Un nom, une adresse e-mail et quelques photos : la collecte de données personnelles par une application paraît parfois facile à cerner. Pourtant, elle peut aussi concerner l’adresse IP, les déplacements, les achats ou les interactions avec un écran. Certaines informations servent directement au fonctionnement du service ; d’autres alimentent des statistiques, la personnalisation ou la publicité. Le vrai sujet n’est donc pas seulement de savoir ce qu’un logiciel peut récupérer, mais pour quelle raison, avec quels destinataires et pendant combien de temps.
Bonne nouvelle : une application ne dispose pas d’un accès illimité au smartphone. Les protections d’Android et d’iOS, les réglages du compte et les règles de protection des données encadrent ses possibilités. Pour comprendre ces mécanismes sans transformer chaque installation en enquête technique, suivons Camille, qui utilise son téléphone pour courir, commander ses courses et discuter avec ses proches.
🔎 En bref : quelles données personnelles une application peut-elle collecter ?
- 🪪 Les renseignements saisis lors de l’inscription peuvent inclure l’identité, les coordonnées et les informations de facturation. Seuls ceux qui répondent à un besoin justifié devraient être demandés.
- 📱 Les ressources du téléphone, comme les contacts, les photos ou la géolocalisation, sont accessibles selon les fonctionnalités utilisées, les protections du système et les autorisations accordées.
- 📊 Des informations techniques et comportementales peuvent être recueillies sans fenêtre d’autorisation particulière : adresse IP, erreurs, interactions ou identifiants internes.
- ⚖️ Une permission technique ne remplace généralement pas un consentement juridique. Les finalités publicitaires et certains traceurs nécessitent un choix distinct.
- 🛠️ Pour réduire l’exposition, privilégier les accès ponctuels, vérifier les partenaires, désactiver les usages facultatifs et exercer ses droits constitue une méthode concrète, sans renoncer aux services utiles.
Identité, coordonnées et paiement : les données fournies directement à une application
La première catégorie correspond aux renseignements transmis volontairement : formulaire d’inscription, commande, message au support ou questionnaire. Une plateforme peut demander un nom, une adresse e-mail, un numéro de téléphone, une date de naissance ou une adresse postale, mais leur collecte doit répondre à des objectifs déterminés.
Camille installe une application de livraison alimentaire. L’adresse du domicile permet d’acheminer les courses, tandis qu’un numéro facilite le contact avec le livreur ; demander la situation familiale pour cette même prestation nécessite une justification différente, qui ne découle pas automatiquement de la commande.
Informations obligatoires et champs facultatifs : reconnaître la différence
Un formulaire bien conçu indique les champs indispensables et explique les conséquences d’un refus. L’astérisque ne suffit toutefois pas à rendre une demande légitime : l’éditeur doit pouvoir démontrer pourquoi le renseignement est nécessaire à l’objectif annoncé.
La date de naissance illustre bien cette distinction. Vérifier un seuil d’âge peut être justifié pour certains services, sans nécessiter systématiquement la conservation d’une date complète ; une tranche d’âge ou un mécanisme de vérification adapté peut parfois suffire.
Le pseudonyme mérite aussi un coup d’œil. Lorsqu’aucune obligation particulière ne s’y oppose, afficher un alias plutôt que son identité civile réduit l’exposition publique, même si l’exploitant conserve des informations permettant de reconnaître le titulaire du compte.
Avant de remplir un profil, consulter les enjeux liés aux informations personnelles partagées en ligne aide à distinguer ce qui facilite réellement le service de ce qui enrichit simplement un fichier marketing.
Données de paiement : ce que l’application voit réellement
Lors d’un achat, les données de paiement peuvent comprendre l’adresse de facturation, le montant, la référence de transaction et certaines indications sur le moyen utilisé. Le numéro complet de carte n’est pas nécessairement accessible à l’éditeur : un prestataire spécialisé peut traiter l’opération et lui transmettre un jeton de paiement.
