Vous entrez dans un centre commercial, le téléphone en poche, wifi activé. Sans rien signer ni rien accepter, votre passage est compté, votre trajet modélisé, votre retour la semaine suivante détecté. Ce pistage discret repose sur une donnée émise en permanence par votre téléphone : son identifiant wifi, l’adresse MAC. La Commission nationale de l’informatique et des libertés (CNIL) a encadré ces dispositifs de mesure de fréquentation avec des règles précises, qui distinguent la statistique anonyme immédiate du suivi individualisé. Quand le magasin reste dans le premier cas, la loi l’autorise sous conditions strictes. Quand il en sort, seul votre consentement peut justifier la collecte. Cet article explique comment vérifier dans quel cas vous vous trouvez, comment vous opposer, comment exiger l’effacement de vos données, et comment saisir la CNIL puis le juge pour obtenir réparation.
I. Comprendre ce que le magasin capte et sur quelle base légale
A. L’adresse MAC, une donnée personnelle qui révèle vos déplacements
Tout téléphone avec le wifi activé émet régulièrement des signaux pour détecter les réseaux autour de lui. Ces signaux contiennent l’identifiant de l’appareil, l’adresse MAC. Des boîtiers installés dans les galeries marchandes ou sur la voie publique captent ces identifiants et en déduisent la position géographique et les trajets des personnes, comme le décrit la CNIL : dans un centre commercial ou sur la voie publique, des boîtiers peuvent capter les données émises par les téléphones portables et en déduire la position géographique et les trajets des personnes.
Concrètement, ces dispositifs permettent d’établir des statistiques de fréquentation par plage horaire, de modéliser les trajets à l’intérieur du centre, de calculer des taux de répétition des visites, voire, sur la voie publique, d’estimer un temps d’attente dans une file ou le nombre de véhicules sur une voie. L’adresse MAC est une donnée à caractère personnel au sens du règlement général sur la protection des données (RGPD), puisque celui-ci vise toute information se rapportant à une personne identifiable, notamment par référence à un identifiant ou à des données de localisation. Le responsable du traitement, c’est-à-dire celui qui détermine les finalités et les moyens, est ici l’exploitant du magasin, du centre commercial ou du dispositif publicitaire, parfois avec un prestataire qui fournit les boîtiers. La CNIL le définit comme la personne morale ou physique qui détermine les finalités et les moyens d’un traitement, c’est-à-dire l’objectif et la façon de le réaliser, et précise qu’en pratique et en général, il s’agit de la personne qui décide de mesurer la fréquentation et d’exploiter les statistiques. Le prestataire qui installe et maintient les capteurs n’est le plus souvent qu’un sous-traitant, qui agit pour le compte du responsable et sur ses instructions. Cette distinction conditionne l’adressage de vos demandes : c’est au responsable, l’exploitant, qu’il faut écrire en premier, même si le prestataire peut être mis en cause ensuite devant le juge en cas de traitement commun. Quand plusieurs acteurs se renvoient la responsabilité, demandez à chacun d’indiquer par écrit son rôle exact et le contrat qui l’encadre.
Pour identifier le responsable, commencez par les sources les plus simples : les mentions légales du site internet du centre commercial, qui désignent la société d’exploitation, puis l’affichage présent sur place, qui doit mentionner l’identité du responsable du traitement. À défaut d’affichage, demandez à l’accueil du centre le nom de la société qui exploite le dispositif et les coordonnées de son délégué à la protection des données, et notez par écrit le jour, l’heure et le nom de la personne qui vous répond. Si l’on vous renvoie vers un prestataire technique, relevez son nom sans vous y arrêter : le responsable au sens du RGPD reste celui qui décide de mesurer la fréquentation et d’utiliser les statistiques, même quand il sous-traite la fourniture des boîtiers.
Constituez dès cette première visite un dossier de preuves. Photographiez les entrées et les allées pour montrer la présence ou l’absence d’information sur le dispositif, conservez vos tickets de caisse, qui établissent vos passages avec date et heure, et notez les sollicitations commerciales reçues dans les jours qui suivent, avec leur date et leur contenu. Si vous utilisez l’application du centre ou son wifi offert, capturez les écrans des autorisations demandées : accepter les conditions d’accès au wifi ne vaut pas consentement au suivi de vos trajets, et ces captures permettront de le démontrer. Ce dossier servira à chaque étape, de la demande amiable à la plainte devant la CNIL et, le cas échéant, devant le juge.
