Le refus de la CNIL opposé à JCDecaux de collecter des données à caractère personnel dans le cadre d’une expérimentation de valorisation de ses panneaux publicitaires impliquant le traçage de piétons a été confirmé par le Conseil d’Etat dans une décision du 8 février 2017.
La société JCDecaux souhaitait, pendant une période test d’un mois, mettre en place un dispositif visant à comptabiliser le flux piétonnier dans le quartier parisien de La Défense.
Elle souhaitait, via ce dispositif, pouvoir présenter à ses annonceurs des statistiques précises sur le nombre de piétons qui croisent ses panneaux publicitaires. A cette fin, elle souhaitait installer sur ceux-ci des boîtiers WIFI afin de capter les adresses MAC, identifiants réseaux des téléphones connectés au Wifi, et calculer leur position géographique.
Ce dispositif constituant un traitement de données à caractère personnel, JCDecaux a déposé en février 2015 auprès de la Commission Nationale de l’Informatique et des Libertés (CNIL) une demande d’autorisation de mise en place dudit dispositif.
Par une délibération du 16 juillet 2015, la CNIL a refusé la mise en œuvre de cette expérimentation; notamment en raison du manque d’anonymisation des données collectées, impliquant l’obligation pour JCDecaux de se conformer aux dispositions relatives à la collecte de données à caractère personnel. Or, la CNIL a relevé l’absence d’information desdites personnes.
La société JCDecaux a demandé au Conseil d’Etat l’annulation de cette délibération pour excès de pouvoir, ce que la haute juridiction administrative a rejeté.
Le Conseil d’Etat rappelle qu’une donnée est considérée comme anonyme lorsque « l’identification de la personne concernée, directement ou indirectement, devient impossible que ce soit par le responsable du traitement ou par un tiers ».
Or, le procédé d’anonymisation mis en place par JCDecaux, consistant à « tronquer les adresses MAC de leur dernier demi-octet, avant de les compléter par une suite de caractères en application de la technique dite de « salage » et de mettre en œuvre une méthode dite de « hachage à clé », en transformant une donnée », bien qu’il empêche l’accès des tiers aux données, permet à JCDecaux de procéder à l’identification des personnes concernées.
En outre, le dispositif permettrait de compter le flux de piétons mais également de « mesurer la répétition de leurs passages et à déterminer les parcours réalisés d’un mobilier publicitaire à un autre ». Le Conseil d’Etat considère que de tels objectifs sont incompatibles avec une anonymisation des données collectées et rejette donc la demande de JCDecaux.