Ce jeton permet, par exemple, de renouveler un abonnement sans conserver le numéro bancaire dans les bases du commerçant. Il reste néanmoins associé à une transaction ou à un client et ne doit pas être assimilé automatiquement à une information anonyme.
| Catégorie | Exemple d’usage justifié | Point de vigilance |
|---|---|---|
| 🪪 Identité | Établir une facture nominative | Éviter l’affichage public inutile |
| 📧 Coordonnées | Envoyer une confirmation de commande | Distinguer service et prospection |
| 💳 Transaction | Gérer un achat ou un remboursement | Identifier le prestataire et les durées de conservation |
| 💬 Contenu transmis | Répondre à une demande d’assistance | Ne pas joindre de documents excessifs |
Les conversations avec l’assistance constituent également une collecte. Une capture d’écran peut révéler une notification privée, une adresse ou un numéro de commande appartenant à un proche : recadrer le fichier avant l’envoi évite de transmettre davantage que nécessaire.
La conservation varie selon le motif : une facture peut relever d’une obligation légale, alors qu’un profil publicitaire poursuit un objectif distinct. La suppression du compte ne provoque donc pas toujours l’effacement immédiat de chaque pièce comptable, mais les éléments conservés doivent rester limités et protégés.
Le bon réflexe : chaque champ doit avoir une utilité compréhensible, pas seulement une place dans le formulaire. Les renseignements saisis ne représentent toutefois qu’une partie du tableau : le téléphone contient aussi des ressources auxquelles le logiciel peut demander accès.
Photos, contacts, microphone : quelles ressources du smartphone sont accessibles ?
Une application mobile fonctionne dans un environnement cloisonné. Elle ne peut pas, par principe, fouiller librement les fichiers des autres programmes ou lire tous les messages du téléphone ; ses possibilités dépendent du système, de sa version, des interfaces disponibles et des permissions accordées.
Camille souhaite publier la photo d’un plat dans son service de livraison. L’accès à cette image répond à une action précise, mais ouvrir l’ensemble de sa photothèque serait plus large que nécessaire si le système propose un sélecteur permettant de partager uniquement le fichier choisi.
Photos et fichiers : privilégier un accès ciblé
Les photos peuvent révéler bien davantage qu’un visage : intérieur du logement, documents visibles, habitudes et parfois métadonnées de localisation. Les informations effectivement transmises dépendent du fichier, des traitements réalisés et des protections appliquées pendant le partage.
Un sélecteur système réduit la portée de l’accès sans bloquer la fonctionnalité. Le même raisonnement s’applique aux documents : joindre une facture précise ne justifie pas nécessairement d’autoriser l’exploration de tout un espace de stockage.
Une nuance évite les mauvaises surprises : retirer une autorisation empêche normalement de nouveaux accès concernés, mais ne supprime pas les copies déjà envoyées sur les serveurs. Pour celles-ci, une démarche distincte auprès du service peut être nécessaire.
Contacts et microphone : une portée parfois collective
Le carnet de contacts contient aussi les renseignements d’autres personnes : noms, numéros, adresses électroniques, parfois notes personnelles. Une fonction « retrouver des amis » peut donc transmettre des informations sur des proches qui n’utilisent même pas le service.
Une alternative moins intrusive consiste à rechercher une personne manuellement ou à partager une invitation. Avant une synchronisation globale, vérifier si les coordonnées quittent l’appareil, sous quelle forme et pour quelle durée permet de mesurer la portée réelle de l’opération.
Le microphone et la caméra répondent à des besoins évidents pour un appel vidéo ou un message vocal. Leur présence dans un jeu de réflexion ou un outil de calcul appelle en revanche une explication concrète ; une permission disponible n’est pas une raison suffisante pour la demander.
Les indicateurs visuels d’Android et d’iOS signalent certains usages de ces capteurs. Ils constituent un repère utile, mais ne décrivent pas à eux seuls la destination de l’enregistrement, son éventuelle analyse ou sa durée de stockage.
