La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 91/308/CE du Conseil du 10 juin 1991 modifiée relative à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu le Code de procédure pénale, et notamment ses articles L. 529-3 à 529-5 et R. 49 à 49-8 ;
Vu la loi du 15 juillet 1845 relative à la police des chemins de fer modifiée par la loi du 15 novembre 2001 relative à la sécurité quotidienne, et notamment son article 24-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment les articles 9 et 25-I-3° ;
Vu le décret n° 730 du 22 mars 1942 portant règlement d'administration publique sur la police, la sûreté et l'exploitation des voies ferrées d'intérêt général et d'intérêt local, notamment ses articles 80-3 à 80-8, modifié par le décret n° 86-1045 du 18 septembre 1986 en son article 3 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu l'arrêté du 1er octobre 1986 relatif au procès-verbal d'infraction à la police des services publics de transports ferroviaires et des services de transports publics de personnes réguliers et à la demande ;
Sur le rapport de M. Emmanuel de GIVRY, Vice-Président délégué, et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
La modification du traitement de données à caractère personnel soumis par la SNCF à l’examen de la Commission doit permettre le contrôle des titres de transport, y compris les titres dématérialisés, à l’aide d’un assistant électronique dénommé « accelio ».
En cas d'infraction à la police des services publics de transport terrestre, la SNCF est destinataire des procès-verbaux établis par les personnes habilitées en vertu de l'article 23 de la loi du 15 juillet 1845, modifiée qui dispose que « les crimes, délits ou contraventions prévus par les titres Ier et III de la présente loi, ainsi que les contraventions prévues par les textes réglementaires relatifs à la police, la sûreté et l'exploitation des voies ferrées, pourront être constatés par des procès-verbaux dressés concurremment par les officiers de police judiciaire, les ingénieurs des ponts et chaussés et des mines, les conducteurs, gardes mines, agents de surveillance et gardes nommés ou agréés par l'administration et dûment assermentés […] ». Pour dresser ces procès-verbaux, la SNCF dispose d'agents habilités à constater les infractions et assermentés dans les conditions prévues par l'article 23 de la loi de 1845. Ces agents établissent des procès-verbaux de constatation de l'infraction, dont le modèle est fixé par un arrêté conjoint du garde des sceaux, ministre de la justice, et du ministre chargé des transports.
Dès lors, ce traitement relève du 3° du I de l’article 25 de la loi du 6 janvier 1978 qui soumet à autorisation « les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté, sauf ceux qui sont mis en oeuvre par des auxiliaires de justice pour les besoins de leurs missions de défense des personnes concernées ».
Par délibération n° 2007-002 du 11 janvier 2007 portant autorisation unique, la Commission a autorisé les traitements automatisés de données à caractère personnel relatifs à la gestion d'infractions à la police des services publics de transports terrestres, sous réserve que les finalités de ces traitements, les catégories de données utilisées et leurs destinataires n’excèdent pas le cadre qui y est défini, que ces traitements remplissent également les conditions qui y sont fixées, et que les responsables de ces traitements adressent à la CNIL un engagement de conformité à l’autorisation unique AU-12.
La SNCF, qui a initialement effectué un engagement de conformité à cette autorisation unique, demande à la Commission l’autorisation de modifier son traitement, au motif qu’il doit dorénavant permettre le contrôle des titres de transport dématérialisés. A ce titre, bien que sa finalité de contrôle et de gestion des procès-verbaux reste inchangée, le traitement de la SNCF nécessite l’enregistrement de nouvelles données.
Par conséquent, la SNCF demande à la Commission l’autorisation d’enregistrer, dans ses assistants électroniques, des informations concernant les passagers ayant choisi le système dématérialisé, et non plus seulement des informations relatives aux contrevenants.
La Commission note donc que les catégories de données collectées par le traitement susvisé figurent parmi celles prévues par l’autorisation unique AU-12, à l’exception de quelques données supplémentaires relatives aux passagers ayant choisi un titre dématérialisé :
les données d’identification : nom, prénom et date de naissance ;
les données relatives au voyage : trajet, date, horaire, placement, classe, train, tarif appliqué, conditions tarifaires, prix ;
les données commerciales des clients : informations sur les cartes de fidélité ou commerciale du client (numéro de carte et date de fin de validité).
La Commission estime que la prise en compte de ces données est adéquate, pertinente et non excessive au regard de la finalité poursuivie.
Les autres caractéristiques du traitement respectent le cadre juridique défini par l’autorisation unique précitée.
Autorise, dans les conditions prévues par le dossier du demandeur et la présente délibération, la SNCF à mettre en œuvre la modification du traitement automatisé ayant pour finalité le contrôle des titres de transports, y compris les titres dématérialisés, au moyen d’un assistant électronique.