Le service de suivi controversé de Bumbee Labs reçoit désormais l’aval de l’Autorité suédoise de protection des données. Il n’enfreint plus la loi sur les données personnelles.
Après une collaboration avec la municipalité de Västerås, nombreux sont ceux qui ont évoqué le service potentiellement intrusif de Bumbee Labs. Grâce à ce service, la municipalité pouvait voir comment la population se déplaçait dans la ville (mais pas à l’échelle individuelle). Au cours de l’été, l’Autorité suédoise de protection des données a jugé que le service, dans sa forme de l’époque, enfreignait la loi sur les données personnelles (PUL).
« Nous avons maintenant apporté les changements que l’Autorité de protection des données souhaitait, et elle nous a approuvés. C’est la première décision de ce type en Europe », déclare le fondateur et président de l’entreprise, Staffan Liljestrand.
Ce qui n’allait pas dans l’ancienne version est relativement complexe. Au fond, il s’agit de savoir si les adresses dites MAC doivent être considérées comme des données personnelles ou non.
Une adresse MAC est un identifiant unique pour chaque ordinateur, téléphone ou autre appareil pouvant se connecter au réseau via le Wi-Fi. Elle ne peut toutefois pas être directement reliée à une personne réelle. C’est du moins la position de Bumbee Labs. L’Autorité de protection des données, en revanche, considère qu’une adresse MAC doit être comptée comme une donnée personnelle. La conséquence est qu’elle a jugé que la version précédente du service de Bumbee Labs enfreignait la loi sur les données personnelles.
Accrochez-vous, car cela se complique. L’Autorité de protection des données justifie sa décision de l’été en expliquant que l’adresse MAC peut être indirectement reliée à une personne. Ce serait le cas si elle avait été enregistrée avec des données personnelles dans d’autres contextes, par exemple par l’opérateur mobile ou lors de la connexion à un réseau Wi-Fi avec le téléphone.
Après la décision de l’Autorité de protection des données, Bumbee Labs a modifié son service et ne stocke plus aucune adresse MAC.
« Notre service fonctionne désormais un peu comme ces câbles que l’on voit parfois sur les grands axes routiers et qui mesurent anonymement le nombre de voitures passant un point donné. Sauf en version numérique, avec des téléphones, à l’échelle de villes entières. La seule information que nous stockons est la position des téléphones. Toutes les données personnelles sont irréversiblement supprimées en quelques secondes. Nous offrons simplement à nos clients la possibilité de voir comment les visiteurs d’une ville se déplacent en tant que groupe », déclare Staffan Liljestrand.
L’attention médiatique sur le fait que le service pouvait servir à suivre des individus a été considérable. Mais Staffan Liljestrand affirme que l’entreprise elle-même comme ses clients se désintéressent totalement des individus. Il a toutefois été difficile pour l’entreprise de renverser ce récit, ce qui a conduit certains clients à adopter une attitude attentiste à l’égard du service.
« Certains de nos clients ont choisi d’attendre la décision de l’Autorité de protection des données avant de commencer à utiliser le service. Cette décision fait que davantage d’entre eux se sentiront en confiance pour l’utiliser », déclare Staffan Liljestrand.