(demande d’autorisation n° 1490729)
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu le code des assurances ;
Vu le code de la route ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, et notamment ses articles 9-1° et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et de Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La régie TISSEO exerce une activité de transport public urbain de voyageurs de l’agglomération toulousaine. Elle propose à ses usagers des services de transport dont deux lignes de métro, cent huit lignes de bus et une ligne de tramway. Dans le cadre de cette activité, des accidents et des incidents peuvent survenir sur le réseau de transports, susceptibles d’engendrer des dommages matériels et corporels. La régie TISSEO a saisi la Commission nationale de l’informatique et des libertés d’une demande d’autorisation relative à la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité la gestion des incidents, accidents et contentieux.
Ces données sont susceptibles de constituer des infractions au code de la route et/ou au code des assurances.
Dès lors, ce traitement relève de l’article 25-I-3° de la loi du 6 janvier 1978 qui soumet à autorisation « les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté, sauf ceux qui sont mis en œuvre par des auxiliaires de justice pour les besoins de leurs missions de défense des personnes concernées ».
Sur les finalités et les caractéristiques du traitement :
Le traitement a pour finalités :
la gestion des dossiers d’indemnisation des dommages corporels et matériels,
la gestion des dossiers relatifs aux atteintes aux biens et aux personnes de la régie TISSEO,
la gestion du contentieux,
le suivi de l’accidentologie des conducteurs,
le calcul de la prime financière pour bons conducteurs,
l’établissement de statistiques.
La Commission relève que la régie TISSEO bénéficie d’une délégation accordée de la part du représentant de l’assureur pour la gestion et le règlement de sinistres automobiles pour un certain montant, et procède donc, le cas échéant, aux indemnisations des tiers impliqués dans un accident ou un incident.
Le traitement présenté s’inscrit dans le cadre des dispositions de l’article 9-1° de la loi du 6 janvier 1978 modifiée en août 2004 qui autorisent les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales, à mettre en œuvre des traitements relatifs à des infractions.
Sur les données collectées
La Commission observe que les données figurant dans la base de données peuvent concerner des personnes internes à la régie TISSEO : conducteurs, rapporteurs et également des tiers concernés par l’accident ou l’incident tels que des victimes, des témoins et des responsables d’accidents ou d’incidents.
Les catégories de données à caractère personnel traitées sont :
Concernant les conducteurs :
les données d’identification : nom, prénom, matricule, âge ;
les données relatives à la vie professionnelle : ancienneté, points pour bonne conduite.
Concernant les rapporteurs internes :
les données d’identification : nom, prénom.
Concernant les tiers responsables :
les données d’identification : nom, prénom, adresse postale, téléphone, sexe, âge ;
les données relatives au véhicule : numéro d’immatriculation.
Concernant les victimes :
les données d’identification : nom, prénom, adresse postale, téléphone ;
les données de santé : gravité et type de blessure, suivi médical, incapacité et le cas échéant le rapport papier d’expertise ;
les données relatives au préjudice et à l’indemnisation.
Concernant les témoins :
données d’identification : nom, prénom, adresse postale, téléphone ;
témoignage (sous format papier uniquement).
Concernant les dossiers :
numéro de dossier, année ;
description des faits ;
suivi financier (devis, règlements) ;
suivi judiciaire (décision de justice).
La Commission constate que les documents papiers ne sont pas scannés dans le logiciel de gestion des sinistres.
La Commission considère que ces données sont pertinentes au regard des finalités indiquées.
Sur les durées de conservation des données
Les données seront conservées pendant une durée :
d’un an pour les dossiers relatifs à des incidents,
de trois ans pour les dossiers d’indemnisation de dommage matériel,
de trente ans pour les dossiers d’indemnisation de dommage corporel(dix ans en base active et vingt ans supplémentaires en base archive sur un support distinct, accessible à un nombre limité de personnes).
de trois ans pour les données d’accidents des conducteurs dans le dossier agent.
Ces durées correspondent à la durée de gestion de chacun des types de dossiers qu’est amenée à traiter la régie TISSEO.
Sur les destinataires des données
Les agents gestionnaires sinistres du service juridique, contentieux et assurances de la régie TISSEO seront destinataires des données du traitement.
Une enveloppe, pré-adressée au service du contentieux et portant la mention « confidentiel », est remise à la victime pour l’envoi des pièces médicales afin d’éviter que des agents non habilités n’accèdent à l’information.
En effet, la Commission rappelle que l’accès aux données de santé doit être encadré par le médecin conseil de la société d’assurance.
En outre, la direction sûreté sera destinataire des informations des suites des dépôts de plainte des victimes internes à la régie TISSEO et de la synthèse de la décision de justice après délibéré.
De plus, les agents chargés du suivi d’exploitation du métro auront accès aux données concernant uniquement le métro.
Le service formation pourra consulter les données d’accidentologie des conducteurs pour engager des actions correctives.
Par ailleurs, seuls les assureurs auront accès aux dossiers contentieux.
Dans la mesure où chacun des destinataires n’accède qu’aux informations qui lui sont strictement nécessaires, la Commission considère que la liste précitée n’appelle pas d’observation.
Sur les mesures de sécurité
Le traitement est constitué d’une application accessible uniquement via le réseau interne de la régie, déployé dans ses propres locaux.
La dizaine de postes clients permettant d’accéder à l’application bénéficient des mesures de sécurité communément mises en œuvre (authentification par login/mot de passe, antivirus, etc.). De plus, l’accès à l’application nécessite de posséder les permissions ad hoc. La politique de mots de passe n’impose qu’une taille de mot de passe de six caractères alors que la Commission recommande la mise en place de mots de passe d’au moins huit caractères.
Aucune traçabilité n’est mise en œuvre. Sur ce point, la Commission prend acte de l'engagement de la régie TISSEO de mettre en place, dès la prochaine version de son logiciel, une traçabilité des accès, modifications et suppressions des données.
Une sauvegarde quotidienne est prévue, avec stockage des sauvegardes dans un lieu distinct.
Sur l’information et les droits des personnes
Les personnes concernées seront informées de la mise en œuvre du traitement, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée en août 2004, par une mention figurant sur la fiche de renseignement sur les blessures, délivrée aux victimes corporelles et par l’envoi de courriers à l’ouverture du dossier et/ou lors de l’instruction.
Les droits d’accès et de rectification s’exerceront auprès du service Contentieux de la régie TISSEO, par courrier, au 9 rue Michel Labrousse, 31081 TOULOUSE Cedex 1.
Dans ces conditions, la Commission autorise la régie TISSEO à mettre en œuvre un traitement de données automatisé de données à caractère personnel ayant pour finalité la gestion des incidents, accidents et contentieux.
La Présidente
Isabelle FALQUE-PIERROTIN