La géolocalisation à des fins publicitaires

2. DONNEES DE LOCALISATION : DONNEES A CARACTERE PERSONNEL

47. Définition des données à caractère personnel de la loi n°78-17 du 6 janvier 1978 - L'article 2 de cette loi dispose que « constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres ». Ce droit est consacré après le droit au respect de la vie privée et familiale comme un droit autonome ce qui laisse à penser qu'il va au-delà du simple respect à la vie privée.

48. Définition des données à caractère personnel comme étant « toute information »... - L'expression « toute information » contenu dans la définition des données à caractère personnel de la directive n°95/46/CE et celle de la loi n°78-17 manifeste clairement la volonté du législateur d'élaborer une conception large. En ce qui concerne la nature des informations, le concept englobe toutes formes de renseignements à propos d'une personne qu'ils soient relatifs à sa vie privée et familiale mais également relatifs à ses activités quelles qu'elles soient. La donnée de géolocalisation est bel et bien une information.

49. ... relative à une personne identifiée/identifiable - La notion de personne identifiée ne pose pas de problème, tel est le cas lorsque le nom d'une personne apparaît directement dans le fichier. Une personne est dite identifiable lorsqu'un fichier comporte des informations permettant indirectement son identification, tel est le cas du numéro d'immatriculation, de l'adresse IP, du numéro de téléphone... Mais une personne peut également être identifiable lorsque le recoupement des informations disponibles permettent son identification (une date de naissance associée à une commune de résidence...). Ainsi il ressort des travaux préparatoires de la directive n°95/46/CE que l'identification d'une personne ne passe pas nécessairement par la connaissance d'éléments d'identité avérés tels que le nom ou le prénom mais peut ressortir d'un faisceau d'autres éléments tels que le métier, l'âge, le numéro de téléphone... Ce point est expressément relevé dans l'avis rendu par le groupe dit de l'article 29^25(*). L'identification indirecte peut également s'obtenir par l'intermédiaire de la combinaison du ou des numéros uniques tel que l'adresse MAC ou encore un numéro d'identification ajouté par les développeurs et éditeurs. En d'autres termes, la possibilité d'identifier une personne n'implique pas nécessairement la faculté de connaître son identité mais de repérer un utilisateur et de l'« isoler » même si son véritable nom n'est pas connu. Le considérant de l'article 26 de la directive n°95/46/CE énonce à ce sujet que « pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens susceptibles d'être raisonnablement mis en oeuvre, soit par le responsable du traitement, soit par une autre personne, pour identifier ladite personne »^26(*). En ce sens, les données de géolocalisation sont de véritables données à caractère personnel. D'autant plus, que la mise en oeuvre du traitement est, en règle générale, relativement aisée pour les responsables de traitement. Elle peut être rattachée facilement à un numéro de client, à l'identifiant du téléphone, au profil d'un réseau social avec lequel l'utilisateur s'est « logué » sur le site ou l'application mobile, au numéro de téléphone, aux autres données collectées en même temps que la localisation par les applications ou les sites, aux données divulguées par les utilisateurs eux-mêmes...

* ²⁵ Avis 4/2007 du G29 sur le concept de données à caractère personnel, 20 juin2007, p.6

* ²⁶ Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, article 26