FOCUS SUR LES MESURES D'AUDIENCE DES DISPOSITIFS PUBLICITAIRES AU REGARD DES DISPOSITIONS INFORMATIQUE ET LIBERTES

Tout système de mesure automatique de l’audience d’un dispositif publicitaire ou d’analyse de la typologie ou du comportement des personnes passant à proximité d’un dispositif publicitaire est soumis à  l'autorisation de la CNIL (article L. 581-9 alinéa 4 du Code de l’environnement).

Dans un communiqué de 2014, la CNIL a précisé sur son site www.cnil.fr que nécessitent son autorisation préalable :

• les dispositifs installés sur une voie publique ou privée ouverte à la circulation publique tels que les dispositifs installés sur du mobilier urbain installé dans la rue,
• les dispositifs non installés mais visibles d’une voie publique ou d’une voie privée ouverte à la circulation publique tels que ceux installés dans une enceinte sportive mais visibles de la rue,
• les dispositifs installés dans des locaux principalement utilisés comme support de publicité tels que ceux installés dans une vitrine séparée de l’espace de vente.

A contrario, les dispositifs n’entrant pas dans le champ de la demande d’autorisation requièrent une déclaration préalable auprès de la CNIL. Rappelons que le non-respect des formalités préalables à la mise en oeuvre de traitements automatisés de données personnelles auprès de la CNIL expose le responsable de traitement à des sanctions pénales (art. 226-16 du Code pénal).

Afin d’apprécier toute demande d’autorisation sur des systèmes de mesure de l'audience de dispositifs publicitaires, la CNIL insiste principalement sur deux points.

Tout d’abord, le dispositif doit comporter des mesures techniques permettant de garantir le respect de la vie privée des personnes soit leur anonymat.

Ainsi, par exemple dans le cas de dispositifs de mesure d’audience reposant sur des caméras, la CNIL a indiqué que les images des personnes doivent être traitées « à la volée » sans possibilité de les enregistrer ni de les transmettre à quiconque.

Ensuite, les passants doivent être informés clairement dans les lieux du dispositif notamment sur la finalité du traitement mis en place et sur l’identité du responsable de traitement. Dans l’exemple précité, les droits d’accès et de rectification ne peuvent pas s’appliquer dans la mesure où les données sont anonymisées.

Si les données des personnes ne sont pas anonymisées, la règle est celle du consentement préalable et éclairé de ces personnes.

Dans un arrêt du 8 février 2017, le Conseil d’Etat a confirmé la décision de refus d’autorisation de la CNIL (délibération n°2015-255 du 16 juillet 2015) de mise en place par une société de publicité d’un dispositif de comptage des flux piétons sur la dalle de la Défense. Il consistait via des boitiers de comptage Wi-Fi disposés sur ses dispositifs publicitaires à relever l’adresse MAC et l’horaire exact de détection de l’adresse MAC des téléphones portables ayant le Wi-Fi activé dans un rayon de 25 mètres puis de calculer leur position géographique.

La CNIL avait considéré que le dispositif ne présentait pas suffisamment de garanties au regard des dispositions Informatique et Libertés en particulier sur la technique présentée d’anonymisation des données des téléphones mobiles et sur le respect des droits des piétons.

En effet, la CNIL avait estimé qu’en l’état actuel de la technique, le procédé présenté ne saurait être qualifié de technique d'anonymisation dans la mesure où le traitement envisagé par la société de publicité permettait d’identifier les déplacements des personnes et leur répétition sur la dalle de la Défense.

L’anonymisation est le résultat du traitement des données personnelles afin d’empêcher de façon irréversible, toute identification de la personne concernée, comme le précise l’avis 05/2014 du groupe article 29 du 10 avril 2014 sur les techniques d’anonymisation.

Une solution d'anonymisation efficace doit empêcher toutes les parties d'isoler un individu dans un ensemble de données, de relier entre eux deux enregistrements dans un ensemble de données (ou dans deux ensembles de données séparés) et de déduire des informations de cet ensemble de données.

S'agissant de l'information des piétons sur des panonceaux de format A4 sur une esplanade de la Défense ouverte au public, la CNIL avait considéré qu'elle était insuffisante et que par voie de conséquence les droits des personnes n’étaient pas respectés.