AgentPublic/cnil huggingface dataset:
Les trois articles concernés sont relatifs, d’une part, aux modalités de contrôle automatisé de voies ou d’aires de circulation afin de faciliter la constatation de certaines infractions au code de la route et, d’autre part, à la mise en place de péages urbains par les collectivités territoriales et les autorités organisatrices de la mobilité compétentes.
La Commission relève que ces articles fixent notamment le cadre général des dispositifs de contrôle et seront complétés ultérieurement par des actes réglementaires venant, en particulier, préciser les caractéristiques des traitements de données à caractère personnel nécessaires. Ainsi, lorsqu’elle sera saisie pour avis de ces dispositions règlementaires, la Commission accordera la plus grande attention à la proportionnalité des dispositifs proposés compte tenu du risque d’atteinte aux libertés individuelles que pose la mise en place de mécanismes de contrôle automatisé des voies et aires de circulation, potentiellement à grande échelle.
En premier lieu, l’article 16 bis vise à introduire dans le code de la route un nouvel article L. 130-9-1, permettant aux services de gendarmerie et de police nationale de mettre en œuvre un contrôle automatisé des données signalétiques des véhicules empruntant des voies réservées à la circulation de certaines catégories de véhicules (véhicules à faible émission, bus et taxis notamment). L’utilisation de tels dispositifs sera autorisée par arrêté du représentant de l’Etat dans le département et, à Paris, du préfet de police. Elle pourra être initiée à la demande d’une collectivité territoriale ou d’un établissement public de coopération intercommunale dont l’autorité investie des pouvoirs de police de la circulation a réservé l’usage d’une voie de circulation à certaines catégories d’usagers ou de véhicules ou à certaines modalités de transport, dans le cadre d’une convention avec l’Etat.
Le même article permet la mise en place de dispositifs visant à constater le nombre de personnes présentes à bord des véhicules aux fins de constatation des infractions aux règles réservant l’usage de certaines voies aux véhicules transportant un nombre minimal d’occupants (notamment pour le covoiturage) par les services de police et de gendarmerie nationales.
En deuxième lieu, l’article 22 bis vise à introduire un nouvel article L. 2213-6-2 dans le code général des collectivités territoriales permettant la mise en œuvre d’un dispositif de contrôle automatisé des zones à faibles émissions (ou à circulation restreinte ) par les services de gendarmerie et de police nationale, ainsi que par les collectivités territoriales ou les établissements publics de coopération intercommunale (EPCI).
En troisième lieu, l’article 22 ter vise à instaurer un dispositif automatisé pour le contrôle de l’acquittement du tarif de congestion dans le cadre du péage urbain. Cette disposition modifie l’article 1609 quater A du code général des impôts et prévoit la possibilité pour l’autorité organisatrice de la mobilité d’instaurer un péage urbain dans les agglomérations de plus de 100 000 habitants souhaitant mettre en place ce dispositif.
Les modalités de tarification mises en place par l’autorité organisatrice de la mobilité sont fixées pour chaque catégorie de véhicules. Le dispositif de recouvrement du tarif est mis en œuvre par les collectivités concernées.
Sur le régime juridique applicable aux traitements
En premier lieu, la Commission observe que les dispositions des articles 16 bis et 22 bis, qui ont pour finalité la constatation ou la poursuite d’infractions pénales, relèvent du champ d’application de la loi du 6 janvier 1978 modifiée et de la directive Police Justice . Elle rappelle que les traitements concernés devront faire l’objet d’un acte règlementaire, pris après avis motivé et publié de la Commission, conformément aux dispositions de l’article 70-3 de la loi du 6 janvier 1978 modifiée.
En outre, au regard des dispositions de l’article 70-4 de la loi du 6 janvier 1978 modifiée et du Règlement sur la protection des données personnelles (RGPD), le responsable de ces traitements devra réaliser une analyse d’impact sur la protection des données préalablement à la mise en œuvre du traitement envisagé, celui-ci répondant à plusieurs critères (surveillance systématique, collecte des données personnelles à large échelle, usage innovant, etc.), dont la réunion engendre un risque élevé pour les droits et libertés des personnes concernées . La Commission rappelle que l’analyse d’impact devra être jointe à la demande d’avis pour les traitements relevant de l’article 70-3 de la loi précitée.
Par ailleurs, la Commission prend acte que la mise en œuvre des dispositifs de contrôle automatisé ne pourra se faire qu’après obtention d’une autorisation préfectorale. La Commission observe que cette autorisation ne constitue pas par elle-même une formalité préalable relevant du champ de la directive, dès lors qu’elle n’a pas pour objet de s’assurer de la bonne application des règles relatives à la protection des données personnelles. Ainsi, cette autorisation n’exonèrera en rien les responsables de traitement du respect de leurs obligations découlant de la directive du 27 avril 2016, transposées à l’article 70-3 de la loi du 6 janvier 1978 modifiée, notamment sur les modalités relatives aux formalités préalables.
En second lieu, la Commission relève qu’à la différence des traitements prévus par les articles 16 bis et 22 bis, ceux mis en œuvre dans le cadre du péage urbain prévu à l’article 22 ter sont soumis à l’ensemble des dispositions du RGPD. Il appartiendra aux responsables de traitement concernés de veiller, notamment, au respect des principes de transparence, de minimisation, de qualité des données et des droits des personnes, par défaut et dès la conception de ces traitements. La Commission rappelle en particulier que le contrôle automatisé est susceptible de relever des dispositions de l’article 22-2-b du Règlement, relatives aux décisions individuelles automatisées, qui imposent notamment des  mesures appropriées pour la sauvegarde des droits et libertés de la personne concernée .
Sur la finalité et la proportionnalité des traitements 
A titre liminaire, la Commission relève que les articles 16 bis et 22 bis créent des dispositifs permettant de contrôler et, le cas échéant, de verbaliser les véhicules non autorisés à emprunter des voies faisant l’objet de restriction de circulation.
Ainsi, ces dispositions évoquent la mise en place de  dispositifs fixes ou mobiles de contrôle automatisé des données signalétiques des véhicules , cette formulation renvoyant aux dispositifs de lecture automatisée de plaques d’immatriculation (LAPI).
La Commission observe que les dispositifs LAPI de contrôle des données signalétiques des véhicules grâce aux caméras vidéo, permettant de capter et lire les plaques d’immatriculation de tous les véhicules passant dans leur champ de vision, et de stocker une image de la plaque d’immatriculation ainsi qu’une image plus large des mêmes véhicules comportant la photographie des occupants, étaient mis en œuvre pour trois finalités précises ( constater les infractions de vol et de recel de véhicules volés, prévenir et réprimer des actes de terrorisme et faciliter la constatation des infractions s’y rattachant et de préserver l’ordre public, à l’occasion d’événements particuliers ou de grands rassemblements de personnes).
La Commission relève l’extension potentiellement considérable du déploiement de ces dispositifs à l’échelle nationale.
Or le recours croissant à des dispositifs susceptibles de collecter des informations révélant les allers et venues de tout un chacun présente des enjeux importants en matière de protection des données. Le cadre juridique encadrant ces traitements devra donc prévoir des garanties fortes de nature à éviter que le déploiement de ces dispositifs ne porte une atteinte disproportionnée aux droits et libertés des personnes concernées, notamment leur liberté d’aller et venir anonymement.
La Commission appréciera le respect de cette exigence de proportionnalité, dans le cadre de l’avis qu’elle rendra sur les actes réglementaires d’application, au regard de l’ensemble des garanties prévues par la loi et le RGPD.
S’agissant plus spécifiquement du péage urbain , la Commission observe que le ministère a fait le choix d’instituer un système exigeant des personnes souhaitant circuler dans les zones concernées de s’acquitter du tarif avant de pénétrer dans le périmètre soumis à un péage urbain. Le dispositif de contrôle automatisé permettrait ainsi de vérifier que les véhicules entrants ont préalablement réglé la taxe correspondante, aux points d’entrée délimitant la zone soumise à péage.
L’article 22 ter précise que l’autorité organisatrice de la mobilité met à la disposition des usagers un téléservice leur permettant de s’acquitter du montant du tarif préalablement au franchissement du périmètre de la zone et peut, sans que cela ne constitue une obligation pour les usagers, proposer aux usagers ayant souscrit un forfait un dispositif électronique embarqué.
La Commission relève que le projet de loi pourrait utilement préciser les conditions de fonctionnement du téléservice, ainsi que la manière dont les dispositifs de contrôle automatisé interagissent avec les dispositifs électroniques embarqués afin de définir plus précisément les garanties requises le cas échéant par l’article 22.2.b) du RGPD.
En tout état de cause, et en l’absence de précisions sur la nature des traitements mis en œuvre, la Commission attire l’attention des autorités désignées comme responsables des traitements concernés sur la nécessité de mesurer leur impact sur la protection des données personnelles des usagers. La réalisation d’une analyse d’impact sur la protection des données, au sens de l’article 35 du RGPD, sera en particulier nécessaire dès lors que ces traitements sont réalisés à large échelle, seraient susceptibles de produire des décisions automatiques ayant des effets juridiques sur les personnes concernées ou permettent une surveillance systématique des personnes.
Enfin, dans la mesure où les modalités d’application de l’article 22 ter seront fixées par décret en Conseil d’Etat, la Commission rappelle qu’elle devra être saisie de ce projet de texte au titre, en particulier, de l’article 11 4° a) de la loi informatique et libertés .
Sur les données collectées 
S’agissant des dispositifs fixes ou mobiles de contrôle automatisé des données des véhicules visés aux articles 16 bis et 22 bis 
 
A titre liminaire, la Commission observe que les dispositifs prévus par les articles 16 bis et 22 bis collectent des données de même nature ; par conséquent, les observations qui suivent seront applicables aux deux systèmes.
Les données collectées pour effectuer les contrôles institués par ces deux articles comprennent, d’une part, des données signalétiques ainsi que celles relatives aux caractéristiques du véhicule et à sa contribution à la limitation de la pollution atmosphérique et, d’autre part, les données permettant  de constater le nombre de personnes présentes à bord des véhicules , ce qui revient à collecter les données relatives aux occupants du véhicule dans le cadre du covoiturage.
La collecte des données signalétiques par les systèmes de contrôle automatique donne lieu à la consultation de plusieurs fichiers, pour s’assurer de la possibilité pour le véhicule d’emprunter les voies réservées ou faisant l’objet de restrictions de circulation. Il s’agit, d’une part, du fichier des véhicules pour lesquels une identification fondée sur la contribution à la limitation de la pollution atmosphérique a été délivrée (art. L318-1 du code de la route) et, d’autre part, du fichier des véhicules autorisés à circuler sur les voies concernées.
En dernier lieu, et uniquement si ces consultations ne permettent pas de s’assurer du fait que le véhicule est autorisé à circuler, une consultation du système d’immatriculation des véhicules (SIV) (art L.130-1 du code de la route) est opérée.
A cet égard, la Commission prend acte du fait que ces consultations, qui ont lieu immédiatement après la collecte des données signalétiques, ne portent que sur les données relatives aux caractéristiques du véhicule et à sa contribution à la limitation de la pollution atmosphérique et ne peuvent avoir pour objet d’identifier le titulaire du certificat d’immatriculation du véhicule et que lorsque la consultation de ces fichiers (…) a permis de s’assurer du respect par un véhicule des règles de circulation mentionnées au premier alinéa du I, les données relatives à ce véhicules sont détruites immédiatement .
Pour autant, la Commission observe que la nature des données relatives aux véhicules n’ayant pas été identifiés comme autorisés à circuler et plus largement le traitement destiné à identifier les contrevenants et à les verbaliser, n’apparaissent pas clairement dans le projet de loi.
Cette partie du dispositif comporte le plus de risques pour les droits et libertés des personnes concernées, de sorte que le projet de loi devrait préciser les grandes garanties apportées pour protéger les données personnelles des personnes concernées.
