(Demande d’autorisation n° 1574800)
La Commission nationale de l’informatique et des libertés,
Saisie par le ministère de l’intérieur, de l’outre-mer, des collectivités territoriales et de l’immigration d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des droits à conduire ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2006/126/CE du Parlement européen et du Conseil du 20 décembre 2006 relative au permis de conduire ;
Vu le code civil, notamment son article 2226 ;
Vu le code de la route, notamment ses articles L. 225-1 à L. 225-9 ;
Vu le code de la sécurité intérieure, notamment son article L. 222-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25.I-3° et 25.I-5° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 29 juin 1992 modifié portant création du Système national des permis de conduire ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
La Commission a été saisie par le ministère de l’intérieur d’une demande d’autorisation relative à la mise en œuvre du système d’information des permis de conduire (SI-FAETON). Mis en œuvre par la direction de la modernisation de l’action territoriale du ministère, ce traitement a vocation à se substituer à l’actuel système national des permis de conduire (SNPC), prévu par le II de l’article L. 225-1 du code de la route et créé par l’arrêté du 29 juin 1992 modifié, pris après l’avis de la Commission en date du 23 juin 1992.
Tout comme ce dernier, le traitement SI-FAETON fait l’objet d’interconnexions avec plusieurs applications et le ministère de l’intérieur a donc saisi la Commission sur le fondement des dispositions de l’article 25-I.5° de la loi du 6 janvier 1978 modifiée. La Commission relève en outre que ce traitement porte sur des données relatives aux infractions et condamnations des conducteurs et que sa mise en œuvre doit donc également être autorisée en application des dispositions de l’article 25-I.3° de ladite loi.
La Commission relève que deux éléments rendent nécessaire la création d’un nouveau traitement de gestion des droits à conduire. Il s’agit tout d’abord de l’obsolescence technique du traitement SNPC, élaboré dès 1989 et déployé en 1992, qui atteint aujourd’hui la limite de ses capacités techniques de traitement des données.
Il s’agit en second lieu des obligations liées à la directive 2006/126/CE du 20 décembre 2006 susvisée, et notamment la délivrance de nouveaux modèles de permis communs à l’ensemble des Etats membres. Cette directive impose en effet de délivrer des titres sécurisés, au format carte bancaire et qui doivent être renouvelés régulièrement, au sein duquel les Etats peuvent décider d’insérer une puce électronique reprenant les informations imprimées sur la carte. A compter de janvier 2013, l’Etat français devra donc délivrer des permis de conduire répondant à ces caractéristiques ; au plus tard en janvier 2033, tous les permis actuellement en circulation devront avoir été remplacés par un permis sécurisé.
Si ce contexte implique la mise en œuvre d’un nouveau traitement de données destiné à gérer les droits à la conduite, la Commission relève néanmoins que les principes présidant à l’enregistrement et à la communication des informations relatives aux permis de conduire font l’objet d’un encadrement juridique précis et inchangé par les dispositions européennes. Ainsi, les conditions de mise en œuvre du traitement de données SI-FAETON sont largement prévues par les dispositions des articles L. 225-1 à L. 225-9 du code de la route, ainsi que par les dispositions réglementaires correspondantes, tout comme le sont actuellement celles du traitement SNPC.
Sur les finalités du traitement
Le traitement SI-FAETON est destiné à gérer l’ensemble des étapes de la vie du permis de conduire, depuis l’inscription à l’examen du permis de conduire jusqu’à la gestion du permis à points. Il doit notamment permettre l’enregistrement et la conservation des données à caractère personnel mentionnées à l’article L. 225-1 du code de la route.
Plus précisément, la Commission relève que ce traitement poursuit trois finalités : la gestion administrative des demandes de permis de conduire, la production du nouveau titre sécurisé et sa remise au titulaire ainsi que la gestion des droits à conduire tout au long de la vie du permis de conduire. Elle estime que ces finalités sont déterminées, explicites et légitimes au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées
En vertu des dispositions de l’article L. 225-1 du code de la route, les données suivantes seront enregistrées dans le traitement SI-FAETON :
les informations relatives aux permis de conduire dont la délivrance est sollicitée ou qui sont délivrés ainsi qu'aux permis de conduire délivrés par les autorités étrangères et reconnus valables sur le territoire national ;
les décisions administratives de restriction de validité, de retrait, de suspension, d’annulation et de restriction de délivrance du permis de conduire ;
les mesures de retrait du droit de faire usage du permis de conduire qui seraient communiquées par les autorités des territoires et collectivités territoriales d'outre-mer ou par une autorité étrangère ;
les procès-verbaux des infractions entraînant retrait de points et ayant donné lieu au paiement d'une amende forfaitaire ou à l'émission d'un titre exécutoire de l'amende forfaitaire majorée ;
les décisions judiciaires portant restriction de validité, suspension, annulation et interdiction de délivrance du permis de conduire ;
les modifications du nombre de points affectant un permis de conduire.
La Commission relève qu’au titre des informations relatives aux permis de conduire, seront notamment enregistrées les conditions restrictives sur les droits à conduire, la réussite à l’examen du permis de conduire, l’attestation de stage de sensibilisation à la sécurité routière ainsi que l’aptitude à la conduite automobile.
Concernant cette dernière information, elle rappelle que certaines catégories de permis nécessitent une visite médicale, une vérification médicale de l'aptitude physique ou un examen médical, en application des dispositions des articles R. 221-1 et suivants du code de la route. Ces examens doivent être effectués par des médecins agréés par le préfet, qui peuvent enregistrer directement dans l’application SI-FAETON les informations concernées. La Commission prend acte que ces informations seront limitées à l’aptitude à la conduite automobile et ne porteront en aucun cas sur le contenu du dossier médical des personnes concernées.
Outre ces informations, l’application SI-FAETON contiendra des données d’identification relatives aux demandeurs de permis de conduire : nom, nom d’usage, prénom, sexe, date et lieu de naissance, photographie et adresse du titulaire. L’adresse électronique et le numéro de téléphone mobile seront également collectés, uniquement afin de faciliter la remise du titre à son titulaire.
Enfin, la Commission observe que toutes les pièces justificatives réglementaires, présentées à l’appui d’une demande de permis de conduire et faisant partie intégrante du dossier administratif, seront également enregistrées dans le traitement. