Comment le centre-commercial des Quatre Temps a traqué ses visiteurs

"Cher visiteur, le centre vous informe qu'Unibail Rodamco [groupe propriétaire du centre commercial] est susceptible de collecter des informations personnelles liées à votre identifiant de terminal mobile." Cette phrase a été inscrite sur une petite note colorée. Repérée aux Quatre Temps, dans le quartier d'affaires de La Défense près de Paris, elle serait désormais obsolète. Ce qu'elle révèle n'en est pas moins inquiétant.

La première question qui se pose est celle de la nature des données collectées. A ce titre, la pancarte, comme le groupe possédant le centre commercial, restent pour le moins évasifs. On sait seulement qu'elles serviront à identifier les parcours client des visiteurs. Comprendre: dans quels magasins vous vous rendez, pour combien de temps, etc.

Cela est rendu possible grâce au wifi du centre. Celui auquel on vous encourage à vous connecter... Dès lors que vous l'activez sur votre smartphone, ce dernier envoie des signaux radio. S'ils sont captés, ils peuvent fournir les données évoquées à votre insu.

Une collecte contraire à la réglementation de la CNIL

Contacté parRue89, Unibail Rodamco raconte que la collecte a été arrêtée "début mai." "Les dernières données collectées ont été supprimées", assure le groupe. Il est ensuite précisé que les données avaient toutes été anonymisées. Pourtant, un internaute assure qu'il lui aurait été indiqué que l'adresse MAC des téléphones mobiles était enregistrée. Or, cette adresse est unique...

Autre motif d'interrogation: la pancarte fait bien mention d'une adresse e-mail à laquelle envoyer une requête pour s'opposer au traitement de ses données personnelles. Ce qui n'est possible que si les données ne sont justement pas anonymisées...

La CNIL, pourtant, a bien fixé des garde-fous à l'utilisation des données personnelles par les magasins. Elle oblige à l'anonymisation des données (sauf en cas de "consentement préalable et éclairé" des personnes ciblées, ce qui n'est ici pas le cas), et demande également à ce qu'elles soient supprimées dès lors que le visiteur sort du magasin. La pancarte fait elle état de "six mois" durant lesquels les informations à caractère personnel peuvent être conservées.

Contactée, la direction des Quatre Temps n'a pour l'instant pas donné suite à nos sollicitations.