AgentPublic/cnil huggingface dataset:
(Demande d’autorisation n° 1624724)
La Commission nationale de l'informatique et des libertés,
Saisie par le Conseil territorial de Saint-Barthélemy d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des permis de conduire ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2006/126/CE du 20 décembre 2006 relative au permis de conduire ;
Vu le code civil, notamment son article 2226 ;
Vu le code général des collectivités territoriales, notamment son article LO6124-3 ;
Vu le code de la route, notamment ses articles L. 225-1 à L. 225-9 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2012-215 du 5 juillet 2012 autorisant le ministère de l’intérieur, de l’outre-mer, des collectivités territoriales et de l’immigration, à mettre en œuvre un traitement automatisé de données à caractère personnel dénommé SI-FAETON et ayant pour finalité la gestion des droits à conduire ; 
Vu la délibération n° 2012-82 du 17 septembre 2012 du Conseil territorial de la Collectivité d’Outre-mer de Saint-Barthélemy ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-François CARREZ, commissaire et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Conseil territorial de la Collectivité d’Outre-mer de SaintBarthélemy.
Sur la finalité
A l’heure actuelle, les permis de conduire de la collectivité de Saint-Barthélemy sont gérés par le Système National des Permis de Conduire (SNPC), créé par l’arrêté du 29 juin 1992 modifié, pris après avis de la Commission. Or, le SNPC va être prochainement remplacé du fait de son obsolescence technique et de la nécessité de mettre en place un système d’information permettant de respecter les obligations liées à la directive 2006/126/CE relative au permis de conduire. Cette directive impose en effet de délivrer des titres sécurisés, au format carte bancaire, devant être renouvelés régulièrement, et au sein desquels les Etats peuvent décider d’insérer une puce électronique reprenant les informations imprimées sur la carte. L’Etat français doit donc, à compter de janvier 2013, délivrer des permis de conduire répondant à ces caractéristiques et tous les permis actuellement en circulation doivent avoir été remplacés par un permis sécurisé au plus tard en janvier 2033.L’article LO-3214-3 du code général des collectivités territoriales prévoit que « La collectivité fixe les règles applicables dans les matières suivantes : (…) 3° Circulation routière et transports routiers ». Dans ce contexte, la collectivité de Saint-Barthélemy a fait le choix de ne pas recourir au traitement SI-FAETON, qui sera mis en place au niveau national pour remplacer le SNPC et qui a été autorisé par la Commission par délibération n° 2012-215 du 5 juillet 2012. En effet, la collectivité de
Saint-Barthélemy a développé une application spécifique, dénommée CALECHE. Les conditions de mise en œuvre du traitement CALECHE sont celles prévues par les dispositions des articles L. 225-1 à L. 225-9 du code de la route, ainsi que par les dispositions réglementaires correspondantes. En effet, dans une délibération n° 2012-82 du 17 septembre 2012, le Conseil territorial de Saint-Barthélemy a décidé que l’ensemble des dispositions du code de la route, à l’exception de celles relatives au permis à point et à l’immatriculation des véhicules, sont applicables à la collectivité de Saint-Barthélemy. Le traitement CALECHE est destiné à gérer l’ensemble des étapes de la vie du permis de conduire. Plus précisément, ce traitement poursuit trois finalités : la gestion administrative des demandes de permis de conduire, la production du nouveau titre sécurisé et sa remise au titulaire, ainsi que la gestion des droits à conduire tout au long de la vie du permis de conduire. La Commission estime que ces finalités sont déterminées, explicites et légitimes au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.Elle relève, par ailleurs, que ce traitement porte sur des données relatives aux infractions et condamnations des conducteurs et que sa mise en œuvre doit donc être autorisée en application des dispositions de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
En application des dispositions de l’article L. 225-1 du code de la route, les données suivantes doivent faire l’objet d’un enregistrement dans le traitement CALECHE :
les informations relatives aux permis de conduire dont la délivrance est sollicitée ou qui sont délivrés ainsi qu'aux permis de conduire délivrés par les autorités étrangères et reconnus valables sur le territoire national ; 
les décisions administratives de restriction de validité, de retrait, de suspension, d’annulation et de restriction de délivrance du permis de conduire ; 
les mesures de retrait du droit de faire usage du permis de conduire qui seraient communiquées par les autorités des territoires et collectivités territoriales d'outre-mer ou par une autorité étrangère ; 
les procès-verbaux des infractions ayant donné lieu au paiement d'une amende forfaitaire ou à l'émission d'un titre exécutoire de l'amende forfaitaire majorée ; 
les décisions judiciaires portant restriction de validité, suspension, annulation et interdiction de délivrance du permis de conduire.
