Délibération n° 2024-060 du 18 juillet 2024 portant avis sur un projet de décret en Conseil d'Etat pris en application de l'article L. 2241-2-1 du code des transports
Type : Avis
Date : 2024-07-18
État juridique : VIGUEUR

N° de demande d'avis : 24008825. Thématiques : transports ; lutte contre la fraude ; recouvrement ; amendes ; fiabilisation de l'adresse des contrevenants. Organisme(s) à l'origine de la saisine : ministère de la transition écologique et de la cohésion des territoires. Fondement de la saisine : article L. 2241-2-1 du code des transports. L'essentiel : 1. L'article L. 2241-2-1 du code des transports permet aux agents des exploitants de services de transport chargés du recouvrement, d'obtenir communication de la part des administrations publiques et des organismes de sécurité sociale, par l'intermédiaire d'une personne morale unique, d'informations relatives à l'identité et à l'adresse des contrevenants à la police des transports. 2. Le projet de décret précise les conditions de mise en œuvre de ce dispositif visant à fiabiliser les données relatives à l'identité et à l'adresse des contrevenants recueillies lors de la constatation d'une contravention à la police des transports. 3. La CNIL rappelle que la mise en œuvre de ce dispositif implique des traitements de données à caractère personnel, qui devront donc respecter les exigences du RGPD et de la loi informatique et libertés . A cet égard, elle relève que le projet de décret introduit des garanties essentielles pour le respect du droit à la vie privée des personnes concernées. Elle invite néanmoins le ministère à compléter le projet de décret concernant la nature des informations pouvant être échangées et les droits des personnes concernées. Elle considère par ailleurs que certaines durées de conservation prévues par le projet de décret doivent être révisées afin de respecter les exigences de l'article 5.1.d du RGPD. 4. La CNIL recommande également que l'information des personnes concernées soit fournie par l'inscription de mentions au dos du reçu du procès-verbal d'infraction et, le cas échéant, dans l'avis de recouvrement. 5. Enfin, la CNIL rappelle que, dès lors que les traitements mis en œuvre sont susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes physiques, une analyse d'impact relative à la protection des données à caractère personnel devra être réalisée avant leur mise en œuvre. La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu le code des transports, notamment son article L. 2241-2-1 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ) ; Vu la loi n° 2016-339 du 22 mars 2016 relative à la prévention et à la lutte contre les incivilités, contre les atteintes à la sécurité publique et contre les actes terroristes dans les transports collectifs de voyageurs (loi Savary ) ; Vu la délibération n° 2017-045 du 23 février 2017 portant avis sur un projet de décret en Conseil d'Etat pris en application de l'article L. 2241-2-1 du code des transports ; Après avoir entendu le rapport de M. Alain Dru, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement, Adopte la deliberation suivante : I. - La saisine A. - Le contexte L'article L. 2241-2-1 du code des transports, créé par la loi n° 2016-339 du 22 mars 2016, ouvre la possibilité aux exploitants du service de transport, dans le cadre du recouvrement des sommes dues au titre de la transaction mentionnée à l'article 529-4 du code de procédure pénale, d'obtenir communication de la part des administrations publiques et des organismes de sécurité sociale des informations relatives aux contrevenants. Il impose que cette communication se fasse par l'intermédiaire d'une personne morale unique. Ce droit de communication vise à fiabiliser les données relatives à l'identité et à l'adresse du contrevenant recueillies lors de la constatation d'une contravention à la police des transports. Ce dispositif participe à la lutte contre la fraude dans les transports publics en permettant d'améliorer le recouvrement des amendes. Le manque de fiabilité des adresses communiquées par les contrevenants constitue en effet l'un des facteurs pouvant expliquer la faiblesse du taux de recouvrement de ces sommes. L'Union des transporteurs publics et ferroviaires évalue le gain financier du recours à ce dispositif à environ trois millions d'euros, auquel s'imputeront cinq cent mille euros de frais de fonctionnement. B. - L'objet de la saisine La CNIL a été saisie, le 21 juin 2024, par le ministère de la transition écologique et de la cohésion des territoires, d'une demande d'avis