RGPD et smartphone : quels sont vraiment vos droits sur vos données personnelles en France ?

Localisation, contacts, historique de navigation, données de santé issues des capteurs, habitudes d'utilisation des applications : votre smartphone est probablement l'appareil qui en sait le plus sur vous. Le Règlement Général sur la Protection des Données (RGPD), en vigueur dans toute l'Union européenne depuis 2018, encadre strictement ce que les applications et les fabricants ont le droit de faire de ces informations. Voici, concrètement, ce que cela change pour un utilisateur français.

Le RGPD, en bref

Le RGPD impose à toute entreprise traitant des données de citoyens européens de respecter plusieurs principes fondamentaux : collecter uniquement les données réellement nécessaires au service rendu (principe de minimisation), obtenir un consentement clair et explicite avant toute collecte non indispensable, permettre à tout moment la consultation, la correction ou la suppression de ces données, et notifier les autorités en cas de fuite de données personnelles. Sur smartphone, cela concerne aussi bien le système d'exploitation lui-même (Android, iOS) que chacune des applications installées.

Vos droits concrets sur votre téléphone

Quatre droits principaux s'appliquent directement à l'usage quotidien d'un smartphone. Le droit d'accès permet de demander à une entreprise l'ensemble des données qu'elle détient sur vous ; Google et Apple proposent d'ailleurs des outils dédiés (Google Takeout, export de données Apple) permettant de télécharger l'intégralité de son historique en quelques clics. Le droit de rectification permet de corriger une information erronée. Le droit à l'effacement, souvent appelé « droit à l'oubli », permet d'exiger la suppression de données qui ne sont plus nécessaires au service, un droit particulièrement pertinent lors de la désinstallation d'une application qui continuerait à conserver vos données. Enfin, le droit à la portabilité permet de récupérer ses données dans un format réutilisable pour les transférer ailleurs, par exemple lors d'un changement d'écosystème entre iPhone et Android.

Ce que change concrètement iOS et Android

Depuis plusieurs versions, iOS impose à chaque application de demander une autorisation explicite avant d'accéder au suivi publicitaire inter-applications (App Tracking Transparency), ce qui a considérablement réduit la capacité des annonceurs à profiler les utilisateurs sans leur accord. Android a suivi une trajectoire similaire avec des tableaux de bord de confidentialité détaillés, indiquant précisément quelle application a accédé au micro, à la caméra ou à la localisation, et à quel moment précis. Le Pixel 8, comme la majorité des smartphones Android récents commercialisés en Europe, intègre ce tableau de bord accessible directement dans les paramètres de confidentialité.

Les zones grises qui persistent

Malgré ce cadre légal strict, plusieurs pratiques restent en zone grise. Les fenêtres de consentement aux cookies et au tracking, censées être simples à refuser, restent parfois conçues avec des interfaces qui rendent le refus plus fastidieux que l'acceptation, une pratique connue sous le nom de « dark pattern » que la CNIL sanctionne régulièrement mais qui persiste sur de nombreuses applications. De même, certaines fonctions basées sur l'intelligence artificielle embarquée soulèvent de nouvelles questions : quand un assistant IA analyse vos messages ou vos photos pour générer des résumés ou des suggestions, ces traitements doivent en théorie rester locaux sur l'appareil pour éviter tout envoi de données sensibles vers des serveurs distants, une distinction que peu d'utilisateurs vérifient réellement dans les conditions d'utilisation.

La CNIL, votre recours en cas de litige

En France, c'est la Commission Nationale de l'Informatique et des Libertés (CNIL) qui est chargée de faire respecter le RGPD et de traiter les plaintes des particuliers. Si une application ou un fabricant refuse de répondre à une demande d'accès ou de suppression de données dans le délai légal d'un mois, il est possible de déposer une plainte directement en ligne sur le site de la CNIL, gratuitement, sans avoir besoin d'avocat. La CNIL peut ensuite mener une enquête et, le cas échéant, infliger des sanctions financières pouvant atteindre plusieurs pourcents du chiffre d'affaires mondial de l'entreprise concernée pour les manquements les plus graves.

Bonnes pratiques pour limiter sa collecte de données au quotidien

Au-delà du cadre légal, plusieurs réflexes simples permettent de reprendre la main sur ses données. Vérifier régulièrement les autorisations accordées à chaque application (localisation, micro, contacts) et révoquer celles qui ne sont plus justifiées par l'usage réel. Désactiver le suivi publicitaire inter-applications dans les réglages système. Préférer, lorsque c'est possible, l'authentification biométrique locale plutôt qu'un identifiant lié à un compte tiers pour les applications sensibles. Et surveiller les notifications liées à la sécurité du compte en cas de connexion suspecte, particulièrement importante en cas de perte ou de vol de l'appareil.

La protection des données personnelles ne se limite d'ailleurs pas aux réglages du téléphone : le choix des applications de messagerie compte tout autant. Le passage progressif au standard RCS, qui intègre désormais le chiffrement de bout en bout sur les échanges entre appareils compatibles, illustre cette évolution vers une meilleure protection par défaut des communications personnelles, alors que le SMS traditionnel ne bénéficiait d'aucun chiffrement de ce type.

Les données de santé et de capteurs, une catégorie particulièrement sensible

Les smartphones modernes embarquent de plus en plus de capteurs capables de mesurer des données de santé : nombre de pas, fréquence cardiaque via certains accessoires connectés, cycles de sommeil ou encore analyse de la voix. Le RGPD classe ces informations parmi les « données sensibles », soumises à un régime de protection renforcé nécessitant un consentement explicite distinct du consentement général d'utilisation de l'application. Concrètement, une application de santé ne peut pas conditionner son fonctionnement de base à l'acceptation d'un partage de ces données avec des tiers publicitaires, une pratique qui serait directement contraire au règlement. Il est recommandé de vérifier régulièrement dans les paramètres de confidentialité quelles applications ont accès à ce type de données particulièrement personnelles, et de révoquer cet accès pour celles qui ne justifient pas clairement leur usage.

Enfin, en cas de revente ou de don d'un ancien smartphone, il est essentiel de procéder à une réinitialisation complète aux paramètres d'usine après avoir vérifié la suppression effective du compte associé, faute de quoi des données personnelles sensibles pourraient rester accessibles au nouvel utilisateur de l'appareil, indépendamment de toute obligation légale pesant sur le vendeur particulier.

En résumé

Le RGPD offre aux utilisateurs français un cadre légal solide pour reprendre le contrôle de leurs données personnelles sur smartphone : droit d'accès, de rectification, d'effacement et de portabilité, avec la CNIL comme recours gratuit en cas de litige. Ce cadre légal n'exempte cependant pas d'une vigilance active au quotidien : vérifier les autorisations accordées, limiter le tracking publicitaire et privilégier les fonctionnalités de confidentialité proposées nativement par iOS et Android restent les meilleurs réflexes pour limiter réellement l'exposition de ses données personnelles.