Au titre des informations relatives aux permis de conduire, seront notamment enregistrées les conditions restrictives sur les droits à conduire, la réussite à l’examen du permis de conduire, l’attestation de stage de sensibilisation à la sécurité routière ainsi que l’aptitude à la conduite automobile.
Concernant cette dernière information, certaines catégories de permis nécessitent une visite médicale, une vérification médicale de l'aptitude physique ou un examen médical, en application des dispositions des articles R. 221-1 et suivants du code de la route. Ces examens doivent être effectués par des médecins agréés par le président de la collectivité de Saint-Barthélemy et les informations concernées sont intégrées dans l’application CALECHE par le service circulation routière et transport de la collectivité. La Commission prend acte que ces informations seront limitées à l’aptitude à la conduite automobile et ne porteront en aucun cas sur le contenu du dossier médical des personnes concernées.
Outre ces informations, l’application CALECHE contiendra des données d’identification relatives aux demandeurs de permis de conduire : nom, nom d’usage, prénom, sexe, date et lieu de naissance, photographie et adresse du titulaire. L’adresse électronique et le numéro de téléphone mobile seront également collectés, uniquement afin de faciliter la remise du titre à son titulaire. Elle contiendra également une copie de la carte de séjour et du passeport pour les demandeurs de permis de conduire étrangers.
Enfin, la photographie du titulaire sera enregistrée dans le traitement. A cet égard, la Commission souligne qu’aucun dispositif de reconnaissance faciale ne sera mis en œuvre et que le lien entre cette photographie et l’état civil du titulaire du permis sera en outre chiffré.
L’ensemble de ces informations seront enregistrées dans le traitement par le service circulation routière et transport de la collectivité. En outre, les données relatives à l’identité et à l’adresse recueillies par les écoles de conduite ou les centres de stage de sensibilisation à la sécurité routière seront enregistrées directement par ce service dans une base de recueil dédiée à l’alimentation du traitement CALECHE.
Par ailleurs, les pièces justificatives réglementaires, présentées à l’appui d’une demande de permis de conduire et faisant partie intégrante du dossier administratif, seront uniquement conservées au format papier. 
Au regard de ces éléments, la Commission souligne que de très nombreuses données enregistrées dans le traitement CALECHE le sont en application des dispositions du code de la route. Elle considère que ces données sont pertinentes, adéquates et non excessives au regard des finalités assignées au traitement, tout comme les autres données enregistrées dans ce dernier et non expressément mentionnées par le code de la route. 
Sur les destinataires
Les personnes pouvant accéder, directement ou indirectement, aux données mentionnées à l’article L. 225-1 du code de la route sont tout d’abord les personnes mettant en œuvre le traitement, à savoir les personnels habilités de la collectivité de Saint-Barthélemy et les agents habilités de l’Agence Nationale des Titres Sécurisés et de l’Imprimerie Nationale (pour la délivrance et la production du titre sécurisé).Les autres destinataires du traitement sont les personnes qui y sont expressément autorisées en application des dispositions des articles L. 225-3 à L. 225-6 du code de la route. La Commission considère que ces destinataires n’appellent pas d’observation particulière. Cependant, elle rappelle que la communication des informations mentionnées à l’article L. 225-5 du code de la route est assurée par le service circulation routière et transport de la collectivité de Saint-Barthélemy. Elle appelle donc l’attention sur la nécessité de s’assurer que les autorités qui requièrent une telle communication sont bien habilitées par la loi à prendre connaissance des informations requises d’une part, et de s’opposer à toute demande d’information abusive d’autre part. 
Sur l’information et le droit d’accès
Tout comme dans le cas du SI-FAETON, l’information des personnes concernées est assurée au moyen de mentions d’information figurant sur les formulaires de demande d’inscription au permis de conduire. Ces formulaires CERFA sont signés et contiennent les mentions prévues à l’article 32 de la loi du 6 janvier 1978 modifiée.La Commission prend en outre acte que le droit d’opposition prévu à l’article 38 de la loi du 6 janvier 1978 modifiée n’est pas applicable au traitement CALECHE.Elle rappelle enfin que les personnes concernées disposent, en application des articles 39 et 40 de la loi du 6 janvier 1978 modifiée, d’un droit d’accès et de rectification des données enregistrées dans le traitement. Le droit à la communication du relevé intégral des mentions le concernant pour tout titulaire ou usager est en outre prévu par l’article L. 225-3 du code de la route. Ces droits s’exercent directement auprès du président de la collectivité.