relative à un projet de décret en Conseil d'Etat pris en application de l'article L. 2241-2-1 du code des transports. Une saisine rectificative a été transmise le 5 juillet 2024. Le projet de décret : - a pour objet de préciser les modalités d'exercice de ce droit de communication par le biais d'une personne morale unique, dont il liste les missions ; - précise le contenu des demandes formulées par les exploitants de services de transport et des réponses fournies par la personne morale unique. Il fixe la durée de conservation des données ; - renvoie la définition des spécifications techniques du dispositif de fiabilisation des données à des conventions spécifiques conclues entre la personne morale unique et les administrations publiques et organismes de sécurité sociale. II. - L'avis de la CNIL A. - Sur les conditions générales d'exercice du droit de communication Le législateur a assorti l'exercice de ce droit de communication de plusieurs garanties de nature à concilier l'objectif poursuivi de lutte contre la fraude et le respect de la vie privée et de la protection des données à caractère personnel : les renseignements transmis ne peuvent être utilisés que dans le cadre du recouvrement des sommes dues et ne peuvent pas être communiqués à d'autres personnes que celles chargées du recouvrement de ces sommes ou qu'à l'autorité judiciaire (en cas d'usurpation d'identité). Les demandes des exploitants et les réponses sont transmises par l'intermédiaire d'une personne morale unique, dont les agents, spécialement désignés et habilités à cet effet, sont tenus au secret professionnel. Le projet de décret introduit également plusieurs garanties que la CNIL juge essentielles : il prévoit notamment que seuls les fichiers régulièrement mis à jour soient interrogés et que les renseignements demandés ne soient fournis que si les éléments d'identification de la personne concernée contenus dans la demande ne correspondent qu'à une seule et même personne physique. Par ailleurs, le projet limite strictement les personnes qui peuvent accéder aux données au sein des exploitants de service de transport et de la personne morale unique, et prévoit que l'habilitation des agents de la personne morale unique soit délivrée à la suite du suivi d'une formation initiale et continue en matière de protection des données à caractère personnel. La CNIL rappelle que la communication de ces informations aux exploitants de service de transport constituera un traitement de données à caractère personnel, qui devra respecter les dispositions régissant ces traitements. En l'espèce, tant les organismes fournissant les données que la personne morale unique assumeront une part de responsabilité dans le traitement des données. Cette communication est soumise au RGPD. B. - Sur le périmètre du droit de communication Les fichiers concernés par le droit de communication : Le projet d'article R. 2241-7-3 du code des transports prévoit que seuls les fichiers nationaux permettant d'obtenir des adresses de personnes physiques régulièrement mises à jour entrent dans le champ d'application de l'article L. 2241-2-1 du code des transports. La formulation employée ne permet pas de déterminer précisément le ou les fichiers concernés. Le ministère a indiqué que la rédaction employée doit permettre de s'adapter aux éventuelles évolutions du dispositif ou de la configuration et des caractéristiques des fichiers concernés. Bien que la loi autorise l'interrogation de fichiers des organismes de sécurité sociale, il précise que le dispositif envisagé aura pour le moment recours uniquement à l'interface de programmation d'application recherche des personnes physiques ( API R2P ), produite par la direction générale des finances publiques (DGFiP). Ce choix s'explique, selon le ministère, par la qualité et l'étendue du jeu de données qu'elle contient. Concrètement, cette API interroge : - la base de données nationale dénommée PERS qui a pour objet de constituer un service unique d'identification des contribuables ; - le référentiel occurrence fiscal (OCFI) qui dispose des adresses des contribuables, lesquelles sont mises à jour notamment à chaque campagne de recouvrement de l'impôt sur le revenu. Ce référentiel est également alimenté par les fichiers de la Poste, JCC (démarche je change mes coordonnées ) ainsi que par les mises à jour des contribuables et des agents de la DGFiP via le flux e-contact (messagerie sécurisée de la DGFiP). Aucun autre fichier ou base de données ne serait consulté dans l'hypothèse où l'API R2P ne permettrait pas d'obtenir les