Le champ couvert par la doctrine de la CNIL mérite d’être précisé. Elle concerne uniquement les dispositifs utilisés pour élaborer des statistiques agrégées et anonymes à partir de données personnelles telles que l’identifiant du téléphone. Elle ne concerne pas les dispositifs qui ne collectent aucune donnée personnelle, comme un tapis qui compte les pas ou un tourniquet qui compte les passages. Et elle ne concerne pas non plus les dispositifs qui ciblent les personnes, par exemple pour améliorer la connaissance client ou faire de la prospection commerciale : ceux-là sont considérés comme plus intrusifs et examinés au cas par cas, avec des garanties renforcées. Autrement dit, un simple compteur de passages n’est pas votre sujet ; un système qui reconnaît que vous êtes revenu trois fois cette semaine l’est.
Le premier réflexe de vérification consiste donc à repérer l’information affichée : la CNIL exige une information visible, adaptée au contexte, mentionnant l’identité du responsable, la finalité, les destinataires, vos droits et la durée de conservation. Cherchez les affiches aux entrées et sorties du centre, les mentions sur les bornes wifi, les pages vie privée du site internet du centre commercial. L’absence totale d’information est déjà un indice de non-conformité : photographiez les lieux et conservez tout élément qui prouve votre passage et l’absence d’affichage. L’autorité compétente pour recevoir vos plaintes est désignée par la loi : elle est l’autorité de contrôle nationale au sens et pour l’application du règlement (UE) 2016/679 du 27 avril 2016, chargée de veiller à ce que les traitements soient mis en œuvre conformément aux textes.
B. Trois situations, trois régimes : anonymisation immédiate, pseudonymisation de 24 heures, ou consentement obligatoire
La CNIL distingue trois cas de figure, et tout le régime de vos droits en dépend. Premier cas : les données sont anonymisées à bref délai, dans les minutes suivant leur collecte. L’anonymisation doit répondre aux critères de l’avis du groupe de l’article 29 de 2014, notamment un taux de collision élevé entre individus, et la CNIL préconise une durée maximale de cinq minutes au-delà de laquelle aucune donnée identifiante ne doit être conservée. Dans ce cas, le responsable peut retenir l’intérêt légitime comme base légale, et l’information peut se limiter en premier niveau à la finalité, à l’identité du responsable et à l’existence de vos droits. La CNIL s’appuie ici sur les lignes directrices du Comité européen de la protection des données sur la transparence, qui admettent une information à deux niveaux : un premier niveau resserré sur l’essentiel, puis un second niveau où les personnes doivent pouvoir prendre connaissance de l’ensemble des informations prévues par les textes, adaptées au contexte et aux caractéristiques du traitement. Concrètement, l’affiche à l’entrée du centre mentionne le dispositif et la page d’opposition, tandis que le site internet de l’exploitant doit détailler le reste, par exemple : un dispositif de mesure d’audience du centre commercial est mis en place par la Société A. Les données à caractère personnel collectées sont anonymisées dans un délai très court.
Deuxième cas : les données sont immédiatement pseudonymisées, avec suppression des données brutes, au moyen d’un mécanisme fiable faisant nécessairement intervenir un sel ou une clé, puis anonymisées ou détruites en fin de journée. La CNIL l’écrit sans détour : en fin de journée, les données pseudonymisées doivent être anonymisées ou détruites. L’intérêt légitime peut alors fonder le traitement, mais sous conditions cumulatives : information préalable des personnes, mécanismes d’opposition préalables accessibles, fonctionnels, simples et réalistes, modalités d’exercice des droits d’accès, de rectification et d’opposition a posteriori. L’information prévue à l’article 32 de la loi informatique et libertés, c’est-à-dire l’article 13 du RGPD, doit être visible, par exemple par affichage aux points d’entrée et de sortie, sur les bornes wifi ou sur chaque dispositif.
Troisième cas : dans tous les autres cas, c’est-à-dire dès que le dispositif ne respecte pas strictement les critères des deux premiers, seul le consentement peut servir de base légale. La CNIL précise que ce consentement peut être recueilli par tout moyen, par exemple la connexion à un réseau wifi spécifique, le téléchargement d’une application, l’inscription sur un site dédié ou le badgeage du terminal sur une borne, mais qu’il doit être informé, libre et spécifique : le consentement ne doit concerner que le traitement de suivi et ne peut être inclus dans l’acceptation de CGU par exemple. Le consentement glissé dans des conditions générales d’utilisation du wifi offert par le centre ne vaut donc pas consentement au pistage de vos trajets.
Ce cadre se comprend au regard des bases légales du RGPD. Le traitement n’est licite que si au moins une condition est remplie, et le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : le consentement pour une ou plusieurs finalités spécifiques, ou la nécessité aux fins des intérêts légitimes poursuivis par le responsable, à moins que ne prévalent vos intérêts et droits fondamentaux. Le juge parisien l’a rappelé dans un litige relatif à une demande d’accès : les données doivent être traitées de manière licite, loyale et transparente, collectées pour des finalités déterminées, explicites et légitimes, adéquates, pertinentes et limitées au nécessaire, et conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Toute conservation individualisée au-delà de la journée, sans votre accord, heurte de front cette exigence de limitation de la conservation.
Enfin, un point souvent ignoré : le ciblage individuel, par exemple vous adresser une offre parce que le système vous a reconnu comme client régulier, sort du cadre statistique. Il relève du cas du consentement, avec une information complète sur les destinataires, les transferts éventuels hors de l’Union européenne et la durée de conservation. Si vous recevez une sollicitation commerciale manifestement adossée à vos passages, conservez-la : elle constitue l’indice que le dispositif ne se limite pas à la statistique anonyme.
II. Agir : s’opposer, exiger l’effacement, saisir la CNIL et le juge
A. L’opposition préalable et l’exercice de vos droits auprès de l’exploitant
Le droit d’opposition est le levier central de ce contentieux. Lorsque le traitement repose sur l’intérêt légitime, vous avez le droit de vous opposer à tout moment, pour des raisons tenant à votre situation particulière, et le droit d’opposition s’exerce dans les conditions prévues à l’article 21 du règlement (UE) 2016/679 du 27 avril 2016, c’est-à-dire à tout moment, pour des raisons tenant à votre situation particulière, contre un traitement fondé sur l’intérêt légitime du responsable. Dans le premier cas de la CNIL, l’anonymisation rend l’identification impossible et, conformément à l’article 11 du RGPD, l’exercice des droits d’accès, de rectification et de limitation n’a pas à être organisé ; en revanche, l’exercice du droit d’opposition préalable doit être prévu, par exemple par une page d’opposition en ligne mentionnée dans l’information affichée.
Dans le deuxième cas, le responsable doit mettre en place un mécanisme d’opposition préalable accessible et réaliste. La CNIL recommande un dispositif dédié qui collecte automatiquement l’adresse MAC des terminaux à des fins d’opposition : quand vous exercez votre opposition par ce biais, le responsable doit supprimer les données déjà pseudonymisées et cesser de collecter votre adresse MAC, et il est recommandé de diffuser un nom de réseau clair et explicite tel que wifi_tracking_optout. Lorsque vous utilisez ce mécanisme, conservez la preuve de votre démarche, par exemple une capture d’écran de la page d’opposition avec sa date, et vérifiez lors d’une visite ultérieure que votre terminal n’est plus détecté. Retenez surtout ce que la CNIL exclut : la désactivation du WiFi sur le téléphone ou toute technique contraignant les passants à se priver d’une fonctionnalité de leur appareil pour éviter d’être tracé ne peut être considérée comme une modalité satisfaisante d’exercice du droit d’opposition. On ne peut donc pas vous répondre qu’il suffisait de couper votre wifi : c’est au responsable d’organiser une opposition simple, avant toute collecte.
En pratique, adressez au responsable identifié, par écrit et en conservant la preuve de l’envoi, une demande qui combine l’opposition au traitement de votre adresse MAC et la demande d’effacement des données déjà collectées, en précisant les lieux, les dates et les plages horaires de vos passages, ainsi que, si possible, l’adresse MAC de votre téléphone, que vous trouverez dans ses réglages. Un cas mérite une vigilance particulière : le wifi offert par le centre. La CNIL admet que le consentement puisse être recueilli par la connexion à un réseau wifi spécifique, mais elle exige qu’il soit libre et spécifique, et que le refus n’entraîne aucune conséquence négative. Concrètement, le portail de connexion doit distinguer l’accès à internet, d’un côté, et l’autorisation de suivre vos déplacements dans la galerie, de l’autre, avec deux cases ou deux boutons séparés. Si le bouton d’accès au wifi emporte en une seule acceptation l’autorisation d’être pisté, le consentement n’est ni libre ni spécifique et le traitement bascule dans l’illicite. De même, couper votre accès au wifi parce que vous avez refusé le suivi constituerait la conséquence négative prohibée. Capturez ces écrans : ils établissent à eux seuls le vice du consentement. Si le traitement reposait sur votre consentement, par exemple via l’application du centre, vous pouvez le retirer : vous pouvez retirer votre consentement à tout moment, et celles-ci doivent être en mesure de retirer leur consentement aussi facilement qu’elles l’ont donné. Exigez la confirmation écrite de la suppression et de la cessation de la collecte, et demandez sur quelle base légale et selon lequel des trois cas de la CNIL l’exploitant affirme se placer. En droit français, ces droits s’articulent avec le RGPD : le droit d’opposition s’exerce dans les conditions prévues à l’article 21 du règlement (UE) 2016/679 du 27 avril 2016, le droit à l’effacement s’exerce dans les conditions prévues à l’article 17 du règlement (UE) 2016/679 du 27 avril 2016, et le droit d’accès de la personne concernée s’exerce dans les conditions prévues à l’article 15 du règlement (UE) 2016/679 du 27 avril 2016, le juge pouvant ordonner en référé toute mesure propre à éviter la dissimulation ou la disparition des données.
Votre courrier gagne à suivre une trame précise. Rappelez votre identité et les éléments permettant de vous retrouver dans les données, c’est-à-dire les dates, heures et lieux de vos passages, ainsi que l’adresse MAC de votre téléphone si vous acceptez de la communiquer. Visez le traitement en cause, la mesure de fréquentation par capteurs wifi, puis formulez en trois temps : opposition au traitement pour des raisons tenant à votre situation particulière, demande d’effacement des données déjà collectées, et demande d’information sur la base légale invoquée, le cas du cadre CNIL revendiqué, les destinataires et la durée de conservation. Demandez une confirmation écrite de la suppression et de la cessation de toute nouvelle collecte, et fixez un repère de suivi en annonçant qu’à défaut de réponse satisfaisante vous saisirez la CNIL. Envoyez ce courrier par un moyen qui prouve la réception et conservez-en une copie avec son accusé.
Distinguez bien les réponses possibles. Si l’exploitant affirme anonymiser à bref délai, demandez la description du procédé et le délai garanti, que la CNIL plafonne à cinq minutes pour la conservation de données identifiantes. S’il invoque la pseudonymisation avec destruction en fin de journée, vérifiez l’existence du mécanisme d’opposition préalable et utilisez-le, puis contrôlez qu’aucune nouvelle détection de votre passage ne survient. S’il invoque votre consentement, Rappelez que vous l’avez retiré et que le retrait doit être aussi simple que le don, par exemple une désinscription en un clic dans l’application. Tout refus, toute réponse dilatoire ou tout silence circonstancié alimente ensuite votre plainte : joignez ces pièces plutôt que de multiplier les relances.
Si le responsable ne répond pas ou répond de façon évasive, exercez votre droit d’accès pour obtenir la copie des données vous concernant et les informations sur la finalité, les destinataires et la durée de conservation. L’expérience contentieuse montre que ces demandes doivent être adressées au bon responsable et formulées avec précision : le tribunal judiciaire de Paris, dans un jugement du 13 février 2025, a ainsi débouté le demandeur de sa demande tendant à enjoindre à une société de répondre à sa requête d’accès, ce qui illustre qu’une demande approximative ou mal dirigée n’aboutit pas. Identifiez donc exactement l’exploitant, par exemple la société de gestion du centre commercial mentionnée sur l’affichage ou les mentions légales de son site, et distinguez-la du prestataire technique qui fournit les boîtiers.
Pour les habitants de Paris et de l’Île-de-France, où se concentrent les grands centres commerciaux équipés de ces dispositifs, ces démarches écrites préalables conditionnent la suite : la CNIL comme le juge attendent que vous ayez d’abord exercé vos droits auprès du responsable. Conservez les affiches photographiées, vos courriers, les réponses reçues et tout élément montrant la persistance de la collecte, comme une nouvelle détection de votre passage après votre opposition.
B. La plainte devant la CNIL, le recours devant le juge et la réparation du préjudice
Si l’exploitant maintient le dispositif sans base légale, refuse l’effacement ou ignore votre opposition, vous pouvez introduire une réclamation devant la CNIL : sans préjudice de tout autre recours, toute personne concernée peut introduire une réclamation auprès de l’autorité de contrôle, en particulier dans l’État membre de votre résidence habituelle. Joignez à votre plainte l’ensemble du dossier constitué : preuves de passages, photographies de l’information affichée ou de son absence, copie de votre opposition et de votre demande d’effacement, réponse ou silence de l’exploitant, sollicitations commerciales éventuellement reçues. La procédure complète de plainte, avec les étapes et les recours si la CNIL ne répond pas, est décrite dans notre guide pratique, que vous pouvez consulter ici : déposer une plainte devant la CNIL, la relancer et contester.
Parallèlement, vous disposez d’un recours juridictionnel effectif : sans préjudice des recours administratifs, chaque personne concernée dispose d’un recours juridictionnel effectif quand elle estime que les droits que le règlement lui confère ont été violés par un traitement effectué en violation de ses dispositions. L’action peut être intentée devant les juridictions de l’État membre de votre résidence habituelle, ce qui, pour un Francilien pisté dans un centre commercial de la région, ouvre la saisine du tribunal judiciaire de votre domicile. Vous pouvez y demander la cessation du traitement illicite, sous astreinte, l’effacement des données et la réparation de votre préjudice.
La réparation obéit à l’article 82 du RGPD : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. La Cour de justice de l’Union européenne a précisé le régime de ce droit dans un arrêt du 4 mai 2023 : la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation, mais les juges nationaux ne peuvent pas subordonner la réparation du dommage moral à un seuil de gravité, et ils fixent le montant selon les règles internes de l’État membre dans le respect de l’équivalence et de l’effectivité du droit de l’Union. La Cour de cassation applique cette grille : dans un arrêt du 24 juin 2026, la chambre sociale rappelle que le droit à réparation remplit une fonction compensatoire et non punitive, que le demandeur doit établir non seulement la violation mais aussi le dommage matériel ou moral qu’elle lui a causé, et elle casse une indemnisation accordée sans que ce dommage ait été caractérisé. La même décision vise l’arrêt de la Cour de justice du 25 janvier 2024, qui impose au demandeur d’établir la violation, puis le dommage qu’elle lui a causé, comme le confirme l’arrêt du 24 juin 2026 de la chambre sociale.
Concrètement, documentez votre préjudice : sentiment d’être suivi dans vos déplacements, restriction de votre liberté d’aller et venir, crainte d’un profilage commercial, temps passé à faire valoir vos droits, sollicitations non désirées. Même si aucun seuil de gravité n’est exigé, une violation abstraite, sans démonstration d’un dommage concret, ne suffit pas à obtenir des dommages et intérêts. Articulez chaque chef de préjudice avec une pièce : attestations, captures, échanges avec l’exploitant, et, le cas échéant, expertise ou constat d’huissier établissant la persistance du dispositif après votre opposition.
Conclusion
Être compté par le wifi d’un magasin n’est pas une fatalité technique : c’est un traitement de données personnelles soumis à des règles précises. Si l’exploitant anonymise dans les minutes ou pseudonymise puis détruit en fin de journée, avec une information visible et une opposition préalable simple, le dispositif peut reposer sur son intérêt légitime. Dans tous les autres cas, et en particulier dès qu’il vous reconnaît, vous suit dans le temps ou vous cible commercialement, seul votre consentement libre, spécifique et informé peut justifier la collecte. Vérifiez l’affichage, exercez par écrit votre opposition et votre droit à l’effacement, puis, en cas d’échec, saisissez la CNIL et le juge, en documentant un préjudice concret pour obtenir réparation.