En novembre 2023, le projet de recommandations de la Cnil en matière de protection des données personnelles pour les applications mobiles, soumis à consultation du marché, avait confirmé la volonté de l’organe d’exercer une surveillance accrue sur un marché encore peu régulé. À l’époque, si le marché avait globalement salué la démarche, il s’était notamment inquiété d’une sous-estimation du rôle des systèmes d’exploitation (Android et iOS) dans l’écosystème mobile.
Le 24 septembre 2024, la Cnil a publié ses recommandations finales qui, si elles ne sont pas des lignes directrices comme pour le recueil de cookies, donnent la marche à suivre pour les acteurs de l’écosystème. Globalement, elles reprennent la philosophie du projet de recommandations, en y apportant quelques changements suite à des retours du marché.
Dans sa réponse au premier projet, Alliance digitale s’était notamment inquiétée de “la validation et la légitimation du rôle de prescripteur de règles en matière de protection des données des fournisseurs d’OS et de magasins d’applications, et le déséquilibre que cela engendre entre les prérogatives qui leur sont octroyées et les faibles responsabilités qui leur sont imputées”. La Cnil avait en effet évoqué la possibilité pour les systèmes d’exploitation de proposer un “scoring privacy” des applications dans les magasins d’applications, et les professionnels de l’industrie pointaient une explication relativement floue sur la coexistence entre autorisations techniques propres à l’OS et celles demandées par l’éditeur via sa CMP.