Sur les mesures de sécurité
Tous les personnels disposant d’un accès à la base font l’objet d’une habilitation individuelle et leurs droits sont définis selon des profils d’utilisation déterminés en fonction des besoins des métiers. Les actions effectuées par les utilisateurs font en outre l’objet d’une traçabilité suffisante. En effet, l’ensemble des actions effectuées par les utilisateurs sur la base sont journalisées, un mécanisme permet à une personne habilitée de rechercher de manière efficace dans celles-ci et les journaux font l’objet d’une analyse automatique périodique. Enfin, la durée de conservation des données journalisées est fixée à 6 mois.Par ailleurs, les échanges avec l’ANTS sont protégés par une authentification et un chiffrement par certificat, ce qui est de nature à assurer la sécurité des données échangées. En outre, la confidentialité des données enregistrées dans la base est assurée par un chiffrement en base qui respecte les règles et recommandations de l'Agence Nationale de Sécurité des Systèmes d’Information formalisées dans l'Annexe B_1 du Référentiel Général de Sécurité (RGS).Cependant, le titre lui-même étant similaire au titre national déclaré dans le traitement SI-FAETON, la Commission réitère les mêmes observations que pour le titre national. Le titre lui-même fait l’objet de mesures de sécurisation importantes, comme le chiffrement, dans la puce sans contact, de la photographie et de la signature du porteur. Bien que le chiffrement utilisé, de type BAC, est conforme à
la norme communément admise, la sécurité de la puce serait améliorée si un aléa était ajouté en fin de bande MRZ. Cet aléa permettrait de réduire le risque que des personnes n'ayant pas un accès physique direct au titre aient accès aux données chiffrées. Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Les informations relatives à l’identification des personnes concernées et à leur permis de conduire sont enregistrées dans l’application. Les photographies et les signatures sont numérisées dans une base d’archivage électronique des documents et conservées sous le format « image ». Les pièces justificatives présentées à l’appui d’une demande de permis de conduire et les formulaires CERFA sont uniquement conservés au format papier.  L’article L. 225-2 du code de la route fixe la durée de conservation des décisions judiciaires et administratives affectant le permis de conduire : ces informations doivent être effacées lorsque s'est écoulé un délai de dix ans sans que soit intervenue une nouvelle décision. Néanmoins, au cas où une mesure administrative est annulée, l'effacement des informations relatives à cette mesure doit être effectué au jour de la décision judiciaire ou administrative prononçant cette annulation. En outre, sont prévus des délais d’effacement plus longs lorsqu’est prise une décision d'interdiction définitive de solliciter un nouveau permis de conduire (lorsque la personne atteint sa quatre-vingtième année) et plus courts lorsque ces décisions ont comme seule conséquence une modification du nombre de points (délai réduit à trois ans). Les données relatives à l’identification du titulaire, aux permis de conduire délivrés et pièces justificatives sont conservées durant toute la durée de vie du dossier administratif ainsi que dix années supplémentaires. Cette
durée de conservation prend en compte le délai de prescription en matière civile prévue par l’article 2226 du code civil. Il apparaît en effet nécessaire, pour l’administration, de pouvoir justifier pendant cette période, en cas de contentieux civil, que la personne concernée disposait bien, au moment des faits, d’un permis de conduire valide.En outre, une durée de conservation moindre est prévue pour certaines données à caractère personnel. Ainsi, le numéro de téléphone mobile et l’adresse électronique, qui sont collectés uniquement aux fins de facilitation de la délivrance du titre, sont supprimés au bout d’un mois après celle-ci. L’adresse des personnes concernées est conservée jusqu’au renouvellement du permis de conduire, ce qui permet d’éviter de conserver un historique des adresses des titulaires de permis de conduire. Enfin, la photographie et les justificatifs de domicile sont conservés pendant cinq ans à compter du renouvellement du titre, une conservation plus longue de ces éléments, par définition variables dans le temps, apparaissant inutile. Par ailleurs, les données relatives à l’identité des seuls candidats à l’examen du permis de conduire sont conservées pendant un délai maximum de deux ans. La Commission considère que ces durées de conservation n’excèdent pas les durées nécessaires aux finalités pour lesquelles elles sont traitées et soient donc conformes aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée. Elle rappelle néanmoins la
nécessité de prendre toutes les mesures utiles, notamment la mise en œuvre de procédures de suppression automatique des données, afin de respecter strictement les durées de conservation prévues.
Autorise, conformément à la présente délibération, le Conseil territorial de SaintBarthélemy à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1602958)
La Commission nationale de l'informatique et des libertés,
Saisie par l'Institut national de la prévention et de l'éducation pour la santé d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion et le suivi des appels reçus et émis par la plateforme téléphonique de service public pour l'arrêt du tabagisme (Tabac Info Service)  ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment son article L. 1111-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’Institut national de la prévention et de l’éducation pour la santé (INPES) est un établissement public administratif créé par la loi du 4 mars 2002 relative aux droits des malades et à la qualité du système de santé. Il gère et finance la ligne téléphonique de prévention du tabagisme dénommée « Tabac Info Service », dont l’objectif est de servir de relais aux campagnes de communication nationales de prévention du tabagisme, de répondre aux questions du public sur le tabac et d’assurer une aide à l’arrêt du tabac.
