Depuis quelques années, les panneaux publicitaires sous forme d’écrans se multiplient dans le métro et ailleurs. A la gare Saint Lazare, une expérimentation a été lancée en vue de les utiliser à des fins de comptage des passants via des capteurs détectant les adresses MAC de leurs smartphones. Outre la question des dépenses énergétiques de ces dispositifs qualifiés d’inutiles par beaucoup, ces expérimentations interrogent le cadre légal qui entoure la notion de « données personnelles ».
Prenons l’histoire à ses débuts, lorsque Thomas Bourgenot (@_LoboTom_), du collectif Résistance à l’agression publicitaire (RAP) poste sur Twitter trois photos des panneaux prises à la gare Saint-Lazare. Sur leur tranche, on peut lire le message suivant : « Ce mobilier est équipé d’une mesure anonyme de l’audience opérée par Retency pour le compte de Métrobus. » Et en plus petit, une seconde ligne dit : « Si vous ne souhaitez pas faire partie de cette mesure d’audience rendez-vous sur https://retency.com/stats/. » Sur son site internet, la société Retency écrit qu’elle « a obtenu une autorisation de la Commission Nationale de l’Informatique et des Libertés (CNIL) » et qu’il est possible de se soustraire à l’expérimentation en saisissant son adresse wifi ou bluetooth dans les champs prévus.
C'est officiel, les capteurs d'audience à @ClientsRATP ne sont plus un "pur fantasme".
Et les usager.e.s sont vraiment pris pour des cobayes à publicitaires.cc @RAP_Asso @laquadrature@CNIL https://t.co/sokBsQaD4C pic.twitter.com/kylfoxKK0R
— Thomas Bourgenot (@_LoboTom_) March 22, 2019
D’autres expérimentations de ce type sont en cours, notamment à la gare de Dijon (lire à cet effet le communiqué de presse de Retency et la Délibération de la CNIL sur Légifrance). Comme l’a très justement rappelé la journaliste BFM Tech Elsa Trujillo, la CNIL considère ces expérimentations légales « à condition d’anonymiser les données en question et d’informer les passants du dispositif par un affichage clair ». La CNIL précise également sur la page dédiée au sujet (Dispositifs de mesure d’audience et de fréquentation dans des espaces accessibles au public : la CNIL rappelle les règles), que « Dans le cadre d’une anonymisation à bref délai, l’impact du traitement sur les personnes est moindre. Aussi, le premier niveau d’information peut se limiter à mentionner la finalité du traitement (c’est moi qui souligne), l’identité du responsable de traitement et l’existence des droits pour les personnes. » En d’autres termes, vue la nature du dispositif et la rapidité du système d’anonymisation (5 minutes à Saint Lazare et à Dijon), on considère qu’on peut se passer du consentement des passants. La CNIL mentionne également un second niveau d’information plus exigeant (article 13 du RGPD) mais celui-ci ne semble pas s’appliquer à notre cas, puisqu’il concerne seulement la collecte de données réellement personnelles (c’est-à-dire attachées à un individu et non anonymisées).
La position ambiguë de la CNIL
A partir de là, plusieurs questions se posent. D’une part, il y a le régime spécifique accordé par la CNIL : celle-ci considère que les données récoltées ne sont pas personnelles puisqu’elles sont anonymisées rapidement. Pour le juriste et auteur du blog Scinfolex Lionel Maurel (@Calimaq), ce parti pris se discute : « au moment où elles sont récoltées et avant d’être anonymisées, les données sont encore identifiantes : on pourrait donc juger qu’il est nécessaire de se baser sur le consentement libre et éclairé des personnes pour les collecter ». Par ailleurs, la CNIL accorde un droit d’opposition a posteriori aux passants (sous forme d’opt-out), d’où l’interrogation de Lionel Maurel : « cela revient à admettre que la collecte initiale rentre dans le champ des traitements couverts par le RGPD, sauf que si c’était le cas, la CNIL devrait retenir l’option du consentement préalable. » Expliquons-nous : habituellement, c’est lorsque des données personnelles sont collectées qu’un droit d’opposition est possible, par exemple pour les modifier ou les supprimer. Dans notre cas, les données ne sont pas personnelles (donc : non attachées à une personne), mais la CNIL permet tout de même aux personnes de s’opposer à leur collecte. Nous sommes donc dans une sorte d’entre-deux juridique qui n’est pas tout à fait clair, et surtout très paradoxal.
Il reste une autre manière de justifier juridiquement la collecte des données sans consentement explicite : « l’intérêt légitime de l’entreprise » (article 6 du RGPD). Si l’entreprise a besoin de ces données pour des raisons économiques qui engagent sa survie, alors le RGPD prévoit que la collecte peut être effectuée sans consentement explicite. Il subsiste bien sûr un flou autour de cette notion d’intérêt légitime qui a également été mobilisée pour justifier l’utilisation des capteurs (en tout cas à Dijon selon la délibération du 09 juin 2017, antérieure à l’entrée en vigueur du RGPD), mais cela n’ôte rien au fait qu’accorder un droit d’opposition reste incohérent.
Enfin, on pourrait légitimement questionner le fait que les passants sont bien informés ou non de la présence du dispositif via « un affichage clair », comme le préconise la CNIL. A la Gare Saint-Lazare, les photos montrent un texte écrit en latéral et en petit, sur un panneau d’affichage dont il y a fort à parier qu’il ne suscitera pas un intérêt suffisant pour qu’on s’y arrête, à moins d’être membre d’un collectif anti-pub. Dans la délibération du 09 juin qui concerne Dijon, la CNIL demandait à ce que Retency mette à proximité immédiate des dispositifs publicitaires « des affiches au format A4, sur lesquelles seront également présents des logos permettant d’attirer l’attention du public sur cette dernière ». Je ne sais pas si c’est le cas à Saint-Lazare et quand bien même, je doute fortement que cela incite à quoi que ce soit.
Des données pas si personnelles
Cependant, et pour en revenir à la question initiale de la collecte des données, un autre point mérite toute notre attention. Il est relatif à ce qu’on entend par « données personnelles ». Dans le cas des capteurs d’audience, la donnée récupérée est une adresse MAC, c’est-à-dire un identifiant physique stocké dans une carte réseau. Prise seule, cette donnée a un intérêt limité : c’est bien parce qu’on mesure plusieurs passages de plusieurs personnes (dit autrement : une foule) que la donnée individuelle produit du sens. La mesure de l’audience est en fait une donnée collective. La preuve : si je me retire seul de l’expérimentation, cela ne changera strictement rien à l’affaire puisque les données des autres passants suffiront à poursuivre l’expérimentation. L’individu n’est donc pas la bonne échelle pour s’opposer à ce mécanisme de collecte.
A ce stade, il est nécessaire de se demander pourquoi on pourrait s’opposer à cette collecte. Rappelons que les mesures d’audience servent à plusieurs choses : d’abord à compter le nombre de personnes qui passent devant un panneau afin d’ajuster le prix de l’espace publicitaire destiné aux annonceurs. Elles servent également à mieux comprendre les parcours des usagers en vue d’améliorer l’efficacité des panneaux. En théorie, les résultats de ces mesures d’audience pourraient donc permettre d’optimiser le prix des espaces publicitaires, le positionnement des écrans à l’intérieur d’un espace (zones chaudes ou zones froides) et peut-être même les publicités elles-mêmes (ce dernier point est une pure supposition : si on sait que les passant circulent plus ou moins vite devant un écran, alors on pourrait en théorie décider d’allonger ou de diminuer la durée d’une publicité). Quoiqu’il en soit, ces mesures d’audience permettent de rendre plus efficace la publicité et donc de capter notre attention avec plus de précision. Cette capture, symptôme de la fameuse « économie de l’attention », produit des effets sur nos sociétés (écologiques, sociaux), qui ont largement été documentés par des spécialistes du cerveau ou des chercheurs en sciences humaines et sociales, comme Yves Citton.
En s’élevant un peu, nous comprenons donc que la somme de nos données personnelles entre dans une boucle de rétroaction qui permet l’amélioration continue des processus de captation d’attention. C’est un peu comme si nous travaillions gratuitement pour les publicitaires, contre nous-mêmes. A ce titre, on peut légitimement interroger l’affirmation de la CNIL comme quoi « Dans le cadre d’une anonymisation à bref délai, l’impact du traitement sur les personnes est moindre ». Dans notre cas, on voit bien que la sensibilité de « l’impact » ne dépend pas du fait que la donnée ait été anonymisée ou non, mais des effets collectifs qu’elle produira sur notre attention. De ce point de vue, le droit tel qu’il est écrit par la CNIL n’est pas neutre : il accompagne une logique technologique de mise en performance de notre attention. Si l’on se prête à un petit exercice avant / après, notre attention n’en sort pas gagnante.
Et comme je l’écrivais plus haut : le fait de pouvoir se soustraire de l’opération individuellement est un coup d’épée dans l’eau, voire une hypocrisie totale. En effet, d’une part l’opération continuera sans moi même si je m’en retire, et d’autre part, les conséquences collectives m’affecteront de toute manière si je continue à circuler dans cet espace (qui dans le cas d’une gare, est un espace public financé par l’impôt).
De la nécessité d’envisager les données sous leur forme collective
Cet angle mort du droit qui ne reconnaît pas la dimension collective des données personnelles a fait l’objet d’un passage dans le Rapport Villani « donner un sens à l’intelligence artificielle » (p 148) où il est écrit qu’ « un individu peut être protégé de manière granulaire contre la collecte d’une information qui l’identifie, mais cette protection ne couvre pas la configuration réticulaire (en réseau) que toute information revêt. » Ce même rapport invite à « penser les droits collectifs sur les données » et, comme le notait Lionel Maurel dans un autre billet (dont je recommande vivement la lecture) le rapport fait également mention de la notion de « données d’intérêt général ». Sans entrer dans les détails, on comprend que le sujet n’est pas vraiment nouveau.
Il est possible de sortir de cette situation par le haut, en demandant la prise en compte du caractère collectif de nos données personnelles. Ce travail a été amorcé par Lionel Maurel et Laura Aufrère, doctorante au Centre d’Économie de Paris, dans un document disponible en ligne : Pour une protection sociale des données personnelles. Je cite Lionel : « Dans nos propositions, nous avons émis l’idée que les données dites « personnelles » devraient en réalité être reconnues comme des « données citoyennes » pour manifester l’idée que nous devrions conserver un pouvoir collectif de contrôle sur leur usage, y compris lorsque les données sont anonymisées. »
Aujourd’hui, il n’y a de recours possible ni contre l’extension des procédés de captation de l’attention, ni contre les modifications de l’espace public issues de l’analyse de nos données collectives. Quand la CNIL dit « les personnes », elles les considèrent une à une, telle que le postule la règlementation, mais elle est incapable de voir « les personnes » comme une entité collective, ayant les intérêts d’un groupe. Or nous devrions, en démocratie, avoir notre mot à dire sur ces aspects qui engagent nos modes de vivre-ensemble, par exemple sous forme de « class-action », c’est-à-dire de recours collectif qui permettrait de fusionner assez de plaintes pour peser sur les décisions qui prévalent à la mise en place de ces dispositifs. En un mot : des effets collectifs demandent des réponses collectives. C’est cela que permettrait la protection sociale des données.
J’ajoute à cette réflexion une précision de taille : avant la question du traitement des données personnelles, les écrans publicitaires font déjà l’objet de vives critiques relatives à leur impact énergétique ou encore à la pollution visuelle et lumineuse qu’ils génèrent. Interroger la dimension des données n’enlève rien au fait que ces critiques restent prioritaires. Avant de décider du cadre de légal qui régule la gestion des données capturées, il conviendrait de se demander collectivement si oui ou non il est utile et responsable de multiplier la présence de ces dispositifs. Sans quoi nous risquons de nous retrouver avec des « panneaux publicitaires éthiques », qui ne nous volerons pas nos données mais qui pourraient bien continuer à gaspiller autant de ressources minières pour pas grand-chose.
Irénée Régnauld (@maisouvaleweb), pour lire mon livre c’est par là, et pour me soutenir, par ici.
NB : Un dernier point, il conviendrait également de s’interroger sur les dispositifs d’écoute ou de surveillance présents dans certains appareils mais désactivés lors de leur lancement. Récemment, Google a défrayé la chronique car des utilisateurs américains avaient trouvé un micro caché dans la solution de sécurité résidentielle Nest. Ce micro n’apparaissait même pas dans les spécifications techniques du produit. La société a précisé que « Nest Guard dispose effectivement d’un micro qui n’était pas activé par défaut », et a fini par tout de même s’excuser de ce petit oubli. Je ne connais pas les spécifications techniques des panneaux numériques de Retency (la société appartient à Publicis et JCDecaux), mais le simple fait que ces capteurs existent sans être activés – ou puissent être ajoutés si facilement – en dit long sur le projet technologique qui anime ces sociétés. A revers, le simple fait que nous acceptions de disposer dans l’espace public des appareils dotés de ces capteurs en dit long sur notre manière d’appréhender le futur, et le profond déterminisme technique qui la sous-tend. Comme le dit l’adage, ce qui est possible techniquement n’est pas toujours socialement souhaitable.
NB (2) : cet article un peu à chaud peut contenir des erreurs ou demander quelques précisions supplémentaires (je ne suis pas juriste), si c’est le cas, merci de me les signaler (gentiment).
Publié et édité par Irénée Régnauld, Mais où va le web ? est un blog qui prend part aux différents débats qui concernent les nouvelles technologies et le numérique en particulier, depuis 2014.
Bonjour,
Billet très intéressant qui remet au centre du débat l’importance de la dimension collective de nos données personnelles.
Je reviens juste sur cette phrase concernant l’adresse MAC :
» Prise seule, cette donnée n’a aucun intérêt ». Je ne partage pas cet avis, l’adresse MAC révèle peut-être bien plus de choses que l’adresse IP qui est d’ailleurs reconnue comme une donnée à caractère personelles. (Par ailleurs, il est facile de changer l’adresse IP en la dissimulant avec un VPN par exemple. C’est un peu plus compliqué pour la carte réseau de l’appareil).
L’analyse juridique proposée dans la première partie de l’article est incomplète et pourrait conduire à une conclusion erronée, comme quoi la collecte d’adresse MAC sans consentement serait conforme au droit dès lors que cette adresse serait anonymisée à court délai et que les personnes concernées pourraient s’opposer à cette collecte.
Cette erreur de l’auteur semble s’expliquer du fait qu’il a pris pour argent comptant les interprétations du droit données par la CNIL dans ses décisions, comme si la CNIL était neutre et seule bouche de la loi.
Or, la CNIL n’est pas du tout neutre, et notamment pas sur cette question où elle a une position singulière, critiquable d’un point de vue tant politique que juridique.
Le traitement d’adresses MAC est encadré juridiquement par le RGPD mais aussi, depuis plus longue date, par la directive 2002/58 (liens en bas de commentaire). Or, cette directive n’a été que très mal transposée en France, comme un peu partout ailleurs dans l’UE. Du coup, la CNIL est depuis très mal à l’aise à l’idée d’appliquer cette directive, car elle ne sait pas jusqu’où elle peut l’interpréter pour se donner davantage de pouvoir. Or, de façon classique, la CNIL étant terrorisée à l’idée d’être sanctionnée par le Conseil d’Etat si elle abuse de ses pouvoirs, elle préfère ne rien faire, lâchement.
Il n’y a qu’à constater que dans les décisions de la CNIL citées dans le présent article, aucune ne cite cette directive :/
Pourtant, l’article 5, paragraphe 1, de cette directive prévoit que les Etats de l’UE « interdisent à toute autre personne que les utilisateurs d’écouter, d’intercepter, de stocker les communications et les données relatives au trafic y afférentes, ou de les soumettre à tout autre moyen d’interception ou de surveillance, sans le consentement des utilisateurs concernée ».
Le reste de la directive prévoit d’autres possibilités que le consentement pour traiter les données de connexion, mais pas l’intérêt légitime, ni l’anonymisation à bref délai (c’est le plus intéressant pour notre présent débat). Or, les adresses MAC sont clairement dans ce contexte des données de connexion (personne ne discute vraiment ce point, comme vu ci-dessous).
Alors, pourquoi la CNIL ne fait-elle pas respecter cet article 5 ? Car elle n’est pas certaine du champ des acteurs auxquels il s’applique. D’un côté, l’article 1 de la directive laisse entendre que celle-ci ne s’applique qu’aux personnes qui gèrent un réseau de télécommunication (en gros). Sauf que, d’un autre côté, l’article 5, paragraphe 3, contredit cet article 1 en visant explicitement d’autres acteurs (cette contradiction s’explique notamment du fait que ce paragraphe 3 est un ajout de 2009 à une directive de 2002).
A priori, la directive dit tout et son contraire. Sauf que, depuis 2014, la Cour de justice propose une interprétation large de cette directive pour expliquer (toujours en gros) qu’elle s’applique aussi aux Etats (en matière de surveillance d’Etat) et pas qu’aux opérateurs de réseaux (voir les arrêts Digital Rights Ireland et Tele2 – références : C-293/12 & C-203/15). Ceci offre à la CNIL un très très bon argument juridique pour étendre le champ de l’article 5, paragraphe 1, à toute personne, afin notamment d’interdire la pratique dont nous discutons ici. Mais sa lâcheté semble toujours prendre le dessus.
Cette lâcheté est confortée par un autre élément très important pour notre débat : la directive 2002/58 est en court de révision par le Parlement européen, pour devenir un règlement. Cette révision a précisément pour but de corriger les défauts de transposition de la directive (vu plus haut) et de préciser le champ d’application du texte (en retenant cette fois-ci le champ le plus large). Sauf que, au passage, tout un tas de lobby (privés comme publics) se sont évidemment glissé pour que le futur règlement autorise des choses que la directive ne permettait pas (La Quadrature du Net en donne un aperçu sur cette page dédiée : https://eprivacy.laquadrature.net).
Ainsi, dans sa version retenue l’été dernier par le Parlement européen, le règlement autoriserait pour l’avenir la collecte de données de connexion sans consentement à condition qu’elles soient anonymisées à bref délai et que l’utilisateur puisse s’y opposer (article 8, paragraphe 2). Ce point à fait l’objet de vifs débats, notamment sur les questions de la nature collective des données, et la question de la collecte des adresses MAC à fins de comptage publicitaire était l’exemple systématiquement mis en avant par les députés et entreprises pour en discuter. D’ailleurs, ce débat pour savoir s’il faut ou non autoriser cette pratique est en lui seul un très fort indice pour indiquer qu’elle n’est aujourd’hui pas autorisée.
Bref, il se trouve que la CNIL semble être en accord avec la position retenue par le Parlement européen – elle penserait que c’est un juste équilibre. Mais la CNIL n’est ici pas du tout neutre : elle a besoin de ce règlement, qui lui donnerait beaucoup de pouvoir et la sortirait des risques juridiques évoqués plus haut. Elle pourrait donc être prête à accepter ce compromis à n’importe quel prix ou presque.
Ainsi, quand la CNIL accepte des collecte d’adresse MAC sans consentement, ce peut être une façon pour elle d’anticiper l’adoption du règlement et, par là, d’en favoriser l’adoption rapide (dont elle a besoin). Une façon de dire « ça ne sert à rien de débattre pendant 1000 ans de ce règlement car nous l’appliquons déjà » (car, en coulisse, ce règlement pose plein plein de soucis et peu de personnes veillent aujourd’hui à ce qu’il soit rapidement adopter – sauf la CNIL et quelques asso qui partagent son point de vue).
D’ailleurs, quand l’auteur du présent article souligne à juste titre l’étrangeté de la position de la CNIL qui exige de laisser aux personnes la possibilité de s’opposer à un traitement de données anonymisées, il pourrait encore ne s’agir en vérité que de l’application anticipée de ce qui se prévoit déjà au niveau européen (la proposition de règlement émanant de la Commission européenne datant du 1er janvier 2017, soit avant les décisions de la CNIL citées dans cet article, même si la proposition de la Commission ne parlait pas encore aussi précisément d’anonymisation que ne le feront ensuite le Parlement et la CNIL).
Tout ça pour dire que la CNIL n’est pas neutre. Elle donne une interprétation du droit qui n’est conforme ni à la lettre de la directive 2002/58 (qu’elle passe sous silence) ni à la jurisprudence de la CJUE, mais qui l’a met bien à l’aise vis à vis du Conseil d’Etat et qui favorise sa stratégie de lobbying face au législateur européen.
Il faut lui reprocher cette posture dont la conséquence est de limiter nos droits. Et, surtout, il ne faut pas reprendre ses positions comme argent comptant (la CNIL, comme n’importe quelle institution, est une institution politique qui a certains intentions subjectives – quand bien même celles-ci seraient louables dans le fond).
Par ailleurs, sur la question de la défense collective des données (« personnelles » ou « de connexion »), je vous invite vivement à lire la directive 2002/58 et sa révision en cours en ayant ce problème en tête : vous verrez que, dans bien des cas, c’est le consentement de plusieurs personnes qui est requis quand il s’agit de traiter des données les concernant 🙂 Et c’est assez enthousiasmant (ça fait parti des quelques mini-victoire qu’on a gardé au parlement ^_^).
Source :
– La directive 2002/58 (version révisée de 2009) : https://eur-lex.europa.eu/legal-content/fr/ALL/?uri=CELEX%3A32002L0058
– Le règlement révisant cette directive, en l’état des débats au parlement européen : http://www.europarl.europa.eu/doceo/document/A-8-2017-0324_FR.html
– La page d’expliquation de La Quadrature du Net : https://eprivacy.laquadrature.net/fr/
– Le bilan fait par La Quadrature des débats au parlement européen : https://www.laquadrature.net/2017/11/06/eprivacy_bilan_pe/
Je n’ajoute rien sur les constats que tu dresses. J’y souscrits en tout points. Mais j’aimerai compléter les questions 😉
En tout cas, on ne trouve pas beaucoup d’informations sur le site de Retency sur l’information qu’il collecte, le traitement d’anonymisation qu’il produit, ni sur les objectifs du traitements (notamment de savoir ce que la société cherche à mesurer et pourquoi, ni si les informations d’un panneau sont à un moment où un autre mixées avec les informations provenant d’un autre panneau). Il est également nécessaire de s’intéresser à l’adresse MAC elle-même. La page d’exclusion elle-même est très sommaire pour aider les gens à ôter les adresses MAC et Blutooth de leurs appareils.
Une autre question n’est pas abordée… L’appareil capture-t-il uniquement l’adresse MAC ? Je m’explique : très souvent, il n’y a pas que l’adresse MAC qui est émise par nos ordinateurs et smartphones… https://reallifemag.com/silent-shout/ et http://www.internetactu.net/a-lire-ailleurs/comment-le-wi-fi-nous-rend-vulnerable/ – en fait, cette adresse qui identifie chaque appareil sous la forme d’un identifiant unique – https://fr.wikipedia.org/wiki/Adresse_MAC – envoie également l’historique des réseaux Wi-Fi et Blutooth auxquels il s’est connecté (au moins le dernier) : https://medium.com/@brannondorsey/wi-fi-is-broken-3f6054210fa5
« En structurant les requêtes, il est donc facile de demander l’historique de connexion et d’en déduire les lieux d’où le dispositif se connecte le plus souvent ! Autant d’informations extrêmement personnelles dont le marketing raffole ! Les noms des réseaux Wi-Fi que vos appareils gardent en mémoire indiquent ainsi très facilement quels endroits vous fréquentez (hôtels, universités, entreprises, conférences…) ce qui peut en dire long sur qui vous êtes et ce que vous préférez, surtout quand on dispose d’une liste des réseaux Wi-Fi existants pour réattribuer leurs noms à des emplacements, à l’image des 500 millions de réseaux sans fil collectés par Wigle.net (qui ne sont qu’une partie de ceux que collectent en permanence votre ordinateur ou votre téléphone). »
Peut-être que ce système ne le fait pas : en tout cas, rien n’est explicité ! L’autre problème enfin est bien sûr le traitement qui est fait de ces adresses MAC. Servent-elles uniquement à compter ? Et quoi ? Tu parles de la durée de passage de quelqu’un : est-elle mesurée ? Comment ? les données récupérées par un panneau sont-elles croisées avec celles d’autres panneau (certainement et comment) ?
En plus donc des questions très légitimes que vous adressez avec Lionel, il me semble qu’il y a aussi des questions de modalités, d’explication au public de la collecte, de l’anonymisation, du traitement et de sa proportionnalité… qui sont largement absentes ! Pour pas que les gens soient soupçonneux, il faut être clair !
Bonjour, votre billet est très intéressant !
Effectivement dans ce genre de collecte il est nécessaire de connaitre exactement la finalité du traitement !
Très souvent l’objectif de ces opérations diffèrent du projet d’expérimentation.
En l’espèce ici il y a fort à parier qu’il ne s’agit pas que d’un simple comptage de trafic entre des panneaux !
Bon nombre de ces études cherchent à valider des travaux visant à mesurer les trafics web-to-store / mobile-to-store afin d’assurer un tracking in-store qui est surtout utilisé dans la publicité programmatique afin de générer ou d’étudier la conversion du trafic en points de vente.
Ces 2 dernières années la CNIL a diligenté un grand nombre d’enquêtes sur ces nouvelles pratiques qui avaient tendances à s’éloigner du cadre réglementaire, et pas qu’un peu !
Car effectivement la bataille ne se joue pas sur la collecte, mais sur l’analyse ( croisement, agrégation, consolidation..) de millions de data pour tenter de construire des algorithmes dans des solutions web-to-store afin d’optimiser l’achat programmatique et la mesure en temps réel de publicité post-exposition.
Les captures de trames réseaux réalisées par les sniffers Wifi de ces sociétés peuvent effectivement « aspirer » bien plus de données hautement plus précieuses que la simple adresse MAC.
Hubert Guillaud a raison en indiquant que par des retraitements/croisements de tables de données venant de tiers, il est tout à fait possible de reconstruire à posteriori une cartographie des déplacements, lieux de passage, horaires…des mobinautes.
L’analyse des SSID Wifi matérialise entre autres les points de passage du mobinaute, l’accès au cache web du mobile révèle vos dernières connexions web, derniers appels téléphoniques… les captures peuvent aussi également inclure les N° IMEI (identification unique de chaque mobile) … bref tout est possible !
Récemment une société d’e-commerce a affirmé dans la presse qu’elle avait augmenté de + de 25% la conversion de ces messages vers ses clients en utilisant une technologie d’optimisation pour accroître son taux d’engagement client qui détecte la disponibilité du destinataire (client) pour adresser son message (la solution déclenche alors un mail, un push de notification ou un appel téléphonique au destinataire) au bon moment, et au moment où il aura le plus de chance d’attirer son attention !
On apprend que la société qui délivre ce précieux « sésame » de probabilité au marchand d’e-commerce a noué + de 350 partenariats avec des site web médias comme Webedia, M6, Reworld Media(magazines de presse), etc. afin de récupérer la data anonymisée des passages des internautes sur leurs sites (via un tag cookie/SDK déposé sur le site web) afin de déterminer le moment le plus propice -où le consommateur est devant son ordinateur ou son mobile- sur les 2,5 milliards de points de contacts réalisés chaque mois en France !
Voila pourquoi il est nécessaire de connaître exactement la finalité d’une collecte de données dans ces opérations !
Tiens, chez Reporterre, justement : https://reporterre.net/Les-panneaux-publicitaires-numeriques-envahissent-l-espace-public-et-nos-esprits
Bonjour. Super article.
My 2 cents :
D’abord un tweet de 2017 où on voit l’output d’une caméra accolée à un panneau de pub :
https://twitter.com/GambleLee/status/862307447276544000
On peut savoir si la personne qui passe devant la pub est Homme ou Femme, adulte ou enfant, le temps d’attention en millisecondes, la distance, si il a sourit ou pas, et divers indices physiques. A la base pas de sniffer WIFI inclu, pas de stockage des photos des spectateurs.
La technologie utilisée est promue par exemple ici : https://aimsuite.intel.com/
Elle est aussi applicable à un panneau de pub imprimé, ce qui compte c’est la présence d’un appareillage webcam + ordinateur dans le châssis du panneau publicitaire.
La problématique pour la régie de pub est de calculer l’efficacité d’une campagne, et éventuellement sa rentabilité.
De ma faible expérience professionnelle de graphiste / graphiste web, avant dans une campagne imprimée genre 4 par 3, il est quasi impossible d’avoir des retours statistiques précis sur l’impact d’une campagne. Un tracker sur une url spécifique notée en toute lettre sur la pub ou sur l’adresse vers laquelle pointerait un QR code n’est pas un instrument de mesure fiable. Très peu de gens vontfaire l’effort de saisir une url, surtout si elle est à rallonge, quand aux lecteurs de QR code, le grand public les utilisent très peu. Genre 200 affiches dans Paris avec adresse trackée = moins de 50 hits par semaine, alors que l’affiche peut faire des millions de vues.
On peut comprendre la pertinence d’un tel système pour les pros. Le soucis de ce système est qu’il n’y a pas d’ « opt-out » ou en français de désinscription. Même en ce collant un sticker « STOP PUB » sur le front, on est analysé.
Voir aussi https://www.kairos.com/features
sur l’anonymisation voir les travaux (de jadis du groupe article 29 ) : https://www.pdpjournals.com/docs/88197.pdf
qui t’explique que l’anonymisation est en soit un traitement (parce que tu chopes la donnée perso avant de la transformer en donnée anonyme)
et sur la définition de l’intérêt : https://cnpd.public.lu/dam-assets/fr/publications/groupe-art29/wp203_en.pdf
qui t’explique (en gros) que non l’intérêt légitime devait (évoluer encore plus dans le sens protecteur) prendre en compte les libertés/droits des personnes, et que ceux-ci primaient sur l’intérêt économique de l’opérateur.
sinon à part cela, bel article
cheers
[…] Face aux panneaux publicitaires numériques, nous devons affirmer la dimension collective des donné… (maisouvaleweb.fr) […]
Suite : https://www.ladn.eu/tech-a-suivre/ecrans-publicitaires-espionnent-embrouiller/amp/
Suite à l’article surSuite : https://www.ladn.eu/tech-a-suivre/ecrans-publicitaires-espionnent-embrouiller/amp/
« Interrogée par le service CheckNews de Libération, Isabelle Bordry, fondatrice de Retency, précise que les adresses récoltées sont supprimées dans un délai de 2 à 3 minutes après la récolte.
Retency ne peut pas reconstituer le parcours individuel d’une personne. La jeune pousse est simplement capable de dire qu’un pourcentage de personnes qui ont vu une pub à Saint-Lazare, s’est ensuite rendu dans une boutique donnée, elle aussi équipée de la technologie, explique CheckNews »
Il est étonnant que la journaliste du magazine Marine Protais, n’est pas relevée la contradiction de la fondatrice de Retency, car il parait alors très difficile pour la société de pouvoir fournir des analyses de pourcentage de personnes qui auraient vu une pub à Saint-Lazare en comparant la collecte de data dans des magasins si les données sont supprimées 2 à 3 minutes après la récolte. Une contradiction manifeste aux propos indiqués par la fondatrice ci-dessus !
Ou alors, les usagers du Métro sont pris d’une violente « folie acheteuse » à la simple vue de la publicité pour se rendre en moins de 3 minutes dans le magasin !
Pas compris si ces capteurs pouvaient intercepter les données de tous les téléphones portables même s’ils n’ont pas le bluetooth et la wifi activés, mais simplement une connexion 4G.
[…] anormaux ». Le tracking quant à lui – rien que via les panneaux publicitaires – fait polémique. Quant à la surveillance, on sait bel et bien qu’en plus d’être résolument inefficace, elle […]