RGPD application mobile : consentement, confidentialité et App Store en 2026

1. RGPD application mobile : l’essentiel

Ton application mobile relève du RGPD dès qu’elle traite des données personnelles : un e-mail, une position, un identifiant de l’appareil. En tant qu’éditeur, tu es en principe responsable du traitement, même si un prestataire écrit le code. Tu dois collecter le minimum, avoir une base légale pour chaque usage, demander le consentement avant tout traceur non nécessaire, publier une politique de confidentialité et permettre aux gens d’exercer leurs droits.

Apple ajoute ses propres règles : politique de confidentialité obligatoire, étiquette de confidentialité sur la fiche, invite App Tracking Transparency pour le suivi publicitaire et suppression du compte depuis l’app. Passer l’App Review ne prouve pas que tu respectes le RGPD.

Ce guide s’appuie sur les textes officiels, liés à chaque règle, et sur la recommandation de la CNIL sur les applications mobiles, adoptée le 18 juillet 2024 et publiée dans une version corrigée le 8 avril 2025 (vérifié le 26 octobre 2026). Il ne remplace pas un conseil juridique : pour une app de santé, pour enfants ou financée par la publicité, fais valider tes choix par un avocat.

2. Qui est responsable : toi ou ton prestataire ?

La CNIL distingue l’éditeur, qui met l’app à disposition et choisit son modèle économique (toi, en entreprise individuelle comme en société), le développeur, qui écrit le code, et le fournisseur de SDK, qui livre des briques toutes faites : mesure d’audience, publicité, connexion.

L’éditeur est le responsable du traitement : il fixe les objectifs et les moyens, même s’il ne code rien.

Le rôle du prestataire dépend de ce qu’il fait après la livraison :

• Il livre le code puis n’a plus accès à rien : il n’est ni responsable ni sous-traitant. La CNIL conseille quand même que le contrat lui impose une app conçue pour respecter le RGPD.
• Il héberge les données ou intervient sur le serveur pour la maintenance : il est sous-traitant. L’article 28 du RGPD impose alors un contrat qui l’oblige à n’agir que sur tes instructions documentées, à protéger les données, à t’aider à répondre aux demandes des utilisateurs et à ne pas recruter un autre sous-traitant sans ton accord écrit.
• Il réutilise les données pour son propre compte : il devient responsable de ce traitement, et il lui faut ton accord préalable.

Pour les SDK, la CNIL est nette : en intégrant un SDK qui utilise des traceurs, l’éditeur assume au minimum une responsabilité conjointe. Apple aussi : tu réponds de tout le code de ton app, SDK compris (exigences d’Apple sur les SDK).

3. Quelles données personnelles ton application peut collecter

Une donnée personnelle, c’est toute information liée à une personne identifiable : son nom, mais aussi un pseudo, une position ou l’identifiant technique de son téléphone.

En as-tu vraiment besoin ?

C’est la minimisation : des données « adéquates, pertinentes et limitées à ce qui est nécessaire » (article 5 du RGPD), gardées pas plus longtemps qu’utile. La CNIL donne des exemples concrets : ne pas demander la date de naissance complète si l’année suffit, laisser saisir un code postal plutôt que lire la position, choisir une localisation approximative quand la ville suffit.

Elle signale un cas favorable : si les données restent sur le téléphone, sans que l’éditeur ni un tiers ne puisse y accéder, comme une retouche photo faite en local, le RGPD ne s’applique pas à l’éditeur pour ce traitement.

Sur quelle base légale ?

Chaque usage doit reposer sur l’une des bases de l’article 6. Pour une app, la CNIL cite surtout trois :

• Le contrat : seulement si le traitement est objectivement indispensable au service que la personne a demandé, comme l’adresse de livraison.
• L’intérêt légitime : il faut une analyse écrite qui met en balance ton intérêt et celui de l’utilisateur. Il est difficile à défendre pour le profilage publicitaire.
• Le consentement : libre, spécifique, éclairé, univoque, et aussi simple à retirer qu’à donner (article 7).

Deux cas demandent plus de prudence. Les données de santé, religieuses ou politiques sont interdites sauf exception, comme un consentement explicite. Et en France, un mineur peut consentir seul à partir de 15 ans ; en dessous, il faut aussi l’accord des parents (article 45 de la loi Informatique et Libertés).

4. Consentement dans une application mobile : traceurs, permissions et ATT

Trois mécanismes se superposent, et aucun ne remplace les autres.

Les traceurs et l’article 82

L’article 82 de la loi Informatique et Libertés impose un consentement avant de lire ou d’écrire des informations sur le téléphone. Les « cookies » d’une app, ce sont donc aussi l’identifiant publicitaire, l’accès aux capteurs, au carnet de contacts ou à la galerie. Deux exceptions : ce qui sert uniquement à la communication électronique, et ce qui est strictement nécessaire au service demandé par l’utilisateur. La CNIL range dans ces exceptions le GPS d’une app de navigation, l’authentification ou un simple comptage des utilisateurs ; la publicité ciblée, elle, demande toujours un consentement.

Les règles de la CNIL sur les traceurs s’appliquent aux apps : refuser doit être aussi simple qu’accepter, accepter les conditions d’utilisation ne vaut pas consentement, et tu dois pouvoir prouver le choix recueilli. Pour une app, la CNIL ajoute qu’un SDK ne doit rien lire ni écrire qui exige un consentement dès le premier lancement, avant que la personne ait choisi.

Les permissions iOS ne valent pas consentement

Pour la caméra ou la position, iOS affiche une fenêtre système avec ton texte d’explication. Pour la CNIL, cette permission technique ouvre l’accès mais ne suffit en général pas comme consentement au sens du RGPD. Elle ne suffit que dans des cas limités, par exemple une seule finalité et un seul destinataire. Sinon, il faut en plus une plateforme de gestion du consentement (CMP), avant ou après la permission, sans semer la confusion. La CNIL l’a redit le 7 juillet 2026 pour la géolocalisation : l’autorisation donnée dans iOS ne couvre pas, à elle seule, un usage publicitaire.

App Tracking Transparency

Côté Apple, suivre l’utilisateur à travers les apps et sites d’autres entreprises, ou partager ses données avec un courtier, exige son accord via l’invite App Tracking Transparency, depuis iOS 14.5. Sans cet accord, l’identifiant publicitaire vaut zéro (page d’Apple sur le suivi). La règle 5.1.2(i) interdit de conditionner une fonction ou une récompense à cet accord. Et la permission doit passer par l’invite d’Apple : une fenêtre maison ne la remplace pas.

Apple accepte une CMP à côté de l’ATT, à condition de toujours respecter la réponse donnée à l’ATT ; la conformité au droit européen reste ta responsabilité. Pour l’Union européenne, Apple annonce une version modifiée de l’invite à partir d’iOS 27.2, avec un bouton « Informations supplémentaires » ; ce sera la seule version proposée en France.

5. Politique de confidentialité d’une application : ce qu’elle doit contenir

Le RGPD exige d’informer les gens (article 13) : qui tu es, ce que tu collectes, pourquoi et sur quelle base légale, qui reçoit les données, combien de temps tu les gardes, les transferts hors de l’UE et comment exercer ses droits, y compris auprès de la CNIL. La CNIL demande aussi de dire ce qui est facultatif et ce qu’un refus change.

Elle doit être accessible depuis l’app avant tout traitement. La CNIL recommande aussi de la rendre visible avant le téléchargement, sur ton site ou la fiche App Store, et de la compléter par des explications courtes au moment de chaque collecte. Apple, de son côté, exige un lien dans App Store Connect et dans l’app, même si elle ne collecte rien. Selon la règle 5.1.1(i) des App Review Guidelines (mise à jour du 16 octobre 2026), elle doit dire :

• quelles données l’app collecte, comment, et tous leurs usages ;
• que les tiers qui les reçoivent (outils d’analyse, régies, SDK) les protègent au même niveau ;
• combien de temps elles sont conservées et comment retirer son consentement ou demander leur suppression.

S’y ajoute l’étiquette de confidentialité de la fiche App Store : tu déclares les données que toi et tes partenaires tiers collectez, même celles qui ne servent qu’au fonctionnement, et tu peux la corriger à tout moment, sans nouvelle version (guide d’Apple sur l’étiquette). Xcode regroupe les manifestes de confidentialité (privacy manifests) des SDK intégrés en un rapport. Apple exige le manifeste des SDK d’une liste de bibliothèques courantes, comme Firebase ou le SDK de Facebook, et leur signature quand ils sont intégrés sous forme binaire. Notre guide pour publier une application sur l’App Store montre où remplir tout cela.

Un générateur de politique de confidentialité donne une base, mais le texte doit décrire ce que fait vraiment ton app, SDK compris, dans un langage simple.

6. Suppression de compte, droits des utilisateurs et sécurité

Les utilisateurs ont un droit d’accès, de rectification, d’effacement, d’opposition, de limitation et de portabilité, selon la base légale utilisée. La CNIL recommande un espace dans l’app où tout se demande au même endroit.

Apple rend un point obligatoire : si l’app permet de créer un compte, elle doit permettre de le supprimer depuis l’app (règle 5.1.1(v)). Ses consignes sur la suppression de compte précisent :

• une option facile à trouver, en général dans les réglages du compte ;
• la suppression du compte et des données associées, pas une simple désactivation ;
• pas d’appel, d’e-mail ou de passage par le support, sauf secteurs très réglementés ;
• prévenir si la suppression prend du temps ou si la loi impose de garder certaines données ;
• pour un abonnement, prévenir que la facturation continue chez Apple tant qu’il n’est pas résilié.

La sécurité est une obligation du RGPD (article 32). La recommandation de la CNIL liste des mesures de base : échanges avec le serveur chiffrés en TLS, clés de chiffrement protégées de préférence par la Secure Enclave d’Apple, sauvegardes tierces désactivées par défaut ou chiffrées, SDK et bibliothèques tenus à jour. En cas de fuite, le responsable prévient la CNIL dans les 72 heures si possible, sauf si la fuite ne présente pas de risque pour les personnes (article 33). Ton prestataire sous-traitant doit, lui, te prévenir dans les meilleurs délais : écris-le dans le contrat.

7. Services tiers, IA et transferts hors de l’Union européenne

Une app envoie souvent des données ailleurs : hébergement, mesure d’audience, rapports de plantage, API d’IA. Chaque service est en général un sous-traitant, avec un contrat article 28 (souvent appelé DPA). Si ton développeur est lui-même sous-traitant, il ne peut pas en ajouter un sans ton accord écrit.

Si ce service est hors de l’Union européenne, le chapitre V du RGPD s’applique (articles 44 à 49). Pour les États-Unis, la Commission européenne a adopté le 10 juillet 2023 une décision d’adéquation : les transferts vers une entreprise inscrite sur la liste du Data Privacy Framework ne demandent pas d’outil supplémentaire. Vérifie l’entreprise sur cette liste avant le transfert ; sinon, il faut des garanties comme les clauses contractuelles types (questions-réponses de la CNIL). Dans tous les cas, ta politique de confidentialité mentionne ces transferts.

Pour l’IA, Apple a été explicite : la règle 5.1.2(i) impose d’indiquer clairement quand des données personnelles sont partagées avec des tiers, IA tierce comprise (« including with third-party AI »), et d’obtenir une permission explicite avant. Si tu crées ton application avec l’IA ou intègres un modèle de langage, liste ce qui part vers le fournisseur et ce qu’il en fait.

8. Tableau des obligations et liste de contrôle

La CNIL a fait des applications mobiles une priorité de contrôle en 2025. Selon son rapport annuel publié le 18 mai 2026, elle a contrôlé 10 applications ou fournisseurs de code embarqué et relevé surtout un manque de transparence, y compris lors du consentement à la géolocalisation.

Avant d’envoyer ton app à Apple, vérifie que :

• chaque donnée collectée a un usage, une base légale et une durée de conservation écrits ;
• le rôle de ton prestataire est clair, avec un contrat de sous-traitance s’il touche aux données ;
• chaque SDK est justifié, et tu sais ce qu’il collecte ;
• aucun traceur soumis au consentement ne démarre avant le choix de l’utilisateur ;
• refuser est aussi simple qu’accepter, et le choix peut être changé dans l’app ;
• chaque permission arrive au moment où elle sert, avec une explication claire, et l’app reste utilisable en cas de refus ;
• l’invite ATT est présente si l’app fait du suivi, et absente sinon ;
• la politique de confidentialité est en ligne, liée dans l’app et dans App Store Connect ;
• l’étiquette de confidentialité correspond à l’app réelle, SDK compris ;
• la suppression du compte se fait depuis l’app ;
• les échanges sont chiffrés, et les transferts hors UE, IA comprise, encadrés et annoncés.

Dresse cette liste dès ton brief d’application mobile, écran par écran. En cas de refus d’Apple, notre guide sur la validation App Store explique comment répondre.

9. Questions fréquentes

Faut-il une politique de confidentialité si mon app ne collecte rien ?

Un développeur posait la question sur les forums développeurs d’Apple en 2018. Oui : Apple exige une URL de politique de confidentialité pour toutes les apps. Dans le questionnaire de confidentialité, tu coches alors « aucune donnée collectée », sans autre question (aide App Store Connect). Vérifie quand même ce qu’envoient tes SDK.

Faut-il l’invite ATT si j’ai déjà une bannière de consentement ?

Un éditeur européen le demandait sur les forums d’Apple en 2020. En 2024, un autre racontait une mise à jour refusée pour une fenêtre de suivi maison. Si ton app fait du suivi au sens d’Apple, l’invite ATT est obligatoire. Ta bannière reste en principe utile pour le droit européen : la CNIL n’admet une fenêtre du système comme consentement que si elle donne toutes les informations exigées et permet de refuser aussi facilement.

Mon prestataire est-il responsable si l’app ne respecte pas le RGPD ?

Face à la CNIL, c’est d’abord l’éditeur. Le prestataire a ses propres obligations s’il est sous-traitant, et la CNIL rappelle qu’un code qui méconnaît lui-même le RGPD engage sa responsabilité civile envers toi.

Quelle est la recommandation de la CNIL sur les applications mobiles ?

Un document qui précise les obligations de chaque acteur, éditeur compris, avec une liste de vérifications. La version en vigueur date du 8 avril 2025 et corrige celle de septembre 2024 sans en changer le fond.