La Commission nationale de l'informatique et des libertés,
Saisie  par le ministre de l'intérieur d'une demande d'avis portant sur un  projet d'arrêté relatif à la création d'un téléservice de  l'administration, dénommé  Résultats du permis de conduire ,
Vu la  convention n° 108 du Conseil de l'Europe pour la protection des  personnes à l'égard du traitement automatisé des données à caractère  personnel ;
Vu la directive 95/46/CE du Parlement européen et du  Conseil du 24 octobre 1995 relative à la protection des personnes  physiques à l'égard du traitement des données à caractère personnel et à  la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article son article 27-II (4°) ;
Vu le code de la route ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 20 avril 2012 fixant les conditions d'établissement, de délivrance et de validité du permis de conduire ;
Vu l'arrêté du 26 avril 2013 relatif à la notification des résultats des examens du permis de conduire ;
Vu le projet d'arrêté du ministre de l'intérieur ;
Vu le dossier et ses compléments ;
Après  avoir entendu M. Eric PERES, commissaire, en son rapport et M.  Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Sur  le fondement de l'article 27-II (4°) de la loi du 6 janvier 1978  modifiée, la Commission nationale de l'informatique et des libertés a  été saisie pour avis par le ministre de l'intérieur d'un projet d'arrêté  portant création d'un téléservice de l'administration, dénommé   Résultats du permis de conduire  :
Sur les finalités :
L'article  1er du projet d'arrêté précise les finalités du traitement et énonce que  ce téléservice  [...] a pour finalité de permettre aux candidats au  permis de conduire qui le souhaitent d'accéder en ligne à leur résultat  d'examen du permis de conduire, ainsi qu'au certificat qui autorise  temporairement la conduite du véhicule de la catégorie pour laquelle  l'examen a été passé .
La commission note avec satisfaction que  l'utilisation de ce téléservice est présentée comme une simple faculté  offerte aux  candidats au permis de conduire qui le souhaitent .
Les  candidats qui ne souhaitent pas ou n'ont pas la possibilité d'accéder  au téléservice  Résultats du permis de conduire  disposent de la  possibilité soit d'obtenir leur certificat d'examen du permis de  conduire auprès de leur école de conduite, soit, le jour de l'examen, de  demander à l'inspecteur du permis de conduire d'établir et d'envoyer  par la poste un certificat d'examen du permis de conduire  papier .
La  commission considère que les finalités poursuivies par la mise en œuvre  du téléservice dénommé  Résultats du permis de conduire  sont  déterminées, explicites et légitimes.
Sur la nature des données traitées :
L'article 2 du projet d'arrêté précise les données à caractère personnel traitées. ll s'agit plus précisément :
- de données relatives à l'état civil : nom, prénoms ;
- du numéro de dossier de demande de permis de conduire (NEPH) ;
- de la catégorie de permis ;
- des notes obtenues aux épreuves d'examen du permis de conduire ;
- des éventuelles mentions codifiées de restrictions ou de limitation de validité.
Concernant les données relatives à l'état civil, la commission  prend note de ce que, à sa demande, l'article 2 du projet d'arrêté a  été complété par une référence à la date de naissance, cette donnée  étant requise pour se connecter au téléservice  Résultats du permis de  conduire .
S'agissant des  mentions codifiées de restrictions ou de  limitation de validité , la commission prend note qu'il s'agit des  mentions fixées dans l'annexe 1 de l'arrêté du 20 avril 2012 fixant les  conditions d'établissement, de délivrance et de validité du permis de  conduire.
Ce faisant, la commission observe que l'article 2 du projet  d'arrêté autorise le traitement de données de santé, lorsque ce  traitement est rendu nécessaire par l'annexe 1 de l'arrêté du 20 avril  2012 fixant les conditions d'établissement, de délivrance, et de  validité du permis de conduire.
Compte tenu de ce qu'il s'agit de  données sensibles au sens de l'article 8 de la loi du 6 janvier 1978  modifiée, la commission appelle à la vigilance et rappelle que la  confidentialité de ces données doit être renforcée par des mesures de  sécurité complémentaires.
La commission considère que la collecte et  le traitement des données mentionnées à l'article 2 du projet d'arrêté  sont légitimes, pertinents et non excessifs au regard des finalités  poursuivies.
Sur la durée de conservation des données :
L'article 3  du projet d'arrêté précise que  la durée de conservation des données à  caractère personnel et informations enregistrées à l'article 2 ne peut  excéder quatre mois à compter de la date de réussite à l'examen du  permis de conduire .
La commission considère que cette durée de  conservation n'excède pas celle qui est nécessaire à l'accomplissement  des finalités poursuivies.
Sur les destinataires des données :
L'article  4 du projet d'arrêté précise les destinataires habilités à recevoir  communication des données traitées par l'intermédiaire du téléservice   Résultats du permis de conduire .
Plus précisément, ces données seront accessibles :
- aux  agents des services déconcentrés de l'Etat en charge  de l'examen du permis de conduire ,  à raison de leurs attributions et  dans la limite du besoin d'en connaître  ;
- au candidat à l'examen du permis de conduire, s'agissant des données le concernant directement ;
-  à l'exploitant de l'établissement ou de l'association agréés au titre  des articles L. 213-1 et L. 213-7, s'agissant des données des candidats à  l'examen du permis de conduire qui y sont inscrits.
La commission considère que ces destinataires ont un intérêt  légitime à accéder aux données du téléservice dénommé  Résultats du  permis de conduire .
Sur l'information des personnes :
La  commission prend acte que l'information des personnes concernées sera  assurée par une mention sur la page  mentions légales  du site  internet dédié.
Sur les droits d'accès, de rectification et d'opposition des personnes :
L'article  5 du projet d'arrêté mentionne que les droits d'accès et de  rectification, prévus aux articles 39 et 40 de la loi du 6 janvier 1978  modifiée, s'exercent auprès de la délégation à la sécurité et à la  circulation routière.
La commission observe par ailleurs que  l'article 6 du projet d'arrêté écarte expressément l'application du  droit d'opposition pour motif légitime prévu par l'article 38 de la loi  du 6 janvier 1978 modifiée.
Sur la sécurité des données et la tracabilité des actions :
La  commission prend note que le téléservice  Résultats du permis de  conduire  est conforme au référentiel général de sécurité, conformément  au décret n° 2010-112.
La  commission considère que les mesures prises pour sécuriser les échanges  entre le serveur contenant les résultats du permis et le serveur web du  téléservice sont satisfaisantes.
Enfin, la commission rappelle que  la mise en place du téléservice  Résultats du permis de conduire  doit  se faire en conformité avec l'article 32-II de la loi du 6 janvier 1978  modifiée et qu'en particulier :
- aucun cookie non nécessaire au service ne doit être déposé  sur l'ordinateur de l'utilisateur, sans le consentement préalable de ce  dernier ;
- il doit être indiqué aux utilisateurs comment s'opposer au dépôt de cookies tout en continuant à bénéficier du service ; et
- les mentions d'informations doivent être complètes et détailler les finalités associées aux différents cookies déposés.
La présidente,
I. Falque-Pierrotin