Le comptage de personnes sans caméras

Oui. Les points d’accès Wi-Fi qu’un bâtiment possède déjà permettent le comptage de personnes sans caméras. Ils captent les signaux qu’émettent les téléphones, les transforment en comptages et en flux, et ne conservent que des statistiques agrégées. Aucune image n’est prise et personne n’est identifié. Les entrées qui exigent un comptage exact peuvent recourir au LiDAR, qui se passe lui aussi de caméra.

En bref

• Les points d’accès Wi-Fi existants peuvent compter les visiteurs dans tout un bâtiment sans caméra, et la couverture s’étend partout où va le réseau.
• Les signaux des téléphones deviennent des comptages, des temps de présence et des parcours entre zones ; seules des statistiques agrégées subsistent.
• Le LiDAR donne un comptage exact à une entrée, sans caméra et sans image.
• Les comptages sont calibrés par des sessions de comptage manuel, ce qui les rend fiables au niveau agrégé.
• C’est à votre propre délégué à la protection des données ou à votre service conformité de décider si une AIPD est nécessaire.

Peut-on compter les visiteurs sur toute la surface et aux entrées sans caméras ?

Oui, et deux méthodes se partagent la tâche. Le comptage Wi-Fi couvre la surface grâce aux points d’accès déjà présents dans le bâtiment et fournit des comptages, des temps de présence et des parcours entre zones. Le LiDAR prend en charge les entrées où l’exactitude du comptage importe, et comme il mesure par impulsions laser, aucune image n’existe.

Installer des compteurs optiques à chaque point d’entrée, limite de zone, escalier mécanique et palier d’ascenseur demande de la planification de projet, du câblage et une maintenance matérielle continue. Le comptage Wi-Fi fonctionne avec les points d’accès que les services généraux ou informatiques gèrent déjà pour la connectivité. La couverture s’étend donc partout où s’étend le réseau et, dans la plupart des bâtiments, aucun nouveau matériel n’est nécessaire au plafond.

Un centre commercial équipé de dizaines de points d’accès sur cinq étages obtient des analyses par zone sur les cinq étages, bien plus que ce que montrerait un comptage à la porte principale. Pour les musées et lieux culturels ou les pôles de transport public, ce niveau de détail est généralement accessible sans projet de câblage, et les données fournies sont plus riches parce que le comptage couvre tout le bâtiment. Il n’y a pas de caméra supplémentaire à justifier auprès d’une autorité d’urbanisme ni à braquer sur une file d’attente.

Que captent les points d’accès Wi-Fi d’un téléphone ?

Un téléphone dont le Wi-Fi est activé envoie des requêtes de sonde, de courts signaux qui demandent si un réseau connu est à proximité. Les points d’accès à portée les détectent. Chaque sonde portait autrefois un identifiant matériel unique, l’adresse MAC, qui permettait en principe de suivre un appareil précis dans le temps et l’espace.

Apple a introduit la randomisation des adresses MAC dans iOS 8 en 2014 ; Android a fait de même à partir de la version 8.

Les appareils envoient désormais leurs requêtes de sonde avec des adresses MAC aléatoires, qui changent avec le temps et diffèrent d’un réseau à l’autre, au lieu d’un identifiant matériel fixe, si bien qu’un appareil ne garde plus la même adresse matérielle dans le temps. La confidentialité d’un système de comptage dépend malgré tout de ce que le système fait ensuite des signaux.

Que reste-t-il une fois les signaux traités ?

L’approche de comptage de personnes par Wi-Fi anonymise les signaux au point de collecte. Les requêtes de sonde sont transformées en comptages et en statistiques de flux, et les données de signal sous-jacentes ne sont pas stockées. Seuls des agrégats sont conservés : combien d’appareils ont été détectés dans une zone pendant une heure donnée, quelle a été la durée de présence moyenne, quel itinéraire à travers un espace a été le plus fréquent. Aucune ligne d’aucune base de données ne correspond à une personne.

Un système d’analytique de fréquentation conforme au RGPD basé sur le comptage Wi-Fi ne nécessite pas le consentement des visiteurs pour fonctionner. Le consentement s’applique là où des données personnelles sont traitées, et cette méthode n’en traite aucune. C’est aussi pourquoi il s’agit de la seule méthode de mesure de fréquentation en Europe approuvée par une autorité de protection des données.

Comment savoir si les comptages sont justes ?

Le système ne voit jamais les individus ; il s’appuie donc sur le calibrage pour vérifier ses comptages. Les comptages tirés des signaux Wi-Fi sont validés par des sessions de comptage manuel : un nombre connu de personnes traverse une zone, et l’estimation du système est ajustée en conséquence. Le calibrage corrige aussi la proportion de visiteurs dont l’appareil a le Wi-Fi activé, qui varie selon le lieu et l’heure. D’autres méthodes sont comparées dans comment compter les visiteurs.

