Le spécialiste du mobilier urbain JCDecaux comptait utiliser un système WiFi pour détecter les smartphones à proximité dans un rayon de 25 mètres en récupérant leur adresse MAC et repérer ainsi le temps passé et les déplacements à proximité de ses panneaux publicitaires afin de disposer d'un moyen de mesure et d'identifier les meilleurs emplacements qui pourraient être alors mieux monnayés auprès des annonceurs, chiffres à l'appui.

S'agissant d'une collecte de données personnelles, l'enteprise avait donc fait une demande auprès de la CNIL pour pouvoir tester pendant un mois un dispositif expérimental dans le quartier de la Défense, à Paris.

Les informations collectées devaient être anonymisées...mais en même temps pas trop pour éventuellement pouvoir identifier un appareil qui passerait plusieurs fois à proximité du système de détection, permettant de reconstituer le parcours des personnes autour des panneaux publicitaires.

Ajoutant à cela qu'une simple affichette sur place expliquerait l'existence et le motif du dispositif, ce qui suggérait que l'immense majorité des personnes à portée du système de détection ne seraient pas averties de cette collecte, la CNIL avait pris la décision en juillet 2015 de refuser de fournir l'autorisation demandée.

JCDecaux avait alors contesté cette décision auprès du Conseil d'Etat qui vient de rendre un avis allant dans le sens de celui de la CNIL. Le Conseil fait valoir que l'initiative de récupération des adresses MAC des appareils mobiles constitue bien une "collecte directe de données personnelles" qui nécessite en ce sens l'accord (ou un droit d'opposition) des personnes concernées, et non une collecte indirecte comme le faisait valoir JCDecaux en mettant en avant l'anonymisation des données.

Or, le processus d'anonymisation proposé permettant malgré tout de repérer un même individu à partir de plusieurs sessions de données (c'est même l'un des buts de l'expérimentation), avec une éventuelle possibilité d'identification, il n'assure pas de rendre complètement anonyme la collecte de données effectuée.

Le Conseil d'Etat considère donc que la CNIL a correctement évalué la proposition de JCDecaux et n'a pas fait preuve d'"excès de pouvoir" en refusant de fournir l'autorisation demandée.