Par ailleurs, la Commission prend acte que lorsque les données qui permettent l’identification des occupants du véhicule, (…) ne peuvent être enregistrées et conservées qu’après réalisation d’un traitement destiné à masquer cette identification . Dans la mesure où seul le nombre d’occupants est nécessaire pour répondre à la finalité du traitement, à savoir détecter les véhicules autorisés ou non à emprunter la voie, la Commission observe que la conservation de données permettant leur identification serait excessive. Dès lors, le masquage opéré doit être irréversible et intervenir immédiatement après la collecte des données.
Le projet de loi n’apporte pas de précision concernant le traitement des images des véhicules pour l’établissement du procès-verbal faisant suite aux infractions constatées mentionnées dans les articles 16 bis et 22 bis. La Commission s’interroge néanmoins sur l’articulation entre le principe de masquage des données des occupants avec la procédure visant à communiquer les données permettant l’identification des occupants du véhicule  sur demande du titulaire du certificat d’immatriculation ou de l’une des personnes mentionnées aux trois derniers alinéas de l’article L. 121-2 destinataire de l’amende forfaitaire, ou de l’officier du ministère public en cas de requête ou de réclamations .
La Commission ne sera pas en mesure d’apporter une analyse de proportionnalité de cette partie du dispositif que lorsqu’elle sera saisie des textes règlementaires nécessaires à leur mise en place, conformément à l’article 26 de la loi Informatique et libertés .
S’agissant du péage urbain
De manière similaire aux dispositifs prévus aux articles 16 bis et 22 bis précités, les données collectées dans le cadre du péage urbain sont les données signalétiques des véhicules, les données relatives aux caractéristiques des véhicules et également les données relatives aux occupants du véhicule. La Commission réitère donc les observations présentées ci-dessus.
Par ailleurs, dans le cadre du péage urbain, l’article 22 ter du projet de loi prévoit la possibilité pour le propriétaire du véhicule de s’équiper d’un dispositif embarqué permettant de vérifier l’acquittement du tarif lors de son passage au point de contrôle.
La Commission prend acte que ce dispositif exclut toute géolocalisation et rappelle que le traitement des données relatives au passage du véhicule à proximité d’un point de contrôle ne doit pas permettre la reconstitution de ses allées et venues dans le temps.
Enfin, la Commission prend acte qu’ à la seule fin de permettre le recouvrement du tarif et des pénalités dus à raison des véhicules ayant circulé dans le périmètre géographique soumis au tarif de congestion sans que le montant du tarif ait été préalablement acquitté, le traitement mentionné au premier alinéa [le dispositif de contrôle automatisé des données signalétiques des véhicules] peut comporter une consultation des données de l’identification des véhicules prévue à l’article L.330-1 du code de la route .
Le projet pourrait toutefois utilement préciser la nature des données susceptibles d’être collectées dans le cadre de cette consultation, afin d’apporter les garanties quant à la proportionnalité du traitement mis en œuvre au titre du recouvrement.
Sur les durées de conservation des données 
S’agissant des dispositifs fixes ou mobiles de contrôle automatisé des données des véhicules visés aux articles 16 bis et 22 bis 
La Commission rappelle que les données relatives aux occupants du véhicule devront être immédiatement supprimées dès lors que les conditions liées au covoiturage sont remplies.
Elle prend acte que la consultation des fichiers des véhicules  limitation à la pollution atmosphérique et véhicules autorisés à circuler sur les voies concernées  aura lieu immédiatement après la collecte des données signalétiques du véhicule et que dès lors qu’elle aura permis de s’assurer du respect des règles par un véhicule,  les données relatives à ce véhicule seront détruites immédiatement .
La Commission s’interroge enfin sur la finalité justifiant la conservation des données des  autres véhicules (non autorisés à emprunter les voies) pour une durée de huit jours en l’absence de précisions dans le texte, notamment sur la procédure permettant d’identifier et de verbaliser les contrevenants. Cette durée de conservation devra être prise en compte pour apprécier la durée de conservation totale des données des autres véhicules , lorsque les textes d’application organisant les modalités de verbalisation lui seront soumis pour avis.
