La géolocalisation à des fins publicitaires

B. LA QUESTION DE LA TERITORIALITE DE LA LOI

61. Le raisonnement de la CNIL à propos de la société Google - En retenant que la notion de moyen de traitement doit être entendue de manière large à la lumière du considérant 18 de la directive n°95/46/CE qui énonce « que l'établissement, dans un pays tiers, du responsable du traitement de données ne doit pas faire obstacle à la protection des personnes prévue par la présente directive; que, dans ce cas, il convient de soumettre les traitements de données effectués à la loi de l'État membre dans lequel des moyens utilisés pour le traitement de données en cause sont localisés et de prendre des garanties pour que les droits et obligations prévus par la présente directive soient effectivement respectés », la CNIL en déduit que la volonté du législateur communautaire est celle d'éviter le contournement de la protection accordée aux résidents européens du fait de l'établissement du responsable de traitement hors de l'Union européenne. Elle a alors considéré que les moyens de traitement pouvaient être des cookies déposés sur les terminaux mobiles des utilisateurs français pour faire tomber la société californienne Google Inc. sous le coup de la loi n°78-17.

62. Le raisonnement de la CNIL appliqué aux applications - Le développeur d'une application pouvant être considéré comme étant un responsable de traitement en ce sens qu'il détermine ses finalités et ses moyens (voir point 57) toute la question est de savoir s'il recourt à « des moyens de traitement » situés sur le territoire français. A ce titre, le G29, dans son avis^33(*) sur les applications des appareils intelligents, en s'appuyant sur l'article 4.1 c qui dispose que le moyens utilisés peuvent être automatisés ou non en déduit que dès lors qu'il y a une utilisation d'un équipement situé sur le territoire d'un Etat membre (ex : cookies) le critère est rempli. Pour collecter les données à caractère personnel des utilisateurs, les développeurs d'applications sont obligés de recourir à des cookies ou autres traceurs. Il est également possible d'appliquer le même raisonnement que celui de la CNIL à propos de la société Google, les cookies doivent être assimilés à des moyens de traitement et de ce fait les développeurs d'applications sont donc soumis à la loi française dès lors qu'ils en utilisent.

Une multitude d'acteurs intervient dans le cadre de la publicité géo-adaptée. Ces données de localisation associées avec d'autres données comme celle de l'identifiant de l'appareil constituent de véritables données à caractère personnel qui doivent être protégées pour ne pas que leur collecte porte atteinte à la vie privée de l'utilisateur du terminal mobile. Afin que les citoyens européens puissent obtenir la protection de leurs pays, il a paru nécessaire de qualifier ces différents acteurs de responsables de traitement employant des moyens de traitement sur le territoire. Cette protection se veut très respectueuse de la vie privée de l'utilisateur mais n'est pas forcément mise en oeuvre et respectée par tous.

* ³³ Avis 02/2013 du G29 relative aux applications des appareils intelligents,27 février 2013