Vous traversez une galerie marchande, le téléphone en poche, le Wi-Fi activé. Sans vous connecter à quoi que ce soit, sans ouvrir la moindre application, votre appareil émet en permanence des signaux de recherche de réseau. Des boîtiers installés par le centre commercial ou par certaines enseignes captent ces signaux, relèvent l’identifiant de votre téléphone et en déduisent votre présence, la durée de votre visite, votre parcours entre les boutiques, parfois même vos retours d’une semaine sur l’autre. Cette mesure d’audience et de fréquentation, invisible pour le passant, constitue un traitement de données personnelles qui obéit à des règles strictes : information préalable, base légale valable, opposition réellement effective, durées de conservation limitées et exercice des droits. Or ces règles sont fréquemment ignorées, et les passants ne disposent souvent d’aucun moyen simple de savoir qu’ils sont comptés, et encore moins de s’y opposer.
Cet article décrit le cadre applicable à ces dispositifs de captation Wi-Fi dans les espaces accessibles au public, à partir de la doctrine publiée par la CNIL et des textes répressifs et civils qui sanctionnent les collectes déloyales. Il détaille ensuite la méthode pour refuser le traçage, exiger l’effacement des données captées, saisir la CNIL et, si nécessaire, obtenir du juge la cessation du dispositif et la réparation du préjudice. Que vous soyez client régulier d’un centre commercial francilien, passant occasionnel ou salarié d’une enseigne vous-même suivi par ces boîtiers, la démarche reste la même : constater, écrire, conserver les preuves, puis mettre l’exploitant face à ses obligations.
I. Compter les passants par Wi-Fi : un traitement de données encadré et souvent irrégulier
A. L’adresse captée est une donnée personnelle, et sa collecte exige un fondement
Lorsqu’un boîtier capte les sondes émises par votre téléphone, il enregistre au minimum l’adresse MAC de votre interface Wi-Fi, souvent accompagnée de l’horodatage, de la puissance du signal et de l’identifiant du capteur. L’adresse MAC est un identifiant technique propre à votre appareil, stable dans le temps sauf activation des fonctions d’adresse aléatoire proposées par les systèmes d’exploitation récents. Combinée aux passages répétés devant les mêmes capteurs, elle permet de singulariser un visiteur, de reconstituer ses trajets et de mesurer sa fidélité. Il s’agit donc d’une donnée à caractère personnel au sens du droit européen, dès lors qu’elle permet d’identifier une personne directement ou indirectement, par recoupement avec d’autres informations. La Cour de justice de l’Union européenne a déjà jugé, à propos des adresses IP dynamiques, qu’un identifiant technique constitue une donnée personnelle dès lors que le responsable dispose de moyens raisonnables pour identifier la personne derrière cet identifiant. Le même raisonnement vaut pour une adresse MAC associée à des habitudes de déplacement régulières dans une galerie marchande.
La CNIL a consacré à ces dispositifs une doctrine détaillée, qui distingue trois situations selon le niveau de protection mis en oeuvre par l’exploitant. Premier cas : les données sont rendues anonymes dans un délai très bref, de l’ordre de quelques minutes après leur collecte, de sorte qu’aucune personne ne peut plus être identifiée ni suivie dans le temps. Deuxième cas : les données sont pseudonymisées immédiatement puis anonymisées ou détruites au bout de vingt-quatre heures. Dans ces deux premiers cas, la CNIL admet que le traitement repose sur l’intérêt légitime de l’exploitant à mesurer la fréquentation de son espace, à condition que les autres garanties soient respectées, notamment l’information des passants et des durées de conservation réduites au strict nécessaire. Troisième cas, qui couvre tous les dispositifs qui conservent des identifiants au-delà de ces délais, qui reconstituent des parcours individuels ou qui calculent des taux de répétition sur plusieurs jours : seul un consentement spécifique, libre et éclairé des personnes concernées peut alors servir de fondement au traitement. Ce consentement peut être recueilli par différents moyens, par exemple la connexion volontaire à un réseau Wi-Fi dédié, le téléchargement d’une application, l’inscription sur un site prévu à cet effet ou le passage du téléphone devant une borne prévue pour enregistrer le choix de la personne.
