La société Singlespot, spécialisée dans la publicité ciblée par géolocalisation pour mobiles, a récemment fait l’objet d’une mise en demeure de la part de la CNIL (Commission Nationale de l’Informatique et des Libertés). Cette décision, qui soulève plusieurs questions importantes autour du consentement et de la protection des données personnelles, mérite une analyse approfondie. Dans cet article, nous reviendrons sur les éléments clés de cette affaire et tenterons de comprendre les aspects juridiques et techniques soulevés par la CNIL.
Les faits reprochés à Singlespot
Singlespot est une société française qui développe des technologies permettant de cibler les publicités mobiles en fonction de la position géographique des utilisateurs. Pour cela, elle collecte et traite des données de géolocalisation issues des smartphones. Or, la CNIL considère que le consentement donné par ces derniers ne serait pas suffisamment éclairé ni spécifique, ce qui constituerait une violation du Règlement général sur la protection des données (RGPD) et de la loi Informatique et Libertés.
Un consentement insuffisamment éclairé
Pour la CNIL, le consentement donné par les utilisateurs lors de l’installation des applications partenaires de Singlespot n’est pas assez clair quant aux finalités précises du traitement de leurs données de géolocalisation. Les informations fournies seraient trop générales et ne permettraient pas aux personnes concernées de comprendre l’ampleur et la portée des traitements effectués par Singlespot.
Un consentement trop large
En outre, le consentement donné par les utilisateurs couvrirait un ensemble de finalités trop vaste pour être considéré comme valide au regard du RGPD. En effet, ce dernier exige que le consentement soit donné pour une finalité précise et limitée, pour garantir le respect des droits et libertés fondamentales des personnes concernées.
Les arguments avancés par Singlespot
La société Singlespot a néanmoins réagi à cette mise en demeure et présenté plusieurs arguments pour justifier ses pratiques en matière de collecte et de traitement de données de géolocalisation.
L’absence d’identifiants personnels
Singlespot souligne notamment qu’elle ne collecte aucune donnée directement identifiante (nom, prénom, adresse e-mail…), mais uniquement des identifiants techniques propres à chaque smartphone. De ce fait, elle affirme ne pas traiter de données personnelles au sens strict du terme, arguant que la CNIL n’a ainsi pas de motifs valables pour la mettre en demeure.
Le partenariat avec les développeurs d’applications
La société insiste également sur son modèle économique basé sur des partenariats avec des développeurs d’applications tierces, expliquant que ces derniers sont responsables de la collecte, du traitement et de la sécurisation des données des utilisateurs. Singlespot ne serait donc qu’un intermédiaire technique, sans accès direct aux données personnelles.
Des mesures de protection déjà en place
Singlespot affirme enfin avoir pris des mesures pour se conformer au RGPD et renforcer la protection des données collectées. La société évoque notamment la mise en place d’une procédure de pseudonymisation et l’adoption d’un système d’enregistrement et de suivi du consentement des utilisateurs à la collecte et au traitement de leurs données de géolocalisation.
