Collecte de données Wi-Fi : application territoriale de la loi Informatique et Libertés et manquement à l’information

La loi n° 78-17 du 6 janvier 1978 s’applique lorsque le traitement repose, même partiellement, sur des moyens de traitement déployés en France. La formation restreinte retient à ce titre l’utilisation de véhicules de collecte et de terminaux mobiles situés sur le territoire national. Le traitement devait donc faire l’objet des formalités préalables prévues par le chapitre IV de la loi, notamment au regard de l’article 22.

L’article 1er de la loi protège notamment la vie privée, le secret des correspondances et les libertés individuelles. La collecte massive, à l’insu des personnes, de données Wi-Fi susceptibles de révéler des identifiants, mots de passe, échanges électroniques et informations sensibles constitue une atteinte à ces droits. La cessation effective de la collecte a toutefois conduit la formation restreinte à ne pas retenir ce manquement pour fonder la sanction.

L’article 6, 1°, impose une collecte loyale et licite. L’impossibilité d’informer individuellement les titulaires d’adresses MAC et d’identifiants SSID ne dispense pas d’une information générale sur la collecte et les droits des personnes. La poursuite de l’utilisation de données déjà collectées et l’alimentation de la base par les terminaux mobiles ont caractérisé le maintien d’un défaut d’information.

Enfin, l’article 21, alinéa 2, impose aux détenteurs de traitements de faciliter l’action de la Commission. La communication partielle ou tardive du code source et l’absence de transmission du nouveau code ne satisfaisaient pas les demandes formulées lors des contrôles et de la mise en demeure. L’article 44-III était également invoqué concernant l’accès aux programmes et aux données.

⬇️Télécharger la décision version officielle

Des véhicules de cartographie ont collecté en France des photographies, des données GPS, des identifiants de réseaux Wi-Fi, des adresses MAC et, en raison d’une erreur de programmation, des données de contenu, dont des adresses électroniques et des mots de passe. Après mise en demeure, la collecte par les véhicules a cessé, mais certaines données déjà recueillies et celles collectées par les terminaux mobiles ont continué à être utilisées. La société n’a pas communiqué l’ensemble des éléments techniques demandés.

Une société exploitant des services de cartographie et de géolocalisation a déployé en France des véhicules équipés pour collecter des photographies, des données GPS et des signaux Wi-Fi. Ces équipements ont enregistré des identifiants de réseaux, des adresses MAC ainsi que, en raison d’une erreur de programmation, des données de contenu issues de réseaux Wi-Fi non sécurisés.

La CNIL a effectué plusieurs contrôles auprès de la société représentant l’exploitant en France. Elle a découvert la collecte de données de navigation, d’adresses électroniques et de mots de passe. Après une mise en demeure, l’exploitant a cessé la collecte par les véhicules, mais a maintenu l’utilisation de certaines données déjà recueillies et leur collecte par les terminaux mobiles des utilisateurs.

La société n’a pas non plus communiqué l’intégralité des éléments techniques demandés, notamment le code source pertinent. La formation restreinte a examiné l’application territoriale de la loi, le défaut de déclaration, la collecte déloyale et l’insuffisance de coopération.

• Présence de moyens de traitement déployés sur le territoire français
• Traitement de données à caractère personnel soumis à la loi n° 78-17
• Absence de déclaration préalable du traitement concerné
• Collecte d’identifiants, adresses MAC et contenus sans information suffisante
• Maintien de l’utilisation de données collectées à l’insu des personnes
• Transmission incomplète ou tardive des éléments techniques demandés

• Constatations des contrôles réalisés sur les véhicules de collecte
• Disque dur contenant les données Wi-Fi collectées en France
• Analyse des données révélant mots de passe et données de connexion
• Rapport d’audit analysant le fonctionnement du logiciel de collecte
• Code source initial et éléments partiels communiqués à la CNIL
• Échanges écrits et réponses aux mises en demeure

L’exploitant reste exposé au manquement relatif à la collecte déloyale, à l’absence de déclaration et à l’insuffisance de coopération, malgré l’arrêt de la collecte par les véhicules. La CNIL peut tenir compte de la cessation effective d’une collecte pour écarter ce chef précis de sanction, sans neutraliser les manquements persistants liés à l’utilisation des données ou à l’information générale.n

• Déclarer précisément les traitements et leurs finalités
• Informer publiquement les titulaires de données collectées indirectement
• Cesser l’utilisation des données recueillies sans information suffisante
• Transmettre l’intégralité des codes et éléments techniques requis
• Documenter les mesures de cessation et de mise en conformité

À faire

• Identifier les moyens de traitement situés en France
• Déclarer chaque traitement et finalité auprès de la CNIL
• Informer généralement les personnes concernées et leurs droits
• Auditer les logiciels avant tout déploiement massif
• Répondre intégralement aux demandes de contrôle

À éviter

• Collecter des données Wi-Fi sans information préalable suffisante
• Conserver ou réutiliser des données collectées illicitement
• Limiter artificiellement la transmission du code source
• Attendre un communiqué public pour révéler une collecte
• Présumer l’impossibilité d’information sans mesure alternative

L’application territoriale de la loi Informatique et Libertés

nLa loi n° 78-17 du 6 janvier 1978 s’applique lorsque le traitement repose, même partiellement, sur des moyens de traitement déployés en France. La formation restreinte retient l’utilisation de véhicules de collecte et de terminaux mobiles situés sur le territoire national. Le traitement devait donc être déclaré conformément à l’article 22 de cette loi.n

La loyauté de la collecte et l’information générale

nL’article 6, 1°, de la loi n° 78-17 impose une collecte loyale et licite. L’information individuelle des titulaires d’adresses MAC et d’identifiants SSID étant matériellement impossible, l’exploitant devait néanmoins fournir une information générale sur la collecte et les droits des personnes. La poursuite de l’utilisation de données collectées à l’insu des personnes caractérise un manquement persistant.n

L’obligation de coopération avec la CNIL

nL’article 21, alinéa 2, impose aux détenteurs de traitements de faciliter l’action de la Commission. La transmission d’éléments partiels du code source initial, l’absence de communication du nouveau code et les réponses insuffisantes aux demandes de contrôle ne satisfaisaient pas cette obligation. L’article 44-III était également invoqué au sujet de l’accès aux programmes et aux données.

Article 1er de la loi n° 78-17 du 6 janvier 1978, Article 6, 1° de la loi n° 78-17 du 6 janvier 1978, Article 21, alinéa 2 de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 32-III de la loi n° 78-17 du 6 janvier 1978, Article 44-III de la loi n° 78-17 du 6 janvier 1978