Sur la finalité
Le traitement a pour finalité :- d’assurer la gestion et le suivi des appels reçus et émis par la plateforme téléphonique de service public pour l’arrêt du tabagisme « Tabac Info Service » ;- d’assurer la gestion de la plateforme extranet du service.Le dispositif téléphonique est organisé en deux niveaux de réponses. Le premier niveau est assuré par des téléconseillers qui répondent à des questions simples sur le tabac. Le second niveau est assuré par des médecins tabacologues, qui reçoivent les appels transmis par le premier niveau d’écoute et procurent des conseils aux appelants sur l’arrêt du tabac.La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
Concernant les appelants, les données traitées sont des données d’identification (nom, prénom, date et lieu de naissance, sexe, poids, taille, indice de masse corporelle), les coordonnées, (adresse, téléphone, courriel), des données relatives à la vie personnelle (habitudes de vie) et à la vie professionnelle (situation professionnelle) ainsi que des données de santé (addictions, dépendance, motivations à l’arrêt, stress, pathologies, affections).Concernant les médecins tabacologues, leurs données d’identification (nom, prénom) et leurs coordonnées (adresse professionnelle) sont susceptibles d’être enregistrées.La Commission prend acte de ce que des mesures spécifiques sont prises afin d’éviter,dans les zones de commentaires libres, l’enregistrement de commentaires inappropriés ou excessifs. Ainsi, une formation continue des écoutants est dispensée, un contrôle de la conformité diligenté par le personnel les encadrant et un audit externe prévu par l’INPES.La Commission considère dès lors que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Les destinataires des données sont :
les téléconseillers de niveau 1 et leurs encadrants ;
les médecins tabacologues de niveau 2 et leurs membres de la structure d’encadrement ;
les administrateurs de l’INPES.
Les données de santé ne sont accessibles qu’à des médecins tabacologues, soumis au secret professionnel et dans la stricte limite de leurs missions.
Ces accès n’appellent donc pas d’observations supplémentaires de la Commission.
Sur l’information et le droit d’accès 
L’information des appelants sur le traitement de leurs données personnelles est assurée au moyen d’un message téléphonique type précisant un éventuel enregistrement des appels pour améliorer le service rendu.Les professionnels dont les données ont vocation à figurer dans l’annuaire des centres de prise en charge de la dépendance au tabac sont informés de la publication des données les concernant sur le site internet de l’INPES au moyen de courriers (un courrier initial préalable et un courrier à l’occasion des campagnes de mise à jour annuelle de l’annuaire).Les appelants expriment en outre un consentement oral au traitement des données de santé les concernant lors du premier contact téléphonique avec un téléconseiller. Ils expriment également leur accord en vue d’un rappel à six mois. Le consentement de l’appelant est recueilli par les téléconseillers et enregistré dans sa fiche d’appel.Les droits d’accès, de rectification et d’opposition s’exercent auprès de l’INPES.Ces modalités d’exercice des droits des personnes n’appellent pas d’observation.
Sur les mesures de sécurité
Des profils d’habilitation sont prévus s’agissant des utilisateurs de la plateforme. Les conseillers de niveau 1 ne peuvent pas accéder aux données médicales et les médecins tabacologues ont accès à l’intégralité du dossier des appelants qu’ils prennent en charge.Les administrateurs n’ont accès qu’à des données chiffrées.Le contrôle d’accès aux données est opéré par l’utilisation d’un identifiant et d’un mot de passe d’une longueur minimale de huit caractères, comportant trois types de caractères distincts (minuscules, majuscules, chiffres ou caractères spéciaux). Le mot de passe est modifié par l’utilisateur dès sa première connexion, puis tous les six mois.La Commission rappelle que les mots de passe doivent être conservés sous un format en assurant la confidentialité (par exemple, par hachage en utilisant l’algorithme HMAC à clé secrète).Les traces des actions effectuées sont conservées (horodatage de la dernière connexion d’un utilisateur, accès aux fichiers de données, identifiant de l’utilisateur).La Commission souligne qu’il conviendra de définir une durée de conservation des traces et d’informer les utilisateurs de cette mesure.Les transferts de données sont sécurisés par l’utilisation du protocole HTTPS pour l’accès à l’extranet, permettant de renseigner les informations des appelants.Les données sont hébergées auprès d’un hébergeur de données de santé agréé.La base de données est chiffrée ainsi que les sauvegardes.Sous réserve des précédentes observations, les
mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.