S’agissant du péage urbain
La Commission relève que, pour contrôler l’acquittement du tarif par les véhicules, les données d’identification des véhicules seront traitées immédiatement après leur collecte. La Commission prend acte que, dans l’hypothèse où l’usager s’est acquitté du tarif ou en est exempté,  les données sont supprimées sans délai . Dans le cas contraire,  les données permettant le calcul du tarif et des pénalités ne peuvent être conservées que pour la durée strictement nécessaire à la liquidation et au recouvrement du tarif et des pénalités dus, et au maximum pendant une durée de huit jours, sans préjudice des nécessités liées aux contestations s’y rapportant .
Sur l’information préalable des personnes
La Commission relève que le projet de loi ne contient qu’une seule disposition relative à l’information des personnes, dans le cadre du péage urbain à l’article 22 ter. A cet égard, il est prévu une campagne d’information locale un mois avant la mise en place du tarif de congestion . L’information consiste à rappeler le périmètre géographique d’application du tarif, les modalités de calcul et les modalités techniques pour le recouvrement ainsi que les droits d’accès et de rectification. Enfin, cette information précise les transports publics mis à disposition des personnes.
La Commission prend acte qu’une signalisation sera intégrée à chaque entrée du périmètre géographique et qu’une distance suffisante permettra aux conducteurs de contourner cette zone et souligne qu’une information préalable complète, au regard des articles 13 et suivants du RGPD, devra en tout état de cause être fournie par le responsable du traitement, sur tout support susceptible d’être porté directement à la connaissance des usagers concernés.
Par ailleurs, la Commission relève que le projet de loi ne fait aucune référence aux modalités d’information des personnes sur les dispositifs envisagés aux articles 16 bis et 22 bis. Par conséquent, elle appelle l’attention des ministères sur la nécessité de délivrer à ces personnes une information claire, complète et pédagogique, conformément aux dispositions des articles 70-18 et suivants de la loi du 6 janvier 1978 modifiée.
Sur les accédants et les destinataires des données :
En premier lieu, la Commission observe que pour le premier dispositif dédié aux voies réservées, les collectivités territoriales ou les établissements publics de coopération intercommunale (EPCI) peuvent faire une demande auprès de l’Etat pour la mise en œuvre du dispositif de contrôle. La Commission prend acte que dans ce cas, une convention sera conclue entre l’Etat et la collectivité ou l’EPCI pour en déterminer les modalités, mais que le projet de loi, dans sa rédaction actuelle, ne permet pas par lui-même d’ouvrir l’accès au bénéfice des collectivités et EPCI concernés aux données collectées.
En second lieu, pour le dispositif concernant le contrôle des zones à faibles émissions, le projet de loi précise que les agents de police municipale et les établissements publics peuvent être destinataires des données.
A cet égard, le projet de loi mériterait d’être précisé s’agissant de la finalité de cette transmission, dès lors que, sauf à ce que l’Etat mette en œuvre le dispositif pour le compte d’une collectivité ou d’un EPCI – hypothèse que le projet de loi ne prévoit pas expressément – il doit être regardé comme responsable de ce traitement.
Sur les mesures de sécurité 
La Commission rappelle que la mise en œuvre des dispositions précédemment décrites devra respecter les exigences de sécurité imposées par la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés.
Des garanties devront ainsi être apportées afin d’assurer que les mesures techniques et organisationnelles entourant le déploiement des dispositifs se fera au regard des risques sur les droits et libertés des personnes concernées. 
A ce sujet la Commission recommande que la mise en œuvre des dispositifs se fasse dans le respect des principes de protection des données dès la conception. Il s’agira ainsi en particulier de s’assurer que seules les données pertinentes sont consultées, et cela par les seules personnes autorisées. 
Les risques d'accès non autorisé, de modification non désirée et de disparition de données devront être analysés, estimés en termes de gravité et de vraisemblance au regard des mesures existantes ou prévues, et traités de manière proportionnée.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'économie et des finances d'une demande d'avis portant sur un projet de décret pris en application de l'article L. 153 A du livre des procédures fiscales ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le livre des procédures fiscales, notamment ses articles L. 152, L. 153 A et R.* 152-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Sur la proposition de M. Philippe GOSSELIN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :