Une entreprise a-t-elle le droit de localiser l'IP de tous les internautes intervenant sur son site ?

Qu'elles souhaitent mieux connaître leurs internautes à des fins marketing, pour s'adresser à eux plus finement ou tout simplement par souci de définir le territoire géographique de ceux qui passent sur leur site, nombre d'entreprises sont désireuses de localiser les IP de leurs visiteurs. De nombreux outils le permettent très facilement, de sorte que le seul cadre susceptible de s'y opposer n'est pas technique mais bien juridique. « Il n'y aucune interdiction absolue », commence Stéphane Petitcolas, expert auprès de la Commission nationale de l'informatique et des libertés (CNIL). « Après, tout dépend de l'objet de la localisation et de sa finesse. Avec l'IP on peut localiser le pays, la ville, et même s'approcher de la rue de l'internaute. Dès que la localisation est plus fine que la ville, on doit obtenir le consentement de l'internaute. Si c'est à des fins de marketing que l'on recueille cette information, on doit également avoir son consentement », continue Stéphane Petitcolas.

« On doit pouvoir s'opposer »

 
Avoir le consentement de l'internaute passe par un cadre très précis. « On doit être averti qu'un site utilise des cookies de manière préalable, c'est-à-dire que quand on arrive pour la première fois sur un site, on ne peut pas être géolocalisé, normalement. Un bandeau doit nous informer sur les données qui sont collectées, à quelles fins, à qui elles sont ensuite transmises, etc. Si l'on poursuit la navigation en continuant sur le site, par exemple en y ouvrant une autre page, c'est une manière de marquer notre consentement. En théorie, on doit aussi avoir la possibilité de s'opposer au recueil de données. » Mais dans les faits, beaucoup de sites bloquent la navigation ou la restreignent si l'on s'oppose à cette politique.

Google épinglé

 
« Pourtant, la plupart des sites font plutôt preuve de bonne volonté » relève Stéphane Petitcolas. « La plupart du temps, nous intervenons ainsi dans une logique de mise en conformité, on explique aux sites comment s'adapter à la législation, qui d'ailleurs a été mise au point en concertation avec les acteurs du secteur. Après deux mois, s'ils n'ont pas bougé, on entre dans une procédure contentieuse mais c'est assez rare. Une seule société a été jusqu'ici condamnée à l'amende maximale, soit 150 000 euros : Google. En fait, bien souvent, les entreprises ne savent pas qu'elles ne sont pas en conformité. C'est le cas, par exemple, de toutes celles qui utilisent Google Analytics pour avoir des informations sur leur trafic. C'était d'ailleurs l'enjeu du désaccord avec Google ; celui-ci considérait que les entreprises étaient responsables de l'utilisation de ses solutions, mais pour nous ce n'était pas le cas. Le paramétrage par défaut de son outil ne respectait pas la législation, donc pour la CNIL c'est bien Google qui était en tort. » Ce rôle d'accompagnement, principalement, la CNIL ne devrait pas le perdre dans les années à venir : « on laisse le temps aux acteurs de s'adapter », explique Stéphane Petitcolas. Le site de la Commission regorge ainsi d'informations très utiles pour être certain de ne pas sortir du cadre légal quand on veut localiser ses internautes.