(Demande d’autorisation n° 1711278)
La Commission nationale de l'informatique et des libertés,
Saisie par la société DFDS SEAWAYS SAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’une liste de personnes faisant l’objet d’une interdiction d’embarquer dans les ferries de la compagnie ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Eric PERES, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le responsable de traitement est la société DFDS SEAWAYS SAS, qui offre un service de ferries reliant la France et l’Angleterre.
Sur la finalité
La finalité du présent traitement est la mise en place d’une liste de personnes ne pouvant pas acheter de billets et ne pouvant donc pas embarquer à bord des ferries de la société.
Les personnes peuvent être inscrites dans cette liste d’exclusion lorsqu’elles présentent un risque de sécurité pour elles-mêmes, les autres passagers, l’équipage, le navire ou les autres biens de la société, ou lorsqu’elles ne se sont pas conformées aux instructions ou règles de sécurité. Ainsi, l’inscription dans la liste d’exclusion peut notamment intervenir dans les cas suivants : vol, déclenchement d’un feu ou du système de détection incendie, agression physique, acte de vandalisme, tentative de suicide.
La Commission estime que la finalité poursuivie est déterminée, explicite et légitime.
Par ailleurs, elle considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.
Sur les données traitées
Les données enregistrées dans la liste d’exclusion sont relatives :
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie.
à l’identification de la personne concernée : nom, prénom, adresse, date et lieu de naissance, numéro de passeport ;
à l’exclusion : route/date du voyage à l’occasion duquel le manquement a eu lieu, date du début de l’exclusion ;
à l’identification de la personne qui a enregistré les données dans la liste d’exclusion.
Sur les destinataires
Les données enregistrées dans la liste d’exclusion sont accessibles par les personnels dûment habilités :
La Commission prend acte de ce que le motif d’exclusion n’est pas enregistré dans la liste d’exclusion et que le personnel opérationnel n’y a donc pas accès.
de la société DFDS SEAWAYS SAS ;
de la maison-mère du groupe DFDS, située au Danemark.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées de l’identité du responsable de traitement, de la finalité du traitement, des destinataires des données et de leurs droits par une mention dans les conditions générales de vente de la société.
Les personnes sont également informées, dans ces mêmes conditions générales de vente, quant à la possibilité qu’elles soient inscrites sur la liste d’exclusion.
En outre, en cas d’inscription sur la liste noire, les personnes concernées en sont informées par courrier postal ou électronique au moment de l’inscription.
Les droits d’accès et de rectification s’exercent auprès de la société DFDS A/S, Sundkogsgade, 11 DK-2100 COPENHAGUE - DANEMARK.
La Commission prend acte que les personnes concernées peuvent exercer leurs droits en français.
Elle estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Les données du traitement sont accessibles depuis le réseau interne de l’entreprise. Des habilitations en restreignent l’accès.
L’authentification des utilisateurs est réalisée au moyen d’un couple identifiant/mot de passe, dont la mise en œuvre respecte les exigences de la Commission. Une traçabilité des accès est conservée jusqu’à deux ans dans les sauvegardes.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données enregistrées dans la liste d’exclusion sont conservées pendant trois ans à partir de la date d’enregistrement des données dans la liste, puis elles sont supprimées.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la société DFDS SEAWAYS SAS à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN