La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi du 15 juillet 1845 relative à la police des chemins de fer modifiée par la loi 97-135 du 13 février 1997, et notamment son article 23 ;
Vu la loi n° 61-1174 du 31 octobre 1967 rendant applicables les articles 12 à 27 de la loi du 15 juillet 1845 sur la police des chemins de fer à certaines entreprises de transports public ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-3° ;
Vu le décret n° 42-730 portant règlement d'administration publique sur la police, la sûreté et l'exploitation des voies ferrées d'intérêt général et d'intérêt local ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la convention portant délégation de service public du transport urbain de l'agglomération lyonnaise signée le 9 décembre 2004 et notamment son annexe 17 relative à la sécurité du réseau TCL ;
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la demande d'autorisation présentée par la Société Lyonnaise de Transports en Commun (SLTC) le 13 mai 2005 ;
Après avoir entendu M. Guy Rosier, Vice-président délégué, en son rapport et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Société Lyonnaise de Transports en Commun (SLTC) a saisi la CNIL d'une déclaration relative à la mise en oeuvre d'un traitement de données à caractère personnel intitulée "Main courante du PC sécurité" et ayant pour finalité le recueil et la centralisation de toutes les informations relatives à la sécurité sur le réseau de transport en commun lyonnais et des voyageurs.
La Commission relève que la SLTC est, en vertu d'une convention de délégation de service public, chargée de la gestion et d'exécution du service de transport public de voyageurs de l'agglomération lyonnaise.
Les objectifs poursuivis par le traitement sont de quatre ordres :
- assurer en temps réel une gestion opérationnelle des incidents et améliorer le délai d'intervention,
- assurer une gestion nominative des astreintes et des permanences,
- favoriser le traitement des informations recueillies afin d'engager des actions de prévention,
- établir des statistiques.
Le traitement des opérations ainsi détectées est mis en oeuvre par la Direction Prévention Sécurité au bénéfice des seuls agents habilités de cette direction, du service juridique et contentieux pour le traitement des dossiers et de la direction des systèmes d'information pour la maintenance technique.
Par ailleurs, il résulte des dispositions de l'article 23 de la loi du 15 juillet 1845 relative à la police des chemins de fer modifiée par la loi 97-135 du 13 février 1997, étendue par la loi 61-1174 du 31 octobre 1967 à certaines entreprises de transports public que "les crimes, délits ou contraventions prévus dans les titres Ier conservation des chemins de fer et III sécurité des chemins de fer de la présente loi, ainsi que les contraventions prévues par les textes réglementaires relatifs à la police, la sûreté et l'exploitation des voies ferrées pourront être constatés par des procès-verbaux dressés concurremment par les officiers de police judiciaire, les ingénieurs des ponts et chaussées et des mines, les conducteurs, gardes-mines, agents de surveillance et gardes nommés ou agréés par l'administration et dûment assermentés. A cette fin, ces personnels sont habilités selon les cas à recueillir ou à relever l'identité et l'adresse du contrevenant, selon les modalités et dans les conditions prévues par l'article 529-4 du code de procédure pénale."
Ainsi, la Commission observe que le traitement de données à caractère personnel portant sur les incidents liés à la sécurité du réseau de transport de personne lyonnais et des voyageurs entre dans les prévisions des dispositions de l'article 9-1° de la loi du 6 janvier 1978 modifiée lequel dispose que les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales, peuvent mettre en oeuvre des traitements relatifs aux infractions, condamnations et mesures de sûreté.
Dès lors, la Commission considère qu'il y a lieu de faire application de l'article 25-3° de la loi du 6 janvier 1978 modifiée le 6 août 2004 qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.
Les catégories de données à caractère personnel enregistrées seront relatives à l'identité des victimes, leur adresse, les informations relatives à leur lieu d'hospitalisation et l'existence d'un arrêt de travail, les informations relatives aux incidents, les mesures conservatoires prises, les suites apportées, l'identité des membres de l'équipage et leurs coordonnées, l'identité des personnels agréés et assermentés en application de l'article 23 de la loi du 15 juillet 1845, leurs identifiants et leurs horaires d'astreinte.
Les informations seront conservées sous une forme permettant l'identification des personnes pour une durée d'un an glissante. Au-delà de cette durée, les informations devront être anonymisées ou pourront faire l'objet d'un archivage pour répondre aux nécessité de gestion du contentieux ou de preuve de réalisation des diligences prévues dans la convention de service public pendant une durée n'excédant pas celle déterminée par les règles de prescription et dans des conditions de mise en oeuvre garantissant, a minima, un isolement des données archivées au moyen d'une séparation logique (gestion des droits d'accès et des habilitations).
Les destinataires des informations seront :
- le comité de direction de la Société Lyonnaise de Transports en Commun (SLTC),
- les personnels individuellement désignés et spécialement habilités par le directeur de la Direction prévention sécurité,
- les personnels individuellement désignés et spécialement habilités par le chef du service juridique et contentieux, pour le suivi du contentieux,
- les personnels individuellement désignés et spécialement habilités par le directeur de la direction des systèmes d'information pour les seules données nécessaires à la maintenance technique.
Les données ne feront l'objet d'une communication extérieure sous une forme nominative que pour répondre aux réquisitions légales.
Le droit d'accès défini au chapitre VII de la loi s'exercera auprès de la Direction prévention Sécurité de la société SLTC, 19 boulevard Vivier merle, Immeuble Le Lyonnais, 69212 LYON Cedex 03.
Autorise, dans ces conditions, la Société Lyonnaise de Transports en Commun (SLTC) à mettre en oeuvre un traitement de données à caractère personnel dénommé "Main courante du PC sécurité" et ayant pour finalité le recueil et la centralisation de toutes les informations relatives à la sécurité du réseau de transport en commun lyonnais.
Le président, Alex TURK.