La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de la transition écologique et le ministère des transports d’une demande d’avis concernant un projet de loi d’orientation des mobilités ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;
Vu le code général des collectivités territoriales, notamment son article L. 2213-6-1 ;
Vu le code général des impôts, notamment son article 1609 quater A ;
Vu le code de la route, notamment son article L.130-9 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-4°-a) ;
Vu la loi n° 2017-55 du 20 janvier 2017 portant statut général des autorités administratives indépendantes et des autorités publiques indépendantes, notamment son article 22 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Après avoir entendu Monsieur Eric PERES, commissaire, en son rapport, et Madame Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie d’une demande d’avis portant sur les articles 16 bis, 22 bis et 22 ter du projet de loi d’orientation des mobilités, sur le fondement de l’article 11. 4°. a) de la loi du 6 janvier 1978 modifiée. Conformément à l’article 22 de la loi du 20 janvier 2017 susvisée, cet avis sera rendu public.
Le projet de loi d’orientation des mobilités, et notamment les trois articles soumis pour avis à la Commission, vise à réformer le cadre général des politiques de mobilité et d’infrastructure en s’inscrivant dans une finalité de protection de l’environnement et de prise en compte des enjeux climatiques, dont la légitimité ne saurait être contestée.
Les trois articles concernés sont relatifs, d’une part, aux modalités de contrôle automatisé de voies ou d’aires de circulation afin de faciliter la constatation de certaines infractions au code de la route et, d’autre part, à la mise en place de péages urbains par les collectivités territoriales et les autorités organisatrices de la mobilité compétentes.
La Commission relève que ces articles fixent notamment le cadre général des dispositifs de contrôle et seront complétés ultérieurement par des actes réglementaires venant, en particulier, préciser les caractéristiques des traitements de données à caractère personnel nécessaires. Ainsi, lorsqu’elle sera saisie pour avis de ces dispositions règlementaires, la Commission accordera la plus grande attention à la proportionnalité des dispositifs proposés compte tenu du risque d’atteinte aux libertés individuelles que pose la mise en place de mécanismes de contrôle automatisé des voies et aires de circulation, potentiellement à grande échelle.
En premier lieu, l’article 16 bis vise à introduire dans le code de la route un nouvel article L. 130-9-1, permettant aux services de gendarmerie et de police nationale de mettre en œuvre un contrôle automatisé des données signalétiques des véhicules empruntant des voies réservées à la circulation de certaines catégories de véhicules (véhicules à faible émission, bus et taxis notamment). L’utilisation de tels dispositifs sera autorisée par arrêté du représentant de l’Etat dans le département et, à Paris, du préfet de police. Elle pourra être initiée à la demande d’une collectivité territoriale ou d’un établissement public de coopération intercommunale dont l’autorité investie des pouvoirs de police de la circulation a réservé l’usage d’une voie de circulation à certaines catégories d’usagers ou de véhicules ou à certaines modalités de transport, dans le cadre d’une convention avec l’Etat.
Le même article permet la mise en place de dispositifs visant à constater le nombre de personnes présentes à bord des véhicules aux fins de constatation des infractions aux règles réservant l’usage de certaines voies aux véhicules transportant un nombre minimal d’occupants (notamment pour le covoiturage) par les services de police et de gendarmerie nationales.
En deuxième lieu, l’article 22 bis vise à introduire un nouvel article L. 2213-6-2 dans le code général des collectivités territoriales permettant la mise en œuvre d’un dispositif de contrôle automatisé des zones à faibles émissions (ou
à circulation restreinte
En troisième lieu, l’article 22 ter vise à instaurer un dispositif automatisé pour le contrôle de l’acquittement du tarif de congestion dans le cadre du péage urbain. Cette disposition modifie l’article 1609 quater A du code général des impôts et prévoit la possibilité pour l’autorité organisatrice de la mobilité d’instaurer un péage urbain dans les agglomérations de plus de 100 000 habitants souhaitant mettre en place ce dispositif.
