Localisation : quatre kits publicitaires partagent en secret la position exacte de milliards de smartphones

Vie Privée — 6 août 2026

Une enquête technique de l’Electronic Frontier Foundation (EFF), publiée fin juillet 2026, montre que quatre kits publicitaires intégrés dans des dizaines de milliers d’applications mobiles partagent la position précise des utilisateurs par défaut, dès que l’application elle-même a obtenu la permission de localisation — sans qu’aucun consentement spécifique ne soit demandé pour ce partage.

Sommaire

1. Un mécanisme invisible pour l’utilisateur
2. Les quatre SDK visés par l’enquête de l’EFF
3. Deux applications grand public prises pour exemple
4. Ce que la permission de localisation ne couvre pas
5. Un problème documenté depuis 2016
6. Et en France, que dit le RGPD ?
7. Ce que l’EFF recommande aux développeurs
8. Ce que vous pouvez faire, concrètement

Un mécanisme invisible pour l’utilisateur

Le fonctionnement est le même sur la quasi-totalité des applications mobiles gratuites financées par la publicité. Un développeur intègre un kit de développement logiciel (SDK, pour software development kit) fourni par une régie publicitaire, chargé d’afficher des bannières ou des vidéos en échange d’une rémunération. Ce SDK s’exécute avec les mêmes autorisations que l’application elle-même : si l’utilisateur a accordé la permission de localisation à l’application, le SDK peut, par défaut, y accéder aussi.

Les données récoltées sont ensuite injectées dans un système d’enchères publicitaires en temps réel, le RTB (real-time bidding) : en quelques millisecondes, la position de l’utilisateur — parfois précise à quelques mètres près — est envoyée à un nombre potentiellement illimité d’acheteurs publicitaires pour qu’ils enchérissent sur l’espace publicitaire à afficher. L’EFF résume le problème : il n’existe « aucune permission de localisation spécifique à un SDK » — le système d’exploitation ne distingue pas l’application elle-même du code tiers qu’elle embarque.

Les quatre SDK visés par l’enquête de l’EFF

L’association de défense des libertés numériques a passé au crible la documentation technique de plusieurs régies publicitaires mobiles. Quatre d’entre elles collectent et partagent la localisation par défaut dès que la permission est accordée à l’application hôte :

• InMobi — 10^e SDK publicitaire le plus utilisé au monde, présent sur des applications totalisant environ 2 milliards d’utilisateurs. Sa documentation indique qu’il « transmet automatiquement les signaux de localisation disponibles » et encourage les développeurs à demander la localisation précise plutôt qu’approximative.
• Verve (HyBid) — présent sur environ 10 000 applications représentant 1,5 milliard d’utilisateurs. Le guide de configuration de son SDK Android indique noir sur blanc que le suivi de localisation est « activé par défaut ».
• BidMachine — environ 600 millions d’utilisateurs directs. La page « paramètres avancés » de son guide d’intégration Android précise que le SDK « peut suivre automatiquement la position de l’appareil pour proposer de meilleures publicités », dès lors que l’application a obtenu la permission de localisation.
• Huawei Petal Ads — intégré dans environ 85 000 applications.

À noter — deux niveaux de précision. Les SDK distinguent la localisation « précise » (rayon d’environ 50 mètres, parfois jusqu’à 3 mètres) de la localisation « approximative » (environ 2 km²). Verve, de son côté, arrondit les coordonnées à deux décimales, ce qui revient tout de même à cerner une zone d’environ 0,8 km² — largement suffisant pour identifier un domicile ou un lieu de travail.

Deux applications grand public prises pour exemple

L’EFF et, séparément, le média américain TechCrunch citent deux applications Android très largement téléchargées comme illustration concrète du phénomène : un lecteur de codes QR (QR Scanner, plus de 50 millions de téléchargements) et un compteur de vitesse GPS (GPS Speedometer, plus de 10 millions de téléchargements). Toutes deux intègrent BidMachine et partagent, selon l’analyse technique citée, des coordonnées de localisation précises avec le SDK sans que cela apparaisse nécessaire à leur fonction affichée.

Rien n’indique que les développeurs de ces applications aient eu l’intention de partager ces données au-delà de leur propre usage : c’est précisément le point soulevé par l’EFF — le comportement par défaut du SDK, souvent non lu en détail lors de l’intégration, produit le partage à leur insu.

Ce que la permission de localisation ne couvre pas

Sur Android comme sur iOS, l’utilisateur autorise ou refuse la localisation au niveau de l’application entière — jamais au niveau d’un composant tiers spécifique. Une fois l’autorisation donnée, tout code exécuté dans le même processus, y compris un SDK publicitaire fourni par une société que l’utilisateur n’a jamais entendu nommer, hérite du même accès.

Ce point aveugle structurel explique pourquoi la simple lecture des demandes de permission affichées à l’installation ne renseigne en rien sur la destination réelle des données une fois la permission accordée : la chaîne de sous-traitance publicitaire — éditeur de l’application, régie SDK, plateforme d’enchères, acheteurs finaux — reste invisible à l’utilisateur final.

