La Commission nationale de l'informatique et des libertés,
Saisie d'une déclaration d'un traitement automatisé de données à caractère personnel relatif à la gestion des clients ayant un passe "Navigo" chargé d'un abonnement annuel, mensuel ou hebdomadaire, mis en oeuvre par le GIE Comutitres.
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données,
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 69 ;
Vu la Décision de la Commission européenne 2002/16/CE du 27 décembre 2001 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des sous-traitants établis dans des pays tiers ;
Vu le contrat relatif au transfert de données à caractère personnel vers le Maroc à l'occasion d'un contrat de sous-traitance entre le GIE Comutitres et la société FEDASO via la société EXPERIAN ;
Après avoir entendu M. Guy Rosier, vice-président délégué, en son rapport, et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le 7 juillet 2004, la société Comutitres a adressé à la Commission nationale de l'informatique et des libertés un dossier de formalité préalable relatif à la gestion des clients ayant un passe "Navigo" chargé d'un abonnement annuel, mensuel ou hebdomadaire.
Il résulte de l'examen de ce dossier que les traitements portant sur les passes "Navigo - carte orange", c'est à dire ceux chargés d'un abonnement mensuel ou hebdomadaire, font l'objet d'un contrat de sous-traitance entre le GIE Comutitres et la société EXPERIAN qui elle-même sous-traite la saisie informatique des formulaires papier de demande de passe "Navigo - carte orange" à la société FEDASO située au Maroc.
Conformément à l'article 68 de la loi du 6 janvier 1978 modifiée, le responsable d'un traitement ne peut transférer des données à caractère personnel vers un Etat n'appartenant pas à la Communauté européenne que si cet Etat assure un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes à l'égard du traitement dont ces données font l'objet ou peuvent faire l'objet.
Le Maroc n'étant pas reconnu par la Commission européenne comme étant un Etat assurant un niveau de protection suffisant, le transfert de données par la société EXPERIAN ne peut être envisagé que dans les conditions prévues par l'article 69 de la loi du 6 janvier 1978 modifiée qui dispose qu'il peut être fait exception à l'interdiction prévue à l'article 68, par décision de la Commission nationale de l'informatique et des libertés, lorsque le traitement garantit un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes, notamment en raison des clauses contractuelles ou règles internes dont il fait l'objet.
A cet égard, il convient d'indiquer que la société Comutitres a conclu avec les sociétés EXPERIAN et FEDASO un contrat ayant pour objet de garantir un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes. Ce contrat qui a été adressé à la CNIL correspond aux clauses contractuelles types issues de la décision de la Commission européenne 2002/16/CE du 27 décembre 2001 relative au transfert de données à caractère personnel vers les sous-traitants établis dans des pays tiers et apporte toutes les garanties nécessaires.
Autorise le transfert des données à caractère personnel énumérées ci-dessous, via la société EXPERIAN, vers la société FEDASO située au Maroc, en vue de procéder à la saisie des informations figurant sur les formulaires de demande de passes "Navigo".
Les catégories de données à caractère personnel transférées sont relatives à l'identité (civilité, nom, prénom), à la date de naissance, à l'adresse (numéro, voie, complément d'adresse, code postal, ville), ainsi que, lorsque ces données facultatives sont renseignées, au numéro de téléphone fixe et mobile et à l'adresse de courrier électronique.
La durée de conservation de ces données à caractère personnel par la société FEDASO correspond à la durée du traitement et au maximum vingt-quatre heures.
Les mesures techniques et d'organisation liées à la sécurité des données mises en oeuvre par l'importateur de données sont satisfaisantes et reposent notamment sur le filtrage des flux réseau et la gestion des accès.
Le président, Alex TURK.