Entre août 2021 et juillet 2022, la CNIL a effectué plusieurs contrôles sur voodoo.io et sur différentes applications mobiles éditées par la société VOODOO, éditrice de jeux pour smartphone.
Le 22 juillet 2022, le rapporteur a fait notifier à la société un rapport détaillant le manquement à l’article 82 de la loi n° 78-17 du 6 janvier 1978 (loi Informatique et Libertés). Ce rapport proposait à la formation restreinte de prononcer une injonction de cesser d’utiliser l' « identifier for vendors » (IDFV) des terminaux à des fins publicitaires en l’absence de consentement de l’utilisateur.
Le 29 décembre 2022, la CNIL a sanctionné la société d’une amende de 3 millions d’euros pour avoir utilisé un identifiant essentiellement technique pour de la publicité sans le consentement de l’utilisateur.
L’IDFV est un identifiant qui est mis à la disposition des éditeurs par APPLE, leur servant à suivre l’utilisation de leurs applications par les utilisateurs.
L'obligation d'information du responsable de traitement
Selon l'article 82 : « Tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète ». Ce consentement doit s'entendre au sens de l’article 4.11 du RGPD, c’est-à-dire qu’il doit être donné de manière libre, spécifique, éclairée et univoque et se manifester par un acte positif clair.
Lorsqu’un utilisateur ouvre pour la première fois une application éditée par la société, la « sollicitation ATT » est présentée à l’utilisateur afin d’obtenir son consentement au suivi de ses activités sur les applications téléchargées sur son téléphone. S'il refuse le suivi, l’IDFA, qui est l’identifiant publicitaire d’APPLE, n’est pas lu mais est remplacé par une chaîne de zéros. Cependant, l'IDFV est quant à lui lu et transmis à des domaines ayant des finalités publicitaires, sans le consentement de l'utilisateur.
Le rapporteur relève en outre que le manquement commis par la société est d’une particulière gravité dans la mesure où l’information qu’elle présente à l’utilisateur est trompeuse. En effet, l'information suivante est présentée à l'utilisateur : « Vous avez désactivé le suivi publicitaire sur votre terminal ». L’utilisateur qui prend connaissance de ces informations peut légitimement s’attendre à ce qu’aucun suivi de son activité ne soit effectué à des fins de personnalisation des annonces.
La CNIL note que si l'utilisateur refuse que son activité soit suivie, le fait pour la société de tout de même procéder à des opérations de lecture et/ou d’écriture à des fins publicitaires prive d’effectivité le choix exprimé par l’utilisateur.
De ce fait, la formation restreinte prononce, à l’encontre de la société VOODOO, une amende administrative d’un montant de 3 000 000 € pour manquement à l’article 82 de la loi Informatique et Libertés.