La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2010-1702 du 30 décembre 2010 portant création de l'Institut français des sciences et technologies des transports, de l'aménagement et des réseaux (IFSTTAR) ;
Sur le rapport de M. Jean-François CARREZ, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
L'Institut français des sciences et technologies, des transports, de l'aménagement et des réseaux (IFSTTAR) a déposé une demande d'autorisation pour son projet S_VRAI (Sauver des vies par le retour d'analyse sur incidents).
Le projet S_VRAI a pour objectif principal l'identification de pistes de progrès dans l'appréhension et la prévention de l'accidentalité routière à partir de l'exploitation de données acquises lors de la conduite d'un véhicule automobile grâce à des enregistreurs de données embarqués. Ces enregistreurs, dénommés EMMA (Enregistreurs eMbarqués des Mécanismes d'Accidents), sont implantés dans des flottes de véhicules de service de l'administration exclusivement (services de l'Etat, de collectivités territoriales). Ces véhicules sont utilisés par les agents dans un contexte professionnel.
La phase 1 prévoit l'équipement de 50 véhicules. Les véhicules équipés peuvent être soit exclusivement affectés à des agents participant à l'expérimentation soit être partagés entre plusieurs agents dont certains ne participeraient pas à l'expérimentation. Le boitier EMMA est désactivé par défaut sur ces véhicules partagés. Il est en revanche activé par défaut sur les 15 véhicules affectés exclusivement à des agents volontaires. Pour autant, l'IFSTTAR précise que les agents dans ce cas peuvent désactiver le boitier, même s'ils se sont portés volontaires. La désactivation se fait grâce à un bouton poussoir. Un voyant rouge s'allume lors de la mise sous contact du véhicule pour signaler l'activation du système. Il s'éteindra lorsque le conducteur aura appuyé sur le bouton poussoir. Aucune donnée ne sera alors enregistrée bien que le boitier reste alimenté électriquement.
Par ailleurs, ces conducteurs se verront proposer en outre une carte magnétique, comportant un code anonymisé. L'opération repose sur du volontariat, ils sont donc libres ou non de l'utiliser. Cette carte doit être insérée dans un lecteur pour permettre la constitution d'une base de profils de conducteur constituée du code, du sexe, de l'année de naissance et de la date d'obtention du permis de conduire. Ces données seront intégrées dans les entêtes des fichiers de données produites par le système au cours du parcours et envoyées sur la base EMMA/2. Les détenteurs de cette carte auront toujours la possibilité de ne pas insérer la carte dans le lecteur et ainsi de passer au système actif par défaut avec un recueil des données (non associés au code du conducteur) ou encore de désactiver le dispositif grâce au bouton poussoir.
L'expérimentation menée va générer quatre bases de données :
- Une base directement nominative concernant les agents susceptibles de conduire un véhicule de service équipé.
- La base EMMA/2 composée de résumés d'incidents. Elle est construite à partir des données directement transférées depuis les boitiers sur le serveur de l'IFSTTAR, décompressées, décryptées, mises en forme, organisées et structurées.
- La base  incidents  sera constituée des extractions anonymisées de données transmises par l'IFSTTAR (base EMMA/2) au CETE du Sud Ouest.
- Les fichiers ad hoc pour les thématiques concernant le retour vers les conducteurs (auto-confrontation et retour d'expérience) sont des fichiers constitués dans le cadre d'enquêtes réalisées par voie de questionnaires, d'entretiens, de focus groupe avec les conducteurs participant à l'expérimentation mais aussi avec ceux qui ne participent pas à l'expérimentation mais qui ont accepté de répondre à ces enquêtes. Les résultats sont anonymisés. Ces études sont placées sous la responsabilité du CETE de l'Ouest et ne sont pas accessibles aux autres partenaires. Les données recueillies dans ce cadre ne sont pas récupérées par le boitier mais relèvent de protocoles et de méthodes spécifiques à la recherche en sciences humaines et sociales. Des retours vers les conducteurs sont parfois prévus pour recueillir leur sentiment sur le risque ou sur l'expérimentation. Dans ces cas-là, il faudra permettre aux chercheurs de lever l'anonymat. Cette levée est subordonnée au libre consentement du conducteur. En effet, dans la mesure où les noms, prénoms et date de naissance sont hachés dans la base, le seul moyen de lever l'anonymat est d'envoyer un mail à l'ensemble des conducteurs volontaires afin que celui référencé par tel ou tel code se fasse connaître s'il souhaite participer à ces enquêtes.