Capteurs et données de santé : des protections supplémentaires
Les mouvements, le nombre de pas ou les données issues d’une montre connectée peuvent alimenter un suivi sportif. Leur accès varie selon les interfaces et les catégories concernées : tous les capteurs ne déclenchent pas les mêmes fenêtres d’autorisation, et certains accès sont fortement restreints.
Les données de santé bénéficient d’un régime particulier au titre du RGPD. Une fréquence cardiaque, un diagnostic ou une information permettant de déduire un état de santé peut relever de cette catégorie ; un fondement juridique général ne suffit pas, puisqu’une condition prévue pour ces données sensibles doit également être satisfaite.
Pour son application de course, Camille autorise le suivi de l’activité, mais pas l’importation de l’intégralité de son dossier médical. Cette séparation conserve l’intérêt du service tout en évitant qu’un besoin ponctuel se transforme en accès permanent à un ensemble beaucoup plus intime.
Une autorisation bien réglée ouvre la bonne porte, au bon moment, sans remettre toutes les clés du téléphone. La localisation demande une attention particulière, car quelques déplacements suffisent parfois à raconter une vie quotidienne.
Les menus de confidentialité permettent de revoir ces accès après l’installation : aucune raison de conserver indéfiniment une autorisation devenue inutile.
Géolocalisation et déplacements : pourquoi ces données personnelles sont si révélatrices
La géolocalisation peut provenir des services de positionnement du téléphone, qui combinent différentes sources selon l’appareil et les réglages. Une adresse IP peut également donner une indication géographique approximative, sans équivaloir à une position GPS précise.
Pour Camille, connaître les commerces proches nécessite au maximum une zone adaptée à cette recherche. Suivre ses déplacements toutes les quelques secondes, y compris lorsque l’interface est fermée, correspond à une autre collecte et exige une justification propre.
Position approximative ou précise : adapter le niveau au service
Une prévision météo peut souvent fonctionner avec une commune choisie manuellement ou une localisation approximative. Un guidage virage par virage demande généralement davantage de précision : le principe de minimisation consiste à retenir le niveau réellement utile, pas le plus détaillé disponible.
La fréquence compte autant que la précision. Une position obtenue au moment de chercher une station-service ne présente pas la même portée qu’un historique continu conservé pendant plusieurs mois, même lorsque chaque point semble banal pris isolément.
Les accès en arrière-plan méritent donc un examen séparé. Ils peuvent être cohérents avec certaines fonctionnalités, comme l’enregistrement d’un parcours lancé explicitement, mais ne devraient pas devenir le réglage par défaut d’un service qui n’en a besoin qu’à l’écran.
Navigation et publicité : deux finalités à ne pas mélanger
Quand l’accès à la position est strictement nécessaire au service expressément demandé, une exemption de consentement peut s’appliquer au titre de l’article 82 de la loi Informatique et Libertés. Le calcul d’un itinéraire en fournit un exemple classique ; la permission technique du système reste toutefois nécessaire lorsqu’elle est prévue.
Cette exemption ne règle pas, à elle seule, toutes les questions du RGPD. L’éditeur doit toujours déterminer une base légale appropriée, informer la personne, sécuriser les informations et limiter leur conservation.
Réutiliser ces mêmes coordonnées pour du ciblage publicitaire ou les transmettre à des courtiers ne relève pas automatiquement du besoin de navigation. Ces objectifs doivent être examinés séparément, avec le consentement requis et une information suffisamment précise sur les usages et les destinataires.
Un bouton « autoriser la position » n’explique donc pas forcément l’essentiel. La question pratique reste : cette permission sert-elle à afficher le bon trajet, à enregistrer un parcours personnel ou à alimenter un profil commercial ?
Un historique de déplacement sans nom reste souvent identifiable
Un identifiant associé à des trajets réguliers peut permettre de retrouver un domicile et un lieu de travail. Retirer le nom du fichier ne suffit donc pas à obtenir un anonymat réel ; la base peut rester pseudonymisée et soumise aux règles de protection des données.