Les modalités de tarification mises en place par l’autorité organisatrice de la mobilité sont fixées pour chaque catégorie de véhicules. Le dispositif de recouvrement du tarif est mis en œuvre par les collectivités concernées.
Sur le régime juridique applicable aux traitements
En premier lieu, la Commission observe que les dispositions des articles 16 bis et 22 bis, qui ont pour finalité la constatation ou la poursuite d’infractions pénales, relèvent du champ d’application de la loi du 6 janvier 1978 modifiée et de la directive Police Justice . Elle rappelle que les traitements concernés devront faire l’objet d’un acte règlementaire, pris après avis motivé et publié de la Commission, conformément aux dispositions de l’article 70-3 de la loi du 6 janvier 1978 modifiée.
En outre, au regard des dispositions de l’article 70-4 de la loi du 6 janvier 1978 modifiée et du Règlement sur la protection des données personnelles (RGPD), le responsable de ces traitements devra réaliser une analyse d’impact sur la protection des données préalablement à la mise en œuvre du traitement envisagé, celui-ci répondant à plusieurs critères (surveillance systématique, collecte des données personnelles à large échelle, usage innovant, etc.), dont la réunion engendre
un risque élevé pour les droits et libertés des personnes concernées
Par ailleurs, la Commission prend acte que la mise en œuvre des dispositifs de contrôle automatisé ne pourra se faire qu’après obtention d’une autorisation préfectorale. La Commission observe que cette autorisation ne constitue pas par elle-même une formalité préalable relevant du champ de la directive, dès lors qu’elle n’a pas pour objet de s’assurer de la bonne application des règles relatives à la protection des données personnelles. Ainsi, cette autorisation n’exonèrera en rien les responsables de traitement du respect de leurs obligations découlant de la directive du 27 avril 2016, transposées à l’article 70-3 de la loi du 6 janvier 1978 modifiée, notamment sur les modalités relatives aux formalités préalables.
En second lieu, la Commission relève qu’à la différence des traitements prévus par les articles 16 bis et 22 bis, ceux mis en œuvre dans le cadre du péage urbain prévu à l’article 22 ter sont soumis à l’ensemble des dispositions du RGPD. Il appartiendra aux responsables de traitement concernés de veiller, notamment, au respect des principes de transparence, de minimisation, de qualité des données et des droits des personnes, par défaut et dès la conception de ces traitements. La Commission rappelle en particulier que le contrôle automatisé est susceptible de relever des dispositions de l’article 22-2-b du Règlement, relatives aux décisions individuelles automatisées, qui imposent notamment des
mesures appropriées pour la sauvegarde des droits et libertés de la personne concernée
Sur la finalité et la proportionnalité des traitements
A titre liminaire, la Commission relève que les articles 16 bis et 22 bis créent des dispositifs permettant de contrôler et, le cas échéant, de verbaliser les véhicules non autorisés à emprunter des voies faisant l’objet de restriction de circulation.
Ainsi, ces dispositions évoquent la mise en place de
dispositifs fixes ou mobiles de contrôle automatisé des données signalétiques des véhicules ,
La Commission observe que les dispositifs LAPI de contrôle des données signalétiques des véhicules grâce aux caméras vidéo, permettant de capter et lire les plaques d’immatriculation de tous les véhicules passant dans leur champ de vision, et de stocker une image de la plaque d’immatriculation ainsi qu’une image plus large des mêmes véhicules comportant la photographie des occupants, étaient mis en œuvre pour trois finalités précises ( constater les infractions de vol et de recel de véhicules volés, prévenir et réprimer des actes de terrorisme et faciliter la constatation des infractions s’y rattachant et de préserver l’ordre public, à l’occasion d’événements particuliers ou de grands rassemblements de personnes).
La Commission relève l’extension potentiellement considérable du déploiement de ces dispositifs à l’échelle nationale.
