La Commission nationale de l'informatique et des libertés ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu la délibération n° 03-038, adoptée par la CNIL le 16 septembre 2003, portant adoption d'une recommandation relative à la collecte et au traitement d'informations nominatives par les sociétés de transports collectifs dans le cadre d'applications billettiques ;
Après avoir entendu M. Guy ROSIER, Vice-Président délégué, en son rapport, et Mme Pascale COMPAGNIE, commissaire du Gouvernement en ses observations ;
Formule les observations suivantes :
La Commission Nationale de l'Informatique et des Libertés a été saisie par la Société Connex Chambéry le 18 septembre 2006 d'un dossier de déclaration relatif à la mise en oeuvre d'un traitement de données à caractère personnel "AMARILIS" pour la gestion des abonnements au service de transport en commun de Chambéry (sous forme de titres papiers uniquement).
Chambéry métropole a confié à l'entreprise Connex Chambéry la gestion de son réseau de transports en commun dans le cadre d'un contrat de délégation de service public.
Le dispositif présenté concerne non seulement la gestion des abonnements, la réalisation de titres de transport personnels, la diffusion d'informations clientèles et autres actions commerciales de l'entreprise, la gestion des réclamation clients et la réalisation de statistiques, mais aussi le suivi administratif et financier des abonnements qui inclut le suivi des impayés.
Dès que survient un impayé dans le règlement par prélèvement ou au comptant, l'abonné reçoit un premier courrier, appelé "première relance" lui précisant les sommes dues et qu'en cas de non règlement de ces sommes, le dossier sera transmis au service contentieux de la société Connex Chambéry.  Une deuxième relance est envoyée entre deux et trois semaines après l'envoi de la première. Enfin, une troisième relance, sous forme de mise en demeure de payer, est envoyée en recommandé avec accusé de réception trois semaines après l'envoi de la deuxième.  A partir de ce troisième courrier, la mention "bloquée" apparaît dans le fichier client accompagnée d'une zone commentaire indiquant le ou les mois des impayés ainsi que le montant total des impayés.  Tant que le client n'a pas soldé sa situation, il ne peut plus réaliser d'achat d'abonnement annuel ni même acheter des coupons mensuels à la Société des transports de l'agglomération de Chambéry (Stac).  Il peut néanmoins acheter des coupons mensuels dans l'un des quarante quatre Points Bus répartis sur l'agglomération ainsi que des tickets à l'unité dans tous les points de vente.
La durée de conservation retenue en matière de gestion des impayés apparaît pertinente :  en effet les informations concernant les impayés sont conservées pendant une durée maximale de 24 mois à compter de l'inscription.  Si l'abonné régularise sa situation avant ce délai ; les informations concernant ses impayés seront effacées dès le paiement de sa dette.
La Commission relève que les modalités pratiques de mise en oeuvre des traitements relatifs à la prévention et au suivi des impayés présentés par la société Connex Chambéry satisfont aux principes dégagés et aux recommandations émises par la Commission en matière de gestion de fichiers d'impayés, à savoir notamment le respect du principe de sectorisation, la notification préalable de l'inscription, le choix d'une durée de conservation pertinente et la définition stricte des motifs d'inscription.
La Commission considère qu'il y a lieu de faire application de l'article 25-4° de la loi du 6 janvier 1978 modifiée en août 2004 qui soumet à autorisation préalable de la CNIL les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire.
Les catégories de données à caractère personnel enregistrées seront :
. au titre des traitements relatifs à la délivrance et à l'utilisation des titres de transport : l'identité (nom, prénom, civilité) de l'abonné ; sa date de naissance ; son âge (calculé automatiquement par le logiciel à partir de la date de naissance) ; son numéro de téléphone ; son adresse postale et électronique ; sa catégorie socioprofessionnelle et le nom de l'entreprise ou de l'établissement scolaire (facultatifs) ; les lignes de bus fréquentées (facultatif) ; le titre de transport utilisé ; ses coordonnées bancaires en cas de paiement de l'abonnement par prélèvement bancaire (code banque / code guichet dans le répertoire des guichet et contrôle de la clé RIB) ;
. au titre des traitements relatifs à la gestion des impayés : l'identité (nom, prénom, civilité) du payeur, sa date de naissance ; son adresse et numéro de téléphone ; ses coordonnées bancaires (code banque / code guichet dans le répertoire des guichet et contrôle de la clé RIB) ;
Les destinataires des informations seront, dans la limite de leurs attributions et, pour la poursuite des finalités précitées, les personnes habilitées du service clientèle et du service administratif et financier de la société Connex Chambéry.
Les personnes seront informées sur les formulaires d'abonnement, et conformément à l'article 32 de la loi du 6 janvier 1978 modifiée en août 2004, de l'identité du responsable de traitement, de la finalité poursuivie par le traitement, du caractère obligatoire ou facultatif des réponses, des conséquences éventuelles d'un défaut de réponse, des destinataires des données et des droits qu'elles détiennent à savoir un droit d'accès, de rectification et d'opposition.
Les droits d'accès et de rectification s'exerceront auprès du service clientèle de Connex Chambéry, 18, avenue des Chevaliers Tireurs - 73026 CHAMBERY Cedex.
Autorise la société Connex Chambéry à mettre en oeuvre le traitement de données à caractère personnel "AMARILIS" pour la gestion des abonnements au service de transport en commun de Chambéry.
Le Président, Alex TURK