L'IFSTTAR souligne que la collecte de la vitesse instantanée pratiquée au moment de l'incident est nécessaire dans la recherche de pistes de progrès dans l'appréhension et la prévention de l'accidentalité routière. Or, la vitesse instantanée est susceptible de faire apparaître une infraction au code de la route.
Pour rappel, les traitements de données relatives aux infractions mis en œuvre par des établissements publics sont soumis au régime de l'autorisation en application de l'article 25-I-3° de la loi.
Dès lors, le projet S_VRAI qui s'inscrit pleinement dans le cadre de la mission de service public de l'IFSTTAR, institué par le décret n° 2010-1702 du 30 décembre 2010, est aujourd'hui soumis à la Commission.
Sur la finalité
Le projet S-VRAI de l'IFSTTAR a pour objectif d'identifier des pistes de progrès dans la connaissance et la prévention des accidents de la route à partir de l'exploitation de données issues de boitiers embarqués dans les véhicules de service de l'administration.
Cette finalité s'illustre par la création de plusieurs thématiques afin d'appréhender l'incidentalité suivant des approches différentes mais dont les résultats doivent tendre à produire des pistes de progrès pour la recherche en accidentologie et des recommandations d'actions publiques de sécurité routière.
Pour répondre aux objectifs fixés, le projet compte six thématiques différentes : l'incidentalité comme indicateur de l'insécurité routière ; améliorer la connaissance des mécanismes d'accidents ; l'efficacité des systèmes d'aide à la conduite ; incidents et infrastructure ; incidents et comportements ; caractérisation dynamique de la conduite.
La Commission considère que les finalités énoncées sont déterminées, explicites et légitimes, conformément à l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur le recueil du consentement
Des formulaires de consentement éclairé pour les conducteurs volontaires seront à remplir et à signer. Un paragraphe y explique clairement le processus de désactivation.
Pour rappel, l'article 2h) de la directive 95/46 définit le consentement comme :  toute manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l'objet d'un traitement .
La CNIL ne retient pas, en principe, le consentement lorsque le traitement se rattache à l'activité caractérisée par un lien de subordination entre l'employeur et l'employé. Toutefois, s'agissant d'un traitement à des fins scientifiques et statistiques, effectué indépendamment de tout lien avec les autorités hiérarchiques ou fonctionnelles de l'agent et des garanties offertes notamment en matière de volontariat et de possibilité de désactivation, la condition du consentement peut être regardée comme remplie en l'espèce.
Sur les données enregistrées
Les données recueillies au sein d'EMMA/2 sont d'une part celles qui sont enregistrées par le boiter EMMA installé dans le véhicule, d'autre part celles qu'apportent les systèmes d'enregistrement internes propres aux véhicules (bus CAN) et qui sont spécifiques selon les marques et les véhicules.
Les données issues des capteurs internes d'EMMA sont des variables liées à la dynamique du véhicule. Ces données sont nécessaires pour définir le niveau de l'incident (mineur, modéré ou majeur). Elles ont pour but de fournir le comportement dynamique du véhicule au cours de l'évènement.
Les données issues du bus CAN sont des informations relatives aux actions du conducteur, telles que les impulsions données aux commandes ou le régime moteur. Les données susceptibles d'être extraites du bus CAN, non disponibles sur tous les modèles de véhicules sont : la vitesse longitudinale, le régime moteur, le kilométrage du véhicule, la position de la pédale d'accélérateur, l'ouverture du papillon des gaz, l'accélération longitudinale, l'angle de rotation du volant, la consommation d'essence, la vitesse de rotation moyenne des roues avant, les vitesses de rotation des roues, la température d'eau du moteur et les  tout ou rien  (appui sur la pédale de frein, appui sur la pédale d'embrayage, frein à main, clignotants, allumage des feux de position, allumage des feux de croisement, allumage des feux de route, ESP opérationnel, ESP actif et contact). Ces données sont complémentaires des données issues des capteurs EMMA.
En plus des données collectées par le boitier et par le bus CAN, dès la fin d'un évènement, un message de résumé de l'évènement est envoyé à l'IFSTTAR. Le message comprend les données suivantes : date et heure de l'évènement déclenchant, nom du fichier complet, durée totale de l'enregistrement, instant précis de l'événement, nom du critère de déclenchement, coordonnées GPS du début de l'enregistrement, de l'évènement déclenchant et de la fin de l'enregistrement, les valeurs minimales et maximales, ainsi que les temps et les coordonnées GPS correspondant à des variables de dynamique du véhicule et le profil de vitesse simplifiée pendant les 45 secondes d'enregistrement. Pour que les études soient pertinentes, la géolocalisation doit intégrer celle de la situation précédant le déclenchement de l'évènement pendant une durée minimale de 30 secondes. Pour ce faire, il faut en réalité un enregistrement en continu suivi d'un effacement systématique en l'absence de déclenchement du système (le boitier ne conservant les données de géolocalisation que 30 secondes avant et 15 secondes après l'évènement).
Par ailleurs, des essais de recueil vidéo (des scènes à l'avant du véhicule) peuvent être effectués à titre expérimental dans EMMA/2. Ces vidéos ne seront pas réalisées dans le cadre des déplacements pour l'exécution d'une mission ou d'un trajet domicile-travail. Il est prévu que les visages et plaques d'immatriculation apparaissant sur les vidéos soient floutés.
La Commission considère que ces données sont pertinentes, adéquates et non excessives au regard des finalités susvisées.
Sur les destinataires
Concernant la base nominative des conducteurs volontaires
Ces bases constituées par les employeurs seront adressées aux personnes habilitées de l'IFSTTAR (en pratique au nombre de 2 pour l'anonymisation et la remise des formulaires) et aux chefs de projets au CERTU.
Les autorités hiérarchiques et fonctionnelles des agents (employés) volontaires n'auront pas accès aux données de l'expérimentation.
Concernant la base EMMA/2
Les données de la base EMMA/2 et les résumés d'évènements seront exclusivement consultables par les agents habilités de l'unité de recherche  mécanismes d'accidents  de l'IFSTTAR concernés par le projet S_V RAI.
Concernant la base  incidents
La base  incidents  est accessible aux personnes habilitées du CETE du Sud-Ouest (qui gère cette base) et aux personnes habilitées des CETE participant aux thématiques (CETE de Lyon, CETE de Normandie Centre, CETE de l'Ouest et CETE de la Méditerranée).
Concernant les fichiers ad hoc
En cas d'enquête sur les retours d'expérience et sur l'auto-confrontation, seules les personnes habilitées du CETE de l'Ouest auront accès à ces fichiers ad hoc dans la mesure où ce sont les chercheurs-psychologues du CETE de l'Ouest qui seront en charge de ces analyses.
Concernant les résultats statistiques et analytiques des études
Le département et la direction interdépartementale ne seront destinataires que des résultats des études réalisées concernant le réseau routier dont ils ont la responsabilité (et n'auront pas accès à l'intégralité des données recueillies). Les gestionnaires de flottes mobilisées qui sont également des gestionnaires d'un réseau circulé n'auront donc accès qu'aux résultats d'études. De la même manière, les ministères concernés seront destinataires des résultats produits au fur et à mesure de la publication des livrables.
La Commission considère que les destinataires sont limités aux seules personnes ayant besoin d'avoir accès aux données.
Sur la durée de conservation
L'IFSTTAR prévoit de hacher les noms, prénoms et dates de naissance des conducteurs dès leur collecte et avant la remontée des informations dans la base EMMA/2. L'alias ainsi créé est appelé  code conducteur haché .
Les données indirectement identifiantes de la base EMMA/2- que sont le code conducteur haché et le numéro de boitier haché - seront supprimées dans un délai de 14 mois maximum après le début du recueil des données. Cette durée correspond à celle de la phase 1 plus deux mois supplémentaires. De même, la table de correspondance entre les numéros de série des véhicules (numéros VIN) et les numéros de boitier seront conservés pendant 14 mois. Cette durée permet à l'IFSTTAR d'identifier les équipements disponibles sur les véhicules et de paramétrer les boitiers enregistreurs en conséquence durant toute la durée de la phase 1.
En revanche, la table de correspondance des noms et des codes conducteurs hachés n'est conservée que le temps de la remise de la carte au conducteur. Cette durée n'excèdera pas cinq jours. La clé utilisée pour le hachage est également supprimée dans ces délais. Dès lors, seul le conducteur peut faire le lien entre son code et son identité.
La Commission considère que les durées de conservation retenues n'excèdent pas les durées nécessaires aux finalités pour lesquelles les données ont été collectées et traitées.
Sur les mesures de sécurité
La sécurité du traitement repose sur l'anonymat des conducteurs, prévu dès leur enrôlement, et non a posteriori.
Cet anonymat est garanti par des mesures techniques et organisationnelles. Ces dernières sont de deux natures :
- Une procédure de génération de codes pour la création de la carte. Cette procédure repose sur l'envoi de cartes à chaque conducteur après son enrôlement. La carte (support vierge) et un document papier sur lequel est imprimé le code conducteur inscrit dans la carte sont transmis à l'agent participant à l'expérimentation, sous enveloppe cachetée par courrier interne. Une fois celle-ci remise, les données nominatives du conducteur sont supprimées. Dès lors, la levée d'anonymat ne pourra se faire qu'en envoyant un mèl à une mailing liste de tous les participants, demandant au conducteur à qui est attribué un code de se manifester. En cas de perte de carte, une nouvelle carte peut être refaite en présentant le code inscrit sur le document papier.
- Un cloisonnement de l'accès aux données.
Au titre des mesures techniques, on peut mentionner la génération du code conducteur qui consiste en une anonymisation reposant sur un algorithme public de hachage réputé fiable et mettant en œuvre une clé secrète.
A ces éléments, il faut ajouter le fait que les codes conducteurs, ainsi que les numéros VIN et de boitiers ayant servis à la collecte seront anonymisés pour constituer la base incidents, celle devant servir à des études statistiques.
Parmi les mesures de sécurité encadrant l'accès à la base de données EMMA/2, la Commission relève l'existence d'un fichier de  journalisation  comprenant la date et l'heure d'accès et de déconnexion à la base, ainsi que l'identifiant de l'utilisateur et du poste de travail.
Dans la mesure où la phase 1 prévoit l'enrôlement d'un nombre restreint de véhicules, la Commission s'est interrogée sur le risque de levée de l'anonymat par recoupement d'informations. Toutefois, au regard de l'ensemble des mesures techniques précitées et de la montée en charge prévue du projet, la Commission considère que ce risque est suffisamment limité.
Sur l'information et les droits des personnes
Une information et une consultation des représentants du personnel sera réalisée par le biais d'une réunion et de la remise d'une notice.
Après le recueil de l'avis des représentants du personnel, une note de service rappellera les principaux éléments de l'expérimentation et les mentions de l'article 32 de la loi du 6 janvier 1978 modifiée.
Seront détaillés :
- La possibilité de désactiver le système à tout moment sans justification ;
- Les moyens d'information de l'activation du système (autocollant visible, retentissement d'un bip avec l'allumage d'un voyant) et des choix proposés au conducteur (activation avec carte, activation par défaut, désactivation) ;
- Les coordonnées des personnes à contacter pour l'exercice des droits des personnes ;
- Les références des diverses autorisations obtenues ;
- La possible utilisation des données, dans des conditions spécifiques, par des tiers autorisés.
Ces informations sont rappelées dans le formulaire signé par les agents des organismes concernés. Un formulaire sera également signé par tous les agents susceptibles d'avoir accès aux véhicules de services équipés.
La Commission considère que l'information est conforme aux mentions exigées par la loi.
Autorise, dans les conditions prévues par le dossier du demandeur et la présente délibération, l'Institut français des sciences et technologies, des transports, de l'aménagement et des réseaux (IFSTTAR) à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité l'identification de pistes de progrès dans l'appréhension et la prévention de l'accidentalité routière. Dans la mesure où il s'agit d'une expérimentation, la Commission demande à être destinataire du bilan qui en sera fait.
La Présidente
Isabelle FALQUE-PIERROTIN