Reklam Tanımlayıcısı İçin Rıza Emrine Uyum

CNILTEXT000048151293 CNIL texte/cnil/CNIL/TEXT/00/00/48/15/12/CNILTEXT000048151293.xml DELIBERATION Délibération SAN-2023-014 du 28 septembre 2023 Délibération de la formation restreinte n° SAN-2023-014 du 28 septembre 2023 relative à l’injonction prononcée à l’encontre de la société X par la délibération no SAN-2022-026 du 29 décembre 2022 SAN-2023-014 Sanction 2023-09-28 2023-10-05 VIGUEUR La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Alexandre LINDEN, président, M. Philippe-Pierre CABOURDIN, vice-président, Mmes Anne DEBET et Christine MAUGÜÉ, et MM. Alain DRU et Bertrand du MARAIS, membres ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ; Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; Vu la délibération n° SAN-2022-026 du 29 décembre 2022 adoptée par la formation restreinte à l’encontre de la société […] ; Vu les éléments transmis par la société […] le 14 avril 2023 pour démontrer leur conformité à l’injonction ; Vu les autres pièces du dossier ; Après en avoir délibéré lors de la séance du 13 juillet 2023, a adopté la décision suivante : I. FAITS ET PROCÉDURE 1. La décision no SAN-2022-026 du 29 décembre 2022, notifiée à la société […] le 16 janvier 2023, a enjoint à cette dernière de : "de recueillir le consentement de l’utilisateur à l’utilisation de l’IDFV à des fins publicitaires ". 2. Cette injonction était assortie d’une astreinte de vingt mille euros (20 000) euros par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération de la formation restreinte, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai. 3. Le 14 avril 2023, la société […] a adressé au président de la formation restreinte des éléments en vue de justifier sa mise en conformité, en présentant la mise en œuvre, lors de l’ouverture d’un jeu édité par la société […] sur un terminal équipé du système d’exploitation iOS, d’un dispositif de recueil du consentement pour l’utilisation de l’ "identifier for vendors " (IDFV) à des fins de publicité ciblée, de mesure de la performance des contenus et d’amélioration de ses jeux et applications. 4. Il ressort des éléments produits par la société que lors de l’ouverture d’un jeu […], la sollicitation qu’elle présente apparaît préalablement à celle de la société APPLE (également dénommée "sollicitation ATT "), par laquelle celle-ci demande à l’utilisateur l’autorisation de suivre ses activités sur toutes les applications de son terminal grâce à la lecture de l’ "identifier for advertisers " (IDFA) à des fins de publicité ciblée. La société […] précise qu’en cas de refus de l’utilisation de l’IDFV, celui-ci ne pourra pas être lu par les partenaires ou par la société elle-même à des fins publicitaires, et ce, quel que soit le choix fait par l’utilisateur à la sollicitation ATT. II. MOTIFS DE LA DECISION 5. La formation restreinte de la CNIL relève qu’il ressort des éléments fournis par la société qu’une première fenêtre apparaît lors de l’ouverture d’un des jeux qu’elle édite, préalablement à la sollicitation ATT. Cette fenêtre sollicite le consentement de l’utilisateur pour que la société […] et ses partenaires puissent recueillir "certaines données techniques, notamment l’identifiant publicitaire et l’adresse IP de l’utilisateur ", afin, d’une part, de "proposer des publicités personnalisées " et, d’autre part, de "mesurer la performance des contenus et améliorer les jeux et applications […] ". 6. Cette fenêtre présente des boutons glissants positionnés par défaut sur "absence de consentement " pour chacune de ces deux finalités. 7. La formation restreinte constate également qu’un second niveau d’information permet d’afficher la liste des partenaires destinataires en fonction de chaque finalité, de détailler les finalités, d’informer les utilisateurs de la possibilité de retirer leur consentement à tout moment et de les avertir que leur refus impliquera l’accès à une "version alternative du jeu comprenant un volume de publicités non ciblées potentiellement plus importantes ". 8. Ainsi, au regard des éléments présentés par la société […] justifiant la mise en place d’un moyen permettant de recueillir le consentement de l’utilisateur à l’utilisation de l’IDFV à des fins publicitaires, la formation restreinte considère que la société a satisfait à l’injonction dans le délai imparti. PAR CES MOTIFS La formation restreinte de la CNIL, après en avoir délibéré, décide : - de dire n’y avoir lieu à liquidation de l’astreinte ; - de rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans, le point de départ étant la publication de la délibération n° SAN-2022-026 du 29 décembre 2022. Le président Alexandre LINDEN