Dans une décision du 8 février 2017, le Conseil d‘Etat a confirmé le refus de la Cnil d’autoriser l’expérimentation de la société JCDecaux ayant pour finalité de comptabiliser le flux des piétons sur la dalle du quartier d’affaires de Paris La Défense. Elle lui reprochait notamment de ne pas informer de ce traitement les personnes concernées et de ne pas avoir envisagé de droits d’opposition, d’accès et de rectification. Toute la question était de savoir si les données collectées avaient un caractère personnel, directement ou non, afin de déterminer si les obligations de la loi Informatique et libertés étaient applicables. Le point d’achoppement portait sur la question de l’anonymisation des données collectées à partir de boîtiers de comptage Wifi sur le mobilier publicitaire de la société. Il s’agissait des adresses MAC, identifiants réseaux des appareils mobiles ayant l’interface Wifi activée dans un rayon de 25 mètres. Pour les rendre anonymes, JCDecaux avait prévu de tronquer les adresses MAC de leur dernier demi-octet avant de les compléter par une suite de caractères suivant la méthode de « salage » et de transformer la donnée avec un « hachage à clé ». Selon la société, le risque d’identification était négligeable. Mais le Conseil d’Etat relève que ces procédés « s’ils visent à empêcher l’accès des tiers aux données, laissent le gestionnaire du traitement en mesure de procéder à l’identification des personnes concernées et n’interdisent ni de corréler des enregistrements relatifs à un même individu, ni d’inférer des informations le concernant ». Le Conseil d’Etat constate par ailleurs que ce traitement a pour objet d’identifier les déplacements des personnes et leur répétition sur la dalle piétonne de La Défense, pendant toute la durée de l’expérience. « La CNIL, qui, contrairement à ce que soutient la société requérante, a pris en compte, sans erreur de fait, tant le contexte du traitement présenté que ses objectifs ainsi que l’ensemble des données techniques afférentes au nombre de personnes traversant la dalle de La Défense et au  » taux de collision  » qui découle de l’amputation d’une partie de l’adresse MAC, n’a donc entaché sa décision ni d’erreur de droit, ni d’erreur d’appréciation en estimant, au regard de l’ensemble des moyens permettant d’identifier la personne titulaire des données collectées, ainsi que le prescrit l’article 2 de la loi du 6 janvier 1978, que les objectifs mêmes de la collecte des données par la société JCDecaux France étaient incompatibles avec une anonymisation des informations recueillies. »

Lire la décision