La géolocalisation à des fins publicitaires

III. LES PROBLEMATIQUES RELATIVES A LA DETERMINATION DU RESPONSABLE DE TRAITEMENT

Deux problématiques sont liées à la détermination du responsable de traitement : il faut déterminer quels sont les acteurs concernés par cette qualification (A) et s'ils entrent dans le champ d'application territorial de la loi (B).

A. LA DESIGNATION DES RESPONSABLE DE TRAITEMENT

Il s'agit de savoir quelle définition a été retenue par les textes pour qualifier le responsable de traitement (1) et quels acteurs sont concernés par cette qualification (2).

1. DEFINITION ET LOI APPLICABLE

53. Définition du responsable de traitement - La directive n°95/46/CE^30(*)et la loi n°78-17^31(*) énoncent toutes deux que le responsable de traitement de données à caractère personnel est « la personne, l'autorité publique, le service ou l'organisme qui détermine ses finalités et ses moyens ».

54. Applicabilité de la loi française aux responsables de traitement - L'article 4 point c de la directive n°95/46/CE, repris par l'article 5 de la loi n°78-17 énonce que sont soumis aux lois de chaque Etats membres les traitements de données à caractère personnel lorsque le responsable du traitement est établi sur le territoire de l'Etat et même lorsqu'il n'est pas établi sur le territoire de l'Etat en question et qu'il recourt « à des fins de traitement de données à caractère personnel, à des moyens, automatisés ou non, situés sur le territoire dudit État membre, sauf si ces moyens ne sont utilisés qu'à des fins de transit sur le territoire de la Communauté ». Dès lors qu'un utilisateur fait l'objet d'un traitement de sa localisation alors qu'il est situé sur le territoire français, la loi française est applicable au responsable de traitement qui, pour le localiser, a forcément utilisé un dispositif situé sur le territoire tel que les cookies.

2. LES ACTEURS CONCERNES

55. Qui sont-ils ? - Le G29 propose, dans son avis du relatif aux services de géolocalisation des dispositifs mobiles intelligents^32(*), de distinguer trois catégories d'acteurs traitant des données de géolocalisation : le responsable d'une infrastructure de géolocalisation, le fournisseur d'application ou de service de géolocalisation, le développeur du système d'exploitation d'un dispositif mobile intelligent. En pratique les sociétés endossent plusieurs rôles en même temps. Tel est par exemple le cas de « SFR régie » qui combine les fonctions d'exploitation d'un système traitant la position d'un dispositif spécifique à l'aide de leurs stations de base et celles d'une plateforme publicitaire.

56. Le responsable d'infrastructure de géolocalisation - Deux types d'acteurs exploitent des infrastructures de géolocalisation : les opérateurs de télécommunications lorsqu'ils traitent la position d'un terminal mobile à l'aide de leurs stations de bases et les propriétaires de bases de données comprenant des points d'accès Wifi mappés. Les opérateurs et les propriétaires des bases de données déterminent leurs finalités et leurs moyens et sont considérés comme étant des responsables de traitement au sens de la directive et sont soumis à la loi n°78-17 dès lors qu'ils utilisent un dispositif sur le territoire.

57. Les fournisseurs d'applications et de services de géolocalisation - Les logiciels tiers installés sur les terminaux mobiles et appelés « applications » peuvent être amenés à traiter des données de localisation ainsi que d'autres données du terminal. Ils peuvent être amenés à traiter de telles données indépendamment du développeur du système d'exploitation ou des responsables d'infrastructure de géolocalisation. Ils recueillent ces données de localisation pour le fonctionnement de leur logiciel et/ou dans le but de constituer des bases de données qui seront communiquées à des tiers ou exploitées par euxpour faire de la publicité géo-adaptée notamment. Le fournisseur qui est capable de traiter lui-même des données de géolocalisation est considéré comme étant un responsable de traitement.

58. Les développeurs du système d'exploitation - Ils sont considérés comme étant des responsables de traitement dans trois cas. Premièrement, les développeurs du système d'exploitation du terminal mobile peuvent être des responsables de traitement de données de géolocalisation lorsqu'ils sont directement en interaction avec l'utilisateur et qu'ils recueillent des données à caractère personnel (initiales de l'utilisateur, localisation...). Deuxièmement, ils sont considérés comme étant des responsables de traitement dès lors qu'ils mettent en place des fonctionnalités telles que la mise à jour automatique du fuseau horaire en fonction de l'emplacement du terminal. Troisièmement, les développeurs sont des responsables de traitement lorsqu'ils offrent une plateforme publicitaire et/ou un environnement pour la vente d'applications et qu'ils sont en mesure de traiter les données à caractère personnel résultat des applications de géolocalisation, indépendamment des fournisseurs d'applications. Dans les trois cas les développeurs peuvent être amenés à traiter des données de localisation et sont à ce titre considérés comme étant des responsables de traitement.

59. Les fournisseurs de réseau publicitaire - Aux trois groupes d'acteurs peuvent être ajoutés les fournisseurs de réseau publicitaire qui peuvent, dans certains cas, être qualifiés de responsable de traitement de données de géolocalisation. Tel est le cas lorsqu'ils placent des cookies et/ou récupèrent des informations de géolocalisation, à partir des cookies stockés, sur le terminal mobile de l'utilisateur. Mais tel est aussi le cas lorsque la publicité comportementale implique le traitement de données à caractère personnel. La question pourrait se poser de savoir s'ils déterminent leurs finalités et leurs moyens au sens de l'article 3 de la loi n°78-17. Dans la mesure où ils louent des espaces sur les sites des diffuseurs pour y afficher leurs annonces, et qu'ils peuvent lire ou placer les cookies déposés sur le terminal de l'utilisateur et ainsi collecter des données à caractère personnel, ils peuvent être considérés comme étant des responsables de traitement.

60. Les autres acteurs - Ceux sont toutes les autres parties qui peuvent traiter des données de localisation telles que les navigateurs, les réseaux sociaux, les supports de communication qui permettent le géomarquage (ex : Foursquare) par exemple. Lorsque ces acteurs intègrent des fonctions de géolocalisation dans leur plateforme ils ont une grande part de responsabilité dans la définition du paramétrage par défaut concernant l'activation ou la désactivation de cette fonction. Néanmoins, ils ne sont considérés comme étant des responsables de traitement que dans la mesure où ils traitent eux-mêmes et de manière active les données à caractère personnel.

* ³⁰ Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, 24 octobre 1995, article 2

* ³¹ Loi n° 78-17 relative à l'informatique, aux fichiers et aux libertés, 6 janvier 1978, article 3

* ³² Avis 13/2011 du G29 sur les services de géolocalisation des dispositifs mobiles intelligents, 16 mai 2011, p.12