(Demande d’autorisation n° 1796527)
La Commission nationale de l'informatique et des libertés,
Saisie par la Société Nationale des Chemins de Fer français (SNCF) d’une demande d’une demande de modification de la délibération n° 2012-366 du 11 octobre 2012 autorisant la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité la gestion d’une main courante électronique et des constats d’infraction à la police des chemins de fer ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I°3 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Eric PERES, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
La Société Nationale des Chemins de Fer français (SNCF) a saisi la Commission nationale de l’informatique et des libertés d’une demande de modification de la délibération n° 2012-366 du 11 octobre 2012 autorisant la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité la gestion d’une main courante électronique et des constats d’infraction à la police des chemins de fer. L’objet de cette modification porte sur la dénomination et l’adresse du service chargé des droits d’accès et de rectification, ainsi que sur les destinataires.
Responsable du traitement
Le responsable de traitement est la Société nationale des chemins de fer français (SNCF), qui a confié la mise en œuvre du traitement au service de la surveillance générale (SUGE).
Sur la finalité
Le traitement de données à caractère personnel est mis en œuvre pour les finalités suivantes :
La Commission estime que ces finalités sont déterminées, explicites et légitimes.
L’aide à la saisie des mains courantes de fin de service rédigées par les agents de la SUGE dans le cadre de leur mission de lutte contre les infractions à la police des chemins de fer. Ces mains courantes reprennent l’ensemble des actions réalisées lors d’une journée de service ;
L’aide à la rédaction de rapports rédigés suite au constat d’une contravention de 5ème classe à la police des chemins de fer ou d’un délit, ou encore lorsqu’un individu est remis à l’officier de police judiciaire ou lorsqu’une injonction de descente du train ou de sortie des emprises est réalisée ;
La traçabilité des actions réalisées par la SUGE afin de pouvoir répondre aux réquisitions judiciaires ;
La réalisation de statistiques anonymes portant sur l’évolution des infractions à la police des chemins de fer.
Dans ce contexte, la Commission considère qu’il convient de faire application des articles 9-1° et 25-I-3° de la loi du 6 janvier 1978 modifiée autorisant les personnes morales gérant un service public à collecter des données relatives aux infractions et mesures de sûreté.
Sur les données traitées
Le traitement de données à caractère personnel est mis en œuvre pour les finalités suivantes :
La Commission estime que ces finalités sont déterminées, explicites et légitimes.
L’aide à la saisie des mains courantes de fin de service rédigées par les agents de la SUGE dans le cadre de leur mission de lutte contre les infractions à la police des chemins de fer. Ces mains courantes reprennent l’ensemble des actions réalisées lors d’une journée de service ;
L’aide à la rédaction de rapports rédigés suite au constat d’une contravention de 5ème classe à la police des chemins de fer ou d’un délit, ou encore lorsqu’un individu est remis à l’officier de police judiciaire ou lorsqu’une injonction de descente du train ou de sortie des emprises est réalisée ;
La traçabilité des actions réalisées par la SUGE afin de pouvoir répondre aux réquisitions judiciaires ;
La réalisation de statistiques anonymes portant sur l’évolution des infractions à la police des chemins de fer.
Sur les destinataires
Les destinataires des données sont les agents dûment habilités de la SUGE, la Direction juridique de la SNCF, et les forces de l’ordre sur réquisition judiciaire.
La liste de ces destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes sont informées par une mention apposée sur les panneaux d’affichage dans les gares de la SNCF, ainsi que sur les procès-verbaux remis aux personnes concernées.
Les droits d’accès et de rectification s’exercent auprès de la Direction de la sûreté de la SNCF, 116 rue Maubeuge – 75010 Paris.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Le traitement est disponible uniquement sur le réseau interne de la SNCF, qui fait l’objet de mesures visant à éviter et détecter les intrusions.
Les modalités d’authentification des utilisateurs habilités apparaissent conformes aux recommandations de la Commission.
Une gestion des habilitations a été mise en place et les agents n’ont accès qu’aux données pour lesquelles ils sont habilités, en fonction de leur position hiérarchique et de leur périmètre géographique de rattachement.
Des mesures de traçabilité ont été mises en place afin de permettre de suivre la consultation des procès verbaux générés par le traitement ; ces données de traçabilité sont conservées pendant un an.
Les autres mesures de sécurité mises en place n’appellent pas d’observation de la part de la Commission.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant une durée de trois ans.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Par ailleurs, le traitement est interconnecté avec l’application Harmonie, qui est un outil de suivi de la production ferroviaire des entités de la SUGE (composition des équipes, directives du supérieur hiérarchique, trains accompagnés, temps passé dans les gares, etc.).
Autorise, conformément à la présente délibération, la Société Nationale des Chemins de Fer français (SNCF) à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN