La Commission nationale de l'informatique et des libertés,
Saisie par la ministre de la transition écologique d'une demande d'avis concernant un projet d'arrêté pris en application du I de l'article R. 3120-40 du code des transports ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;
Vu le code des transports ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu le rapport de Mme Marie-Laure DENIS, Présidente, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement ;
Emet l’avis suivant :
La Commission nationale de l’informatique et des libertés (ci-après la Commission ) a été saisie, le 19 mars 2021, par le ministère de la transition écologique, d’un projet d’arrêté pris en application du I de l’article R. 3120-40 du code des transports.
L’article L. 3120-6 du code des transports, introduit par la loi n° 2016-1920 du 29 décembre 2016 relative à la régulation, à la responsabilisation et à la simplification dans le secteur du transport public particulier de personnes, prévoit l’obligation, notamment pour les centrales de réservation, de communiquer à l’autorité administrative toute donnée utile au contrôle du respect des dispositions législatives et réglementaires relatives à l'accès aux professions du transport public particulier de personnes (T3P), à leurs conditions d'exercice et aux activités de mise en relation, à l’exclusion des données à caractère personnel relatives aux passagers.
Le paragraphe I de l’article R. 3120-40 du code des transports liste les agents pouvant demander la communication de ces données et prévoit que, sauf dans les cas où des dispositions législatives ou réglementaires en disposent autrement, la nature, l'antériorité et la durée de conservation de ces données et, le cas échéant, la périodicité minimale de leur communication par les personnes intervenant dans le secteur du transport public particulier de personnes sont fixées par arrêté conjoint du ministre de l'intérieur et des ministres chargés des transports et du travail.
La Commission, qui s’était prononcée sur le décret introduisant cette disposition, avait demandé à être saisie pour avis de tout projet d’acte réglementaire pris en application de ce décret.
Si les dispositions relatives à l’antériorité et la durée de conservation des données ainsi que, le cas échéant, la périodicité minimale de leur communication, n’appellent pas d’observations particulières de la Commission, elle rappelle toutefois la nécessité de limiter à ce qui est nécessaire les données demandées dans le cadre de suspicion de fraude (données listées à l’annexe I) et invite le ministère à préciser les agents qui auront accès aux données collectées périodiquement (données listées à l’annexe II). Enfin, elle s’interroge sur la collecte de certaines données au regard de l’interdiction de collecter des données à caractère personnel relatives aux passagers.
Sur les données susceptibles d’être demandées de façon ponctuelle ou périodique
L’article 1

A titre liminaire, comme mentionné dans la délibération n° 2021-XX du 22 juillet 2021 portant avis sur le projet d’arrêté portant création du traitement de données à caractère personnel dénommé Données du transport public particulier de personnes , les traitements mis en œuvre à partir de ces données, s’ils concourent à la même finalité, doivent toutefois être distingués. Leur confusion reviendrait à instaurer une surveillance systématique du secteur du transport public particulier de personnes pour un champ très large d’infractions et sur la base de données très précises dont la combinaison présente un caractère particulièrement intrusif.
S’agissant des données collectées, la Commission prend acte des précisions apportées par le ministère selon lesquelles l’ensemble des données listées au sein de de l’annexe I du projet d’arrêté ne seront pas collectées indépendamment de la nature de la suspicion de fraude concernée. En effet, la demande formulée portera sur les seules données pertinentes au regard de l’infraction suspectée et des personnes concernées. Elle rappelle que seuls des agents habilités par un texte à réaliser des contrôles pour une finalité déterminée peuvent avoir accès aux données, dans la mesure strictement nécessaire à la réalisation du contrôle dont ils ont la charge.
Par ailleurs, la Commission prend note de la précision apportée par le ministère chargé des transports selon laquelle seuls les agents du ministère auront accès aux données collectées périodiquement. Toutefois, elle relève que l’annexe II du projet d’arrêté, s’agissant de l’autorité compétente pouvant collecter de manière périodique les données, renvoie au I de l’article R. 3120-40 du code des transports, qui vise une liste plus étendue d’agents. La Commission relève donc que le projet d’arrêté ne garantit pas, en l’état, que seuls les agents du ministère chargé des transports pourront traiter ces données à des fins de contrôle et invite le ministère à préciser le projet sur ce point.
La Présidente
Marie-Laure DENIS