La précision est élevée au niveau agrégé, celui qu’exigent les décisions opérationnelles et stratégiques. Un commerçant doit savoir si 2 000 ou 4 000 personnes sont passées un samedi, et y répondre ne demande aucun recensement d’individus. Le calibrage rend par ailleurs le comptage comparable d’un site et d’une saison à l’autre, et cette comparabilité fait ce que vaut un benchmark de fréquentation. Le comptage est en outre le dénominateur dont la caisse ne dispose pas : rapproché des ventes, il donne le taux de conversion qui explique pourquoi fréquentation et ventes racontent des histoires différentes.

La randomisation MAC, désormais standard sur les appareils modernes, est traitée au niveau algorithmique sans revenir à des identifiants persistants, de sorte que le résultat statistique reste fiable.

Que couvre un examen de protection des données du comptage Wi-Fi ?

Pour les organisations soumises au RGPD, une AIPD pour le comptage de personnes est l’étape formelle pour évaluer une technologie avant son déploiement. C’est votre propre délégué à la protection des données ou votre service conformité qui décide si elle est nécessaire et ce qu’elle doit couvrir. La méthode ne produit aucune donnée de catégorie particulière, ne requiert aucun mécanisme de consentement et ne laisse aucun droit des personnes concernées à gérer. Les questions que pose généralement un délégué à la protection des données sont présentées sur cette page.

Qu’en diront le personnel et les représentants syndicaux ?

La mesure est anonyme. Le comptage Wi-Fi ne produit aucune donnée personnelle : personne, ni salarié ni visiteur, ne peut être isolé dans les résultats, et aucune personne n’est suivie dans le temps. Ce que le personnel et ses représentants voient, ce sont des statistiques agrégées sur l’espace : combien de personnes étaient là, où et quand, jamais qui.

Qu’est-ce qui change pour les visiteurs quand il n’y a pas de caméra ?

Les systèmes à base de caméras peuvent faire des choses dont le comptage Wi-Fi est incapable : distinguer les adultes des enfants, compter avec une grande précision les personnes présentes sur des images et, dans certaines configurations, reconnaître les visiteurs récurrents. Ces capacités sont aussi la source du malaise du public. La reconnaissance faciale associée à l’analytique retail a attiré l’attention des régulateurs dans toute l’Europe, et même là où les caméras ne pratiquent pas la reconnaissance, les visiteurs des espaces publics les remarquent de plus en plus et posent des questions. Une caméra visible peut ressembler à de la surveillance même quand elle ne fait que compter, et cette friction se paie en expérience visiteur, en temps du personnel et parfois en couverture de presse.

Le comptage Wi-Fi ne braque aucune caméra sur les visiteurs et ne capte aucune image d’eux. Cela pèse surtout là où la confiance fait partie de la visite : institutions culturelles, transports publics et établissements de santé. C’est aussi de plus en plus le cas dans le retail, où les choix entre compteur de personnes et analytique sont examinés de plus près.

Là où une entrée exige un comptage exact et où un objectif n’est pas le bienvenu, le comptage de personnes LiDAR fournit un comptage précis sans aucune caméra. Il mesure les déplacements avec des impulsions de lumière laser sans danger pour les yeux et représente les personnes comme des grappes de points dans l’espace 3D. Comme aucune image n’est jamais produite, il n’y a rien à stocker, flouter ou masquer.

Sources

• Apple (2014). iOS Security (white paper, October 2014). https://www.apple.com/mx/privacy/docs/iOS_Security_Guide_Oct_2014.pdf
• Android Open Source Project. Implement MAC randomization. https://source.android.com/docs/core/connect/wifi-mac-randomization
• Martin, J., Mayberry, T., Donahue, C., Foppe, L., Brown, L., Riggins, C., Rye, E. C., & Brown, D. (2017). A study of MAC address randomization in mobile devices and when it fails. Proceedings on Privacy Enhancing Technologies, 2017(4), 365–383. https://doi.org/10.1515/popets-2017-0054
• European Data Protection Board (2020). Guidelines 3/2019 on processing of personal data through video devices, version 2.0. https://www.edpb.europa.eu/documents/guideline/guidelines-32019-on-processing-of-personal-data-through-video-devices_en
• European Parliament and Council of the European Union (2016). Regulation (EU) 2016/679 (General Data Protection Regulation), Recital 26 and Article 35. https://eur-lex.europa.eu/eli/reg/2016/679/oj