Applications mobiles et jeux sur les magasins de l'UE

• Regulation (EU) 2016/679 — GDPR, Article 27
• Directive 2002/58/EC — ePrivacy, for device storage and tracking
• Regulation (EU) 2022/2065 — DSA where user content is hosted
• Regulation (EU) 2023/2854 — Data Act, for connected products
• Directive 2011/83/EU — Consumer rights

Qui doit le désigner

Tout développeur ou éditeur établi en dehors de l'Union dont l'application est disponible pour les utilisateurs dans l'UE et qui traite leurs données personnelles. Proposer l'application dans les magasins de l'UE, fixer des prix en euros, la localiser ou diffuser des publicités aux utilisateurs de l'UE indique tous un ciblage. Un fournisseur de SDK qui détermine ses propres finalités — un réseau publicitaire, un fournisseur d'analytique — est un responsable au sens propre et a besoin de son propre représentant.

Seuils et exemptions

Pas de seuil de revenus ou de téléchargements. L'exemption étroite de l'article 27(2) pour le traitement occasionnel ne s'applique pas à une application avec une base d'installation, des identifiants persistants et des analyses. Les applications gratuites sont entièrement concernées : la monétisation par la publicité est un traitement, pas une exemption.

Ce qui doit figurer sur l’étiquette

Pas physique. L'identité et les coordonnées du représentant de l'UE doivent apparaître dans la politique de confidentialité liée à l'annonce du magasin et à l'intérieur de l'application, à un endroit où un utilisateur peut réellement les trouver. Apple et Google exigent tous deux une URL de politique de confidentialité fonctionnelle et des divulgations de sécurité des données précises, et les incohérences entre la collecte de données déclarée et les SDK réellement présents sont vérifiées.

Champs des marketplaces

L'App Store et Google Play exigent des étiquettes de confidentialité ou des déclarations de sécurité des données qui correspondent à la réalité. Google Play exige en outre que les développeurs en dehors de l'UE publient des informations sur les commerçants pour les applications destinées aux consommateurs dans l'UE en vertu des règles de transparence adjacentes au DSA, et retire les applications dont les déclarations sont incomplètes. Les SDK publicitaires qui transmettent des identifiants sans consentement sont la raison la plus courante pour laquelle une application échoue à un examen de confidentialité du magasin.

Documents à conserver

La désignation écrite de l'article 27. Les enregistrements de traitement de l'article 30, listant chaque SDK, son objectif et ses transferts. Un flux de gestion du consentement pour le stockage et le suivi non essentiels, avec preuve de consentement par utilisateur. Évaluation de l'impact sur la protection des données lorsque le profilage, les données des enfants ou le suivi à grande échelle sont impliqués. Clauses contractuelles types et évaluation de l'impact des transferts pour les données allant vers les États-Unis ou ailleurs. Accords de traitement des données avec chaque fournisseur de SDK qui est un sous-traitant.

Normes et essais

Non applicable dans le sens des tests. Ce qui est examiné est le flux de consentement : si les identifiants sont lus ou écrits avant le consentement, si le refus est aussi facile qu'accepter, et si les déclarations du magasin correspondent au trafic réseau. Les régulateurs et les ONG effectuent également des analyses de trafic, et c'est ainsi que la plupart des actions d'application dans cette catégorie commencent.

Exigences linguistiques

Informations sur la confidentialité dans la langue des utilisateurs ciblés. Une application localisée en allemand ou en français avec un flux de consentement uniquement en anglais est un échec de transparence en vertu de l'article 12.

À partir de quand

La désignation doit exister avant que l'application ne soit mise à disposition dans les magasins de l'UE. Le consentement doit être obtenu avant que tout SDK non essentiel ne lise ou écrive sur l'appareil, ce qui signifie au premier lancement et avant l'appel d'analytique, pas après.

Durée de conservation

Enregistrements de traitement pendant la durée de vie de l'application plus preuves des périodes passées. Enregistrements de consentement tant que le traitement continue, puisque le fardeau de la preuve du consentement incombe au responsable.

En cas de manquement

Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires pour ne pas avoir désigné de représentant, et jusqu'à 20 millions d'euros ou 4 % pour traitement illégal. Les amendes nationales en matière de vie privée électronique sont distinctes et sont imposées par certaines autorités sans avoir besoin de prouver un préjudice au RGPD. Le retrait du magasin est le risque commercial le plus rapide : Apple et Google agissent sur les incohérences de déclaration de confidentialité dans les jours qui suivent.

Qui contrôle

Toute autorité de surveillance de l'UE où se trouvent les utilisateurs, puisqu'il n'y a pas de guichet unique pour les responsables en dehors de l'Union. L'application nationale de la vie privée électronique relève de l'autorité de protection des données dans la plupart des États membres et du régulateur des télécommunications dans quelques-uns.

Où se situe la limite

Les applications pour enfants entraînent des règles plus strictes : le profilage à des fins publicitaires est effectivement interdit en vertu du DSA pour les mineurs sur les plateformes, et le consentement d'un enfant en dessous de l'âge national de consentement numérique — entre 13 et 16 ans selon l'État membre — nécessite une autorisation parentale. Les applications hébergeant du contenu généré par les utilisateurs relèvent également du DSA et nécessitent un représentant légal en vertu de l'article 13, qui est une nomination distincte de l'article 27.

Les questions qu’on nous pose

Nous utilisons uniquement Firebase et AdMob — avons-nous toujours besoin d'un représentant ?

Oui. Ces SDK traitent des données personnelles des utilisateurs de l'UE en votre nom et pour leurs propres finalités, et vous ciblez l'UE en publiant dans les magasins de l'UE.

L'App Store est-il notre responsable des données ?

Non. Le magasin est un canal de distribution et un responsable pour son propre traitement. Vous restez le responsable de ce que votre application collecte.

Un éditeur basé dans l'UE résout-il le problème ?

Si une entreprise établie dans l'Union est le véritable responsable du traitement, l'article 27 ne s'applique pas à elle. Un éditeur nominal qui ne détermine pas les finalités et les moyens ne survivra pas à l'examen.