Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2017 - n°424 - 185

Doctrine

Données personnelles
Mesures d'audience : 
anonymisation et droit à 
l'information
Par un arrêt du 8 février 2017, le Conseil d'Etat
s'est prononcé sur la notion d'anonymisation
des données personnelles.

L

es données à caractère personnel sont une matière première
sensible, et la société JCDecaux
l'a appris à ses dépens. Le
Conseil d'Etat a rendu un arrêt, le
8 février 20171, qui mérite non seulement
l'attention des juristes, mais également
des acteurs de l'internet des objets,
du big data et de la publicité comportementale. Enjeu économique majeur
pour tous les acteurs du secteur, et plus
ou moins directement, à terme, pour
l'ensemble des acteurs économiques,
la traditionnelle confrontation entre les
libertés publiques et l'intérêt légitime
des entreprises cherchant à améliorer
leurs services, voire en créer d'autres,
se prête ici à un débat inédit à cette
échelle juridictionnelle.

Le Conseil d'Etat était saisi d'un
recours en annulation d'une délibération de la Commission nationale de
l'Informatique et des libertés (Cnil) du
16 juillet 20152, ayant refusé d'autoriser
la société JCDecaux à mettre en œuvre
un traitement de données à caractère
personnel qui avait pour finalité de
tester une méthodologie d'estimation
quantitative des flux piétons sur la dalle
de la défense.
Le traitement consistait à installer des
boîtiers de comptage Wi-Fi sur les
mobiliers publicitaires, qui captaient
les adresses des appareils mobiles
présents à moins de 25 mètres et dont
l'interface Wi-Fi était activée. Plus précisément, l'idée était de quantifier les flux

piétons qui fréquentent l'esplanade de
la Défense, afin de mieux connaître
l'audience des panneaux publicitaires
et, partant, de les valoriser auprès
des annonceurs. La société JCDecaux
faisait ainsi valoir devant la Cnil
que « la valorisation de tout support
publicitaire auprès des annonceurs, et
ainsi la capacité à vendre des espaces
publicitaires et à optimiser leur prix
par rapport aux autres supports publicitaires, requiert la connaissance de
son audience ». Le système permettait
même d'extrapoler la distance approximative séparant le terminal mobile
d'un boîtier, à l'aide de la puissance
d'émission du signal Wi-Fi.
Ce traitement était soumis à l'autorisation préalable de la Cnil en
vertu de l'article L. 581-9 du code de
l'environnement3, lequel prévoit que
tout système de mesure automatique de
l'audience d'un dispositif publicitaire,
ou d'analyse de la typologie ou du
comportement des personnes passant
à proximité d'un dispositif publicitaire,
est soumis à autorisation de la Cnil.
Saisie de la demande d'autorisation, la Cnil a rendu une délibération
particulièrement riche pour refuser à
JCDecaux l'autorisation de mettre en
œuvre le traitement, qui se voit confirmée par un arrêt du Conseil d'Etat du
8 février 2017 qui fera date.
On passera sur les moyens de légalité
externe de la décision, tenant notamment à une prétendue insuffisance

EXPERTISES MAI 2017

de motivation de la décision de la
Cnil, pour se concentrer sur la légalité interne, dont le point cardinal était,
une fois la légalité même du traitement
admise, la question de l'anonymisation des données, dont la non-reconnaissance entraînait l'application des
obligations extensives d'information
et le droit d'opposition des personnes
concernées, ce qui suscite bon nombre
d'interrogations pour les acteurs du
secteur.

La finalité du traitement
jugée légale
L'article 7 de la Loi Informatique et libertés prévoit qu'un traitement de données
à caractère personnel doit avoir reçu le
consentement de la personne concernée ou satisfaire à l'une des conditions
suivantes :
1. le respect d'une obligation légale
incombant au responsable du
traitement ;
2. la sauvegarde de la vie de la
personne concernée ;
3. l'exécution d'une mission de
service public dont est investi le
responsable ou le destinataire du
traitement ;
4. l'exécution, soit d'un contrat auquel
la personne concernée est partie,
soit de mesures précontractuelles
prises à la demande de celle-ci ;
5. la réalisation de l'intérêt légitime
poursuivi par le responsable du
traitement ou par le destinataire,

185
Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2017 - n°424
