Mesure des flux dans les bus Rouen Métropole - détection passive des smartphones.
-
Un article du pureplayer local 76actu
Transports en commun à Rouen : l’affluence en temps réel bientôt communiquée aux usagerson y lit notamment (à propos du "système Flowly, pour l’heure « en cours de finalisation avec la Métropole ». ") :
"Grâce à des capteurs installés à bord des véhicules qui analysent les signaux des smartphones, le système évalue le nombre de voyageurs à bord. Combiné à d’autres systèmes embarqués, il permet de donner un niveau d’affluence."
[...]
"Le créateur de Flowly, Julien Tenenbaum, rapporte que lesdits capteurs « détectent des traces des smartphones des passagers », appelées des « adresses MAC ». Ces dernières, cependant, « ne sont ni reliées aux numéros de téléphones, ni aux identités des propriétaires », mais sont tout de même considérées comme des données personnelles. C’est pourquoi – conformément au règlement général sur la protection des données (RGPD) – elles sont « aussitôt transformées » après la collecte, puis « totalement anonymisées au bout de 3 à 6 heures maximum », assure Julien Tenenbaum. -
quelques détails sur le système.
A noter que la Métropole communique toujours en mode "données collectées de manière anonyme""Pour le voyageur, cette information lui permet d'organiser ces voyages en fonction de l'affluence dans les véhicules.
Les données sont captées de manière anonyme et servent uniquement à évaluer l'affluence dans le véhicule." https://twitter.com/MetropoleRouenN/status/1358715541775654913Évidemment ce n'est pas vraiment ça puisque on stocke l'adresse MAC au moins 6h on lit sur la page (avec un formulaire "Opposition à la collecte des données." où on rentre son adresse MAC)
https://tcar.flowly.re/"Vos lignes font actuellement l’objet d’une expérimentation pour la mise en place d’un dispositif d’analyse des flux de voyageurs, afin de mieux organiser votre service public de transport
Cette expérimentation est organisée par un partenaire du réseau TCAR, la société FLOWLY SAS (838 864 908 RCS Saint-Denis), responsable du traitement et destinataire des données.Cette analyse s’appuie sur des mesures réalisées de façon anonyme, en détectant les terminaux électroniques (smartphones, tablettes etc.) - sans identifier les personnes - via la collecte d'informations brutes émises automatiquement par ces derniers. Nous ne collectons aucune donnée sensible (comme votre nom ou votre numéro de téléphone).
Une empreinte cryptographique de l'identifiant (adresse MAC) de votre terminal est temporairement enregistrée et datée dans nos systèmes. Cette donnée fait l’objet d'une pseudonymisation puis d’une anonymisation complète dans un délai maximal de 6 heures après sa collecte, permettant de garantir qu’il n’y a aucun moyen - actuel ou futur - de remonter au terminal détecté et de façon indirecte à l’identité de son détenteur.
Nous vous invitons à laisser la fonction "WiFi" de votre téléphone activée pour nous aider dans le cadre de cette expérimentation."
-
hello ! merci pour tout ça !
tu crois que ça correspond à ce cadre là ? https://www.cnil.fr/en/node/24869
sinon, on peut envisager de faire un peu de bruit en faisant une rapide plainte à la cnil, tu en penses quoi ?
-
À savoir que depuis peu, Android comme iOS va générer une adresse MAC aléatoire pour chaque borne wifi qu'il rencontre... ( https://www.techrepublic.com/article/how-to-enable-a-randomized-mac-address-in-android-10/ et https://www.techrepublic.com/article/how-to-manage-or-disable-mac-randomization-in-ios-and-ipados-14/ )
J'ai peur que la métropole se soit fait vendre un système qui va fonctionner moins bien qu'un humain avec un compteur dans les mains.
Sinon, je doute très fortement de leur soi-disant "anonymisation".
