(Demande d’autorisation n° 1589563v1)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Autoroutes du Sud de la France (ASF) d’une demande de modification de la délibération n° 2012-386 du 18 octobre 2012 autorisant la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité la constatation et le suivi des infractions au péage;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale, notamment son article 529-6 ;
Vu le code de la route, notamment ses articles L. 330-2 et R. 421-9 ;
Vu le code de la sécurité intérieure, notamment son article L. 252-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9-1° et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2012-386 du 18 octobre 2012 autorisant la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité la constatation et le suivi des infractions au péage ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la société Autoroutes du Sud de la France (ASF).
Sur la finalité
La finalité du traitement est la constatation et le suivi des infractions au péage, prévues à l’article R. 421-9 du code de la route.
Les agents assermentés d’ASF identifient les véhicules en infraction sur place ou à distance, grâce aux images vidéo et aux photographies issues du dispositif de vidéosurveillance. Les caméras sont situées au niveau des zones de paiement des gares de péage. Elles permettent, grâce au réglage de l'angle de vision, une prise de photographies de l'avant du véhicule et donc du numéro de plaque d'immatriculation.
Un système de reconnaissance automatique des numéros de plaques d’immatriculation est mis en place pour permettre le pré-remplissage des procès-verbaux.
Depuis la loi n° 2010-788 du 12 juillet 2010 portant engagement national pour l'environnement (dite loi Grenelle II), qui est venue modifier le code de la route et le code de procédure pénale, ASF peut :
L’article L. 330-2 du code de la route permet la consultation des informations concernant les pièces administratives exigées pour la circulation des véhicules ou affectant la disponibilité de ceux-ci par les « agents des exploitants d'une autoroute ou d'un ouvrage routier ouvert à la circulation publique et soumis à péage, assermentés dans les conditions prévues à l'article L. 130-7, aux seules fins d'identifier les auteurs des contraventions au présent code qu'ils sont habilités à constater conformément au 8° de l'article L. 130-4 ».
consulter le système d’immatriculation des véhicules (SIV)
mettre en place une procédure transactionnelle
L’accès aux données contenues dans le SIV se fait par l’intermédiaire d’un concentrateur informatique, agréé par le Ministère de l’Intérieur.
L’article L. 529-6 du code de procédure pénale autorise les exploitants d’une autoroute à mettre en place une procédure transactionnelle en cas de contravention pour non-paiement du péage. Cette procédure implique une extinction de l’action publique en cas de versement à l’exploitant par le contrevenant d’une indemnité forfaitaire dans un délai de deux mois.
consulter le système d’immatriculation des véhicules (SIV)
mettre en place une procédure transactionnelle
La société adresse un avis de paiement au titulaire du certificat d’immatriculation. A défaut de paiement ou de protestation dans le délai de deux mois, le procès-verbal de contravention est envoyé par l'exploitant à l’Officier du Ministère Public et le titulaire du certificat d’immatriculation devient redevable d'une amende forfaitaire majorée recouvrée par le Trésor public.
Avant toute consultation du SIV ou action pouvant conduire à un dépôt de plainte, les images des plaques d’immatriculation sont vérifiées manuellement par un opérateur pour détecter les éventuelles erreurs de transcription des numéros de plaques dans le procès-verbal par le dispositif de reconnaissance automatique de plaques.
La Commission considère la finalité poursuivie comme déterminée, explicite et légitime.
Elle estime qu’il y a lieu de faire application des dispositions des articles 9-1° et 25-I-3° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements pourtant sur des données relatives aux infractions, condamnations et mesures de sûreté, mis en œuvre par des personnes morales gérant un service public agissant dans le cadre de leurs attributions légales. En effet, la société ASF est une société de droit privé bénéficiant d’une concession autoroutière, qui est un contrat de délégation de service public.
Sur les données traitées
Les données suivantes sont collectées :
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie.
les images issues des caméras de vidéosurveillance ;
les données collectées en cas de constatation de non paiement :
les données relatives à l’infraction : date, heure, n° de voie, gares d’entrée et de sortie, montant dû ;
les données relatives au conducteur : civilité, raison sociale, nom, prénom, adresse, numéro d’abonné ;
les données relatives au véhicule utilisé : classe, numéro d’immatriculation ;
les données permettant d’interroger le SIV : numéro d’immatriculation, marque, modèle, type de couleur du véhicule, gare, voie, date et heure de l’infraction, matricule de l’agent verbalisateur ;
les données en provenance du SIV : nom ou raison sociale, prénom, nom d’usage ou d’époux, numéro SIREN, adresse, qualité de propriétaire du titulaire du certificat d’immatriculation, caractéristiques du véhicule permettant d’écarter les fausses plaques ou plaques usurpées (marque, modèle et couleur).
Sur les destinataires
Sont destinataires des données :
Ces destinataires n’appellent pas d’observation de la part de la Commission.
les personnels dûment habilités de la société ASF ;
les personnels dûment habilités des sociétés dont le réseau est en continuité avec le réseau de la société ASF ;
les gestionnaires dûment habilités du SIV ;
l’officier du Ministère Public en cas de non paiement de l’avis de paiement.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée :
Les droits d’accès et de rectification s’exercent par voie postale auprès du service clients de la société ASF – BP 10221 – 86963 Futuroscope CHASSENEUIL Cedex.
par des stickers apposés sur les équipements de péage ;
par une mention sur l’avis de paiement.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
La Commission observe que les consultations du SIV sont réalisées par envoi de fichiers d’appels par l’intermédiaire d’un concentrateur, organisme assurant la centralisation des différents fichiers d’interrogation, leur transmission au SIV et la récupération et le renvoi des réponses aux sociétés à l’origine de l’interrogation.
Le détail des interrogations est tracé pendant une durée de 6 mois, afin de permettre la détection d’interrogation frauduleuse.
Les utilisateurs habilités sont authentifiés par des mots de passe d’une longueur minimale de huit caractères et contenant au moins un chiffre, une minuscule et un caractère spécial.
L’ensemble des échanges de données réalisés sur des canaux de communication non sécurisés sont chiffrés afin de garantir la confidentialité des données.
Les étapes de développement et de maintenance font l’objet de mesures de sécurité visant à garantir la confidentialité des données.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les enregistrements vidéos ne peuvent être conservés au-delà d’une durée de 30 jours.
Les autres données (dont les photographies issues des enregistrements vidéos) sont conservées pendant le temps nécessaire à l’instruction du dossier, dans la limite de la durée de la prescription légale en matière de contravention, soit un an.
La Commission estime que ces durées de conservation sont proportionnées au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, la société Autoroutes du Sud de la France (ASF) à mettre en œuvre le traitement susmentionné et abroge la délibération n° 2012-386 du 18 octobre 2012 autorisant la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité la constatation et le suivi des infractions au péage
La Présidente
Isabelle FALQUE-PIERROTIN