La Commission nationale de l'informatique et des libertés,
Saisie par la Société Nationale des Chemins de Fer (SNCF) d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le recouvrement amiable en cas d'infractions à la police du transport ferroviaire commises par les personnes voyageant de manière itérative sans titre de transport ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la procédure pénale, notamment ses articles 529-3 et 529-4 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I°3) ;
Vu la loi n° 2001-1062 du 15 novembre 2001 relative à la sécurité quotidienne, notamment son article 50 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2012-232 du 5 juillet 2012 autorisant la Société Nationale des Chemins de Fer (SNCF) à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des réclamations et des relances suite à un constat d'infractions à la police des chemins de fer ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-François CARREZ, rapporteur, et après avoir entendu les observations de Mme Catherine POZZO Di BORGO, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la Société Nationale des Chemins de Fer (SNCF).
Sur la finalité
Le traitement de données à caractère personnel a pour finalité le recouvrement amiable en cas d'infractions à la police du transport ferroviaire commises par les personnes voyageant de manière itérative sans titre de transport.
Conformément à l'article 529-4 du code de procédure pénale, pour les contraventions des quatre premières classes à la police des services publics de transports ferroviaires, le contrevenant dispose d'un délai de deux mois à compter de la constatation de l'infraction pour procéder au règlement de la transaction de son procès-verbal auprès de la SNCF. A défaut de paiement dans le délai de deux mois, le procès-verbal d'infraction est envoyé par la SNCF à l'Officier du Ministère Public et le contrevenant devient redevable d'une amende forfaitaire majorée recouvrée par le Trésor public.
Dans le cadre de cette procédure transactionnelle, la SNCF a confié à l'Agence Nationale des Traitements Automatisés d'Infractions (ANTAI) l'édition et l'envoi des secondes lettres de relances aux contrevenants (délibération n°2012-232 du 5 juillet 2012).
La SNCF souhaite aujourd'hui confier à l'étude d'Huissiers de justice BRISSE-BOUVET-LLOPIS la gestion du recouvrement amiable des procès-verbaux de contrevenants ayant déjà fait l'objet de 5 à 10 procès-verbaux n'ayant donné lieu à aucun règlement auprès de la SNCF. L'étude adressera des lettres de relance à compter du 15

La Commission considère la finalité poursuivie comme déterminée, explicite et légitime.
Elle considère également qu'il y a lieu de faire application des dispositions de l'article 25-I-3° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements pourtant sur des données relatives aux infractions, condamnations et mesures de sûreté.
Sur les données traitées
Les données traitées sont limitées aux données d'identification des contrevenants (nom, prénom, adresse, date et lieu de naissance) et aux données relatives aux infractions.
En tant que personne morale gérant un service public, la SNCF peut traiter des données relatives aux infractions, conformément à l'article 9-1° de la loi du 6 janvier 1978 modifiée.
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Les destinataires des données sont :
•-          les agents assermentés de la SNCF ;
•-          les personnes habilitées du service de recouvrement de la SNCF ;
•-          les personnes habilitées de la direction juridique et de la direction de la sûreté de la SNCF ;
•-          les personnes habilitées de la SCP BRISSE BOUVET LLOPIS (huissiers de justice).
Ces destinataires n'appellent pas d'observation de la part de la Commission.
Sur l'information et le droit d'accès
Les personnes sont informées par une mention sur les tarifs voyageurs de la SNCF, ainsi que sur les lettres de relance.
Les droits d'accès et de rectification s'exercent auprès de la Direction juridique groupe - département responsabilités, mission infractions - Société nationale des chemins de fer - 10 place de Budapest - 75436 Paris.
La Commission estime que ces modalités d'information et d'exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Les modalités d'authentification des utilisateurs consistent en l'utilisation de mots de passe de huit caractères minimum contenant des lettres majuscules, des lettres minuscules, des chiffres et des caractères spéciaux.
Des profils d'habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs : les salariés de l'étude n'auront accès qu'aux dossiers qui leur auront été nominativement attribués ; les associés de l'étude.
Le traitement est disponible uniquement sur le réseau interne de l'étude.
La transmission des données entre la SNCF et l'étude est réalisée au moyen d'un VPN assurant une authentification du destinataire et un chiffrement des données échangées.
Les accès au traitement par les salariés de l'étude sont journalisés, ainsi que les accès aux données, tant en consultation que lors de la réalisation d'actes. Ces journaux seront conservés pendant 6 mois glissants.
Ces mesures de sécurité apparaissent conformes à l'article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
En cas de paiement de l'indemnité forfaitaire prévue aux articles L.529-3 et 529-4 du Code de procédure pénale, les données relatives aux contrevenants sont supprimées à compter de ce paiement. Ces données peuvent toutefois être conservées en archivage sur une base externe indépendante pour une durée supplémentaire maximale de deux ans à partir du paiement effectif des sommes dues.
Les données relatives aux contrevenants dans le cadre de contraventions n'ayant pas donné lieu à une transaction peuvent être conservées pour une durée maximale de douze mois consécutifs en vue de déterminer si le délit d'habitude est caractérisé et de constater l'infraction prévue à l'article 50 de la loi du 15 novembre 2001 pour la sécurité quotidienne. Elles peuvent également être mises en archivage sur une base externe indépendante pour une durée supplémentaire maximale de deux ans à partir de la fin du douzième mois dans la base informatique.
La Commission estime que ces durées de conservation sont proportionnées au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, la Société Nationale des Chemins de Fer (SNCF) à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN