La société SINGLESPOT produit une solution technique permettant aux développeurs d’applications mobiles de monétiser leur applications grâce à de la publicité ciblée. Le 26 Mai 2018, dans le cadre du RGPD (GDPR), cette société est l’objet d’un contrôle par la CNIL. Celle-ci met alors en demeure SINGLESPOT d’effacer 14 millions d’enregistrements de données personnelles.

C’est le premier contrôle de la CNIL réalisé depuis l’entrée en vigueur des sanctions prévues par le RGPD. Mais Singlespot est la troisième start-up du secteur du marketing mobile à être mise en demeure par la CNIL cette année. Celle-ci souhaite informer le public sur l’utilisation de technologies s’appuyant sur la géolocalisation des téléphones portables.

Les grands groupes ne sont pas les seuls concernés par la protection des données personnelles. Près de cinq mois après l’entrée en vigueur du RGPD, les start-ups sont, elles aussi, surveillées de près par la CNIL. « Les entreprises sont toutes concernées, à partir du moment où elles gèrent une quantité importante de données », rappelle Mathias Moulin, directeur de la protection des droits et des sanctions à la CNIL.

Après Teemo et Fidzup, Singlespot est la troisième start-up utilisant des données de géolocalisation à des fins publicitaires à être mise en demeure par la CNIL. Alors que la procédure liée à Teemo a été clôturée, celle liée à Fidzup est toujours en cours. De son côté, Singlespot dispose de trois mois, à compter du 23 octobre, pour se mettre en conformité avec le RGPD. A défaut, la société s’expose à des sanctions financières importantes.

Pourquoi rendre public le cas de Singlespot?

Nul doute que ce n’est pas la seule organisation à avoir été contrôlée par la CNIL depuis le 25 Mai 2018. Pourtant toutes les infractions, pas plus que toutes les mises en demeure ne sont pas rendue publiques.

La délibération du bureau de la CNIL, datée du 18 octobre 2018 explique clairement les raisons de cette publicité. Le bureau estime que la publicité de la décision de mise en demeure se justifie par les caractéristiques des manquements. Alors quels sont ces manquements si graves qui justifient cette décision?

Les constats effectués par la CNIL

La société SINGLESPOT s’appuie sur une technologie dénommée SDK afin de collecter des données à caractère personnel via les smartphones et d’effectuer des campagnes publicitaires mobiles auprès des personnes.

À l’occasion de ses investigations, la CNIL a constaté que la société collecte des données de géolocalisation. Et elle le fait sans recueillir le consentement des personnes. Un tel traitement constitue, de fait, un risque particulier au regard de la vie privée. En effet, il révèle les déplacements des personnes et leurs habitudes de vie.

Le bureau de la CNIL indique également que le nombre massif de personnes susceptibles d’être impactées par le traitement mis en œuvre par la société SINGLESPOT constitue une justification pour la publicité de cette décision. En effet, le SDK est intégré à des dizaines d’applications mobiles et une partie importante de la population possède un smartphone. À cet égard, le bureau relève que le SDK installé sur les applications collecte les données de géolocalisation des personnes environ toutes les cinq minutes. De plus, il a été constaté par la délégation de la CNIL que plus de 5 millions d’identifiants avaient été collectées par la société.

Les raisons profondes de cette publicité

Le bureau estime, que, vu la gravité des faits constatés, il est du devoir de la CNIL de mettre les personnes concernées en mesure de conserver le contrôle de leurs données. Cet objectif ne saurait être atteint qu’en assurant le plus haut niveau de transparence sur la collecte des données, notamment de géolocalisation, et la finalité du traitement mis en œuvre par la société SINGLESPOT.

Enfin, la CNIL dont on connaît le manque de moyens, souhaite sensibiliser les professionnels du secteur. Cette sensibilisation est d’autant plus importante que la collecte de données à caractère personnel à des fins de profilage et de ciblage publicitaire, notamment à partir des lieux fréquentés par les personnes, connaît une forte croissance. De plus, l’utilisation de tels mécanismes s’inscrit dans un écosystème faisant intervenir plusieurs acteurs. Il s’agit en particulier des éditeurs d’applications mobiles et des clients annonceurs. Il est donc essentiel de les alerter sur les enjeux de la protection des données personnelles des clients.

Le bureau de la CNIL rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. À ce titre, aucune suite ne sera donnée à la procédure si l’organisation se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique.

Les faits constatés par la CNIL

L’activité de l’entreprise

La mise en demeure adressée par la CNIL à la société SINGLESPOT révèle le détail des faits constatés lors des investigations.

La particularité de la solution technique mise en place, du point de vue RGPD, tient à ce que la société établit des profils de consommateurs géolocalisés. Elle peut ainsi suivre les utilisateurs au long de leurs déplacements et leur proposer des publicités en fonction de leur localisation. “Sont ainsi, par exemple, ciblés les mobinautes s’étant rendus dans des magasins concurrents et ceux ayant visité le magasin d’un client au cours des 15 derniers jours”.

Les données collectées étaient les suivantes : l’identifiant publicitaire mobile, le nom et la version de l’application mobile et le système d’exploitation utilisé (ANDROID ou IOS). Ces données étaient ensuite croisées avec des points d’intérêts, déterminés par les annonceurs (ex: boutiques concurrentes) afin de qualifier le profil de l’utilisateur pour le ciblage publicitaire souhaité.

Le constat réalisé par la CNIL

La délégation de la CNIL a pu constater que la collecte des données de géolocalisation des personnes était opérée :

• tous les 200 mètres pour les applications installées sur le système d’exploitation IOS ;
• toutes les cinq minutes sur le système d’exploitation Android.

Les données des utilisateurs étaient transmises à la société SINGLESPOT sans que les personnes n’en soit spécifiquement informées et sans que leur consentement ne soit recueilli pour cette transmission.

Au terme du contrôle effectué, la CNIL constatait que plus de 14 millions d’identifiants publicitaires étaient présents dans les bases de données de SINGLESPOT, dont plus de 5 millions associés à des données de géolocalisation. Il s’agit là d’un identifiant unique lié au téléphone mobile des personnes ayant utilisé les applications des éditeurs partenaires de l’entreprise.

La CNIL notait également que les données de géolocalisation des personnes étaient collectées et conservées dans les bases de données de la société, même lorsque les utilisateurs étaient situés en dehors des points d’intérêts géographiques déterminés. De pus la durée de conservation par Singlespot atteignait treize mois à compter de la date de la collecte.

La non conformité au RGPD

Du point de vue du RGPD nous sommes apparemment face à un traitement dit de “profilage”. Le profilage est défini par l’article 4.4 du RGPD comme “toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données à caractère personnel pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique”.

Or, on le sait, la CNIL est particulièrement sensible à ce type de traitement.

D’un point de vue juridique, on voit quatre problèmes se profiler. La CNIL les a évidemment relevés :

• une collecte de données personnelles sans information préalable et sans consentement
• une violation probable des principes de loyauté et de transparence (art. 5.1.a)
• la violation probable du principe de minimisation (art. 5.1.c)
• une interrogation quant à la base légale sur laquelle repose le traitement (consentement ?).

Les manquements relevés par la CNIL

Lors de son contrôle, la CNIL a relevé plusieurs manquements aux dispositions légales sur la base du RGPD :

• Un manquement à l’obligation de disposer d’une base légale pour la mise en œuvre du traitement. L’entreprise affirmait que les opérations de ciblage étaient basées sur le consentement des personnes. Or la CNIL a relevé “qu’au moment de l’installation des applications contrôlées, les personnes ne sont pas informées de la collecte de leurs données de géolocalisation via le SDK à des fins de profilage des utilisateurs et de ciblage publicitaire”
• Le non-respect de l’obligation de définir et de respecter une durée de conservation proportionnée à la finalité du traitement. Il s’agit là, en fait, du principe de minimisation du RGPD. A ce titre, la CNIL mentionne à juste titre : “la Commission considère que l’utilisation des dispositifs de géolocalisation est particulièrement intrusive au regard des libertés individuelles, dans la mesure où ils permettent de suivre de manière permanente et en temps réel des personnes, aussi bien dans l’espace public que dans des lieux privés. Ainsi, la CNIL estime que les données de géolocalisation ne peuvent être conservées que pour une durée strictement proportionnée à la finalité du traitement qui a justifié cette géolocalisation”
• Un manquement à l’obligation d’assurer la sécurité et la confidentialité des données. En fait, le mot de passe administrateur consistait en un mot de passe de 16 caractères composé uniquement de trois types caractères différents (majuscules, minuscules et chiffres). Ceci contrevenait à la charte de sécurité de l’entreprise. Celle-ci préconisait un mot de passe de 10 caractères minimum composé de majuscules, minuscules, chiffres et caractères spéciaux. La CNIL relève également une utilisation non conforme des données utilisateurs des bases de données de production. En effet, celles-ci étaient utilisées dans les environnements de développement. Cette utilisation viole ainsi le principe de confidentialité

Le dernier manquement concernant la sécurité informatique relevé par la CNIL. Il semble ressortir des faits que l’entreprise développait ses applications directement dans des environnements de production. Cette pratique représente un risque majeur en matière d’intégrité des données des personnes concernées. Ce risque bien se rajouter à celui qui pèse sur la confidentialité.

Le contenu de la mise en demeure adressée par la CNIL

En conséquence, la société SINGLESPOT a été mise en demeure sous un délai de trois (3) mois à compter de la notification de la décision et sous réserve des mesures qu’elle aurait déjà pu adopter, de :

• ne pas procéder sans base légale au traitement des données de géolocalisation des personnes à des fins de ciblage publicitaire, en particulier recueillir, de manière effective, le consentement préalable des utilisateurs des applications éditées par les partenaires de la société SINGLESPOT au traitement de leurs données par cette dernière (par exemple par la mise en place d’un pop-up contenant une information et une case à cocher dédiées ou un bouton de refus) et à défaut, supprimer lesdites données collectées ;

• sous réserve de base légale du traitement, définir et mettre en œuvre une politique de durée de conservation des données raisonnable, en particulier :

• supprimer les données de géolocalisation des utilisateurs collectées en dehors des zones de POIs une fois la correspondance entre les données de géolocalisation et les zones de POIS effectuée ;
• définir une durée de conservation des données de géolocalisation proportionnée à la finalité du traitement et procéder à la purge ou, le cas échéant, à l’anonymisation des données anciennes ;

• prendre toute mesure nécessaire pour garantir la sécurité des données à caractère personnel des utilisateurs, notamment en mettant en place une politique contraignante relative aux mots de passe utilisés par les comptes accédant aux bases de données ou aux plateformes d’administration de ces bases, respectant l’une des modalités suivantes :
  • les mots de passe sont composés d’au minimum 12 caractères, contenant au moins une lettre majuscule, une lettre minuscule, un chiffre et un caractère spécial ;
  • les mots de passe sont composés d’au moins 8 caractères, contenant 3 des 4 catégories de caractères (lettres majuscules, lettres minuscules, chiffres et caractères spéciaux) et s’accompagnent d’une mesure complémentaire comme par exemple la temporisation d’accès au compte après plusieurs échecs, (suspension temporaire de l’accès dont la durée augmente à mesure des tentatives), la mise en place d’un mécanisme permettant de se prémunir contre les soumissions automatisées et intensives de tentatives (ex : captcha ) et/ou le blocage du compte après plusieurs tentatives d’authentification infructueuses (au maximum 10).

• un stockage des mots de passe sous une forme hachée (par exemple, à l’aide de l’algorithme SHA256 avec l’utilisation d’un sel) ;
  • en mettant en place une politique de séparation entre les environnements de tests de développement (ou de recette) et les environnements de production.

• justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.

À l’issue de ce délai, si la société SINGLESPOT s’est conformée à la mise en demeure, il sera considéré que la procédure est close et un courrier lui sera adressé en ce sens.

À l’inverse, si la société SINGLESPOT ne s’est pas conformée à la mise en demeure, un rapporteur sera désigné qui pourra demander à la formation restreinte de prononcer l’une des sanctions prévues par la loi.

Les conséquences potentielles

Rappelons qu’en application des articles 121-2, 131-37, 131-38 et 226-17 du Code pénal combiné le fait, pour une personne morale, de procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites à l’article 34 de la loi n° 78-17 du 6 janvier 1978 était puni d’une amende de 1 500 000 euros. Avec la mise en application du RGPD, les sanctions se sont nettement alourdies. La société risque maintenant une amende allant jusqu’à 4% de son CA mondial avec un minimum de 20 millions d’euros.