Les lieux fréquentés peuvent aussi révéler indirectement des renseignements sensibles : visites répétées dans un centre de soins, présence dans un lieu de culte ou participation à certaines activités. La portée dépend du contexte et des déductions réalisées, pas uniquement de l’étiquette « coordonnées géographiques ».
Camille peut réduire cette exposition en autorisant la position seulement pendant l’utilisation, en choisissant une précision approximative quand elle suffit et en désactivant les historiques facultatifs. Lorsque le service accepte une adresse saisie manuellement, cette option évite parfois tout accès au capteur.
Du côté de l’éditeur, limiter les points enregistrés, réduire leur précision, éviter les transmissions injustifiées et prévoir une suppression adaptée constituent des leviers complémentaires. Une durée courte ne compense pas une collecte excessive, et un accord ne transforme pas tous les usages en pratiques proportionnées.
La sensibilité d’un trajet vient surtout de ce qu’il permet de déduire. D’autres indices, moins visibles qu’une carte, peuvent également contribuer à reconnaître un appareil ou à décrire son utilisateur.
Adresse IP, navigation et SDK : les collectes moins visibles des applications
Refuser les contacts et le microphone ne rend pas une application aveugle. Lorsqu’elle communique avec un serveur, celui-ci reçoit généralement une adresse IP de connexion ; le logiciel peut aussi transmettre sa version, le système utilisé, la langue ou des informations de diagnostic.
Ces éléments répondent parfois à des besoins légitimes de fonctionnement et de sécurité. Leur caractère courant ne dispense pourtant pas d’expliquer leur usage, de choisir une base légale adaptée et d’éviter qu’un journal technique devienne discrètement un outil de profilage.
Historique de navigation : ce qui est réellement observable
L’historique de navigation peut désigner les pages consultées à l’intérieur du service, les recherches effectuées ou les contenus affichés dans son navigateur intégré. Cela ne signifie pas qu’une application ordinaire dispose automatiquement de l’historique complet de Safari ou de Chrome.
Camille consulte plusieurs produits sans les acheter. La plateforme peut enregistrer ces consultations, les articles ajoutés au panier et les abandons ; regroupés dans le temps, ces événements dessinent des préférences et servent parfois à personnaliser les recommandations.
La durée d’affichage, les boutons activés et les erreurs rencontrées peuvent également être mesurés. Une étude statistique agrégée et un suivi individuel publicitaire n’ont cependant ni la même finalité ni nécessairement les mêmes conditions juridiques.
SDK tiers : une collecte intégrée dans le code
Un kit de développement, ou SDK, ajoute une fonction prête à l’emploi : paiement, cartographie, mesure d’audience, attribution publicitaire ou rapport de panne. Selon sa configuration, il peut transmettre des renseignements à son fournisseur dès l’ouverture ou seulement après une action déterminée.
Tous ces composants ne collectent pas les mêmes informations, et certains fonctionnent sans suivi publicitaire. L’éditeur doit donc examiner leur comportement réel plutôt que supposer qu’un outil « technique » serait automatiquement neutre pour la vie privée.
Les vérifications utiles portent sur les données envoyées, les destinataires, les traitements effectués pour leur propre compte et les éventuels transferts hors de l’Espace économique européen. Un test réseau complète la documentation en montrant les communications effectivement déclenchées.
La qualification des acteurs dépend des faits. Un fournisseur qui agit uniquement sur instructions peut être sous-traitant ; lorsque les conditions d’une détermination conjointe sont réunies pour la collecte, un accord de responsabilité conjointe est requis, sans étendre mécaniquement cette qualification à toutes les opérations ultérieures.
Permission technique et consentement : deux contrôles différents
La recommandation de la CNIL issue de la délibération n° 2025-024 du 27 mars 2025 distingue clairement ces mécanismes. Elle remplace le texte adopté en juillet 2024 et constitue une référence pratique pour concevoir des parcours mobiles respectueux des règles.