Un problème documenté depuis 2016

Le cas d’InMobi n’est pas nouveau. En 2016 déjà, la régie avait trouvé un accord avec la FTC (Federal Trade Commission, le régulateur américain de la concurrence et de la consommation) après avoir été accusée d’avoir contourné les permissions de localisation des utilisateurs en déduisant leur position via les données du réseau Wi-Fi environnant, même lorsque la permission GPS avait été explicitement refusée. Dix ans plus tard, selon l’EFF, la même société reste l’un des SDK qui encouragent le plus activement les développeurs à demander l’accès à la localisation précise.

Et en France, que dit le RGPD ?

Le Règlement général sur la protection des données (RGPD) impose en théorie que tout traitement de données de localisation — une donnée considérée comme sensible dès lors qu’elle est précise — repose sur une base légale claire et une information transparente de la personne concernée sur l’ensemble des destinataires, y compris les partenaires publicitaires tiers. La Commission nationale de l’informatique et des libertés (CNIL) a renouvelé en 2026 une partie de son collège et poursuit ses travaux sur l’écosystème publicitaire des pixels et traceurs, dans la continuité de ses recommandations MR-001 et MR-003 mises à jour cette même année.

Le mécanisme décrit par l’EFF, propre à des SDK utilisés à l’échelle mondiale, n’a pas fait l’objet à ce jour d’une procédure publique de la CNIL visant spécifiquement InMobi, Verve, BidMachine ou Huawei Petal Ads pour ce comportement précis — un point à suivre, dans un contexte où le régulateur français a déjà sanctionné plusieurs acteurs de l’écosystème publicitaire pour des manquements comparables sur le consentement.

Ce que l’EFF recommande aux développeurs

L’association appelle les développeurs d’applications à ne plus intégrer un SDK publicitaire sans en avoir audité la configuration par défaut, à désactiver explicitement la collecte de localisation lorsqu’elle n’est pas indispensable au fonctionnement de l’application, et à ne jamais présumer qu’un partenaire tiers respecte, de lui-même, l’intention affichée à l’utilisateur. Comme le résume l’EFF : « la protection de la vie privée des utilisateurs ne devrait pas dépendre de la lecture attentive, par chaque développeur, de la documentation technique de chaque SDK. »

Ce que vous pouvez faire, concrètement

• Sur Android comme iOS, préférer systématiquement l’option « Autoriser uniquement pendant l’utilisation de l’app » plutôt que l’accès permanent.
• Vérifier régulièrement, dans les réglages de confidentialité du téléphone, la liste des applications ayant accès à la localisation précise, et révoquer celles qui n’en ont pas un besoin évident (lampe torche, scanner de codes, calculatrice…).
• Privilégier, quand l’option existe, la localisation approximative plutôt que précise pour les applications qui n’ont pas besoin d’une précision métrique.
• Garder à l’esprit qu’une application gratuite financée par la publicité a structurellement intérêt à collecter davantage de données que son équivalent payant sans publicité.

Ce défaut de cloisonnement rejoint une tendance plus large déjà documentée sur Liberta Press : la surveillance qui s’installe par défaut, sans action explicite de l’utilisateur, que ce soit via les capteurs biométriques que Blueskeye AI compte déployer dans les véhicules neufs dès 2027 ou via les mécanismes examinés par le rapport controversé sur la surveillance des messageries privées comme Telegram.

Conclusion

L’enquête de l’EFF ne révèle pas une fuite ponctuelle ni un piratage, mais un fonctionnement par défaut, intégré au cœur même de l’économie publicitaire mobile, qui concerne potentiellement des milliards d’utilisateurs à travers des applications parmi les plus anodines. Le problème n’est pas tant l’existence de la publicité géolocalisée — encadrée, en théorie, par le consentement — que l’absence de cloisonnement technique entre ce que l’utilisateur croit autoriser et ce qu’un composant tiers, invisible, en fait réellement.

Rappel sur les limites de cet article. L’enquête de l’EFF porte sur le comportement documenté par défaut des SDK cités, tel que décrit dans leur propre documentation technique publique — elle ne constitue pas une mesure indépendante du trafic réseau réel de chaque application citée en exemple. Aucune procédure de sanction n’a, à la date de publication, été engagée par la CNIL ou la FTC contre ces sociétés pour ce comportement spécifique en 2026 ; l’antécédent InMobi de 2016 concernait des faits distincts, déjà réglés par accord transactionnel. Le nombre d’utilisateurs affectés en France précisément n’est pas connu.

Sources

1. Electronic Frontier Foundation — Developers: Beware of Ad Libraries that Betray Your Users’ Location Privacy
2. EFF — Mobile Ad Software Encourages Location Data Sharing, EFF Report Finds
3. TechCrunch — Android app developers may be unwittingly sharing their users’ location data with advertisers
4. PBX Science — Android Apps Suspected of Leaking Precise User Location Through Third-Party Ad SDK Defaults