Applications mobiles : toujours aussi indiscrètes selon la CNIL

Pour la deuxième année consécutive, plusieurs autorités nationales compétentes en matière de protection des données et réunies au sein du GPEN (Global Privacy Enforcement Network) ont participé à l’Internet Sweep Day.

Les Etats-Unis, le Royaume-Uni, l’Australie, l’Allemagne, Hong Kong ou encore la France – sous la houlette de la Commission Nationale de l’Informatique et des Libertés – ont adhéré à cette action concertée qui s’est déroulée au mois de mai, sur la base d’une grille de critères commune à 26 pays.

Étendu l’année passée aux sites Web, le périmètre d’étude a cette fois-ci été restreint aux applications mobiles : environ 1200 à l’échelle du globe… mais seulement 121 « parmi les plus populaires » en France. Il s’agissait d’évaluer, au sens large, leur conformité vis-à-vis des réglementations en matière de protection de la vie privée : types de données collectées, moyens d’information mis à disposition des utilisateurs pour les éclairer quant à l’exploitation de leurs informations personnelles…

En 2013, les conclusions de la CNIL étaient sans appel : entre clauses contractuelles partiellement traduites de l’anglais, CGU présentant des incohérences et imprécisions sur la transmission de données à des tiers, l’autorité évoquait un « défaut d’information du consommateur ». Un constat réitéré cette année et résumé en une phrase : « L’information sur l’utilisation faite des données personnelles est insuffisante« .

Les trois quarts des applications examinées collectent des données : 49% à récupérer des informations de géolocalisation ; 40% font de même avec l’identifiant du terminal et 39% accèdent à la mémoire de stockage. Elles sont 38% à exploiter la galerie d’images et/ou l’appareil photo ; 26% jettent un coup d’oeil aux listes de contacts et 24% contrôlent le microphone. Plus d’une sur dix (11%) consulte les SMS/MMS ; 8% accèdent au calendrier et 7% au journal d’appels.

Cette collecte ne semble pas toujours justifiée par la finalité des applications. Et bien souvent, il est difficile pour l’utilisateur d’en saisir les tenants et aboutissants : dans près de la moitié des cas, il lui faut faire une recherche active sur le site Web de l’éditeur ou dans les onglets de l’application pour accéder à davantage d’informations… quand celles-ci ne sont pas inadaptées aux écrans de petite taille.

Constatant que 15% des applications ne fournissent tout simplement aucun élément d’information sur le traitement des données collectées, la CNIL invite les développeurs à des « avancées concrètes [pour s’assurer] la confiance des utilisateurs ». Lesquels devront pour leur part être « curieux, vigilants et exigeants ».