La Commission nationale de l'informatique et des libertés ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu la délibération n° 03-038, adoptée par la CNIL le 16 septembre 2003, portant adoption d'une recommandation relative à la collecte et au traitement d'informations nominatives par les sociétés de transports collectifs dans le cadre d'applications billettiques ;
Après avoir entendu M. Guy ROSIER, Vice-Président délégué, en son rapport, et Mme Pascale COMPAGNIE, commissaire du Gouvernement en ses observations ;
Formule les observations suivantes :
La Commission Nationale de l'Informatique et des Libertés a été saisie par la Société Nationale des Chemins de Fer (SNCF) le 23 avril 2007 d'un dossier de modification relatif à la mise en oeuvre d'un nouvel abonnement pour le traitement de données à caractère personnel ayant pour finalité la gestion de la clientèle.
La modification a pour objet de prendre en compte la mise en oeuvre d'un nouveau mode d'abonnement annuel à prélèvement mensuel intitulé" e-forfait" .
Avec ce nouvel abonnement, les réservations seront effectuées uniquement via Internet et aucun titre papier ne sera remis.  Aucun billet ne devra donc être composté et seule la carte d'abonnement devra être présentée lors des contrôles.
Le dispositif présenté concerne non seulement la gestion quotidienne des abonnements, la réservation sur le site www.voyages-sncf.com des places, l'envoi du courrier électronique de confirmation et l'émission des avis de prélèvements, mais aussi le suivi des impayés.
En cas d'incident de paiement aboutissant à l'impossibilité de prélever, le client pourra continuer à utiliser son abonnement.  A l'échéance suivante, sera prélevée une somme correspondant au montant de deux mensualités, ainsi qu'une indemnité correspondant au traitement du rejet bancaire, à l'exception du cas d'incident technique non imputable au payeur.  Le premier impayé déclenchera l'inscription dans le fichier de gestion sous la dénomination" abonnement impayé, prélèvement rejeté" . Un contact téléphonique immédiat sera alors pris avec l'abonné et une lettre l'informant des sommes dues ainsi que des conséquences d'un second impayé sera envoyée.
Si deux incidents de paiement, consécutifs ou non, interviennent sur une période inférieure ou égale à douze mois, le contrat sera résilié d'office.  Deux indemnités de traitement des deux rejets bancaires seront alors perçues.  S'ajoutera, en cas de résiliation avant les douze premiers mois suivants la date d'adhésion, une indemnité d'un montant égal à une mensualité.  La carte d'abonnement pourra être retenue par les agents de contrôle de la SNCF. L'abonnement sera invalidé sur les équipements de contrôle de la SNCF.  Dans l'hypothèse d'un second impayé intervenant dans le délai de douze mois après le premier, l'abonné concerné sera alors inscrit sur une liste d'opposition, ce qui aura pour conséquence de lui interdire la souscription de nouveaux abonnements avant apurement des dettes.
Les informations concernant les impayés seront conservées pendant une durée maximale de 24 mois à compter de la date du second impayé constaté sur une période de 12 mois après le premier impayé.  Si l'abonné régularise sa situation avant ce délai, les informations concernant ses impayés seront effacées dès le paiement de sa dette.
La Commission considère qu'il y a lieu de faire application de l'article 25-4° de la loi du 6 janvier 1978 modifiée en août 2004 qui soumet à autorisation préalable de la CNIL les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire.
La Commission relève que les modalités pratiques de mise en oeuvre des traitements relatifs à la prévention et au suivi des impayés présentés par la SNCF satisfont aux principes dégagés et aux recommandations émises par la Commission en matière de gestion de fichiers d'impayés, à savoir notamment le respect du principe de sectorisation, la notification préalable de l'inscription, le choix d'une durée de conservation pertinente et la définition stricte des motifs d'inscription.
Les catégories de données à caractère personnel enregistrées seront :
- au titre des traitements relatifs à la délivrance des réservations associées au produit e-forfait :  l'identité de l'abonné (nom, prénom) ; son adresse postale ; son adresse électronique, sa date de naissance ; ses numéros de téléphone fixe et portable ; sa photographie ; sa profession (facultatif) ; ses coordonnées bancaires (code banque / code guichet et contrôle de la clé RIB) ; le trajet , la classe et la période de validité de l'abonnement.
- au titre des traitements relatifs à la gestion des impayés : l'identité (nom, prénom) du débiteur ; sa date de naissance ; son adresse et numéro de téléphone ; ses coordonnées bancaires (code banque / code guichet et contrôle de la clé RIB) ;
Les destinataires des informations seront, dans la limite de leurs attributions et, pour la poursuite des finalités suivantes :
- au titre des traitements relatifs à la délivrance des réservations associées au produit e-forfait :  les personnes habilitées du CRM Services et des prestataires agréés pour l'envoi des courriers vers les clients, la fabrication des cartes, l'édition de courriers, la gestion des prélèvements et du recouvrement.
- au titre des traitements relatifs à la gestion des impayés : les prélèvements rejetés sont transmis par la SNCF à la filiale CRM Services chargée de la gestion d'e-forfait, CRM Services transmettant elle-même le dossier aux prestataires qu'elle a désignés pour cette tâche.  Dans le cas d'un second impayé dans une période de douze mois, l'inscription en liste d'opposition est confirmée par CRM Services et un message de "non validité de la carte" sera transmis à Voyages-sncf.com afin de permettre de bloquer la possibilité d'effectuer des réservations sur le site, sans que cette société ne soit informée de la raison pour laquelle la carte n'est pas valide.
Les personnes seront informées dans les Conditions Générales de Vente ainsi que sur le formulaire d'adhésion, et conformément à l'article 32 de la loi du 6 janvier 1978 modifiée en août 2004, de l'identité du responsable de traitement, de la finalité poursuivie par le traitement, du caractère obligatoire ou facultatif des réponses, des conséquences éventuelles d'un défaut de réponse, des destinataires des données et des modalités d'exercice de leurs droits d'accès, de rectification et d'opposition.
Les droits d'accès et de rectification s'exerceront auprès du centre de gestion dédié à cet effet et mis en place par CRM Services pour les abonnés e-forfait - TSA 46303 - 95905 CERGY PONTOISE CEDEX 9.
Dans ces conditions, la Commission autorise la SNCF à mettre en oeuvre le nouvel abonnement, intitulé e-forfait, pour le traitement de données à caractère personnel ayant pour finalité la gestion de la clientèle.
Le Président Alex TURK.