En pratique, la majorité des dispositifs installés dans les commerces relèvent du troisième cas sans que le consentement ait été recueilli : aucun panneau n’explique la captation au passant, aucune borne de consentement n’est proposée à l’entrée, et les durées de conservation dépassent largement vingt-quatre heures. Une telle collecte, réalisée à l’insu des personnes et sans base légale, peut être regardée comme déloyale. Le code pénal réprime cette hypothèse avec une particulière sévérité : « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » La Cour de cassation a confirmé cette lecture extensive de la déloyauté dans un arrêt criminel du 30 avril 2024, rendu dans une affaire où un enquêteur privé avait constitué des dossiers sur des salariés en recoupant des informations librement accessibles sur internet. La chambre criminelle a rejeté son pourvoi en retenant que « le fait que les données à caractère personnel collectées par le prévenu aient été pour partie en accès libre sur internet ne retire rien au caractère déloyal de cette collecte », dès lors que cette collecte, réalisée à des fins détournées et à l’insu des personnes, « ne pouvait s’effectuer sans qu’elles en soient informées ». Le parallèle avec les boîtiers Wi-Fi est direct : le fait que votre téléphone diffuse spontanément son identifiant ne retire rien au caractère déloyal d’une captation systématique réalisée à votre insu, sans information ni consentement, à des fins de profilage de votre fréquentation.
Identifier le responsable du traitement conditionne l’efficacité de toutes les démarches ultérieures. Dans une galerie marchande, trois acteurs se partagent généralement les rôles : la foncière ou le gestionnaire du centre, qui autorise l’installation des capteurs dans les parties communes ; le prestataire de mesure d’audience, qui fournit les boîtiers, collecte les adresses et produit les statistiques ; et parfois les enseignes elles-mêmes, lorsqu’elles installent leurs propres capteurs à l’entrée de leurs boutiques ou récupèrent les données du prestataire pour recibler leur clientèle. Chacun de ces acteurs peut être destinataire de vos demandes pour la part du traitement qu’il pilote, et leurs contrats doivent répartir les responsabilités entre responsable du traitement et sous-traitant, avec des instructions écrites et des garanties de sécurité. En pratique, adressez vos courriers à la direction du centre et au prestataire lorsqu’il est identifiable, par exemple grâce aux mentions d’un panneau ou aux informations obtenues sur place. Si une enseigne vous a adressé des offres manifestement liées à vos passages, interrogez-la aussi sur l’origine des données utilisées pour ce ciblage, car la réponse révélera la chaîne de transmission de votre identifiant.
B. Informer, permettre une opposition réelle et limiter la conservation
Même lorsque l’exploitant invoque l’intérêt légitime pour un dispositif à anonymisation rapide, il reste tenu d’informer les passants de l’existence de la mesure, de ses finalités, de la durée de conservation et des droits dont ils disposent. Cette information doit être délivrée avant la collecte, par des panneaux placés aux entrées de la zone couverte, rédigés en langage clair et mentionnant l’identité de l’exploitant, un moyen de contact et la possibilité de s’opposer. L’absence de tout panneau à l’entrée d’une galerie équipée de capteurs constitue déjà, à elle seule, un manquement vérifiable par de simples photographies. Lorsque le traitement repose sur le consentement, l’information doit en outre précéder le recueil du consentement et expliquer comment le retirer à tout moment, avec un effet aussi simple que le consentement initial.
Le droit d’opposition mérite une attention particulière, car les exploitants proposent parfois des palliatifs illusoires. La CNIL l’écrit sans détour dans sa doctrine : demander aux passants de désactiver le Wi-Fi de leur téléphone, ou les contraindre à se priver d’une fonctionnalité de leur appareil pour échapper au traçage, ne constitue pas une modalité d’opposition satisfaisante. L’opposition doit pouvoir s’exercer sans dégrader l’usage normal du téléphone, par exemple grâce à un réseau dédié dont le nom signale explicitement le refus du suivi, à un formulaire en ligne adossé à la déclaration de son adresse MAC, ou à une borne d’enregistrement du refus à l’entrée du site. Une fois l’opposition exercée, l’exploitant doit supprimer les données déjà collectées sur la personne et cesser toute nouvelle captation la concernant. Conservez la preuve de votre opposition, copie d’écran ou accusé de réception, car la poursuite du traçage après un refus documenté caractérise une violation délibérée qui aggrave la situation de l’exploitant devant la CNIL comme devant le juge.
