Géolocalisation et collecte d’informations les règles à respecter pour protéger la vie privée

Dans un article daté du 5 mai 2011, la CNIL rappelle les règles pour protéger la vie  privée en matière de géolocalisation et de collecte d’informations issues des points d’accès Wifi (en France) ; des informations qui peuvent intéresser pour les EPN (espaces publics numériques) :

« Les informations issues de points d’accès WiFi sont utilisées pour fournir des services de géolocalisation. Ces données sont des données à caractère personnel. Leur collecte et leur utilisation sont donc soumises à la loi « informatique et libertés ». La CNIL a récemment dégagé des bonnes pratiques afin de protéger la liberté d’aller et venir anonymement des possesseurs de Smartphones

Les points d’accès WiFi, qui équipent la plupart des « box Internet », émettent en permanence des signaux permettant à des ordinateurs ou à des téléphones mobiles de les reconnaître et de s’y connecter. Ces signaux contiennent souvent un identifiant de réseau appelé SSID, qui peut être choisi par le fabricant du point d’accès ou personnalisé par l’utilisateur. Ces signaux contiennent également un numéro appelé BSSID qui identifie chaque point d’accès de manière unique. Cette caractéristique peut être utilisée pour créer un service de géolocation pour les téléphones mobiles de dernière génération (les smartphones). Pour cela il faut disposer d’une carte qui recense la position de chaque point d’accès WiFi identifié par son BSSID. Ensuite, lorsque le téléphone mobile détecte un ou plusieurs points d’accès WiFi à proximité, il suffit de consulter cette carte pour en déduire par comparaison sa position. Cette méthode de géolocalisation présente l’avantage de fonctionner avec des téléphones ne disposant pas de GPS ou lorsque le signal GPS n’est pas disponible, notamment à l’intérieur d’un bâtiment.

Pour fournir des services de géolocalisation, plusieurs sociétés telles que Google, Skyhook Wireless, Microsoft et Apple ont donc constitué des bases cartographiques recensant les points d’accès WiFi. Ces bases ont été créées de deux manières complémentaires :

• à partir de données WiFi collectées par des véhicules se déplaçant dans les rues des villes et sur les principaux axes routiers ;
• à partir des données transmises par les téléphones mobiles eux-mêmes lorsqu’ils demandent à être géolocalisés.

La CNIL rappelle que l’association de données permettant d’identifier un point d’accès WiFi avec des données de géolocalisation est de nature à permettre l’identification d’une personne indirectement ou directement (par exemple lorsque son nom apparait dans le SSID). Il s’agit dont d’une donnée à caractère personnel au sens de la loi.

Pour la création d’une base cartographique de points d’accès WiFi,

la CNIL considère que :

• dans la mesure où cette base cartographique fait appel à des moyens de traitements tels que des  téléphones mobiles ou des véhicules situés sur le territoire français, ce traitement doit être déclaré à la CNIL ;
• l’information individuelle préalable des possesseurs de points d’accès WiFi n’est pas exigée, en raison des efforts disproportionnés qu’elle demanderait (exception prévue par l’article 32-III de la loi) ;
• les possesseurs de points d’accès Wifi doivent être néanmoins informés de leurs droits, sur un site internet dédié par exemple ;
• les possesseurs de points d’accès Wifi doivent disposer d’un droit d’opposition à la collecte d’informations relatives à leur point d’accès WiFi ;
• La conservation des données de localisation associées à un point d’accès WiFi ne devrait pas dépasser 5 ans.

Par ailleurs, la CNIL attire l’attention sur le fait que l’utilisation de services de géolocalisation peut porter atteinte à la vie privée, et en particulier à la liberté d’aller et venir anonymement. En effet, lorsqu’une personne demande que son téléphone soit géolocalisé, le gestionnaire de la base cartographique WiFi peut être amené à collecter et conserver un identifiant unique propre à son téléphone, associé à sa position géographique grâce aux points d’accès Wi-Fi détectés à proximité.

Si le possesseur du téléphone formule régulièrement des demandes de localisation ou si une application installée sur son mobile effectue ce type de demande, ses déplacements peuvent être connus par le gestionnaire de la base cartographique. La CNIL rappelle que même en l’absence de données nominatives, la connaissance d’un historique de géolocalisation peut suffire à identifier une personne de manière unique, par exemple en localisant son domicile.

Concernant la géolocalisation sur téléphone mobile,

la CNIL préconise la mise en œuvre des bonnes pratiques suivantes :

• si un identifiant unique est attribué au téléphone par le gestionnaire de la base cartographique, celui-ci doit être aléatoire et conservé 24 heures au maximum, sauf démonstration de la nécessité d’une durée plus longue. Dans ce cas, le consentement des personnes est exigé. Cet identifiant unique ne doit pas pouvoir être associé à un autre identifiant propre à l’utilisateur ou au téléphone ;
• les personnes doivent être informées de manière transparente des finalités du traitement et des données collectées, ainsi que de leurs droits. En particulier, l’information doit préciser très clairement les données collectées par le téléphone, celles transmises au gestionnaire de base cartographique, anonymes ou non, et celles susceptibles d’être transmises à des tiers ;
• l’utilisateur doit pouvoir supprimer les données de localisation qui le concernent, qu’elles soient stockées sur son téléphone, détenues par le gestionnaire de base cartographique ou par toute autre application tierce.

L’actualité récente illustre le risque de suivi des utilisateurs de services de géolocalisation. La Commission invite donc l’ensemble des acteurs à respecter ces « bonnes pratiques » et à se rapprocher d’elle pour de plus amples informations.

Afin de garantir l’existence d’une société où l’utilisation d’un smartphone n’est pas synonyme de surveillance permanente, la CNIL discute depuis plusieurs mois avec différentes multinationales à ce sujet. Elle se réserve également la possibilité de recourir à l’ensemble des pouvoirs que lui a conférés le législateur. Ainsi, elle envisage de contrôler et de sanctionner les sociétés qui porteraient atteinte à la vie privée des possesseurs de smartphones. »