informations demandées. La CNIL considère que ce choix est de nature à permettre le respect de l'obligation de traiter des données exactes et tenues à jour, conformément à l'article 5.1.c du RGPD. Elle relève toutefois que le projet de décret vise à la fois les administrations publiques et les organismes de sécurité sociale. Or, le dispositif prévu par le ministère à ce jour n'implique pas la consultation de fichiers des organismes de sécurité sociale. La CNIL prend acte des engagements du ministère de supprimer la mention relative aux fichiers des organismes de sécurité sociale. La nature des informations échangées : En premier lieu, le projet d'article R. 2241-7-5 prévoit que les demandes de renseignements comportent le numéro et la date du procès-verbal, les nom et prénom(s) du contrevenant ainsi qu'au moins une des indications suivantes : sa date de naissance ; sa commune de résidence. Si l'API R2P ne requiert pas les informations relatives à la date et au numéro du procès-verbal, le ministère a précisé que : - la date du procès-verbal permet à la personne morale unique de contrôler que celui-ci ne date pas de plus de trois mois, l'article 529-5 du code de procédure pénale prévoyant qu'au-delà de ce délai l'amende forfaitaire sera recouvrée par le Trésor public et non plus par l'exploitant du service de transport ; - le numéro de procès-verbal permet de s'assurer que chaque demande est associée à une infraction effectivement constatée et de limiter le risque d'abus par les agents des exploitants, en complément du contrôle que doit exercer l'exploitant en interne. La CNIL prend acte des engagements du ministère de préciser, dans le projet de décret, que la date et le numéro du procès-verbal ne sont pas transmis aux administrations publiques. Sous cette réserve, la CNIL considère que ces informations sont de nature à garantir que le droit de communication porte sur des demandes spécifiques et précises et à permettre un contrôle adéquat par la personne morale unique. En deuxième lieu, le projet d'article ouvre la possibilité de préciser la commune de naissance du contrevenant ou toute autre information utile au traitement de leur demande. Le ministère a affirmé que les informations seront uniquement celles exigées pour le fonctionnement de l'API ou de la plateforme mise en place par la personne morale unique. Il s'agit d'informations relatives : - au contrevenant : département, pays en plus de la commune de résidence, adresse communiquée par le contrevenant ; - à des spécificités techniques de l'exploitant du service de transport concerné : identifiant du réseau de l'exploitant, identifiant de connexion à l'application, identifiant supplémentaire (champ libre selon usage des exploitants), date de la demande. S'agissant de l'identifiant supplémentaire , le ministère a précisé, d'une part, qu'il ne doit pas s'agir d'une donnée à caractère personnel et, d'autre part, que le champ sera soit supprimé, soit modifié pour répondre à une nomenclature strictement définie en fonction des besoins des opérateurs de transport, soit assorti d'une alerte automatique pour rappeler qu'il ne doit en aucun cas mentionner des données à caractère personnel. La CNIL en prend acte et invite le ministère à une vigilance renforcée quant à la nature des informations pouvant être communiquées. Elle invite également à mentionner explicitement que le lieu de résidence et le lieu de naissance peuvent être traités afin d'inclure, outre la commune, le département et le pays. Sur ce point, la CNIL prend acte des engagements du ministère d'inclure le département et le pays. La CNIL estime que les informations utiles , dont la transmission est également possible, ne devraient pas contenir de données à caractère personnel ne correspondant à aucune des catégories mentionnées par le décret. En troisième lieu, le dernier alinéa du projet d'article R. 2241-7-5 prévoit que les informations fournies par l'intermédiaire de la personne morale unique comportent uniquement les nom, prénom(s), date et lieu de naissance du contrevenant, ainsi que l'adresse de son domicile. Ces informations sont conformes à celles prévues par l'article L. 2241-2-1 du code des transports et sont bien nécessaires à la finalité poursuivie. Le ministère a précisé que, dans l'hypothèse où, pour une personne donnée et identifiée, l'API R2P contiendrait plusieurs adresses, seule la dernière adresse connue sera transmise à l'agent à l'origine de la demande. En dernier lieu, le dernier alinéa du projet d'article R. 2241-7-2 prévoit que, s'il ne peut être donné