Permissions dans les applications mobiles : les recommandations de la CNIL pour respecter la vie privée des utilisateurs

L’utilisation d’applications mobiles implique très souvent des traitements de données personnelles : ces données sont soit fournies par les utilisateurs, soit collectées directement par l’application lorsqu’elle accède aux ressources présentes au sein de leur smartphone ou tablette. Dans ce dernier cas, l’application demande l’accord de l’utilisateur à travers un système mis à disposition par les systèmes d’exploitation : les permissions.

Qu’est-ce qu’une permission ?

Les permissions d’accès (ou « autorisations ») mises en œuvre au sein des OS des terminaux mobiles sont des dispositifs permettant à l’utilisateur de choisir quelles fonctionnalités et quelles données sont accessibles à chacune de leurs applications mobiles.

Grâce à ces dispositifs, l’utilisateur choisit ainsi de permettre ou non aux applications d’accéder aux capteurs (accéléromètre, localisation, luminosité, objectif photo, microphone, etc.) ou à la mémoire (stockage de fichiers, photos, vidéos, sons, carnet de contacts, historiques divers, etc.) de son terminal mobile.

Dans leur immense majorité, les permissions visent uniquement à donner ou bloquer l’accès technique à certaines ressources protégées, sans tenir compte des objectifs (ou finalités) pour lesquels les applications le demandent. Il s’agit donc de permissions « techniques » qui n’encadrent pas l’usage pour lequel les informations peuvent être traitées ou non. Les recommandations de la CNIL concernent ce type de permissions.

► Voir la recommandation relative aux applications mobiles, partie 8.3.1.

Les permissions sont à distinguer du recueil du consentement

Les permissions techniques sont très utiles pour le respect de la vie privée. Elles permettent aux utilisateurs de bloquer techniquement l’accès à certaines données, garantissant ainsi la confidentialité des informations. Ce mécanisme offre un moyen simple et direct de préserver leur vie privée (voir la recommandation, partie 8.3.1).

Concrètement, en acceptant ou en refusant les permissions, l’utilisateur comprend quelles données il partage avec l’application. Cela lui permet de repérer des demandes excessives, comme une lampe torche qui demande l’accès aux contacts.

Pour autant, ces permissions « techniques » ne sont pas conçues pour collecter le consentement des utilisateurs, au sens du RGPD et de la loi Informatique et Libertés :

• Elles visent en effet uniquement à donner ou bloquer l’accès aux ressources et informations protégées du terminal mobile indépendamment des finalités poursuivies par l’éditeur de l’application. Le fournisseur d’OS suggère uniquement d’expliquer au sein de la requête pour quelle raison l’accès est demandé. Ces permissions peuvent donc être requises dans des situations où le consentement de l’utilisateur n’est pas imposé par la règlementation. Par exemple, l’accès à la localisation est exempté de consentement pour le fonctionnement même d’une application de navigation puisque cette donnée est nécessaire au service. Cependant, le fournisseur d’OS impose à l’éditeur de demander une permission pour accéder à ces données.
   
• Même lorsque le consentement est requis, une simple demande de permission ne permet pas toujours d’obtenir un consentement libre, spécifique, éclairé et univoque, conformément au RGPD ou à la loi Informatique et Libertés (article 82). Elle n’est suffisante que dans des cas limités, par exemple, si la permission concerne un seul traitement, une seule finalité et un seul destinataire des données (voir la recommandation, partie 8.3.2). Dans la plupart des cas, il est nécessaire d’utiliser une plateforme de gestion du consentement en complément de la demande de permission.

Que retenir des recommandations de la CNIL concernant les permissions ?

Les bonnes pratiques pour les fournisseurs d’OS

La recommandation prévoit un certain nombre de bonnes pratiques à destination des fournisseurs d’OS dans le cadre de la mise en œuvre des permissions, concernant les opérations qui devraient être couvertes, la portée des permissions ou le niveau d’informations qu’elles devraient permettre.

En particulier, les fournisseurs d’OS sont encouragés à concevoir leur système de permissions de manière à permettre à l’éditeur de choisir la portée des permissions le plus finement possible. Ainsi, un système de permissions idéal permet à l’éditeur de choisir :

• le degré de précision de la donnée fournie en fonction de la finalité poursuivie (ex. : localisation plus ou moins précise) ;
• la portée matérielle de l’autorisation (ex. : accès aux photos sélectionnées plutôt qu’à la galerie média globale) ;
• la durée pendant l’autorisation est donnée (ex. : activation ponctuelle de la permission ou pour une durée prédéterminée).

Le but des permissions est de permettre aux personnes d’avoir la main sur leurs données ; elles ne doivent en aucun cas conduire à favoriser les applications conçues par le fournisseur d’OS.

► Voir la recommandation, partie 8.3

L’éditeur doit choisir les permissions à mettre en œuvre et identifier les situations dans lesquelles un consentement doit être recueilli

L’éditeur doit choisir les permissions qu’il souhaite mettre en œuvre pour le fonctionnement de son application. En ce sens, la recommandation guide tout d’abord les choix de l’éditeur d’application en matière d’usage des permissions.

Il doit en particulier identifier :

• au cas par cas, parmi les permissions mises à disposition par l’OS, celle permettant de remplir les objectifs poursuivis, dans le respect du principe de minimisation : quand l’OS en donne la possibilité, la CNIL  recommande à l’éditeur de choisir, pour chaque permission, la version la moins intrusive qui réponde à son besoin.
   
• en tant que responsable du traitement, les situations dans lesquelles la règlementation exige un consentement en complément de la permission imposée par le fournisseur d’OS. Pour ce faire, il devra déterminer si les traitements liés aux permissions impliquent des opérations de lecture/écriture qui nécessitent le consentement des utilisateurs (article 82 de la loi Informatique et Libertés). Dans ce cas, la mise en œuvre d’une plateforme de gestion du consentement (« Consent Management Platform » ou CMP) pourra être nécessaire en complément de la demande de permission « technique ». La recommandation guide les développeurs sur la manière de recueillir le consentement dans ce cadre. À cet égard, la CNIL considère comme une bonne pratique de recueillir les consentements de manière contextuelle en fonction des actions entreprises en lieu et place d’un unique écran initial.

► Voir la recommandation relative aux applications mobiles, partie 5.5 et partie 6.2.3, pp. 52-53

Comment articuler la permission et le recueil du consentement ?

Lorsqu’à la fois une CMP et une demande de permission sont présentées à l’utilisateur, leur articulation ne doit pas être génératrice de confusion pour ce dernier.

Le consentement peut être obtenu indifféremment avant ou après la demande de permission. Toutefois, la CNIL recommande au développeur, en lien avec l’éditeur responsable du traitement, de veiller à ce que cette articulation soit faite de manière à favoriser la compréhension de l’utilisateur.

L’infographie ci-dessous précise comment cette articulation peut se faire afin d’éviter toute confusion pour l’utilisateur :

Consulter l'infographie au format PDF

Ce schéma concerne l’articulation entre la fenêtre de sollicitation (CMP) et les permissions techniques, et non les permissions visant à autoriser ou refuser la réalisation de certaines actions en vue d’une finalité précise (permissions « à finalité »)

Comme indiqué dans le schéma précédent, le responsable du traitement est libre de choisir l’ordre dans lequel la permission et la CMP sont présentées (A ou B).

Le responsable du traitement, pour mettre en œuvre son traitement de données devra, d’une part, pouvoir accéder techniquement aux données (permission) et, d’autre part, démontrer qu’il a recueilli un consentement conforme aux exigences posées par le RGPD (CMP). Si l’une ou l’autre de ces autorisations n’est pas accordée, la CNIL invite à ne pas afficher la seconde demande pour éviter de solliciter inutilement les utilisateurs.

► Voir la recommandation, partie 6.2.3