(Demande d’autorisation n° 1270394v2)
La Commission nationale de l’informatique et des libertés ;
Saisie par la société Autoroutes Paris Rhin Rhône (APRR) d’une demande de modification de la délibération n°2010-254 du 24 juin 2010 autorisant la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité la gestion de la facturation et la lutte contre la fraude et les infractions au péage ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale, notamment son article 529-6 ;
Vu le code de la route, notamment son article L. 330-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n°2010-254 du 24 juin 2010 autorisant la mise en œuvre par la société Autoroutes Paris Rhin Rhône d’un traitement de données à caractère personnel ayant pour finalité la gestion de la facturation et la lutte contre la fraude et les infractions au péage ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-François CARREZ, commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La société Autoroutes Paris Rhin Rhône (APRR)
Sur la finalité
La société Autoroutes Paris Rhin Rhône (APPR) souhaite modifier l’autorisation qui lui a été délivrée le 24 juin 2010 portant sur un traitement automatisé de données à caractère personnel ayant pour finalité la gestion de la facturation, la lutte contre la fraude et les infractions au péage.
Cette demande de modification intervient suite à l’adoption de la loi n° 2010-788 du 12 juillet 2010 portant engagement national pour l'environnement (dite loi Grenelle II), qui est venue modifier le code de la route et le code de procédure pénale.
Les sociétés d’autoroutes peuvent dorénavant :
L’article L. 330-2 du code de la route permet la consultation des informations concernant les pièces administratives exigées pour la circulation des véhicules ou affectant la disponibilité de ceux-ci par les « agents des exploitants d'une autoroute ou d'un ouvrage routier ouvert à la circulation publique et soumis à péage, assermentés dans les conditions prévues à l'article L. 130-7, aux seules fins d'identifier les auteurs des contraventions au présent code qu'ils sont habilités à constater conformément au 8° de l'article L. 130-4 ».
consulter le système d’immatriculation des véhicules (SIV)
mettre en place la procédure transactionnelle
L’accès aux données contenues dans le SIV se fait par l’intermédiaire d’un concentrateur informatique, agréé par le Ministère de l’Intérieur. La société envoie le numéro d’immatriculation, la date, l’heure, la gare et la voie de l’infraction à ce concentrateur qui lui adresse en retour les informations suivantes : nom, prénom, raison sociale et numéro SIREN le cas échéant, adresse, marque, modèle et couleur du véhicule du titulaire du certificat d’immatriculation.
L’article L. 529-6 du code de procédure pénale autorise les exploitants d’une autoroute à mettre en place une procédure transactionnelle en cas de contraventions pour non-paiement du péage. Cette procédure implique une extinction de l’action publique en cas de versement à l’exploitant par le contrevenant d’une indemnité forfaitaire dans un délai de deux mois.
consulter le système d’immatriculation des véhicules (SIV)
mettre en place la procédure transactionnelle
La société adresse un avis de paiement au titulaire du certificat d’immatriculation. A défaut de paiement ou de protestation dans le délai de deux mois, le procès-verbal de contravention est envoyé par l'exploitant à l’Officier du Ministère Public et le titulaire du certificat d’immatriculation devient redevable d'une amende forfaitaire majorée recouvrée par le Trésor public.
La Commission considère la finalité poursuivie comme déterminée, légitime et explicite.
Elle considère également qu’il y a lieu de faire application des dispositions de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements pourtant sur des données relatives aux infractions, condamnations et mesures de sûreté.
Sur les données traitées
Les données collectées sont relatives :
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie.
à l’identification : nom, prénom, adresse, téléphone, adresse électronique (pour les CNP) ;
au péage : gare, date et heure d’entrée et de sortie de l’autoroute, voix de sortie, nom, prénom et matricule de l’agent d’APRR verbalisateur :
au véhicule : classe, marque, numéro d’immatriculation ;
aux informations relatives au paiement : numéro de carte bancaire, numéro de compte, identifiant de paiement ;
aux données de connexion : identifiants de connexion, information d’horodatage.
Sur les destinataires
Sont destinataires des données :
Ces destinataires n’appellent pas d’observation de la part de la Commission.
les personnels dûment habilités de la société APRR (agents de recouvrement péage et service contrôle péage) ;
les gestionnaires dûment habilités du SIV ;
l’officier du Ministère Public en cas de non paiement de l’avis de paiement.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par affichage en gares d’entrée et de sortie, ainsi que :
Les droits d’accès et de rectification s’exercent par voie postale auprès de la Direction Clientèle de la société, 36, rue du Docteur Schmitt – 21850 SAINT APPOLINAIRE.
en cas de déclaration d’absence de moyen de paiement : par une mention sur la constatation de non paiement du péage (CNP) ;
en cas de passage en force ou d’utilisation de la méthode du « petit train » : par une mention sur l’avis de paiement
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Les consultations du SIV sont réalisées par envoi de fichiers d’appels par l’intermédiaire d’un concentrateur, organisme assurant la centralisation des différents fichiers d’interrogation, leur transmission au SIV et la récupération et le renvoi des réponses aux sociétés à l’origine de l’interrogation.
Le détail des interrogations est tracé pendant une durée de 6 mois, afin de permettre la détection d’interrogation frauduleuse.
Les modalités d’authentification des utilisateurs habilités à accéder aux données sont conformes aux recommandations de la Commission.
L’ensemble des échanges de données réalisés sur des canaux de communication non sécurisés sont chiffrés afin de garantir la confidentialité des données.
Les étapes de développement et de maintenance font l’objet de mesures de sécurité visant à garantir la confidentialité des données.
Les autres mesures de sécurité n’appellent pas d’observation particulière de la part de la Commission.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant le temps nécessaire à l’instruction du dossier, dans la limite de la durée de la prescription légale en matière de contravention, soit un an.
Les courriers adressés aux contrevenants sont conservés chez le sous-traitant pendant 3 mois.
Les données nécessaires à la gestion du paiement à distance sont conservées chez le sous-traitant pendant 15 mois.
Autorise, conformément à la présente délibération, la société Autoroutes Paris Rhin Rhône (APRR) à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN