(Demande d’autorisation n° 1892222)
La Commission nationale de l'informatique et des libertés,
Saisie par la société AIR FRANCE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’une liste de personnes faisant l’objet d’une interdiction d’embarquer dans les appareils de la compagnie ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-3 et 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Eric PERES, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le responsable de traitement est la société AIR FRANCE.
Sur la finalité
La finalité du présent traitement est la mise en place d’une liste de personnes faisant l’objet d’une interdiction au transport. Le passager interdit au transport est bloqué soit à la vente soit à l’enregistrement.
Les passagers sont inscrits sur cette liste d’exclusion sur décision d’un comité regroupant des représentants de la Direction de la Sûreté d’AIR FRANCE et des représentants de la Direction Juridique d’Air France, lorsque leur comportement est difficile à maîtriser, violent ou, plus généralement, lorsqu’il met en danger la sécurité du vol, des personnes ou des biens à bord et relève à ce titre de la catégorie C3 conformément à la règlementation IATA. Ainsi, l’inscription sur la liste d’exclusion peut notamment intervenir dans les cas suivants : menace ou utilisation d’une arme, agression physique ou agression sexuelle.
Dans ce cas, la société AIR FRANCE procédera systémiquement à un dépôt de plainte auprès de l’autorité judiciaire compétente.
La Commission estime que la finalité poursuivie est déterminée, explicite et légitime.
Par ailleurs, elle considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.
En outre, ce traitement porte sur des données relatives à des infractions. A cet égard, l’article 9 de la loi du 6 janvier 1978 modifiée liste les personnes pouvant mettre en œuvre un traitement de données relatives aux infractions, condamnations et mesures de sûreté. Conformément à la décision du Conseil Constitutionnel du 29 juillet 2004, les victimes d’infractions susceptibles de faire valoir leurs droits devant une juridiction peuvent également procéder à la collecte des données relatives à ces infractions.
Sur les données traitées
Les données enregistrées dans la liste d’exclusion sont relatives à l’identification de la personne concernée : nom, prénom, date et lieu de naissance, nationalité, sexe (si connu), numéro de passeport (si connu).
La Commission prend acte de ce que les motifs d’exclusion ne sont pas renseignés dans la liste d’exclusion.
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Les données enregistrées dans la liste d’exclusion sont accessibles par les personnels dûment habilités de la société AIR FRANCE.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées de l’identité du responsable de traitement, de la finalité du traitement, des destinataires des données et de leurs droits par une mention dans les conditions générales de vente de la société.
Les personnes sont également informées, dans ces mêmes conditions générales de vente, quant à la possibilité qu’elles soient inscrites sur la liste d’exclusion.
En outre, préalablement à l’inscription sur la liste d’exclusion, les personnes concernées en sont individuellement informées par courrier postal ou électronique. Ce courrier rappelle les faits reprochés et invite les personnes à formuler des observations sous quinzaine.
En cas d’inscription sur la liste noire, les personnes concernées en sont individuellement informées par courrier postal ou électronique. Ce courrier précise les conséquences de cette inscription.
Les droits d’accès, de rectification et d’opposition pour motifs légitimes s’exercent auprès de la société AIR FRANCE - Service RE.AJ -IL – CORRESPONDANT INFORMATIQUE ET LIBERTES – 45 rue de Paris – 95747 Roissy CDG Cedex.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Le traitement est mis en œuvre au sein du réseau privé du responsable de traitement (lignes spécialisées).
Les données sont conservées dans un fichier chiffré par mot de passe hébergé au sein d’un serveur dont l’accès distant se fait par canal de communication chiffré et assurant l’authentification de la source et de la destination au moyen du protocole HTTPS. Concernant le recours à ce protocole, la Commission recommande d’utiliser la version de TLS la plus à jour possible.
Des profils d'habilitation sont prévus afin de gérer les accès au fichier. Une politique de mot de passe conforme aux recommandations de la Commission est mise en place pour permettre l’authentification des personnes habilitées. Le renouvellement des mots de passe est opéré tous les 90 jours.
Une journalisation des opérations de création, mise à jour et suppression est réalisée.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données enregistrées dans la liste d’exclusion sont conservées pendant trois ans à partir de la date de l’incident ayant donné lieu à l’inscription sur la liste, puis elles sont supprimées.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la société AIR FRANCE à mettre en œuvre le traitement susmentionné.
Pour La Présidente,
Le Vice-Président délégué,
Marie-France MAZARS