Or le recours croissant à des dispositifs susceptibles de collecter des informations révélant les allers et venues de tout un chacun présente des enjeux importants en matière de protection des données. Le cadre juridique encadrant ces traitements devra donc prévoir des garanties fortes de nature à éviter que le déploiement de ces dispositifs ne porte une atteinte disproportionnée aux droits et libertés des personnes concernées, notamment leur liberté d’aller et venir anonymement.
La Commission appréciera le respect de cette exigence de proportionnalité, dans le cadre de l’avis qu’elle rendra sur les actes réglementaires d’application, au regard de l’ensemble des garanties prévues par la loi et le RGPD.
S’agissant plus spécifiquement du péage urbain , la Commission observe que le ministère a fait le choix d’instituer un système exigeant des personnes souhaitant circuler dans les zones concernées de s’acquitter du tarif avant de pénétrer dans le périmètre soumis à un péage urbain. Le dispositif de contrôle automatisé permettrait ainsi de vérifier que les véhicules entrants ont préalablement réglé la taxe correspondante, aux points d’entrée délimitant la zone soumise à péage.
L’article 22 ter précise que l’autorité organisatrice de la mobilité met à la disposition des usagers un téléservice leur permettant de s’acquitter du montant du tarif préalablement au franchissement du périmètre de la zone et peut, sans que cela ne constitue une obligation pour les usagers, proposer aux usagers ayant souscrit un forfait un dispositif électronique embarqué.
La Commission relève que le projet de loi pourrait utilement préciser les conditions de fonctionnement du téléservice, ainsi que la manière dont les dispositifs de contrôle automatisé interagissent avec les dispositifs électroniques embarqués afin de définir plus précisément les garanties requises le cas échéant par l’article 22.2.b) du RGPD.
En tout état de cause, et en l’absence de précisions sur la nature des traitements mis en œuvre, la Commission attire l’attention des autorités désignées comme responsables des traitements concernés sur la nécessité de mesurer leur impact sur la protection des données personnelles des usagers. La réalisation d’une analyse d’impact sur la protection des données, au sens de l’article 35 du RGPD, sera en particulier nécessaire dès lors que ces traitements sont réalisés à large échelle, seraient susceptibles de produire des décisions automatiques ayant des effets juridiques sur les personnes concernées ou permettent une surveillance systématique des personnes.
Enfin, dans la mesure où les modalités d’application de l’article 22 ter seront fixées par décret en Conseil d’Etat, la Commission rappelle qu’elle devra être saisie de ce projet de texte au titre, en particulier, de l’article 11 4° a) de la loi informatique et libertés .
Sur les données collectées
S’agissant des dispositifs fixes ou mobiles de contrôle automatisé des données des véhicules visés aux articles 16 bis et 22 bis
A titre liminaire, la Commission observe que les dispositifs prévus par les articles 16 bis et 22 bis collectent des données de même nature ; par conséquent, les observations qui suivent seront applicables aux deux systèmes.
Les données collectées pour effectuer les contrôles institués par ces deux articles comprennent, d’une part, des données signalétiques ainsi que celles relatives aux caractéristiques du véhicule et à sa contribution à la limitation de la pollution atmosphérique et, d’autre part, les données permettant
de constater le nombre de personnes présentes à bord des véhicules
La collecte des données signalétiques par les systèmes de contrôle automatique donne lieu à la consultation de plusieurs fichiers, pour s’assurer de la possibilité pour le véhicule d’emprunter les voies réservées ou faisant l’objet de restrictions de circulation. Il s’agit, d’une part, du fichier des véhicules pour lesquels une identification fondée sur la contribution à la limitation de la pollution atmosphérique a été délivrée (art. L318-1 du code de la route) et, d’autre part, du fichier des véhicules autorisés à circuler sur les voies concernées.
En dernier lieu, et uniquement si ces consultations ne permettent pas de s’assurer du fait que le véhicule est autorisé à circuler, une consultation du système d’immatriculation des véhicules (SIV) (art L.130-1 du code de la route) est opérée.
A cet égard, la Commission prend acte du fait que
ces consultations, qui ont lieu immédiatement après la collecte des données signalétiques, ne portent que sur les données relatives aux caractéristiques du véhicule et à sa contribution à la limitation de la pollution atmosphérique et ne peuvent avoir pour objet d’identifier le titulaire du certificat d’immatriculation du véhicule
lorsque la consultation de ces fichiers (…) a permis de s’assurer du respect par un véhicule des règles de circulation mentionnées au premier alinéa du I, les données relatives à ce véhicules sont détruites immédiatement
Pour autant, la Commission observe que la nature des données relatives aux véhicules n’ayant pas été identifiés comme autorisés à circuler et plus largement le traitement destiné à identifier les contrevenants et à les verbaliser, n’apparaissent pas clairement dans le projet de loi.
Cette partie du dispositif comporte le plus de risques pour les droits et libertés des personnes concernées, de sorte que le projet de loi devrait préciser les grandes garanties apportées pour protéger les données personnelles des personnes concernées.
Par ailleurs, la Commission prend acte que lorsque les données qui
permettent l’identification des occupants du véhicule, (…) ne peuvent être enregistrées et conservées qu’après réalisation d’un traitement destiné à masquer cette identification
Le projet de loi n’apporte pas de précision concernant le traitement des images des véhicules pour l’établissement du procès-verbal faisant suite aux infractions constatées mentionnées dans les articles 16 bis et 22 bis. La Commission s’interroge néanmoins sur l’articulation entre le principe de masquage des données des occupants avec la procédure visant à communiquer les données permettant l’identification des occupants du véhicule
sur demande du titulaire du certificat d’immatriculation ou de l’une des personnes mentionnées aux trois derniers alinéas de l’article L. 121-2 destinataire de l’amende forfaitaire, ou de l’officier du ministère public en cas de requête ou de réclamations .
La Commission ne sera pas en mesure d’apporter une analyse de proportionnalité de cette partie du dispositif que lorsqu’elle sera saisie des textes règlementaires nécessaires à leur mise en place, conformément à l’article 26 de la loi Informatique et libertés .
S’agissant du péage urbain
De manière similaire aux dispositifs prévus aux articles 16 bis et 22 bis précités, les données collectées dans le cadre du péage urbain sont les données signalétiques des véhicules, les données relatives aux caractéristiques des véhicules et également les données relatives aux occupants du véhicule. La Commission réitère donc les observations présentées ci-dessus.
Par ailleurs, dans le cadre du péage urbain, l’article 22 ter du projet de loi prévoit la possibilité pour le propriétaire du véhicule de s’équiper d’un dispositif embarqué permettant de vérifier l’acquittement du tarif lors de son passage au point de contrôle.
La Commission prend acte que ce dispositif exclut toute géolocalisation et rappelle que le traitement des données relatives au passage du véhicule à proximité d’un point de contrôle ne doit pas permettre la reconstitution de ses allées et venues dans le temps.
Enfin, la Commission prend acte qu’
à la seule fin de permettre le recouvrement du tarif et des pénalités dus à raison des véhicules ayant circulé dans le périmètre géographique soumis au tarif de congestion sans que le montant du tarif ait été préalablement acquitté, le traitement mentionné au premier alinéa
peut comporter une consultation des données de l’identification des véhicules prévue à l’article L.330-1 du code de la route
Le projet pourrait toutefois utilement préciser la nature des données susceptibles d’être collectées dans le cadre de cette consultation, afin d’apporter les garanties quant à la proportionnalité du traitement mis en œuvre au titre du recouvrement.
Sur les durées de conservation des données
S’agissant des dispositifs fixes ou mobiles de contrôle automatisé des données des véhicules visés aux articles 16 bis et 22 bis
La Commission rappelle que les données relatives aux occupants du véhicule devront être immédiatement supprimées dès lors que les conditions liées au covoiturage sont remplies.
Elle prend acte que la consultation des fichiers des véhicules
limitation à la pollution atmosphérique
véhicules autorisés à circuler sur les voies concernées
les données relatives à ce véhicule seront détruites immédiatement .
La Commission s’interroge enfin sur la finalité justifiant la conservation des données des
autres véhicules
S’agissant du péage urbain
La Commission relève que, pour contrôler l’acquittement du tarif par les véhicules, les données d’identification des véhicules seront traitées immédiatement après leur collecte. La Commission prend acte que, dans l’hypothèse où l’usager s’est acquitté du tarif ou en est exempté,
les données sont supprimées sans délai
les données permettant le calcul du tarif et des pénalités ne peuvent être conservées que pour la durée strictement nécessaire à la liquidation et au recouvrement du tarif et des pénalités dus, et au maximum pendant une durée de huit jours, sans préjudice des nécessités liées aux contestations s’y rapportant .
Sur l’information préalable des personnes
La Commission relève que le projet de loi ne contient qu’une seule disposition relative à l’information des personnes, dans le cadre du péage urbain à l’article 22 ter. A cet égard, il est prévu une campagne d’information locale un mois avant la mise en place du
tarif de congestion
La Commission prend acte qu’une signalisation sera intégrée à chaque entrée du périmètre géographique et qu’une distance suffisante permettra aux conducteurs de contourner cette zone et souligne qu’une information préalable complète, au regard des articles 13 et suivants du RGPD, devra en tout état de cause être fournie par le responsable du traitement, sur tout support susceptible d’être porté directement à la connaissance des usagers concernés.
Par ailleurs, la Commission relève que le projet de loi ne fait aucune référence aux modalités d’information des personnes sur les dispositifs envisagés aux articles 16 bis et 22 bis. Par conséquent, elle appelle l’attention des ministères sur la nécessité de délivrer à ces personnes une information claire, complète et pédagogique, conformément aux dispositions des articles 70-18 et suivants de la loi du 6 janvier 1978 modifiée.
Sur les accédants et les destinataires des données :
En premier lieu, la Commission observe que pour le premier dispositif dédié aux voies réservées, les collectivités territoriales ou les établissements publics de coopération intercommunale (EPCI) peuvent faire une demande auprès de l’Etat pour la mise en œuvre du dispositif de contrôle. La Commission prend acte que dans ce cas, une convention sera conclue entre l’Etat et la collectivité ou l’EPCI pour en déterminer les modalités, mais que le projet de loi, dans sa rédaction actuelle, ne permet pas par lui-même d’ouvrir l’accès au bénéfice des collectivités et EPCI concernés aux données collectées.
En second lieu, pour le dispositif concernant le contrôle des zones à faibles émissions, le projet de loi précise que les agents de police municipale et les établissements publics peuvent être destinataires des données.
A cet égard, le projet de loi mériterait d’être précisé s’agissant de la finalité de cette transmission, dès lors que, sauf à ce que l’Etat mette en œuvre le dispositif pour le compte d’une collectivité ou d’un EPCI – hypothèse que le projet de loi ne prévoit pas expressément – il doit être regardé comme responsable de ce traitement.
Sur les mesures de sécurité
La Commission rappelle que la mise en œuvre des dispositions précédemment décrites devra respecter les exigences de sécurité imposées par la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés.
Des garanties devront ainsi être apportées afin d’assurer que les mesures techniques et organisationnelles entourant le déploiement des dispositifs se fera au regard des risques sur les droits et libertés des personnes concernées.
A ce sujet la Commission recommande que la mise en œuvre des dispositifs se fasse dans le respect des principes de protection des données dès la conception. Il s’agira ainsi en particulier de s’assurer que seules les données pertinentes sont consultées, et cela par les seules personnes autorisées.
Les risques d'accès non autorisé, de modification non désirée et de disparition de données devront être analysés, estimés en termes de gravité et de vraisemblance au regard des mesures existantes ou prévues, et traités de manière proportionnée.
La Présidente
Isabelle FALQUE-PIERROTIN