-
@mosieurj trop bien j'ai écrit un petit bout sur le carré : https://carre.technopolice.fr/#51338630
n'hésitez pas à compléter, on mettra la carte à jour ensuite -
@martin je pense qu'ils sont dans les clous (et le systeme de la boite Flowly est dejà rodé dans d'autres villes
https://tcar.flowly.re/
Ils rentrent dans le cas "2 - Si les données sont immédiatement pseudonymisées puis anonymisées ou détruites au bout de 24h" de la CNIL https://www.cnil.fr/en/node/24869
avec cette mention (pseudo (mac) puis anonym en 6h)
Une empreinte cryptographique de l'identifiant (adresse MAC) de votre terminal est temporairement enregistrée et datée dans nos systèmes. Cette donnée fait l’objet d'une pseudonymisation puis d’une anonymisation complète dans un délai maximal de 6 heures après sa collecte, permettant de garantir qu’il n’y a aucun moyen - actuel ou futur - de remonter au terminal détecté et de façon indirecte à l’identité de son détenteur.Par contre l'information n'est pas (encore) claire sur le site général https://www.reseau-astuce.fr/ (pas trouvé de mention de collecte de donnée a bord ni d'1 lien renvoyant vers la page https://tcar.flowly.re/ ) ni dans les moyens de transport (rien vu dans les bus/métro pour le moment)
Et la communcation publique de la Metropole a ce sujet est plus que tendancieuse en parlant à tout va de "données anonymes" (ce qui n'est pas vrai avant 6h, donc)
A suivre
-
Oki. Je me rappelle que cette position de la Cnil sur l'anonymisation des adresses mac avait été contestée, mais faudrait fouiller;
@Oncela peut être si tu te connectes dans le coin ?
-
Oui en effet, cette règle donnée par la CNIL est contraire au droit. C'est une position que défend la CNIL dans le futur règlement eprivacy, mais ce règlement est loiiiin d'être adopté. En attendant, ce qui n'est pas autorisé est interdit. Cette question d'anonymat à court terme n'est absolument pas une des exceptions prévues par le droit actuel (la directive eprivacy, en gros) et l'adresse MAC ne peut être traitée pour cette finalité qu'avec le consentement de la personne (sachant que la captation pré-anonymisation et l’anonymisation en soit sont deux traitements qui nécessiteraient chacun un consentement).
On l'expliquait un peu ici concernant le suivi de contact covid par Orange ; https://www.laquadrature.net/2020/03/28/orange-recycle-son-service-de-geolocalisation-pour-la-pandemie/
On retrouve un peu aussi des bouts de ce raisonnement dans la décision du Conseil d'État sur les drones : https://www.laquadrature.net/wp-content/uploads/sites/8/2020/12/4461551PR1.pdf
-
@Oncela Le dispositif est toujours actif : est-ce qu'on peut envisager de poser des questions à la Métropole à ce propos ? Puis de tenter un recours ?
Par ailleurs, Flowly semble être un essaimage de Transdev... je crois que @nono a raison.
C'est de la start-up nation...
La pratique sur le réseau est de valider à chaque correspondance y compris quand le samedi (ou les jours où l'air est irrespirable) c'est gratuit... le service métropolitain a donc une mesure réelle des flux. -
@madouc je me permets de répondre la dessus pour dire que :
-
Mediatransport, le leader des panneaux de pub numériques dans les gares SNCF et métro, fait pareil, scanne les adresses mac pour des statistiques et s'en vante ici : http://www.mediatransports.com/mediatransports-mesure-laudience-en-temps-reel-dans-les-transports/
-
que la solution de randomisation des adresses MAC dont parle nono et qui est apparu dans android 10, ne va pas vraiment "nous aider" car il ya bien une adresse mac aléatoire générée par réseau mais elle est la même ensuite sur un même réseau à chaque reconnexion d'après cet article : https://www.phonandroid.com/android-q-votre-adresse-mac-sur-les-reseaux-wifi-va-etre-aleatoire.html
Aussi reste à creuser si l'adresse MAC utilisée lors du simple scan des wifi (donc pas une fois connecté mais avant), est elle aussi randomisée, d'après l'article plus haut oui mais c'est une option à activer dans les options développeurs. Donc à tester.
Je me demande du coup ce qu'il serait pertinent de faire vu les infos mises ici plus haut par @oncela. Car de mon côté j'aimerais agir contre mediatransports. Est-ce qu'on fait une plainte CNIL? Et on en fait un article Technopolice général sur le captage des adresses MAC à notre insue?
-
