez des droits sur la manière dont les applications vous suivent. Ces droits sont plus faciles à exercer lorsque vous savez où se trouvent les contrôles de votre téléphone.

Points clés

L'affaire de l'amende de la CNIL infligée à la FNAC pour le suivi dans son application est un exemple clair de régulateurs tenant un grand détaillant responsable de la manière dont son application gère le consentement. Voici ce que vous pouvez faire dès maintenant :

  • Examinez les paramètres de suivi et d'autorisation sur votre iPhone ou appareil Android cette semaine.
  • Refusez le suivi non essentiel dans les invitations de consentement des applications, et revenez sur vos choix passés.
  • Supprimez les applications que vous n'utilisez plus, car les applications inutilisées peuvent encore détenir des autorisations.
  • Considérez un VPN comme une couche de protection limitée, utile pour la confidentialité du réseau mais pas comme une solution au suivi dans les applications.

Pour plus de contexte sur la manière dont les incidents de données français affectent la confidentialité des utilisateurs, lisez notre couverture de la fuite chez un fournisseur de messagerie français et gardez un œil sur l'évolution des changements de consentement de la FNAC.