Délibération n°2011-320 du 6 octobre 2011 autorisant  la mise en œuvre par l’Institut français des sciences et technologies, des transports, de l’aménagement et des réseaux (IFSTTAR)   d’un traitement de données à caractère personnel ayant pour finalité la recherche en accidentologie  (autorisation n° 1467298)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale ;
La loi 2002-3 du 3 janvier 2002, relative à la sécurité des infrastructures et systèmes de transport et aux enquêtes techniques ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 8, 25-I-1° et 25-I-3° ;
Vu le décret n° 2010-1702 du 30 décembre 2010 portant création de l'Institut français des sciences et technologies des transports, de l'aménagement et des réseaux (IFSTTAR) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Eric PERES, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, l’Institut français des sciences et technologies, des transports, de l’aménagement et des réseaux (IFSTTAR) à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la recherche en accidentologie, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
L’Institut français des sciences et technologies, des transports, de l’aménagement et des réseaux (IFSTTAR). L’IFSTTAR a notamment pour mission la réalisation d’études dans le domaine de la sécurité des transports et des déplacements.

Cette mission scientifique de recherche en accidentologie nécessite le traitement de données figurant sur des procédures d’accidents corporels et mortels de la circulation routière.
La base de PV gérés par l’IFSTTAR contient en réalité deux catégories de PV : ceux reçus au titre du protocole de 1987 (PV au 50e) et ceux demandés par des équipes de recherche dans le contexte de la nouvelle procédure d’accès (selon la loi du 3 janvier 2002).
Données traitées
Les catégories de données collectées sont toutes celles qui sont susceptibles de figurer sur les PV, à savoir les données relatives :
Les équipes de recherche ne doivent pas utiliser les données directement nominatives.
à l’identification ;
à la vie personnelle ;
à la vie professionnelle ;
aux informations d’ordre économique et financier ;
à la localisation ;
aux infractions ;
aux données de santé ;
et aux autres données sensibles.
Par ailleurs, certaines données sensibles sont importantes pour caractériser des risques et définir des politiques de sécurité routière ciblées. Toutefois, le NIR doit être supprimé des PV utilisés (tant pour les PV au 50e et que pour ceux demandés dans le cadre de la nouvelle procédure d’accès de la loi du 3 janvier 2002).
Destinataires
Les destinataires des données sont des membres du personnel permanent de l’IFSTTAR (chercheurs ou ingénieurs de recherche) impliqués dans l’étude en question.
Avant d’accéder aux informations, le personnel de l’IFSTAR doit obtenir l’autorisation du procureur de la République ou du juge d'instruction selon les cas (art. 11-1 du code de procédure pénale).
En tout état de cause, les agents ayant accès aux informations sont tenus au secret.
Durée de conservation
Dans le cadre des recherches, il peut être utile de revenir sur des accidents plus anciens pour comprendre certaines particularités de l’insécurité routière ou de disposer d’un nombre suffisant d’accidents de même type. Dès lors, les PV au 50e sont conservés pendant 10 ans.
Toutefois, s’agissant des PV demandés par des équipes de recherche dans le contexte de la nouvelle procédure d’accès (loi du 3 janvier 2002) et dans la mesure où les demandes de PV s’inscrivent dans le cadre d’une enquête particulière, la Commission considère qu’ils ne doivent pas être conservés à l’issue de l’étude.

Les mesures de sécurité sont les suivantes :
- Les PV sont transmis sur CD (documents scannés), envoyés soit par courrier recommandé soit directement remis en main propre. Les CD sont chiffrés.
- Les CD originaux sont placés dans une armoire forte. Les PV au 50e sont implantés sur un serveur centralisé au service informatique, sécurisé (mot de passe, accès restreint à un administrateur et aux responsables du service informatique et traçabilité des connexions).
- Le responsable de la recherche signe un engagement de confidentialité.
Information et droit d’accès
En application de l’article 32-III de la loi du 6 janvier 1978 modifié, l’IFSTTAR ne peut informer les personnes en raison d’une part du caractère disproportionné des efforts qui devraient être entrepris pour satisfaire l’obligation d’information et d’autre part par le caractère d’intérêt public de la démarche scientifique.
La Présidente
Isabelle FALQUE-PIERROTIN