Pour pouvoir garantir une meilleure conformité au RGPD pour les applications mobiles, la CNIL a publié le 18 juillet 2024 une recommandation relative aux applications mobiles qui vise à accompagner les différents acteurs dans le processus de création d’une application mobile dans la mise en conformité RGPD de celle-ci. 

Cette recommandation s’adresse à tous les acteurs de la création d’une application mobile : les éditeurs de l’application (qui mettent les applications à la disposition des utilisateurs), les développeurs de l’application (qui écrivent le code informatique de l’application), les fournisseurs de kits de développement logiciel, les fournisseurs de systèmes d’exploitation (tels que iOS ou Android) ainsi que les fournisseurs de magasins d’applications.

Elle détermine d’abord son champ d’application en définissant les applications mobiles qui doivent faire l’objet d’une mise en conformité RGPD. Ensuite elle détermine le rôle et les obligations de chaque acteur au regard du RGPD. 

Quelles obligations pour l’éditeur d’une application mobile ? Quelles obligations pour le développeur d’une application mobile ?

La recommandation de la CNIL relative aux applications mobiles prévoit les différents rôles de chaque acteur dans la conception d’une application mobile.

Elle identifie l’éditeur de l’application comme étant le responsable de traitement des données personnelles. En tant que responsable de traitement, l’éditeur porte la responsabilité principale en matière de conformité au RGPD de l’application mobile. Comme pour n’importe quel autre traitement de données à caractère personnel, il est responsable de la conformité RGPD de chaque traitement de données qui est effectué sur son application mobile. Cela commence par identifier les différents traitements de données qui sont effectués par l’application mobile et définir leurs finalités et leurs bases légales. Il faut ensuite documenter son analyse dans un registre des traitements et de gérer le consentement des utilisateurs de l’application mobile.

Une fois la conformité RGPD mise en place, la recommandation de la CNIL prévoit également une liste de vérifications à effectuer tout au long de la vie de l’application.

En ce qui concerne les développeurs d’une application mobile, la recommandation de la CNIL leur confère par principe un rôle de sous-traitant au sens du RGPD. Leur responsabilité dans le processus de la mise en conformité d’une application mobile est par conséquent limitée à leur rôle de sous-traitant. Ils doivent essentiellement veiller à encadrer contractuellement leurs relations avec l’éditeur de l’application mobile qu’ils développent. Les développeurs ont également un rôle de conseil envers leur éditeur, et cela également en matière de protection des données personnelles.

Le cabinet d’avocats DOMANSKI assistent les éditeurs et développeurs d’applications mobiles dans la mise en conformité au RGPD de leurs applications mobiles. Pour toute question dans ce domaine, n’hésitez pas à prendre contact avec nous.