Une permission ouvre techniquement une ressource ; un consentement valable porte sur un traitement expliqué, avec ses finalités et ses destinataires. Dans la plupart des situations nécessitant les deux, une interface de gestion des choix doit compléter la fenêtre du système.
Les lectures et écritures dans le terminal relèvent notamment de l’article 82, avec des exemptions encadrées. Accepter des conditions générales ne vaut pas consentement aux traceurs, et utiliser un autre identifiant ne permet pas de contourner un refus publicitaire.
Le précédent VOODOO l’illustre : en décembre 2022, la CNIL a prononcé une amende de trois millions d’euros pour des pratiques comprenant la lecture de l’IDFV à des fins publicitaires sans consentement. Ce n’est pas le nom « technique » d’un identifiant qui détermine son régime, mais l’opération réalisée et son objectif.
Pour l’utilisateur, les rubriques « partenaires » et « confidentialité » complètent donc les réglages d’accès du téléphone : elles répondent à des questions différentes.
Limiter les données collectées par une application et exercer ses droits
Protéger sa vie privée ne demande pas de refuser systématiquement toute fonctionnalité. L’objectif est de garder ce qui rend le service utile, tout en séparant les accès nécessaires des utilisations facultatives : une application de livraison peut fonctionner sans synchroniser le carnet d’adresses.
Camille commence par les réglages du téléphone, puis examine les préférences du compte. Cette double vérification évite un piège courant : désactiver un capteur ne modifie pas forcément les données déjà stockées, les préférences publicitaires ou les informations saisies dans le profil.
Une méthode pratique pour revoir les autorisations
Les intitulés varient selon les versions d’Android et d’iOS, mais les menus de confidentialité regroupent généralement les accès sensibles. Le meilleur moment pour intervenir reste celui où une demande paraît décalée par rapport à l’action entreprise.
- 📍 Préférer une position approximative et un accès pendant l’utilisation lorsque cela suffit.
- 🖼️ Partager uniquement les images sélectionnées plutôt que toute la photothèque.
- 🎙️ Retirer le microphone ou la caméra aux services qui n’en ont plus besoin.
- 👥 Remplacer la synchronisation des contacts par une recherche manuelle ou une invitation.
- 🧩 Désactiver les finalités publicitaires facultatives dans les paramètres internes.
- 🗑️ Supprimer les outils inutilisés et examiner séparément le devenir de leur compte.
Chaque réglage répond à une exposition différente. Une localisation limitée réduit les nouveaux relevés, tandis que le refus d’un objectif publicitaire concerne l’usage correspondant ; aucun de ces gestes n’efface automatiquement l’ensemble des informations historiques.
Demander l’accès, la rectification ou l’effacement
Le droit d’accès permet notamment de demander une copie des données personnelles traitées et des informations sur leur utilisation. La rectification corrige un renseignement erroné ; l’effacement s’applique lorsque ses conditions sont réunies, avec des exceptions liées, par exemple, à certaines obligations légales.
Selon la situation, d’autres droits existent : opposition, limitation ou portabilité. Le retrait du consentement doit être possible aussi simplement que son recueil et ne remet pas en cause, à lui seul, la licéité des opérations réalisées auparavant sur cette base.
Pour préparer une demande claire, ce guide consacré à la suppression des données personnelles aide à organiser les démarches. Indiquer le compte concerné et la portée souhaitée évite les échanges inutiles, sans envoyer d’emblée une pièce d’identité complète.
L’organisme doit répondre en principe dans un délai d’un mois. Une prolongation peut être possible dans certaines circonstances, notamment en raison de la complexité de la demande, mais elle doit être expliquée dans le délai initial.
