(Demande d’autorisation n° 1639758)
La Commission nationale de l'informatique et des libertés,
Saisie par le GIE COMUTITRES d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude aux subventions sociales réservées aux élèves scolaires boursiers dans le cadre du financement de l’abonnement Imagine R;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale, notamment son article 529-6 ;
Vu le code de la route, notamment ses articles L. 330-2 et R. 421-9 ;
Vu le code de la sécurité intérieure, notamment son article L. 252-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-François CARREZ, commissaire et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le responsable de traitement le GIE COMUTITRES assure la gestion opérationnelle des titres de transports Navigo en région Ile-de-France pour le compte des transporteurs RATP, SNCF et OPTILE.
Sur la finalité
La finalité du traitement est la lutte contre la fraude aux subventions sociales réservées aux élèves scolaires boursiers dans le cadre du financement de l’abonnement Imagine R.
La Commission estime que la finalité poursuivie est déterminée, explicite et légitime.
Dans la mesure où ce traitement peut, en cas de fraude avérée, conduire à la résiliation du contrat et empêcher son titulaire de se réabonner pendant trois ans, la Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.
Sur les données traitées
L’application de gestion des clients (SIG), contient des données relatives :
En cas de fraude avérée et après examen au cas par cas des dossiers, le motif de résiliation « fraude » est ajouté au dossier du client.
à l’identification du porteur : nom, prénom, qualité, date de naissance, adresse, numéro, copie de la pièce d’identité et du justificatif de bourse ;
à l’identification du payeur : nom, prénom, qualité, adresse et numéro ;
au contrat : numéro, zonage à la date d’attribution de la bourse, zonage en cours, nombre de zones, mode de paiement, barème (code identifiant le tarif appliqué), barème long (libellé du tarif appliqué), montant et parts de la bourse ;
à l’établissement du porteur : code, nom, ville, code postal.
Le GIE COMUTITRES dispose également d’un répertoire « fraude », contenant des extractions mensuelles de données du SIG sur lesquelles des vérifications sont faites afin de détecter de potentielles situations de fraude.
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Les personnels du GIE COMUTITRES suivants sont destinataires des données contenues dans le SIG :
Les personnels du GIE COMUTITRES suivants sont destinataires du répertoire « fraude » :
La direction de la Production et de la Relation Client ;
Le Responsable des services client et ses équipes ;
Le Responsable Exploitation SI et ses équipes ;
Le Référent du prestataire CTD ;
La direction projets systèmes et processus ;
La comptabilité ;
La direction Administrative et Financière ;
Le Directeur Général ;
Les personnes habilitées des agences Imagine R (prestataire), et des agences transporteurs (qui peuvent accéder à la fiche client).
Le Directeur de la Production et de la Relation Client ;
Le Responsable des Services Clients et ses équipes ;
Le Responsable Exploitation SI ;
Le Référent du prestataire CTD ;
Le comptable Imagine R ;
Le Directeur Administratif et Financier ;
Le Directeur Général.
L’assemblée générale ;
Le comité directeur ;
La commission commerciale.
Les établissements scolaires (pour la vérification du statut de boursier des clients) ;
Le Syndicat des Transports d’Ile-de-France et les Conseils généraux (pour le remboursement des subventions allouées par le GIE COMUTITRES pour le compte des collectivités).
Les représentants des transporteurs dans les instances suivantes peuvent se voir communiquer certaines informations relatives à l’identité des clients ayant été résiliés pour fraude par le GIE COMUTITRES (pour anticiper les éventuelles réclamations de ces clients auprès de leurs agents) :
La direction de la Production et de la Relation Client ;
Le Responsable des services client et ses équipes ;
Le Responsable Exploitation SI et ses équipes ;
Le Référent du prestataire CTD ;
La direction projets systèmes et processus ;
La comptabilité ;
La direction Administrative et Financière ;
Le Directeur Général ;
Les personnes habilitées des agences Imagine R (prestataire), et des agences transporteurs (qui peuvent accéder à la fiche client).
