Question posée par Pierre le 23/03/2019

Bonjour,

Votre question fait référence à ce tweet, publié par Thomas Bourgenot, militant de l'association «Résistance à l'agression publicitaire», à l'occasion de la Journée mondiale contre la pub «qui se déroule le 25 mars de chaque année et qui vise à des actions coordonnées à travers le monde pour contrer l'invasion de la pub». Il y dénonce la présence de «capteurs d'audience» dans les couloirs du métro parisien et estime à ce titre que les «usager·e·s sont vraiment pris pour des cobayes à publicitaires».

A l'appui de son propos, il publie la photo d'un panneau d'affichage publicitaire numérique avec un autocollant où il est indiqué : «Ce mobilier est équipé d'une mesure anonyme de l'audience opérée par Retency pour le compte de Metrobus. Si vous ne souhaitez pas faire partie de cette mesure d'audience rendez-vous sur : https://retency.com/stats/.»

Comme CheckNews a pu le confirmer, on trouve effectivement cet autocollant sur le côté ou en dessous de plusieurs panneaux d'affichage numériques dans les couloirs de la station Saint-Lazare à Paris.

L'adresse indiquée mène à une page où l'entreprise Retency explique qu'elle «équipe de dispositifs de mesure statistique et anonyme de fréquentation ses clients» que sont les «centres commerciaux, gares, stations de métro, grandes enseignes, Smart City, marques ou annonceurs». Elle ne donne pas d'autres détails sur ce qui est récolté, ni comment. Tout juste sait-on que «le dispositif proposé par Retency permet à ses clients d'améliorer leurs services et de mieux comprendre l'efficacité de leurs actions commerciales et marketing». Une page permet de s'exclure manuellement de leurs statistiques. Il faut pour cela communiquer à l'entreprise les adresses MAC, wi-fi et Bluetooth de ses appareils mobiles. Ces dernières sont des adresses qui identifient physiquement un appareil donné (contrairement à l'adresse IP notamment, qui identifie une connexion et non un appareil), chaque adresse MAC étant unique au monde.

La technologie n'est pas nouvelle : des centres commerciaux recueillent ainsi les identifiants des téléphones portables des clients depuis plusieurs années pour connaître le temps passé par les clients dans telle ou telle boutique par exemple. Ce qui est plus nouveau, c'est leur arrivée dans les couloirs du métro parisien ou sur les quais de gare de la SNCF (comme à Dijon, où le système a été testé). Metrobus, la régie publicitaire qui gère notamment les panneaux du métro parisien, expliquait d'ailleurs en 2010 aux Inrocks qu'ils attendaient que «les mentalités évoluent» pour activer les capteurs d'audience des écrans.

C'est désormais chose faite : Metrobus indique à CheckNews que l'installation des capteurs d'audience a commencé début mars. Il s'agit d'une «expérimentation» qui se déroule à Saint-Lazare (que ce soit la partie gérée par la SNCF ou celle par la RATP) ainsi qu'à Toulouse.

Pour les personnes qui souhaiteraient contourner le dispositif, le site de Retency dispose d'une page spéciale où l'on peut refuser le tracking. Mais il faut pour cela donner les adresses MAC de ses appareils. Autre possibilité : désactiver certaines fonctionnalités de son téléphone. Pierre Dandumont, rédacteur en chef de Canard PC Hardware, magazine spécialisé dans les questions de matériel informatique, explique toutefois que désactiver le wi-fi dans le menu de son téléphone ne suffit pas toujours : «Sur iOS ou sur Android, désactiver le wi-fi depuis l'écran d'accueil ne fait que déconnecter l'appareil du réseau auquel il était connecté. Mais le wi-fi reste actif. Il faut aller dans les paramètres du téléphone pour vraiment le désactiver.»

Il indique au passage que l'adresse MAC communiquée par un appareil ne permet pas toujours de l'identifier, notamment avec les téléphones les plus récents : «Les iPhones vendus depuis trois ou quatre ans envoient une adresse MAC aléatoire quand ils sont interrogés par un réseau auquel on n'est pas connecté. Sur Android, c'est le cas depuis la version 8 du système d'exploitation», distribuée depuis 2017 sur les nouveaux appareils et certains anciens qui sont mis à jour. Un appareil récent envoie donc une adresse MAC fictive, qui ne correspond pas à l'adresse MAC réelle de l'appareil, empêchant ainsi de l'identifier.

Les données étant anonymisées, l'entreprise n'a pas l'obligation de recueillir le consentement préalable des personnes pour sa mesure d'audience. Seule l'information des personnes est obligatoire, d'où la présence de la signalétique sur les panneaux (même si elle est particulièrement discrète comme CheckNews a pu le constater).

Contactée par CheckNews, la CNIL explique que «sur le fond», le dispositif mis en place dans le métro parisien serait dans les clous si un «dispositif d'opposition et une information sont prévus» et qu'il y a «anonymisation à bref délai» des données.

Isabelle Bordry, cofondatrice de Retency, tient ainsi à «rassurer» en insistant sur ce dernier point : «Notre technologie permet de collecter la donnée et de la détruire dans les 2 ou 3 minutes, soit avant le délai réglementaire de 5 minutes. En fait, la donnée personnelle est agrégée avec d'autres dans un bloc, par un procédé mathématique. Passé ce délai on ne peut plus retrouver la donnée personnelle, puisqu'elle est détruite. Le bloc nous permet d'analyser des flux, pour compter, pour faire des comparaisons. Mais on ne peut absolument pas, par exemple, reconstituer un parcours individuel.» Et si une seule personne passe devant le panneau à un moment précis ? «Alors on ne peut pas utiliser la donnée, on ne peut pas créer de bloc, elle est détruite.»

Ces «blocs de données anonymes» peuvent ensuite être comparés. La méthode permettrait ainsi de déduire, par exemple, qu'un certain pourcentage de personnes qui ont vu une publicité à Saint-Lazare se sont également rendu dans une boutique donnée, elle aussi équipée de la technologie. «Mais on ne saura pas qui sont ces personnes. C'est bien plus anonyme que ce qui se fait sur Internet par exemple», souligne la cofondatrice.

Votre question porte également sur d'éventuels dispositifs similaires mais intégrés aux trottinettes en libre-service qui fleurissent actuellement dans les grandes villes du monde entier, et notamment en France. Présentes à de nombreux coins de rue, elles pourraient permettre de «cartographier» efficacement les déplacements des citadins à des fins publicitaires si l'on y installait des capteurs, estiment ainsi certains internautes. Mais à en croire leurs conditions d'utilisation, les entreprises comme Bird ou Lime ne collectent à ce jour que des données personnelles sur les utilisateurs de leur service (et non sur tous les passants). L'Union américaine pour les libertés civiles (ACLU), ONG de défense des libertés individuelles, souligne que cette collecte est trop extensive, mais ne fait état d'aucune collecte plus large, qui viserait les appareils mobiles à proximité.

Cordialement