Suppression du logiciel, fermeture du compte et sécurité
Désinstaller retire généralement le programme et ses données locales, mais ne ferme pas nécessairement le compte distant. Pour quitter réellement un service, chercher l’option dédiée, examiner les abonnements associés et conserver une confirmation de la démarche offre une meilleure visibilité.
Un compte abandonné peut aussi rester exposé si son mot de passe a été réutilisé ailleurs. En cas d’incident, les conseils relatifs à un mot de passe concerné par une fuite de données complètent utilement le nettoyage des profils.
Le consentement doit rester un choix, pas une épreuve d’endurance. La conservation des préférences pendant six mois constitue généralement une bonne pratique évoquée par la CNIL, à apprécier selon le contexte, et non une durée légale universelle ; le refus mérite la même considération que l’acceptation.
La protection la plus efficace combine trois gestes distincts : réduire les nouveaux accès, maîtriser les usages et agir sur les informations déjà conservées.
Questions fréquentes sur les données personnelles collectées par les applications
Une application peut-elle collecter des données sans demander d’autorisation ?
Oui. Toutes les collectes ne déclenchent pas une fenêtre Android ou iOS. Une adresse IP reçue lors d’une connexion, des informations techniques ou les interactions réalisées dans le service peuvent être traitées sans permission système spécifique. Cela ne signifie pas que ces usages échappent au droit : l’éditeur doit respecter les obligations applicables, notamment en matière d’information, de base légale, de sécurité et de conservation. Certaines lectures ou écritures dans le terminal exigent aussi un consentement au titre de l’article 82, sauf exemption. Pour évaluer la situation, il faut donc regarder à la fois les autorisations du téléphone, les réglages internes et la politique de confidentialité, plutôt que se fier uniquement à l’absence de fenêtre.
Autoriser la localisation signifie-t-il accepter son utilisation publicitaire ?
Non. L’autorisation du système concerne d’abord l’accès technique à la position. Elle ne constitue généralement pas, à elle seule, un consentement valable à plusieurs objectifs et destinataires, notamment publicitaires. Un service de navigation peut avoir besoin de coordonnées pour fournir l’itinéraire demandé, sans pouvoir considérer ce besoin comme une autorisation générale de les revendre ou de les utiliser pour du ciblage. Lorsque ces utilisations nécessitent un consentement, elles doivent faire l’objet d’un choix libre, spécifique, éclairé et univoque. Le refus doit être respecté dans le fonctionnement réel du logiciel, y compris par les composants tiers intégrés, et pas seulement enregistré dans une interface sans effet.
Supprimer une application efface-t-il les photos et les informations déjà transmises ?
Pas nécessairement. La désinstallation agit surtout sur le logiciel présent sur l’appareil et ses éléments locaux ; les copies envoyées aux serveurs peuvent rester associées au compte. Il faut distinguer le retrait d’une permission, la suppression d’un contenu, la fermeture du profil et une demande d’effacement. Ces démarches ne produisent pas toutes les mêmes effets. Certaines pièces, comme des justificatifs comptables, peuvent être conservées pour une obligation légale, avec des accès et des usages limités. Avant de quitter le service, mieux vaut vérifier les options disponibles, récupérer les éléments utiles et demander ce qui sera effacé ou conservé. Une confirmation écrite permet de suivre précisément le traitement de la demande.
Les données sans nom et les informations de santé sont-elles protégées ?
L’absence de nom ne suffit pas à rendre un fichier anonyme. Un identifiant publicitaire, un compte pseudonyme ou un historique de déplacements peut rester relié à une personne, directement ou par recoupement : il s’agit alors toujours de données personnelles. Les informations de santé bénéficient, quant à elles, de protections supplémentaires. Leur traitement nécessite une base légale et une condition autorisant le traitement de cette catégorie particulière, comme le consentement explicite dans certaines situations ou une autre exception prévue par le RGPD. Une application sportive ne peut donc pas considérer toutes les mesures corporelles comme de simples statistiques dépourvues d’enjeu. Le contexte, les déductions possibles et les finalités poursuivies déterminent l’analyse.
