Le terme Device ID recouvre plusieurs réalités techniques qui n’ont ni la même portée ni le même cadre juridique. Chaque couche d’identification répond à un besoin distinct : réseau, matériel, publicité, gestion de flotte. Confondre ces couches, c’est mal évaluer les risques de traçage et les leviers de protection réellement disponibles.
IMEI, ICCID, IMSI : trois identifiants matériels à ne pas confondre
Un smartphone porte au minimum trois identifiants liés au réseau mobile, et aucun n’est interchangeable. L’IMEI identifie le terminal physique, pas l’utilisateur ni l’abonnement. Il reste attaché à l’appareil même après un changement de carte SIM ou de profil eSIM.
L’ICCID, lui, est associé à la carte SIM ou au profil eSIM. Il permet à l’opérateur de reconnaître le support d’abonnement inséré dans le terminal. L’IMSI identifie l’abonné sur le réseau, indépendamment du terminal utilisé.
Cette distinction a des conséquences directes. Bloquer un IMEI après un vol empêche le terminal de se connecter au réseau, mais ne protège pas les données de l’abonné si la SIM est retirée. Pour comprendre comment chaque couche s’articule avec l’identifiant du produit (ID) au sens large, il faut raisonner en strates plutôt qu’en identifiant unique.
Identifiant publicitaire sur Android et iOS : mécanismes et limites réelles
L’identifiant publicitaire est la couche que la plupart des utilisateurs associent au Device ID, mais son fonctionnement diffère radicalement d’un IMEI. Il est généré par le système d’exploitation, pas gravé dans le matériel, et il est (en théorie) réinitialisable ou supprimable.
Android : réinitialiser ou supprimer, deux opérations distinctes
Réinitialiser l’identifiant publicitaire Android attribue un nouveau code, mais ne coupe pas le suivi. Les applications qui ont déjà collecté l’ancien identifiant peuvent croiser d’autres signaux (compte Google, adresse IP, empreinte matérielle) pour reconstituer un profil.
La suppression de l’identifiant publicitaire, disponible sur les versions récentes d’Android, empêche les applications de lire ce code. Nous distinguons bien ici « empêcher la lecture du code » et « bloquer tout suivi » : une application peut continuer à collecter des données liées à un compte utilisateur ou à d’autres identifiants techniques.
iOS : App Tracking Transparency ne désactive pas toute collecte
Le réglage App Tracking Transparency d’Apple permet de refuser aux applications le suivi de l’activité entre les applications et sites d’autres entreprises. Ce refus porte sur un identifiant précis (IDFA), pas sur l’ensemble de la collecte de données.
Une application peut toujours collecter des données dans son propre périmètre, y compris des informations de navigation ou d’usage. Le cadre Apple limite le croisement inter-apps, pas la collecte intra-app.
Consentement et réglementation : le Device ID comme traceur au sens de la CNIL
Les règles françaises sur les traceurs prévoient en principe un consentement préalable avant tout dépôt ou lecture d’un identifiant publicitaire. Ce cadre s’applique quel que soit le type d’identifiant utilisé pour le suivi, y compris les identifiants d’appareil exploités à des fins publicitaires.
Le non-respect du consentement sur les traceurs expose à des sanctions financières significatives. Les contrôles menés par la CNIL ces dernières années ont visé plusieurs applications mobiles pour des manquements liés à la lecture d’identifiants sans consentement préalable.
La distinction entre identifiant matériel et identifiant publicitaire a ici une importance juridique. Un IMEI utilisé à des fins de gestion réseau par un opérateur ne relève pas du même régime qu’un identifiant publicitaire lu par une application tierce pour du ciblage.
- L’IMEI et l’ICCID relèvent d’obligations réglementaires télécoms et ne nécessitent pas le même consentement qu’un traceur publicitaire
- L’identifiant publicitaire (GAID sur Android, IDFA sur iOS) est soumis aux règles de consentement préalable dès qu’il sert au suivi inter-apps
- Un identifiant de flotte (MDM) utilisé en contexte professionnel suit les règles du RGPD appliquées aux données des salariés, avec un fondement juridique distinct du consentement
Device ID en gestion de flotte : un usage professionnel sous-documenté
Dans un contexte de Mobile Device Management (MDM), le Device ID sert à enrôler, configurer et sécuriser à distance des terminaux professionnels. L’identifiant utilisé n’est pas nécessairement l’IMEI : les solutions MDM génèrent souvent leur propre identifiant d’enrôlement, lié à la politique de sécurité de l’organisation.
Le Device ID en MDM sert au contrôle d’accès, pas au ciblage publicitaire. Il permet de vérifier qu’un terminal est conforme (chiffrement actif, version système à jour) avant de lui accorder l’accès aux ressources de l’entreprise.
Ce cas d’usage montre pourquoi réduire le Device ID à un simple « numéro de série » ou à un outil de tracking publicitaire est une erreur de cadrage. Le même concept recouvre des finalités, des cadres juridiques et des niveaux de contrôle utilisateur totalement différents.
Protéger sa vie privée face aux identifiants d’appareil
Les leviers de contrôle varient selon la couche d’identification concernée.
- L’IMEI ne peut pas être modifié par l’utilisateur (et le faire est illégal dans la plupart des juridictions). La seule protection est le blocage du terminal après vol, via l’opérateur
- L’identifiant publicitaire Android peut être supprimé dans les paramètres de confidentialité, ce qui empêche les applications de le lire. La réinitialisation seule ne suffit pas à couper le suivi
- Sur iOS, refuser le suivi via App Tracking Transparency bloque l’accès à l’IDFA pour chaque application individuellement
- En contexte professionnel, l’identifiant MDM est géré par l’administrateur de la flotte, pas par l’utilisateur final
Aucun réglage unique ne couvre toutes les couches d’identification. Supprimer l’identifiant publicitaire ne touche ni l’IMEI ni l’ICCID. Refuser le suivi inter-apps ne bloque pas la collecte intra-app. Chaque couche exige une action distincte, et certaines restent hors de portée de l’utilisateur.
