Selon BFM, la CNIL a accordé son « feu vert » au profit de TADATA, une application « qui monétise les données des jeunes ».

Contactée, la Commission nous rappelle avoir reçu une plainte d’Internet Society France contre cet acteur qui avait « initié la mise en ligne d’un service permettant aux personnes âgées de 15 à 25 ans de gagner de l’argent en fournissant des données (réponse à des questionnaires sur leurs centres d’intérêts notamment) et en acceptant que celles-ci soient exploitées par des "partenaires" ».

C’est suite à cette saisine que l’autorité a effectivement lancé un contrôle. « Les réponses obtenues lors des investigations ont permis d’établir que le service n’était pas encore déployé au niveau national » nous indique-t-elle. Ainsi, « la société Tadata ne transmettait pas encore à ses partenaires les données collectées ».

« Parallèlement, les travaux menées par le collectif européen des autorités de protection des données (CEPD) sur l’articulation entre la monétisation et le droit fondamental de la protection de la vie privée, ne permettent pas à ce stade de considérer que le RGPD interdit la mise en œuvre de tels traitements. »

C’est dans ces conditions que la CNIL a décidé, « pour le moment, de mettre fin à la procédure de contrôle et d’échanger avec la société TADATA pour qu’elle mette en œuvre un service pleinement conforme à la réglementation ». Les points centraux ? « La validité du consentement recueilli auprès des personnes et les modalités d’exercice des droits des utilisateurs, notamment sur les conditions de désinscription du service ».

En particulier, TADATA s’est engagée « à ne transmettre les données qu’à la demande des personnes concernées, après les avoir clairement informées du type de données transmis, de l’identité des destinataires (annonceurs) de ces données, et bien sûr de la finalité du traitement mis en œuvre par ces destinataires ». Identiquement, « les personnes pourraient revenir sur leur choix à tout moment et de manière discrétionnaire, le retrait du consentement entrainant la suppression des données chez leur destinataire ».

La CNIL rappelle qu’ « une vigilance particulière est en effet nécessaire pour préserver le contrôle des jeunes sur leurs données et donner leur pleine mesure aux droits que leur garantit le RGPD (…). Lorsqu’une personne accepte que ses données soient transmises à une société souhaitant les exploiter, elle ne renonce pas à la maîtrise de ses données telle que garantie par le RGPD et ne peut en aucun cas se voir déposséder de ses droits. »