La Commission nationale de l'informatique et des libertés,
Saisie par la Société des Autoroutes Paris-Normandie (SAPN) d'une demande d'autorisation concernant un traitement de données à caractère personnel ayant pour finalité la constatation et le suivi des infractions au péage ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale, notamment son article 529-6 ;
Vu le code de la route, notamment ses articles L. 330-2 et R. 421-9 ;
Vu le code de la sécurité intérieure, notamment son article L. 252-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-François CARREZ, rapporteur, et après avoir entendu les observations de Mme Catherine POZZO Di BORGO, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la Société des Autoroutes Paris-Normandie (SAPN).
Sur la finalité
La finalité du traitement est la lutte contre la fraude au péage.
Le dispositif mis en place permet de :

constater les infractions prévues à l'article R. 421-9 du code de la route par télésurveillance
Le dispositif de vidéosurveillance permet de constater les infractions prévues à l'article R. 421-9 du code de la route qui prévoit que :
Le fait, pour tout conducteur, de refuser d'acquitter le montant du péage ou de se soustraire d'une manière quelconque à ce paiement est puni de l'amende prévue pour les contraventions de la deuxième classe

consulter le système d'immatriculation des véhicules (SIV)
L'article L. 330-2 du code de la route permet la consultation des informations concernant les pièces administratives exigées pour la circulation des véhicules ou affectant la disponibilité de ceux-ci par les
agents des exploitants d'une autoroute ou d'un ouvrage routier ouvert à la circulation publique et soumis à péage, assermentés dans les conditions prévues à l'article L. 130-7, aux seules fins d'identifier les auteurs des contraventions au présent code qu'ils sont habilités à constater conformément au 8° de l'article L. 130-4 .
L'accès aux données contenues dans le SIV se fait par l'intermédiaire d'un concentrateur informatique, agréé par le Ministère de l'Intérieur.

mettre en place la procédure transactionnelle
L'article L. 529-6 du code de procédure pénale autorise les exploitants d'une autoroute à mettre en place une procédure transactionnelle en cas de contraventions pour non-paiement du péage. Cette procédure implique une extinction de l'action publique en cas de versement à l'exploitant par le contrevenant d'une indemnité forfaitaire dans un délai de deux mois.
La société adresse un avis de paiement au titulaire du certificat d'immatriculation. A défaut de paiement ou de protestation dans le délai de deux mois, le procès-verbal de contravention est envoyé par l'exploitant à l'Officier du Ministère Public et le titulaire du certificat d'immatriculation devient redevable d'une amende forfaitaire majorée recouvrée par le Trésor public.
La Commission considère la finalité poursuivie comme déterminée, explicite et légitime.
Elle considère également qu'il y a lieu de faire application des dispositions de l'article 25-I-3° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements pourtant sur des données relatives aux infractions, condamnations et mesures de sûreté.
Sur les données traitées
Les données suivantes sont collectées :
•- les images issues des caméras de vidéosurveillance ;
•- les données collectées en cas de constatation de non paiement :
• les données relatives à l'infraction : date, heure, péage, commune, gare d'entrée, classe du véhicule, montant du péage, montant déjà réglé, montant restant dû. En tant que personne morale gérant un service public, la société SAPN peut traiter des données relatives aux infractions, conformément à l'article 9-1° de la loi du 6 janvier 1978 modifiée ;
• les données relatives au conducteur : civilité, raison sociale, nom, prénom, adresse, numéro d'abonné ;
• les données relatives au véhicule utilisé : marque, type/modèle, numéro d'immatriculation, pays ;
•- les données permettant d'interroger le SIV : numéro d'immatriculation, gare, voix, date et heure de l'infraction ;
•- les données en provenance du SIV : nom ou raison sociale, prénom, nom d'usage ou d'époux, numéro SIREN, adresse, qualité de propriétaire du titulaire du certificat d'immatriculation, caractéristiques du véhicule permettant d'écarter les fausses plaques ou plaques usurpées (marque, modèle et couleur).
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Sont destinataires des données :
•- les personnels dûment habilités de la société SAPN et de sa maison-mère (la société SANEF) ;
•- les personnels dûment habilités des sociétés dont le réseau est en continuité avec le réseau de la société SAPN ;
•- les gestionnaires dûment habilités du SIV ;
•- l'officier du Ministère Public en cas de non paiement de l'avis de paiement.
Ces destinataires n'appellent pas d'observation de la part de la Commission.
Sur l'information et le droit d'accès
Les personnes concernées sont informées, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée :
•- par des panneaux et/ou des informations apposées sur des bornes de péage ;
•- par une mention sur la constatation de non paiement du péage (CNP) ;
•- par une mention sur l'avis de paiement.
Les droits d'accès et de rectification s'exercent par voie postale auprès du Directeur d'exploitation de la société SAPN - 30 boulevard Gallieni - 92130 ISST-LES-MOULINEAUX.
La Commission estime que ces modalités d'information et d'exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Les consultations du SIV sont réalisées par envoi de fichiers d'appels par l'intermédiaire d'un concentrateur, organisme assurant la centralisation des différents fichiers d'interrogation, leur transmission au SIV et la récupération et le renvoi des réponses aux sociétés à l'origine de l'interrogation.
Le détail des interrogations est tracé pendant une durée de 12 mois, afin de permettre la détection d'interrogation frauduleuse.
Les modalités d'authentification des utilisateurs habilités à accéder aux données sont conformes à l'article 34 de la loi du 6 janvier 1978 modifiée.
L'ensemble des échanges de données réalisés sur des canaux de communication non sécurisés est chiffré afin de garantir la confidentialité des données.
Les étapes de développement et de maintenance font l'objet de mesures de sécurité visant à garantir la confidentialité des données.
Les autres mesures de sécurité n'appellent pas d'observation particulière de la part de la Commission.
Sur les autres caractéristiques du traitement
Les enregistrements des vidéos ne peuvent être conservés au-delà d'une durée de 30 jours, conformément aux dispositions de l'article L. 252-5 du code de la sécurité intérieure.
Les autres données (dont les photographies issues des enregistrements vidéo) peuvent être conservées jusqu'à la fin de la procédure contentieuse. Cependant, en l'absence de contentieux, les données ne doivent pas être conservées au-delà de la durée de la prescription légale en matière de contravention, soit un an.
Seules les photographies strictement nécessaires à la constitution de la preuve de l'infraction peuvent être ainsi extraites des enregistrements vidéo et conservées.
La Commission estime que ces durées de conservation sont proportionnées au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, la Société des Autoroutes Paris-Normandie (SAPN) à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN