Compter les visiteurs d'un événement est conforme au RGPD — à condition de savoir ce que l'on compte réellement. Un total anonyme de personnes présentes n'est pas une donnée personnelle et sort du champ du règlement ; en revanche, dès qu'un dispositif capte une image, une adresse MAC ou un signal Bluetooth rattachable à un individu, il traite des données personnelles et doit respecter tout l'arsenal du RGPD. La ligne de partage n'est donc pas « compter ou ne pas compter », mais « identifier ou rester anonyme ».
Ce guide explique ce que dit la CNIL sur le comptage de fréquentation, quand le RGPD s'applique, les obligations selon la technologie (caméra, capteur wifi, comptage manuel), et pourquoi le comptage manuel est la voie la plus simple à mettre en conformité.
Le comptage de visiteurs relève-t-il du RGPD ?
Le RGPD ne s'applique qu'au traitement de données à caractère personnel — toute information se rapportant à une personne physique identifiée ou identifiable. Un chiffre d'occupation agrégé (« 1 240 personnes présentes à 21 h ») ne se rapporte à aucun individu en particulier : ce n'est pas une donnée personnelle, et son traitement ne relève pas du RGPD.
La qualification bascule dès qu'un dispositif collecte, même temporairement, une information rattachable à une personne :
- l'image d'une caméra, qui capte des visages ;
- l'adresse MAC d'un smartphone détecté en wifi ;
- un signal Bluetooth ou un identifiant d'appareil.
Ces données sont personnelles tant qu'elles ne sont pas anonymisées — et le fait de les transformer ensuite en statistique ne les fait pas disparaître rétroactivement. C'est le moment de la captation qui déclenche les obligations.
Ce que dit la CNIL sur la mesure de fréquentation
La CNIL a précisé les règles applicables aux dispositifs de mesure d'audience et de fréquentation dans les espaces accessibles au public (centres commerciaux, gares, événements). Le principe général : un comptage sans identification est un traitement peu intrusif, admissible sous conditions, mais qui reste soumis au RGPD dès lors qu'il capte des données personnelles avant de les agréger.
Les obligations rappelées par la CNIL pour ces dispositifs sont :
- une base légale — le plus souvent l'intérêt légitime du responsable de traitement ;
- une information visible des personnes, adaptée au contexte (affichage aux entrées et sorties, mention sur le site internet, sur les bornes) ;
- la possibilité, pour les personnes, de s'opposer à la collecte ;
- une pseudonymisation fiable avec suppression des données brutes ;
- l'anonymisation ou la destruction des données à bref délai, souvent en fin de journée.
La CNIL admet par ailleurs qu'un dispositif poursuivant uniquement une finalité statistique — production de résultats agrégés et anonymes, sans vocation opérationnelle sur les individus — est en principe possible avec un niveau d'information allégé.
Les obligations selon la technologie de comptage
Toutes les méthodes de comptage ne se valent pas au regard du RGPD. Plus la technologie capte de données individuelles, plus la mise en conformité est lourde.
| Technologie | Donnée captée | Statut RGPD | Obligations principales |
|---|---|---|---|
| Caméra de comptage | Image (visages) | Données personnelles | Base légale, information, opposition, AIPD recommandée, effacement des images |
| Capteur wifi / Bluetooth | Adresse MAC, identifiant appareil | Données personnelles | Base légale, information, opposition, pseudonymisation, AIPD recommandée |
| Billetterie / scan | Identité, e-mail | Données personnelles | Base légale, information, durée de conservation, droits d'accès et d'effacement |
| Comptage manuel (agent) | Aucune — total anonyme | Hors champ RGPD | Aucune donnée personnelle traitée |
Les caméras dites « augmentées » et les capteurs wifi sont les cas les plus encadrés : ils traitent des données personnelles à grande échelle, ce qui rend une analyse d'impact relative à la protection des données (AIPD) fortement recommandée, en plus de l'information et du droit d'opposition. C'est précisément ce niveau d'exigence qui les rend lourds à déployer pour un événement de quelques heures.
Le comptage manuel : la voie la plus simple pour rester conforme
Quand un agent posté à un accès incrémente un compteur à chaque entrée et sortie depuis son téléphone, aucune donnée individuelle n'est captée : ni image, ni adresse MAC, ni signal. Le système n'enregistre qu'un nombre. Le résultat — l'occupation en temps réel — est un total anonyme par construction, impossible à rattacher à une personne.
Conséquence directe : ce comptage ne traite aucune donnée personnelle et se situe hors du champ du RGPD. Il n'y a ni AIPD à rédiger, ni droit d'opposition à organiser, ni durée de conservation de données personnelles à justifier, ni affichage d'information obligatoire au titre du règlement. Pour un organisateur, c'est un avantage de conformité décisif face aux caméras et capteurs.
C'est l'approche de Passcal, un logiciel de comptage de visiteurs pensé pour les événements sans billetterie : chaque agent compte depuis son smartphone, l'occupation totale se calcule en direct sur tous les accès, et seuls des flux anonymes (entrées, sorties, total) sont enregistrés. Aucune image, aucun visiteur identifié — donc rien à déclarer au titre du RGPD, tout en obtenant un rapport de fréquentation horodaté exploitable auprès d'une mairie, d'une préfecture ou d'un sponsor.
Bonnes pratiques, quelle que soit la méthode
Même hors champ du RGPD, quelques réflexes protègent l'organisateur et rassurent le public :
- Ne collecter que le nécessaire : pour suivre une jauge, un total d'occupation suffit — inutile de capter des identifiants.
- Privilégier l'anonyme dès la conception (privacy by design) : une méthode qui ne produit jamais de donnée personnelle évite tout le contentieux en aval.
- Informer par transparence, même sans obligation : une mention « comptage anonyme de fréquentation » rassure sans coût.
- Documenter le choix : noter que le dispositif retenu ne traite pas de données personnelles est utile en cas de question de la préfecture ou d'un délégué à la protection des données.
Ce qu'il faut retenir
- Le RGPD ne s'applique qu'aux données personnelles : un total d'occupation anonyme n'en est pas une.
- Le comptage devient un traitement de données personnelles dès qu'un dispositif capte une image, une adresse MAC ou un signal rattachable à un individu.
- Pour les caméras et capteurs wifi, la CNIL impose base légale, information, opposition, pseudonymisation et AIPD recommandée.
- Le comptage manuel par un agent n'enregistre qu'un nombre : il ne traite aucune donnée personnelle et sort du champ du RGPD.
- Choisir une méthode anonyme par conception est la façon la plus simple d'être conforme sans démarche administrative.
Vous cherchez à compter votre affluence sans vous soucier du RGPD ? Essayez Passcal gratuitement — comptage anonyme, aucune donnée personnelle, setup en 5 minutes.