Concrètement, la Cnil considère que l'éditeur doit, avant tout travail, définir la finalité du traitement des données personnelles (nom, prénom, pseudonyme, numéro de téléphone, numéro identifiant du téléphone). Ce traitement doit être « explicite et légitime » précise l'institution présidée par le sénateur Alex Türk. Ces deux conditions signifient non seulement que le consentement de l'utilisateur doit être recueilli mais que les informations collectées doivent être utiles au fonctionnement de l'application.
De même, la commission insiste sur le fait que « l'accord exprès des personnes doit être recueilli par l'intermédiaire d'une case à cocher et non précochée dans plusieurs hypothèses ». La collecte d'informations personnelles doit donc être choisie par l'utilisateur en connaissance de cause (opt-in) et ne doit donc pas être prévue par défaut.
Au sujet de la durée de conservation des données, la Cnil explique : « en matière de géolocalisation, les informations liées aux déplacements passés des individus ne doivent pas être conservées. Ce n'est que si l'utilisateur vous donne son consentement exprès, par exemple pour conserver l'historique de ses déplacements, que vous pouvez les conserver ».
Cette note ressemble donc fort à un rappel à la loi à destination des éditeurs proposant des applications mobiles. Pour rappel, la Cnil avait déjà formulé de tels propos à l'attention de Google, Skyhook Wireless ou bien encore Microsoft et Apple accusés d'avoir constitué des bases cartographiques recensant les points d'accès WiFi. L'autorité précisait alors que les informations issues de points d'accès WiFi utilisées pour fournir des « services de géolocalisation sont des données à caractère personnel ». Là aussi, certaines règles doivent donc encadrer leur collecte.
