Voodoo, qui revendique 150 millions d’utilisateurs actifs mensuels sur ses jeux, est dans le collimateur de la CNIL. Le régulateur reproche à la licorne française de suivre l’activité des utilisateurs de ses applications à des fins publicitaires sans l’accord préalable des intéressés.
La sanction est salée. La CNIL a prononcé une amende de 3 millions d’euros à l’encontre de l’éditeur de jeux pour téléphone, l’accusant d’avoir utilisé « un identifiant essentiellement technique pour de la publicité sans le consentement de l’utilisateur ».
Après des contrôles effectués sur voodoo.io ainsi que sur plusieurs applications sur iPhone, la CNIL a constaté que l’identifiant technique associé à un utilisateur est systématiquement lu et traité par Voodoo, même lorsque ce dernier a exprimé clairement son refus.
Un consentement ignoré et des informations jugées trompeuses
La CNIL s’est concentré sur le fonctionnement des applications sous iOS. « Lorsqu’un éditeur propose une application sur l’App Store, Apple met à sa disposition un système d’identifiant technique (IDFV), permettant à cet éditeur de suivre l’utilisation qui est faite de ses applications par les utilisateurs » explique le régulateur dans son communiqué.
Ces identifiants permettent de recueillir un certain nombre d’informations, comme les habitudes de navigation des personnes, dans le but de fournir des annonces personnalisées. A noter que l’IDFV diffère de l’IDFA, l’identifiant unique attribué à chaque appareil par le système d’exploitation iOS d’Apple.
Une fois l’application téléchargée, une première fenêtre est présentée aux utilisateurs pour accepter ou refuser la « sollicitation ATT » (App Tracking Transparency) d’Apple, qui donne le droit de suivre leurs activités. En cas de refus, une seconde fenêtre s’affiche alors pour confirmer que le suivi publicitaire personnalisé est désactivé.
Or, la CNIL a constaté des manquements à la loi Informatique et Libertés à ce niveau. En effet, lorsque l’utilisateur refuse de faire l’objet d’un suivi publicitaire, « la société Voodoo lit tout de même l’identifiant technique associé à cet utilisateur et traite toujours des informations en lien avec ses habitudes de navigation pour des objectifs publicitaires » souligne la CNIL.
L’autorité de régulation justifie le montant de l’amende par « le nombre de personnes concernées, par les avantages financiers obtenus du fait du manquement et par le chiffre d’affaires réalisé par la société en 2020 et 2021 ».