Comptage de personnes en France : mesurer dans le cadre de la CNIL

La CNIL, l’autorité française de protection des données, attend de la mesure de fréquentation dans les lieux ouverts au public des données anonymisées ou de solides garanties, des visiteurs informés et une base légale. Les méthodes sans donnée personnelle en sortie s’y prêtent le mieux. Bumbee Labs dispose de la seule méthode de mesure de fréquentation en Europe approuvée par une autorité de protection des données. L’approbation de l’IMY porte sur la méthode Wi-Fi.

Qu’attend le cadre de la CNIL du comptage de personnes ?

Ailleurs, la mesure de fréquentation se déduit souvent des grands principes du RGPD. En France, la CNIL publie des règles explicites pour les dispositifs de mesure d’audience et de fréquentation dans les lieux ouverts au public : dispositifs de mesure en centres commerciaux, gares, rues commerçantes et environnements publicitaires. Pour une enseigne, un propriétaire ou une collectivité, c’est une aide : la question devient de savoir si la méthode répond aux attentes publiées, ce qui se vérifie.

Le cadre demande trois choses. Les données sont correctement anonymisées, ou traitées avec de solides garanties si quelque chose d’identifiable est touché en cours de route. Les visiteurs sont informés que la mesure a lieu. Le traitement repose sur une base légale solide. Cette page est un repère et non un conseil juridique. Reste que plus le résultat d’une méthode s’éloigne des données personnelles, plus chacune de ces discussions se raccourcit.

Bumbee Labs a conçu sa méthode sur ce principe dès le départ. La mesure est passive et rien n’est demandé au visiteur. Toutes les données personnelles sont supprimées de façon irréversible et jamais stockées, pas même sous forme hachée, si bien qu’il ne reste que des statistiques anonymes et agrégées : comptages, temps de présence, flux et tendances par zone et par période. Il n’y a ni profils, ni parcours de personnes identifiées, ni rien qui puisse réintroduire une personne dans les chiffres.

Pourquoi une méthode examinée compte-t-elle en France ?

N’importe qui peut se dire conforme. En France, où les règles publiées sont les plus claires, les preuves doivent être solides. L’IMY, l’autorité suédoise de protection des données, a examiné notre méthode Wi-Fi en elle-même : ce qu’elle collecte, ce qu’elle supprime et ce qui subsiste dans le résultat. Bumbee Labs détient cette approbation. Le règlement est le même à Stockholm et à Paris. La question posée par l’IMY (cette méthode produit-elle des données personnelles ?) est celle que le cadre de la CNIL pose à tout dispositif exploité en France, et celle que votre DPO posera à tout fournisseur. Un « conforme au RGPD » autoproclamé et une méthode examinée par un régulateur sont deux choses différentes. Conforme au RGPD ou approuvé par une autorité explique la différence, et c’est en France qu’elle pèse le plus.

Quelles méthodes peuvent être combinées en France ?

Dans les déploiements qui combinent plusieurs méthodes, la même ingénierie de protection des données dès la conception s’applique à la mesure par capteur 3D, LiDAR et réseau mobile, le tout sur une seule plateforme, avec le résultat anonyme et agrégé que privilégie le cadre.

Que mesurent les opérateurs français ?

Les questions sont les mêmes que sur tout autre marché, avec en plus la liste de vérification du régulateur. Les enseignes et les centres commerciaux mesurent la performance des points de vente : fréquentation, conversion, temps de présence et flux entre zones. Les villes et les collectivités mesurent les flux piétons pour orienter l’investissement et en rendre compte. Les opérateurs de transport mesurent gares et pôles d’échange. Dans tous les cas, nous livrons des statistiques anonymes qu’un examen de conformité français peut approuver sans difficulté, via des tableaux de bord ou une API vers vos propres outils.

Comment démarrer, avec notre DPO autour de la table ?

Une démo passe en revue la méthode, le parcours des données et les tableaux de bord en langage clair, et nous répondons par écrit aux questions de conformité. Apportez le cadre de la CNIL et nous le parcourrons point par point. Analyse de fréquentation conforme au RGPD rassemble toute la position de conformité, et AIPD pour le comptage de personnes recense les questions à nous poser, comme à tout autre fournisseur.