(Demande d’autorisation n° 1576743)
La Commission nationale de l’informatique et des libertés,
Saisie par la société AIGLE-AZUR TRANSPORTS AERIENS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des contentieux opposant la société aux passagers ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9-3° et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la société AIGLE-AZUR TRANSPORTS AERIENS.
Sur la finalité
La finalité du présent traitement est la gestion des contentieux opposant la société aux passagers.
L’article 9 de la loi du 6 janvier 1978 modifiée prévoit que le traitement de données relatives aux infractions, condamnations et mesures de sûreté ne peut être mis en œuvre que par :
« 1° Les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ;
2° Les auxiliaires de justice, pour les stricts besoins de l’exercice des missions qui leur sont confiées par la loi ;
3° [Dispositions déclarées non conformes à la Constitution par décision du Conseil constitutionnel n° 2004-499 DC du 29 juillet 2004 ;]
4° Les personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d’atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d’assurer la défense de ces droits ».
Dans sa décision du 29 juillet 2004, le Conseil Constitutionnel a invalidé l’article 9-3° qui permettait à une personne morale de droit privé, mandatée par d’autres personnes morales estimant avoir été victimes ou être susceptibles d’être victimes d’agissements passibles de sanctions pénales, de rassembler des données portant sur des infractions, condamnations ou mesures de sûreté, au motif de son caractère trop général et du manque de précision sur les garanties devant encadrer ce type de traitement.
Pour autant, le Conseil Constitutionnel a précisé que cette annulation ne saurait être interprétée comme « privant d’effectivité le droit d’exercer un recours juridictionnel dont dispose toute personne physique ou morale s’agissant des infractions dont elle a été victime ».
Cette réserve d’interprétation était indispensable pour ne pas priver de base légale les traitements légitimement mis en œuvre pour assurer le suivi des dossiers contentieux relatifs à des infractions. Elle permet à toute personne de constituer, pour les besoins de l’exercice de son droit au recours, des fichiers de pré-contentieux.
Dans ce contexte, la Commission considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
La Commission estime que la finalité poursuivie est déterminée, légitime et explicite.
Sur les données traitées
Les données collectées sont relatives :
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie.
à l’identification (nom, prénom) ;
aux infractions et condamnations ;
à l’état et au suivi de la procédure.
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités de la société AIGLE-AZUR TRANSPORTS AERIENS.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention dans les conditions générales de transport publiées sur le site internet ou remises par l’agence de réservation.
Les droits d’accès et de rectification s’exercent auprès du service juridique de la société AIGLE-AZUR TRANSPORTS AERIENS, 36, rue des Jeuneurs – 75002 PARIS.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
La Commission observe que l’authentification des utilisateurs du traitement respecte ses préconisations, et notamment que les mots de passe utilisés sont d’un niveau de complexité suffisant.
Le traitement est accessible via internet, et que les données sont chiffrées lors de leur transmission, ce afin de garantir leur confidentialité.
Les mesures de sécurité mises en place n’appellent pas d’observation de la part de la Commission.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant la durée de prescription civile, soit 5 ans, ou jusqu’au complet versement des dommages-intérêts.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la société AIGLE-AZUR TRANSPORTS AERIENS à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN