Comptage de personnes en France : mesurer dans le cadre de la CNIL
La France est l'un des rares marchés où le régulateur a publié les règles du jeu : la CNIL édicte des règles explicites pour la mesure de fréquentation dans les lieux ouverts au public. C'est une bonne nouvelle pour les acheteurs, car cela transforme une inquiétude de conformité floue en une liste de vérification concrète. Un repère, pas un conseil juridique.
La plupart des marchés européens laissent la mesure de fréquentation se déduire des grands principes du RGPD. La France procède autrement. La CNIL, l’autorité française de protection des données, publie des règles explicites pour les dispositifs de mesure d’audience et de fréquentation dans les lieux ouverts au public : dispositifs de mesure en centres commerciaux, gares, rues commerçantes et environnements publicitaires. Pour une enseigne, un propriétaire ou une collectivité, ce cadre est un atout. Il transforme la question de conformité en France : elle ne se pose plus en « est-ce autorisé ? » mais en « cette méthode répond-elle aux attentes publiées ? », une question dont la réponse se vérifie.
Ce qu’attend le cadre
Le cadre de la CNIL se ramène à trois exigences. Les données doivent être véritablement anonymisées, ou traitées avec de solides garanties si quelque chose d’identifiable est touché en cours de route. Les visiteurs doivent être informés que la mesure a lieu. Et le traitement doit reposer sur une base légale solide plutôt que sur une supposition. Comme pour tout ce qui figure dans notre bibliothèque de conformité, ceci est un repère, pas un conseil juridique, mais la direction est claire : plus le résultat d’une méthode s’éloigne des données personnelles, plus chacune de ces discussions se raccourcit.
C’est le pari architectural que Bumbee Labs a fait dès le départ. La mesure est passive, rien n’est demandé au visiteur, et toutes les données personnelles sont supprimées de façon irréversible, jamais hachées ni conservées, jamais stockées, ne laissant subsister que des statistiques anonymes et agrégées : comptages, temps de présence, flux et tendances par zone et par période. Il n’y a ni profil, ni parcours d’une personne identifiée, rien qui puisse réintroduire une personne dans les chiffres.
Examinée là où cela compte le plus
Les affirmations de conformité ne coûtent rien à formuler, ce qui explique pourquoi le marché au cadre le plus clair d’Europe mérite les preuves les plus solides. Bumbee Labs exploite la seule méthode de mesure de fréquentation en Europe approuvée par une autorité de protection des données. Cette approbation a été délivrée par IMY, l’autorité suédoise de protection des données, qui a examiné notre méthode de comptage par Wi-Fi : ce qui est collecté, ce qui est supprimé, et ce qui subsiste. Le RGPD est un règlement unique dans toute l’Union, si bien que la question à laquelle IMY a répondu est celle que le cadre de la CNIL pose à tout dispositif opérant en France, et celle que votre DPO posera à tout fournisseur. La différence entre un « conforme au RGPD » autoproclamé et une méthode examinée par un régulateur fait l’objet de sa propre page, et elle n’est nulle part plus pertinente qu’ici.
Pour les déploiements combinant plusieurs méthodes, la même ingénierie de confidentialité dès la conception porte la mesure par capteur 3D, LiDAR et réseau mobile au sein d’une même plateforme, avec le même résultat anonyme et agrégé que privilégie le cadre.
Ce que mesurent les opérateurs français
Le marché français répond aux mêmes questions que partout ailleurs, avec la liste de vérification du régulateur en plus. Enseignes et centres commerciaux mesurent la performance des points de vente : fréquentation, conversion, temps de présence et flux entre zones. Villes et collectivités mesurent les rues commerçantes et l’espace public pour piloter l’investissement et en rendre compte. Les opérateurs de transport mesurent gares et pôles d’échange. Dans tous les cas, le livrable est le même : des statistiques anonymes qu’un examen de conformité français peut approuver sans drame, via des tableaux de bord ou une API vers vos propres outils.
Ouvrez la conversation, votre DPO dans la salle
Une démo passe en revue la méthode, le parcours des données et les tableaux de bord en langage clair, et nous répondons par écrit aux questions de conformité. Apportez le cadre de la CNIL ; nous serons heureux de le parcourir point par point. La page analyse de fréquentation conforme au RGPD rassemble toute la position de conformité, et le guide AIPD recense les questions à poser à nous comme à tout autre fournisseur.
We are excited about the collaboration with Bumbee Labs through our Unicorn Academy program. A fantastic solution that fits in most of our industry segments such as retail, transportation, public sector etc. We are happy to support Bumbee Labs with our expertise and global presence, and we are delighted to add such an innovative solution to our portfolio, to be offered standalone or integrated in our own solutions.
Questions fréquentes
Qu'attend la CNIL de la mesure de fréquentation ?
Le cadre publié par la CNIL pour les dispositifs de mesure d'audience et de fréquentation dans les lieux ouverts au public pose des exigences dans trois domaines : les données doivent être véritablement anonymisées ou traitées avec de solides garanties, les visiteurs doivent être informés, et le traitement doit reposer sur une base légale solide. La façon la plus nette de répondre à ce cadre reste une méthode dont le résultat ne contient aucune donnée personnelle.
Le comptage de personnes par Wi-Fi est-il légal en France ?
Le cadre de la CNIL traite explicitement la mesure de fréquentation par signaux, sans l'interdire : il décrit les conditions dans lesquelles de tels dispositifs fonctionnent légalement. Une méthode conçue pour l'anonymisation dès la conception, où les données personnelles sont supprimées de façon irréversible et où seules des statistiques agrégées subsistent, est bâtie exactement pour ces conditions. L'évaluation d'un déploiement précis relève de son propre examen ; cette page est un repère, pas un conseil juridique.
Quelle autorité a approuvé la méthode de Bumbee Labs ?
IMY, l'autorité suédoise de protection des données (Integritetsskyddsmyndigheten), qui a examiné la méthode de comptage par Wi-Fi : ce qui est collecté, ce qui est supprimé et ce qui subsiste. Le RGPD est le même règlement à Stockholm qu'à Paris, si bien que la question à laquelle IMY a répondu est celle que se pose aussi un examen français : cette méthode produit-elle des données personnelles ?
Les visiteurs doivent-ils consentir à être comptés ?
Le consentement est l'une des voies décrites par le cadre de la CNIL, mais ce n'est pas la seule : ce cadre couvre aussi les traitements reposant sur une anonymisation offrant de solides garanties, associée à une information claire des visiteurs. Une mesure qui ne produit que des statistiques anonymes et agrégées évite de faire reposer tout un déploiement sur le recueil du consentement de chaque passant, ce qu'aucun projet de mesure de fréquentation ne peut réalistement accomplir.