La généralisation des hotspots dans les lieux publics rend heureux les citoyens assoiffés de connectivité. Mais elle réveille aussi les Big Brothers en herbe. Il existe un risque réel de nous retrouver englués dans des écheveaux de réseaux sans fil traquant sans relâche chacun de nos pas.
Frederik Borgesius, expert du droit européen de la protection des données personnelles, a remarqué il y a peu que des avertissements ont commencé à faire leur apparition dans l’aéroport d’Amsterdam, Schiphol. Sur des panneaux, on peut y lire : « Tracking WiFi et Bluetooth – Ce terminal utilise un système de tracking basé sur WiFi et Bluetooth. La protection de votre
vie privée est garantie. Pour plus d’information, veuillez trouver notre déclaration en matière de protection des données privées sur schiphol.nl ». Déclaration qui précise: « Pour faire en sorte que votre parcours à Schiphol soit le plus agréable possible, nous mesurons le nombre de passagers pour nous permettre de vous donner des informations sur les horaires de pointe et les durées d’attente. Nous travaillons pour cela dans le terminal avec un système de tracking s’appuyant sur WiFi et Bluetooth. Vous avez bien entendu toujours la possibilité d’éteindre votre WiFi et votre Bluetooth. Schiphol utilise des senseurs pour tracer les signaux Bluetooth et WiFi. Un appareil (téléphone mobile, laptop, etc.) peut être identifié par son ‘adresse MAC’ unique. Cette adresse MAC n’est pas liée à des données individuelles privées et les informations personnelles ne sont pas compromises. »
Frederik Borgesius a alors demandé à ses followers sur Twitter s’ils avaient repéré des panneaux similaires. L’un d’eux a tweeté la photo d’une notice affichée dans le magasin Ikea de Delft : « Nous procédons à l’essai d’une nouvelle technologie WiFi pour nous aider à comprendre le parcours de nos clients à travers le magasin Ikea. Si vous ne souhaitez pas participer, veuillez désactiver la fonctionnalité WiFi sur votre téléphone portable ou sur tout autre appareil doté de WiFi ».
Alors que l’internaute qui se connecte sur un hotspot est la plupart du temps amené à souscrire à des conditions d’utilisation, dans lesquelles les sauvegardes relatives aux données personnelles peuvent être énoncées, ici le visiteur ou le client doit prendre une initiative (débrancher les fonctionnalités de connectivité sur son appareil) s’il ne veut pas être suivi à la trace.
Schiphol ou Ikea peuvent faire valoir que c’est dans l’intérêt du consommateur, en vue d’un meilleur service, qu’ils mettent en place ce tracking. Mais il leur est difficile d’obtenir un consentement explicite de la part de l’intéressé, et même si les adresses MAC ne comportent en elles-mêmes aucun élément d’identification, il ne serait pas trop difficile, dans l’absolu, de croiser des fichiers d’adresses MAC avec d’autres fichiers comportant des données beaucoup plus spécifiques.
Où en sont les efforts législatifs européens en la matière ? Le projet de directive ePrivacy soumis au Conseil des ministres, daté du 8 septembre 2017, prévoit pour ces cas de figure que le tracking est interdit sauf si 1/ « l’utilisateur final a donné son consentement » ou que 2/ un tel tracking « est requis en vue d’un comptage statistique limité dans le temps et l’espace dans la mesure où il est nécessaire à cette fin et que les données soient anonymisées ou effacées dès qu’elles ne sont plus nécessaires à cette fin ». Le paragraphe suivant dispose qu’une « notice claire et visible » devra être affichée informant au moins des modalités de la collecte d’informations, de son but, de la personne responsable et toute mesure que l’utilisateur final peut prendre pour stopper ou minimiser la collection.
Frederik Borgesius estime que ce projet constitue « une bonne approche » aux problématiques de tracking WiFi et Bluetooth. Espérons-le. Mais de là à ce que les efforts d’affichage de ceux qui déploient de tels systèmes s’avèrent à la hauteur de l’enjeu...