FAITS:
FIDZUP est une société spécialisée dans la vente de campagne publicitaire et l’affichage de ces dernières dans les zones de chalandises de ses clients. A l’appui de son activité, cette société a développé des outils de ciblage publicitaire : traceur SDK installé dans les applications de partenaires, permettant aux annonceurs de personnaliser la publicité affichée sur les smartphones des visiteurs et de mesurer les visites générées en magasin.
Elle avait effectué auprès de la CNIL le 11 janvier 2018 une déclaration portant sur les données de localisation et de connexion.
La société FIDZUP collecte l’identifiant publicitaire du smartphone ainsi que l’adresse MAC du téléphone associé à des données de géolocalisations de la personne. L’identifiant publicitaire est un identifiant unique généré par le smartphone de l’utilisateur permettant d’identifier le terminal de la personne et de cibler une personne ou un profil déterminé.
FIDZUP recoupe les données avec les données situés dans les points de ventes de ses clients via une « FIDBOX ».
La CNIL indique que FIDZUP traite les données pour son propre compte et agit donc en tant que responsable de traitement. 5 962 383 identifiants publicitaires distincts ont été collectés par la société. Chaque identifiant publicitaire permettant d’identifier le smartphone d’une personne.
MOTIFS:
-Lorsqu’un utilisateur télécharge l’application de l’un des partenaires de la société FIDZUP, il n’est pas informé que ses données sont collectées par le SDK et traitées par la société.
-Absence de base légale i.e. de mise en place d’un dispositif de recueil du consentement des personnes à ce traitement avant la collecte.
-Les applications des éditeurs partenaires utilisant le SDK n’existent pas dans une version sans celui-ci.