Les durées de conservation forment le troisième point de contrôle. Pour les dispositifs fondés sur l’intérêt légitime, les identifiants doivent disparaître dans les minutes ou, au plus tard, dans les vingt-quatre heures suivant la collecte, selon le cas de figure. Pour les dispositifs fondés sur le consentement, la durée doit rester proportionnée à la finalité affichée, par exemple quelques mois pour une mesure de fidélité, et toute conservation au-delà exige une justification précise. Les journaux techniques, les statistiques agrégées véritablement anonymes et les sauvegardes doivent être distingués des bases nominatives : seules les secondes ouvrent des droits d’accès et d’effacement, mais les premières doivent être configurées pour ne pas permettre une réidentification détournée. En cas de doute sur ce qui est conservé vous concernant, une demande d’accès écrite adressée à l’exploitant permet d’obtenir la copie des données et le détail des durées appliquées, avec les mêmes enchaînements que pour toute demande d’accès restée sans réponse.
Du côté de l’exploitant, la mise en place d’un tel dispositif suppose un travail de conformité que vous pouvez vérifier indirectement. Tout traitement de cette nature doit figurer dans le registre des activités de traitement de l’organisme, avec la finalité, les catégories de données, les durées et les mesures de sécurité. Compte tenu du suivi systématique de personnes dans un espace public, une analyse d’impact relative à la protection des données doit en principe être menée avant l’installation, afin d’évaluer la nécessité, la proportionnalité et les risques pour les passants, ainsi que les mesures prévues pour les réduire. L’absence d’analyse d’impact, lorsqu’elle était requise, constitue un manquement autonome que la CNIL sanctionne, indépendamment du fond du dispositif. De même, le recours à un prestataire de mesure ne décharge pas l’exploitant : le contrat de sous-traitance doit encadrer les instructions, la sécurité, les transferts éventuels et l’assistance apportée pour répondre aux demandes des personnes. Lorsque vous constatez qu’un dispositif fonctionne sans information, sans opposition praticable et sans durées limitées, il est probable que ces préalables de conformité n’aient pas davantage été accomplis, ce que le contrôle de la CNIL établira.
La proportionnalité irrigue l’ensemble de ces exigences, et la jurisprudence sociale en fournit une illustration souvent reprise. Dans un arrêt du 19 décembre 2018 rendu à propos d’un système de géolocalisation des distributeurs d’une entreprise de distribution d’imprimés, la chambre sociale de la Cour de cassation a censuré la cour d’appel qui validait le dispositif au motif qu’aucun autre moyen n’était aussi efficace. Elle a jugé que « l’utilisation d’un système de géolocalisation pour assurer le contrôle de la durée du travail, laquelle n’est licite que lorsque ce contrôle ne peut pas être fait par un autre moyen, fût -il moins efficace que la géolocalisation », de sorte que l’employeur devait démontrer l’absence d’alternative avant de suivre ses salariés à la trace. Le raisonnement vaut pour les capteurs Wi-Fi des commerces : la simple efficacité statistique du comptage par adresse MAC ne suffit pas à le justifier lorsque des méthodes anonymes, comme les cellules de comptage par faisceau ou les analyses vidéo agrégées sans identification, permettent de mesurer l’affluence sans suivre personne. Cette exigence protège aussi les salariés des enseignes, dont les allées et venues sont captées toute la journée par les mêmes boîtiers : en droit du travail français, « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. » Un employé de boutique suivi en continu par le système de mesure d’audience de son propre magasin, sans information ni alternative, cumule les protections du droit du travail et du droit des données.
II. Refuser le suivi, faire effacer et sanctionner
A. Constater le dispositif, s’opposer par écrit et saisir la CNIL
La première étape consiste à établir la réalité du dispositif, car un traçage invisible se conteste d’abord par des preuves visibles. Photographiez les entrées de la galerie ou du magasin : l’absence de tout panneau d’information sur une mesure d’audience constitue un indice simple et daté. Relevez le nom de l’exploitant, celui de l’enseigne et, si possible, la présence de boîtiers capteurs, souvent petites boîtes blanches fixées en hauteur près des entrées et des allées centrales, sans les toucher ni les détériorer. Sur votre téléphone, des applications d’analyse des réseaux environnants permettent de visualiser les identifiants des points d’accès et, parfois, les noms de réseaux dédiés au refus du suivi ; capturez ces écrans avec la date. Si un panneau existe, photographiez-le en entier : un panneau qui se borne à mentionner la vidéosurveillance sans évoquer la mesure Wi-Fi ne vaut pas information sur le traitement qui vous trace. Notez enfin vos propres passages, jours et heures de visite, car ces éléments permettront de vérifier, après une demande d’accès, si des données vous concernant ont bien été conservées sur ces créneaux.
Adressez ensuite vos demandes par écrit à l’exploitant, de préférence par lettre recommandée avec accusé de réception doublée d’un courriel, en visant à la fois l’opposition au traitement, l’accès aux données vous concernant et leur effacement. Décrivez-vous avec précision sans livrer plus d’informations que nécessaire : modèle de téléphone et adresse MAC si vous l’acceptez, créneaux de visite constatés, copie d’une pièce d’identité si l’exploitant ne peut vous identifier autrement. Exigez une réponse complète dans un délai d’un mois : confirmation de l’existence du dispositif, finalités poursuivies, base légale invoquée, durées de conservation appliquées, copie des données vous concernant et attestation de suppression après opposition. Si l’exploitant a désigné un délégué à la protection des données, adressez-lui une copie de vos courriers. En parallèle, activez sur votre téléphone les fonctions d’adresse aléatoire proposées par les systèmes récents, qui renouvellent l’identifiant diffusé et compliquent le suivi longitudinal ; cette mesure technique ne remplace pas vos droits, mais elle réduit immédiatement votre exposition pendant la procédure.
Pour identifier le bon destinataire, commencez par les mentions affichées sur place et sur le site internet du centre commercial : la rubrique dédiée à la protection des données indique l’identité de l’exploitant et les coordonnées de son délégué. À défaut de mentions, écrivez à la direction du centre, dont l’adresse figure dans les mentions légales du site, et demandez-lui de transmettre au responsable du dispositif et de vous communiquer l’identité du prestataire de mesure. Structurez votre courrier en quatre demandes numérotées : opposition au traitement vous concernant, accès à l’ensemble des données conservées sur vous avec leurs durées, effacement de ces données, et communication des informations sur le fondement juridique et les destinataires. Fixez un délai de réponse d’un mois et annoncez la réclamation devant la CNIL puis l’action en justice en cas de silence. Lorsque vos enfants vous accompagnaient lors des visites, exercez les droits pour leur compte en votre qualité de titulaire de l’autorité parentale, en joignant la justification de cette qualité, car les identifiants des appareils des mineurs sont captés dans les mêmes conditions que les vôtres et appellent une vigilance redoublée.
En l’absence de réponse satisfaisante dans le délai, la réclamation devant la CNIL constitue la voie naturelle. Le droit européen ouvre à toute personne la possibilité de saisir l’autorité de contrôle de son lieu de résidence lorsqu’elle estime qu’un traitement viole les règles applicables, et la CNIL, dont le siège est à Paris, reçoit ces plaintes en ligne avec les pièces justificatives : vos courriers, leurs accusés de réception, vos constats photographiques et la chronologie des faits. Dans votre plainte, insistez sur les points que la doctrine de la CNIL juge déterminants : défaut d’information préalable, absence de consentement pour un dispositif qui dépasse la mesure anonyme, opposition impossible sans se priver du Wi-Fi, conservation au-delà des délais admis. La CNIL peut contrôler l’exploitant, le mettre en demeure de se conformer dans un délai fixé, prononcer une injonction de mise en conformité et infliger des sanctions financières calibrées pour sanctionner et dissuader. Si vous avez déjà déposé une plainte et que l’instruction s’éternise, les délais de traitement, les relances et le recours ouvert contre l’inaction de l’autorité sont exposés dans notre analyse de la [plainte devant la CNIL restée sans réponse : délais, relance et recours]. La voie administrative ne ferme aucune autre porte : vous pouvez agir en justice en parallèle, et la plainte documentée renforce votre dossier devant le juge.
B. Saisir le juge : cessation du traçage, astreinte, sanctions pénales et réparation
Le juge des référés offre la voie la plus rapide pour faire cesser un traçage en cours. Le code de procédure civile permet au président du tribunal judiciaire de « même en présence d’une contestation sérieuse, prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent », « soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite ». La captation systématique des passants sans information ni consentement, en violation de la doctrine de l’autorité de contrôle, peut être présentée comme un trouble de cette nature, et le juge peut ordonner la désactivation des boîtiers, la suppression des bases constituées et l’affichage d’une information conforme, le tout sous astreinte journalière dont il se réserve la liquidation. Le même texte ajoute que « Dans les cas où l’existence de l’obligation n’est pas sérieusement contestable, ils peuvent accorder une provision au créancier, ou ordonner l’exécution de l’obligation même s’il s’agit d’une obligation de faire. » L’obligation d’effacer des données collectées sans fondement entre dans ce cadre lorsque la collecte est établie et l’absence de consentement documentée. Pour un demandeur domicilié en Île-de-France face à une enseigne ou à une foncière établie à Paris, le tribunal judiciaire de Paris, statuant en référé, constitue la juridiction naturelle, et la proximité du siège parisien de la CNIL facilite l’articulation entre la plainte administrative et l’action en justice.
Au fond, l’action en cessation s’accompagne d’une demande de dommages-intérêts sur le fondement du droit commun de la responsabilité, selon lequel « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Le préjudice, ici, se documente par la durée du suivi subi, le caractère systématique de la captation, l’ignorance dans laquelle le passant a été maintenu et, le cas échéant, l’utilisation commerciale de ses trajectoires à des fins de reciblage publicitaire. Les frais de procédure exposés pour faire valoir vos droits peuvent être mis à la charge de l’exploitant qui succombe, en application du principe selon lequel « Le juge condamne la partie tenue aux dépens ou qui perd son procès à payer » la somme qu’il détermine au titre des frais exposés et non compris dans les dépens. Une fois les données obtenues ou le dispositif arrêté, il reste souvent à traiter les informations conservées par l’exploitant : les démarches pour [obtenir l’effacement de vos données conservées après la fermeture d’un compte client] suivent une logique identique et peuvent être engagées en parallèle lorsque l’enseigne détient aussi un fichier clients.
La preuve, dans ce contentieux, repose sur un faisceau d’indices convergents plutôt que sur une pièce unique. Outre vos photographies et captures, un constat dressé par un commissaire de justice peut figer la présence des capteurs, l’absence ou le contenu des panneaux d’information et la configuration des lieux, avec une force probante que de simples photographies n’atteignent pas toujours. Vos relevés de passages, croisés avec les données que l’exploitant aura communiquées en réponse à votre demande d’accès, démontrent l’ampleur du suivi. Les témoignages écrits de proches qui vous accompagnaient, rédigés dans les formes requises avec copie d’une pièce d’identité, corroborent vos visites. Enfin, toute offre commerciale manifestement liée à vos déplacements, reçue après vos passages, établit l’exploitation concrète de votre identifiant. Présenté dans cet ordre au juge, ce dossier transforme un traçage contesté en une chronologie documentée, et rend difficile pour l’exploitant l’affirmation selon laquelle personne n’était suivi.
La dimension pénale ne doit pas être négligée, car elle donne à la plainte une portée que la seule action civile n’atteint pas toujours. Outre la collecte par moyen déloyal déjà évoquée, le code pénal punit le fait, y compris par négligence, de mettre en oeuvre un traitement sans respecter les formalités préalables prévues par la loi : « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » Un dépôt de plainte auprès du procureur de la République, avec constitution de partie civile, permet de faire constater les faits par l’enquête et de réclamer réparation dans le même mouvement. Surveillez toutefois les délais : en matière civile, « Les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer. » ; en matière pénale, « L’action publique des délits se prescrit par six années révolues à compter du jour où l’infraction a été commise. » Comme le traçage est invisible par nature, le point de départ du délai civil se situe au jour où vous avez découvert le dispositif, et non au jour de la première captation : conservez la preuve de cette découverte, car l’exploitant ne manquera pas de discuter la date.
En pratique, la séquence efficace tient en quatre temps. D’abord, constater le dispositif par des photographies des entrées, des captures des réseaux environnants et un relevé de vos passages, puis activer l’adresse aléatoire de votre téléphone. Ensuite, adresser à l’exploitant une opposition, une demande d’accès et une demande d’effacement écrites, précises et conservées avec leurs accusés de réception. Puis déposer une plainte documentée devant la CNIL en visant les manquements que sa doctrine sanctionne : défaut d’information, absence de consentement, opposition impraticable, conservation excessive. Enfin, saisir le juge des référés pour faire cesser le traçage sous astreinte et obtenir une provision, tout en préparant l’action au fond en réparation et, le cas échéant, la plainte pénale pour collecte déloyale. Le passant invisible des statistiques redevient alors un justiciable visible, et c’est à l’exploitant de démontrer que son comptage respectait vos droits.