Le Directeur de la Production et de la Relation Client ;
Le Responsable des Services Clients et ses équipes ;
Le Responsable Exploitation SI ;
Le Référent du prestataire CTD ;
Le comptable Imagine R ;
Le Directeur Administratif et Financier ;
Le Directeur Général.
L’assemblée générale ;
Le comité directeur ;
La commission commerciale.
Les établissements scolaires (pour la vérification du statut de boursier des clients) ;
Le Syndicat des Transports d’Ile-de-France et les Conseils généraux (pour le remboursement des subventions allouées par le GIE COMUTITRES pour le compte des collectivités).
Enfin, sont également destinataires de certaines données les organismes suivants :
La direction de la Production et de la Relation Client ;
Le Responsable des services client et ses équipes ;
Le Responsable Exploitation SI et ses équipes ;
Le Référent du prestataire CTD ;
La direction projets systèmes et processus ;
La comptabilité ;
La direction Administrative et Financière ;
Le Directeur Général ;
Les personnes habilitées des agences Imagine R (prestataire), et des agences transporteurs (qui peuvent accéder à la fiche client).
Le Directeur de la Production et de la Relation Client ;
Le Responsable des Services Clients et ses équipes ;
Le Responsable Exploitation SI ;
Le Référent du prestataire CTD ;
Le comptable Imagine R ;
Le Directeur Administratif et Financier ;
Le Directeur Général.
L’assemblée générale ;
Le comité directeur ;
La commission commerciale.
Les établissements scolaires (pour la vérification du statut de boursier des clients) ;
Le Syndicat des Transports d’Ile-de-France et les Conseils généraux (pour le remboursement des subventions allouées par le GIE COMUTITRES pour le compte des collectivités).
La direction de la Production et de la Relation Client ;
Le Responsable des services client et ses équipes ;
Le Responsable Exploitation SI et ses équipes ;
Le Référent du prestataire CTD ;
La direction projets systèmes et processus ;
La comptabilité ;
La direction Administrative et Financière ;
Le Directeur Général ;
Les personnes habilitées des agences Imagine R (prestataire), et des agences transporteurs (qui peuvent accéder à la fiche client).
Le Directeur de la Production et de la Relation Client ;
Le Responsable des Services Clients et ses équipes ;
Le Responsable Exploitation SI ;
Le Référent du prestataire CTD ;
Le comptable Imagine R ;
Le Directeur Administratif et Financier ;
Le Directeur Général.
L’assemblée générale ;
Le comité directeur ;
La commission commerciale.
Les établissements scolaires (pour la vérification du statut de boursier des clients) ;
Le Syndicat des Transports d’Ile-de-France et les Conseils généraux (pour le remboursement des subventions allouées par le GIE COMUTITRES pour le compte des collectivités).
Cette liste des destinataires n’appelle pas d’observations de la part de la Commission.
En outre, la Commission observe qu’une partie du traitement est réalisée par un sous-traitant. Elle prend acte que les données ne sont pas communiquées à d’autres personnes susceptibles de recourir aux services proposés par ce sous-traitant. Conformément à l’article 35 de la loi du 6 janvier 1978 modifiée, les données ne peuvent faire l’objet d’une opération de traitement de la part d’un sous-traitant que sur instruction du responsable de traitement.
Sur l’information et le droit d’accès
Les personnes concernées sont informées préalablement à la mise en œuvre du traitement, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention figurant dans les conditions générales, dans le livret, ainsi que sur les courriers adressés aux clients (demande de justificatifs, relance et annonce de résiliation).
Les personnes concernées sont également informées dans les conditions générales de la possibilité que leur contrat soit résilié en cas de fraude. Elles reçoivent en outre un courrier en cas de fraude avérée les informant de la résiliation de leur contrat et de la durée pendant laquelle elles ne pourront plus souscrire d’abonnement, le cas échéant. Elles ont par ailleurs la possibilité de présenter leurs observations avant résiliation du contrat.
Les droits d’accès et de rectification s’exercent par courrier auprès de Madame Julie Vidal, agence Imagine R – TSA 86037-95905 Cergy Pontoise Cedex 9.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Le responsable de traitement a mis en place une politique de mot de passe qui exige que ceux-ci aient une longueur minimale de 8 caractères, et qu’ils contiennent au moins un chiffre, une minuscule et un caractère spécial.
Le réseau de l’entreprise  fait l’objet de mesure de filtrage ayant pour but de restreindre l’émission et la réception des flux réseaux aux machines identifiées et autorisées.
Les supports de stockages usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement sécurisé.
Une journalisation des opérations de création et de modification des données du traitement est réalisée. Ces traces sont conservées pendant une durée minimale de 6 mois.
La Commission constate l’absence de journalisation des opérations de consultation du SIG, ce qui n’est pas conforme à ces exigences. Cependant, elle prend acte de ce que le GIE COMUTITRES s’est engagé à mettre en place une fonctionnalité assurant la traçabilité de ces opérations à partir de février 2014, date de la prochaine modification de l’application informatique. Ces données de traçabilité seront conservées 6 mois. La Commission demande à être informée de la mise en place effective de la fonctionnalité de traçabilité.
Les données transmises à des tiers sont soit échangées via des canaux de communication chiffrés, soit transmis sous forme de fichier chiffré au moyen d'un algorithme considéré comme sûr et avec une taille de clés suffisante.
Les autres mesures de sécurité mises en place n’appellent pas d’observation de la part de la Commission.
Sur les autres caractéristiques du traitement
Pour le traitement de détection et de prévention des fraudes, un contrôle est effectué selon les modalités suivantes :
En cas de suspicion, le GIE procède à des vérifications:
des contrôles de zonages intégrés dans les traitements (concordance entre les zones choisies, la résidence et l’établissement) ;
des contrôles périodiques lorsqu’une situation semble suspecte (nombre élevé de porteur rattachés à un payeur / part élevée de boursiers dans un établissement / absence de concordance entre les zones, la résidence et l’établissement / nouvel abonnement d’un client dont le contrat a été résilié pour fraude dans les 3 années précédentes).
auprès des clients : envoi d’un premier courrier demandant de fournir des pièces justificatives d’identité et une copie de la notification d’octroi de bourse, puis d’une relance le cas échéant ;
auprès des établissements ayant une part élevée de boursiers : envoi du listing des élèves boursiers de cet établissement pour validation.
En l’absence de communication des pièces demandées au client et ou en l’absence de réponse de l’établissement ou de validation par ce dernier du statut de boursier de l’élève, le contrat est résilié et le titre de transport du client est mis en opposition. Le client ne peut alors pas souscrire à un nouveau contrat pendant 3 ans. Cependant, le client peut à tout moment communiquer les pièces manquantes. Un nouveau contrat est alors ouvert avec effet immédiat et un nouveau badge est adressé au client.
des contrôles de zonages intégrés dans les traitements (concordance entre les zones choisies, la résidence et l’établissement) ;
des contrôles périodiques lorsqu’une situation semble suspecte (nombre élevé de porteur rattachés à un payeur / part élevée de boursiers dans un établissement / absence de concordance entre les zones, la résidence et l’établissement / nouvel abonnement d’un client dont le contrat a été résilié pour fraude dans les 3 années précédentes).
auprès des clients : envoi d’un premier courrier demandant de fournir des pièces justificatives d’identité et une copie de la notification d’octroi de bourse, puis d’une relance le cas échéant ;
auprès des établissements ayant une part élevée de boursiers : envoi du listing des élèves boursiers de cet établissement pour validation.
Conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, aucune décision à l’égard d’une personne ne sera prise sur le seul fondement de ce traitement et les résultats font l’objet d’une analyse au cas par cas par les personnels habilités du GIE COMUTITRES.
Les données du SIG sont conservées en base active jusqu’à la fin de l’année civile au cours de laquelle le contrat est résilié ou le dossier est clôturé. Peuvent être conservées en base active pendant deux années supplémentaires les seules données utilisées à des fins de prospection commerciale. Les données sont ensuite archivées pendant une durée de huit ans.
Le motif fraude est conservé pendant une durée de trois ans, puis est supprimé.
Enfin, les données du répertoire « fraude » sont supprimées à l’issue d’un délai de trois ans.
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, le GIE COMUTITRES à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN