Dans le métro, ces écrans de publicités traquent vos smartphones

Quasiment le seul commentaire intelligent.

j'ai eu la même idée ;-) https://gist.github.com/m0n4/80e830044bdae68f4dba0b157220301a

J'ai consulté l'autorisation de la CNIL pour Retency et voici les points importants : - La demande d’autorisation porte sur la mise en œuvre d’un traitement d’anonymisation de données à caractère personnel permettant la mesure d’audience et de fréquentation de dispositifs publicitaires au sein de l’espace public. - Les données à caractère personnel collectées sont anonymisées "à bref délai" comme je l'avais supposé, ce délai est de 5 minutes maximum. - La base légale du traitement retenue est comme je l'avais aussi supposé vu que les autres bases ne pouvaient pas coller et que celle-ci est souvent utilisée comme "fourre-tout". - les données sont ensuite restituées sous forme de graphe de flux de passage auprès de la régie Media Transports. Ce graphe a pour but de fournir des informations de comptage sur le nombre de personnes étant passées d’un point à un autre, sans pour autant qu’un parcours individuel puisse être établi. Et ça c'est l'information importante car c'est ce qui avait motivé en partie le refus d'autorisation de la CNIL pour JCDecaux qui voulait faire la même chose en 2017 car il était possible de suivre les mobiles d'une borne à une autre et donc reconstituer les trajets des personnes. - La durée de conservation est conforme aux dispositions de l’article 6-5 de la loi Informatique et Libertés modifiée. - La société Retency a tout d'abord expérimenté sa solution pendant 1 mois puis remis un rapport à la CNIL. - La méthode de détection est le WiFi et son adresse MAC (pas le bluetooth). - Les seules personnes pouvant accéder aux adresses MAC sont les salariés de la société Retency en charge du développement et du déploiement du dispositif. - Les données de comptage relatives au graphe de flux de passage reconstitué par traitement statistique par la société Retency, sont ensuite mises à disposition de la société Media Transports à l’issue des quinze jours. - La Commission considère que le procédé envisagé ne saurait permettre, en l’état, à la société Retency ou à un tiers de rejouer les procédés de chiffrement et donc de ré-identifier les personnes ayant vu leur adresse MAC collectée et anonymisée. En effet, le dispositif mis en œuvre par la société Retency repose sur un processus d’anonymisation respectant les trois critères de l’avis n°05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G 29) le 10 avril 2014. Un procédé approuvé par le G29... j'ai encore bon :-) - La petite étiquette d'information n'appelle aucune remarque de la CNIL car dans le cas de ce traitement il n'y a pas besoin de donner plus d'information que le nom du responsable de traitement vu que les données sont anonymées "à bref délai". - A la fin de la période d'expérimentation la CNIL a confirmé sa validité en décembre 2017. Voilà... tout a été fait dans les règles de l'art.

La CNIL a accordé l'autorisation à Retency pour ce traitement (du temps où il fallait en demander une) car Retency a certainement pu démontrer ue le traitement des données était fait de façon anonyme et donc hors périmètre LIL à l'époque avant arrivée RGPD. Et si on a pas les détails de la méthode d'anonymisation je ne doute pas que la CNIL ait été ferme à ce sujet. Retency récolte en effet une donnée personnelles (adresse MAC) mais la transforme en donnée anonyme par un des procédés conformes au recommandations du G29 à ce sujet. Mais je serais curieux de savoir quel procédé a été utilisé.

Si j'ai bien compris, la CNIL est complice en ne s'opposant pas à ce genre de pratiques intrusives. Je pensais naïvement que la CNIL était un organisme indépendant.

Plein de chômage parce qu'on ne se laisse dépouiller de nos données personnel ?!?!... faut dire NON à la drogue !

pas vraiment il y avait plusieurs problèmes, le premier est qu'ils utilisaient un hash statique du coup chaque MAC avait son hash unique "dédié" ce qui revenait à simplement convertir la MAC en une autre référence, et puis il y avait aussi le fait que plusieurs panneaux étaient positionnés sur l'esplanade pouvant tracer le chemin complet d'une personne et donc potentiellement la retrouver, je me souvient plus des détails faudrait que je retrouve le jugement.

Pour ceux qui se posent des questions le consentement en matière de recueil et traitement de données personnelles à des fins de mesure d'audience et fréquentation d'espaces publics, je vous mets le lien officiel de la CNIL qui traite ce sujet https://www.cnil.fr/en/node/24869 vous y trouverez le petit "truc" (cas de figure n°1 dans du document) que Retency a certainement utilisé pour obtenir son autorisation (obtenue avant RGPD du temps où ce type d'autorisation était nécessaire) qui est la transformation de la donnée personnelle en donnée anonyme "à bref délai" dont je parle déjà dans un précédent commentaire.

Je voulais surtout préciser le fait le consentement n'est pas la seule base licite pour un traitement car beaucoup de gens ne savent pas que les autres bases existent. Et d'ailleurs il arrive souvent que les responsables de traitement justifie la licéité via l'article 6.1(f) sur base "légitime" (à tort ou à raison). Dans ce cas précis le RGPD n'entre pas en ligne de compte si le traitement est réellement anonyme car qui dit donnée anonyme(isée) dit donnée non rattachable à une personne physique donc traitement de la donnée hors périmètre LIL3 & & RGPD. Ensuite on peut se dire oui mais à la base ils récoltent bien mon adresse MAC, mais là encore la législation laisse une porte ouverte au travers du principe de "l’anonymisation à bref délais" qui permet de recueillir la donnée personnelle non anonyme, de la traiter de façon temporaire juste le temps de la rendre anonyme et hop pas besoin de consentement. Et pour l'avoir mis RGPD en place au sein de mon entreprise je peux te dire qu'il est loin d'être "nickel" il y a plein d'incohérences et de zones d'ombre laissant libre court à interprétation. De plus les demandes d'autorisation CNIL qui étaient un moyen de freiner les abus car la CNIL pouvait les refuser ont pour la plupart disparu avec le RGPD et tout ce que les entreprises ont à faire maintenant est de tenir à jour un registre des traitements ou ils décrivent les finalités la base licite et quelques autres informations qu'ils devront fournir en cas de demande de vérification par l'autorité de contrôle (la CNIL en France).

bravo, nous on a cnil et la rgpd, les us ont les gafam et les chinois les batx. il est beau l'avenir que tu réserves à tes enfants, plein de chômage, mais c'est sûr l'accès à leurs données personnelles sera protégé parce qu'ils n'auront pas de thunes pour se payer une connexion internet. Le combat que tu mènes pour la protection de la vie privée est en train de tuer l'industrie française de demain basée sur l'ai qui a besoin de données pour fonctionner. bravo !

Les autres ont raison, rien ne justifie cette collecte orwellienne. C'est illégal par rapport au RPDG c'tout. FRANCHEMENT, si <b>ça</b> c'est autorisé par le RPDG, autant se torcher avec non ? S'il a été voté c'est justement pour se protéger de ce genre de choses.

Il y a 6 cas possibles est le premier dit : " la personne concernée a consenti au traitement de ses donnée à caractère personnel pour une ou plusieurs finalités spécifique ". Les autres cas sans consentement sont possible pour l’exécution d'un contrat, le respect des obligations légales, la sauvegarde des intérêts vitaux, l’exécution d'une mission d’intérêt public et l’intérêt légitime. On voit clairement que nous ne sommes pour ce cas du métro dans aucune de ses possibilités.

Non le consentement n'est qu'un des 5 cas possibles de licéité de traitement (cf art.6 RGPD).

Je crois que tu a répondu tout seul au commentaire que tu m'a répondu la : je suis ptet parano mais a mon avis se désinscrire c'est devenir une stat de plus apporté sur un plateau

dire qu'une collecte est anonymisée est une chose, le prouver en est une autre par exemple en expliquant clairement la méthode d'anonymisation et JC Decaux s'est fait recaler par la CNIL en 2017

oui 6 j'ai oublié d'insérer le mot "autres" dans "il existe 5 cas".

j'ai posé la question à l'agence

Suffit de balancer l'ensemble des adresses mac sur la page pour exclure tout le monde (oui c'est beaucoup mais ya pas de captcha)

bah elle est anonymisée !

Le site de retency est une blague, leurs "Mentions légales" en bas de page ne mènent à rien, ceci dit quand on voit certains de leurs cookies on peut se poser des questions (attention ma capture d'écran est postée sur imgUr qui demande maintenant un consentement pour l'afficher... RGPD est passé par là) ... https://i.imgur.com/6v2aVVl.png

Se désinscrire suppose donner explicitement ses coordonnées wifi et bluetooth....vous trouvez pas que c'est la même chose ?vous croyez pas que ça aussi y vont en faire une stat ?....

En 2017 la conseil d'état avait confirmé la décision de la CNIL de refuser un système de traçage supposé anonyme que JC Decaux voulait déployer sur l'esplanade de La Défense, une adresse MAC Bluetooth n'est pas une donnée anonyme, pour rappel toute donnée permettant de rattacher de façon directe *** ou indirecte*** à une personne physique est une donnée personnelle et donc non-anonyme et son traitement doit se faire en respectant la LIL 3 et le RGPD. Il faudrait savoir quelle méthode d'anonymisation est employée pour la collecte de ces données. D'ailleurs il y a une incohérence car si les données sont réellement anonymes elles sortent du cadre LIL 3 et RGPD et le formulaire de désinscription n'aurait pas de raison d'exister.

Idem sur Android

à partir du moment où tu fermes la porte quand tu vas aux toilettes c'est que forcément tu as quelque chose à cacher. _へ__(‾◡◝ )>

Le RGPD est clair la dessus : pas de consentement de l'utilisateur, pas de collectes de données !!

Comme cela, tu rentres dans la catégorie statistique "ne souhaite pas être collecté" 😁

Mais si on désactive le wifi ainsi que la recherche continue et le bluetooth on ne se fait pas pister de toute façon

Minority report.. .

Des informations sur la méthode de collecte de données?

hop désinscrit ça va très vite a faire

Mais est-ce que beaucoup de personnes comprendront la référence ? :/ Surtout que la plupart d'entre eux s'en fiche puisque "ils n'ont rien à cacher"

Je suppose qu'on peut aussi désactiver le Wifi et le Bluetooth dans le métro pour désactiver le suivi. Ou coller un grand autocollant sur le panneau : "<i>1984 was not supposed to be an instruction manual</i>" pour faire réagir les gens.