suite à la demande de l'exploitant du service de transport à l'origine de la demande, la raison doit en être indiquée (aucune personne n'a pu être identifiée sur la base des informations communiquées ou, au contraire, plusieurs personnes correspondent aux éléments fournis). C. - Sur le recours systématique au dispositif de fiabilisation de l'adresse du contrevenant Si le projet de décret reste silencieux sur ce point, le ministère a indiqué que le recours au dispositif de fiabilisation serait systématique pour tout recouvrement des sommes dues au titre de la transaction mentionnée à l'article 529-4 du code de procédure pénale. Le ministère justifie le caractère systématique par : - l'absence de critères objectifs permettant de faire le tri entre les cas où la fiabilisation serait nécessaire et ceux où les agents de recouvrement pourraient s'en dispenser ; - la nécessité d'assurer la viabilité économique du dispositif pour les opérateurs qui souhaitent éviter au maximum que les avis de recouvrement soient retournés faute d'avoir utilisé une adresse fiable. Compte tenu de la finalité du dispositif prévu par la loi (la fiabilisation des données relatives aux contrevenants) et au regard des garanties prévues par le projet de décret, la CNIL considère que le caractère systématique du recours au dispositif ne porte pas une atteinte disproportionnée aux droits et libertés des personnes concernées. D. - Sur les durées de conservation des données à caractère personnel S'agissant de la conservation des données par la personne morale unique : Le projet d'article R. 2241-7-7 prévoit que la personne morale unique peut conserver les demandes de renseignements pour une durée maximale de trois mois à compter de l'établissement du procès-verbal qui fonde la demande. Elle prévoit également que les réponses aux demandes sont supprimées dans un délai maximal d'un mois à compter de leur mise à disposition de l'exploitant de service de transport. Le ministère a précisé que la possibilité de conserver les demandes de renseignements pendant le délai qui permet aux exploitants de recouvrer les sommes dues (avant transmission au Trésor public) constitue une rédaction de précaution qui doit permettre d'anticiper d'éventuelles difficultés techniques que pourrait rencontrer le système. Il justifie la durée de conservation, par la personne morale unique, des réponses aux demandes mises à la disposition des agents des exploitants, au regard de la disponibilité de ces agents dont il ne peut être exigé qu'ils consultent les réponses et les exploitent instantanément. La conservation de l'ensemble des demandes pendant trois mois constitue une liste des personnes ayant fait l'objet d'une contravention avec procédure de recouvrement, dès lors que la vérification sera, en pratique, systématique. La CNIL estime, en l'état du dossier, que seule la conservation du numéro de la demande et du fait qu'elle a été traitée semble utile une fois que la réponse a été apportée, opération qui devrait en pratique être très brève. Conformément à l'article 5.1.d du RGPD, la durée de conservation des données à caractère personnel doit être déterminée en fonction des finalités pour lesquelles elles sont traitées et non des enjeux techniques inhérents au dispositif. S'il peut être admis que les données à caractère personnel puissent être conservées au-delà de la transmission des informations, notamment parce que la réponse ne peut être traitée immédiatement par l'exploitant, la possibilité de conserver pendant un délai de trois mois à compter de l'établissement du procès-verbal l'ensemble des demandes reçues ne respecte pas le principe de limitation de la durée de conservation. La CNIL prend acte des engagements du ministère de préciser, dans le projet de décret, que tant les demandes que les réponses seront supprimées dès réception par l'exploitant de la réponse à la demande. Elle prend également acte de l'engagement du ministère que pour couvrir les cas de dysfonctionnements empêchant une réception immédiate, il sera précisé que le délai ne pourra pas excéder le délai de recouvrement. S'agissant de la conservation des données par l'administration publique ou les organismes de sécurité sociale : Le projet d'article R. 2241-7-7 prévoit que les administrations publiques et organismes de sécurité sociale conservent les données issues de l'échange pour une durée maximale de six mois. Le ministère a précisé que ce choix est uniquement dû aux limitations techniques de l'API R2P qui prévoit une seule et unique durée de conservation des données pour l'ensemble des utilisateurs concernés, indépendamment de la finalité poursuivie par une demande en particulier. Tout d'abord, la CNIL s'interroge sur l'opportunité d'encadrer la durée de conservation des données issues de l'échange (demandes formulées et réponses transmises) dans cet acte règlementaire si celui-ci est commun à tous les usages pour lesquels l'API est amenée à être utilisée. Si le ministère souhaite règlementer la durée de conservation des données pour le seul usage prévu par le projet de décret, cette durée doit être adaptée aux finalités pour lesquelles les données sont traitées. En effet, la CNIL considère que le choix d'une solution technique particulière ne doit pas déterminer la définition de la durée de conservation, en application du principe de limitation de la conservation des données posé par l'article 5.1.d du RGPD. Ainsi, la durée de conservation des échanges devrait être celle nécessaire à la conduite de la procédure de recouvrement ainsi qu'aux fins de preuve en cas de contestation de l'amende forfaitaire majorée pour les infractions à la police des transports. E. - Sur l'information et les droits des personnes concernées Sur l'information des personnes concernées : Le projet d'article R. 2241-7-8 du code des transports prévoit que le public est informé par tout moyen approprié de la vérification des données à caractère personnel déclarées par les personnes concernées lors de l'établissement d'un procès-verbal. Le ministère précise que l'information sera délivrée sur les sites web propres à chaque exploitant ainsi que sur celui du ministère chargé des transports. Une information par voie d'affichage dans les moyens de transports serait également envisagée. La CNIL recommande que l'information des personnes concernées soit également fournie par l'inscription de mentions au dos du reçu de procès-verbal d'infraction et, le cas échéant, dans l'avis de recouvrement qui est adressé. En tout état de cause, elle rappelle que cette information doit être concise, compréhensible et aisément accessible, rédigée en des termes clairs et simples, en particulier dans la mesure où elle peut être adressée à des mineurs. En outre, la CNIL rappelle que dans l'hypothèse où l'avis de contravention serait adressé à une personne qui n'est pas le véritable contrevenant (par exemple, dans le cas d'une usurpation d'identité), cette dernière doit être en mesure de pouvoir contester celui-ci selon des modalités appropriées. Elle invite le ministère à prévoir ces dernières et à les porter à la connaissance des personnes concernées. F. - Sur les mesures de sécurité encadrant le droit de communication La CNIL observe que le projet d'article R. 2241-7-3 du code des transports prévoit que "le droit de communication […] s'exerce par voie dématérialisée dans le cadre d'un dispositif sécurisé , et que le projet d'article R. 2241-7-6 précise que les échanges d'information entre les exploitants de service de transport et la personne morale unique, d'une part, et la personne morale unique et les administrations publiques et organismes de sécurité sociale d'autre part, sont réalisés dans des conditions sécurisées, de nature à garantir la confidentialité et l'intégrité des données qui transitent ". Elle prend acte de ces précisions visant à garantir la création d'un dispositif assurant la sécurité des données traitées et du fait que les conditions de mise en œuvre du dispositif seront précisées dans des conventions conclues entre les parties concernées. La CNIL relève, par ailleurs, que le projet d'article R. 2241-7-4 du code des transports vise à permettre l'identification des agents à l'origine des demandes d'information, afin de garantir la traçabilité des demandes effectuées par le biais de la personne morale unique. Elle considère que la traçabilité ne devrait pas reposer uniquement sur la personne morale unique mais qu'elle devrait également être effectuée au niveau de l'exploitant du service de transport, notamment pour ce qui concerne la capacité à rendre compte du lien entre les demandes transmises et l'existence d'un procès-verbal. La CNIL prend également acte de l'engagement du ministère de préciser le projet de décret en ce sens. Enfin, la CNIL considère que les traitements mis en œuvre conformément à l'article L. 2241-2-1 du code des transports sont susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes physiques et qu'une analyse d'impact relative à la protection des données à caractère personnel devra être réalisée avant leur mise en œuvre. Liens relatifs La présidente, M.-L. Denis