(Demande d’autorisation n°1447114)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en août 2004, notamment son article 25-I-5° ;
Vu la loi n° 2003-8 du 3 janvier 2003 relative aux marchés du gaz et de l'électricité et au service public de l'énergie ;
Vu la loi n°2004-803 du 9 août 2004 relative au service public de l'électricité et du gaz et aux entreprises électriques et gazières ;
Vu le décret n° 2011-223 du 1er mars 2011 pris pour l'application de l'article L. 127-10 du code de l'environnement ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu la délibération de la CNIL n°2006-091 du 6 avril 2006 portant autorisation de mise en œuvre par l’Institut géographique national d’un traitement automatisé de données à caractère personnel dénommé « référentiel à grande échelle » à partir d’un système d’information géographique ;
Vu l’arrêté interministériel du 4 août 2006 portant règlement de la sécurité des canalisations de transport de gaz combustibles, d’hydrocarbures liquides ou liquéfiés et de produits chimiques ;
Vu l’article L.127-10 du code de l’environnement
Vu la demande d’autorisation, présentée par la société GDF SUEZ, d’un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’information et de sensibilisation des riverains de canalisations de transport de gaz naturel;
Sur le rapport de, Monsieur Dominique RICHARD, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
La société GRTgaz a déposé le 6 août 2010 un dossier de demande d’autorisation de mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’information et de sensibilisation des propriétaires fonciers riverains de canalisations de transport de gaz naturel, conformément à l’arrêté interministériel du 4 août 2006 portant règlement de la sécurité des canalisations de transport de gaz combustibles, d’hydrocarbures liquides ou liquéfiés et de produits chimiques.
Ainsi, conformément à l’article 25 de la loi du 3 janvier 2003 relative aux marchés du gaz et de l’électricité et au service public de l’énergie et à l’article 12 de la loi 2004-803 relative au service public de l’électricité et du gaz et aux entreprises électriques et gazière, GRTgaz, en sa qualité de transporteur de gaz, est soumis à l’arrêté du 4 août 2006, précité.
GRTgaz est une société française, filiale du groupe GDF SUEZ (précédemment Gaz de France), créée depuis le 1er janvier 2005. La société, principal gestionnaire de réseau de transport de gaz naturel en France, gère, exploite, entretient et développe son réseau de gazoducs, dans lesquels le gaz naturel circule à haute pression et assure également des prestations de raccordement au réseau de transport.
Dans ce cadre la société demande à interconnecter trois bases de données : les fichiers issus de l’application MAJIC 3 de la Direction générale des finances publiques (DGFiP), la base de données parcellaire de l’Institut géographique national (IGN) et le système d’information géographique (SIG) de localisation des canalisations du réseau de transport de gaz naturel de GRTgaz.
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-5° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés ayant pour objet l’interconnexion de fichiers relevant d’autres personnes et dont les finalités principales sont différentes.
La base de données parcellaire de l’IGN (BD PARCELLAIRE®)
La Commission rappelle qu’elle a adopté, le 6 avril 2006, une délibération portant autorisation de mise en œuvre par l’IGN d’un traitement automatisé de données à caractère personnel dénommé « référentiel à grande échelle » contenant la base de données parcellaire (BD PARCELLAIRE®). En application de cette délibération, les localisants de la BD PARCELLAIRE® ne peuvent être diffusés par l'IGN qu'à l'Etat et à ses établissements publics, aux collectivités territoriales et à leurs établissements publics ou privés statutairement chargés ou délégataires d'une mission de service public, aux seules fins de l'exécution de cette mission et à l'exclusion de toute réutilisation commerciale. Tout traitement de ces fichiers ou toute interconnexion ou rapprochement avec des fichiers BD PARCELLAIRE® contenant des données à caractère personnel doit faire l'objet d’une demande d’autorisation auprès de la Commission nationale de l'informatique et des libertés.
Elle observe que le traitement objet de la présente délibération répond à toutes les exigences prévues par cette délibération pour l’obtention de cette BD PARCELLAIRE® et notamment la mission de service public d’information et de sensibilisation des riverains de canalisations de transport de gaz naturel, conformément à l’arrêté interministériel du 4 août 2006 précité.
GRTgaz a fait l’acquisition de la BD PARCELLAIRE® sur la base d’un devis accepté qui précise que les données sont utilisables dans les limites de la délibération de la Commission de 2006. Par conséquent, ce devis et les conditions générales de vente correspondantes font office de convention entre GRTgaz et l’IGN.
La Commission estime, en conséquence, que le dispositif prévu par la société GRTgaz entre dans le cadre prévu par sa délibération de 2006.
Les fichiers issus de l’application MAJIC 3 de la DGFiP
La Commission relève que le dossier soumis par la société GRTgaz au soutien de sa demande d’autorisation indique que GRTgaz a, dans le cadre de l'achat des données de la DGFiP issus de l’application MAJIC 3, signé un acte d'engagement. En vertu de cet acte d’engagement et de l'article 34 de la loi du 6 janvier 1978 modifiée en août 2004, les informations relatives aux propriétaires, aux propriétés bâties et aux propriétés non bâties délivrées par la DGFiP dans le cadre de cette prestation revêtent un caractère confidentiel.
La Commission relève encore que la société GRTgaz s’engage pour la mise en place de ce dispositif d’information et de sensibilisation à partir des données issues de l'application MAJIC 3 de:
ne prendre aucune copie des documents et des fichiers communiqués ou utilisés, sinon pour les besoins de l'exécution de la mission de service public ;
ne pas utiliser ces documents et ces fichiers à des fins autres que celles indiquées ci-dessus, et notamment pas à des fins commerciales, politiques ou électorales ;
ne pas délivrer, ni céder ces documents ou ces fichiers aux personnes qui ne remplissent pas une mission de service public ;
prendre toute mesure permettant d'éviter toute utilisation détournée ou frauduleuse des données communiquées ;
détruire, à l’expiration de la durée de conservation retenue ou à la demande de la DGFiP, tous les fichiers manuels ou informatisés stockant les informations communiquées par la DGFiP.
La Commission prend acte du fait que les données foncières ne seront pas utilisées à d’autres fins que la mise en place d’un dispositif d’information et de sensibilisation des propriétaires fonciers riverains de canalisations de transport de gaz naturel.
Les mises à jour sont effectuées par la DGFiP annuellement lors de chaque campagne d'envoi des impositions fiscales. L’ensemble des données doit être transmis chaque année, il n'est donc pas possible d'obtenir seulement les données modifiées. GRTgaz prévoit, par conséquent, une communication annuelle aux propriétaires des parcelles concernés et ce au moyen d’un courrier d’information et de sensibilisation. Ainsi, GRTgaz rachètera l'ensemble des données MAJIC 3 annuellement.
La Commission prend acte que les mises à jour, ainsi que le fichier initial de l’application MAJIC 3, seront gravées sur un support optique par les centres des services informatiques de la DGFiP.
Le SIG de localisation des canalisations de GRTgaz
GRTgaz est tenu de procéder au croisement des informations de ces trois bases, car les données de la DGFIP sont insuffisamment géolocalisées concernant le positionnement des parcelles et par voie de conséquence des ouvrages de transport de gaz naturel. Les données de l’IGN permettent de s’assurer du positionnement précis des parcelles par voie de recoupement. Concernant le SIG, celui-ci ne contient que des données techniques relatives au positionnement géographique et aux caractéristiques des ouvrages de GRTgaz. Ce SIG ne contient pas de données personnelles et n’a donc pas fait l’objet de formalités auprès de la Commission.
La seule finalité du traitement est l’information et la sensibilisation des propriétaires fonciers riverains de canalisations de transport de gaz naturel.
Les droits d’accès et de rectification s’exercent auprès du centre technique d’expertise de la société GRTgaz au 2 rue Curnonsky, 75017 Paris.
Les catégories de données à caractère personnel enregistrées sont les nom, prénom, coordonnées postales et téléphoniques des propriétaires fonciers visés par l’information réglementaire, ainsi que l’activité professionnelle si celle-ci figure dans la base de données de la DGFiP.
L'information des riverains concerne un nombre de propriétaires restreints estimés à environ vingt mille personnes sur la France entière. Le sud-ouest de la France est géré par le second transporteur de gaz en France, à savoir Total Infrastructures Gaz de France (TIGF). Après le filtrage des données en fonction du réseau de GRTgaz, par référence avec SIG localisant les canalisations de GRTgaz, les données non utilisées seront détruites par GRTgaz.
Ainsi, les données suivantes, inutiles à GRTgaz, seront-elles détruites dès le filtrage initial :
l'ensemble des données relatives aux propriétaires non concernés par la mesure réglementaire d'information préalable ;
toutes les autres données, à l’exception des noms, prénoms, coordonnées postales et téléphoniques des propriétaires concernés par la mesure réglementaire d'information préalable.
La durée de conservation des données à caractère personnel collectées est d’une année pour les données d’identité et de trois mois pour les données relatives à l’activité professionnelle.
Les destinataires des informations sont, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, le personnel habilité de la société GRTgaz. Dans tous les cas, les personnes chargées du recueil et du traitement sont en nombre limité, spécialement formées et astreintes à une obligation renforcée de confidentialité contractuellement définie.
L’accès aux données se fera par le biais d’une identification de l’utilisateur et par un mot de passe individuel régulièrement renouvelé. La Commission constate que toutes les mesures de sécurités sont prises pour assurer la communication des fichiers conformément à l’article 34 de la loi du 6 janvier 1978 modifiée en août 2004.
Dans ces conditions, la Commission autorise la société GRTgaz à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’information et de sensibilisation des propriétaires fonciers riverains de canalisations de transport de gaz naturel.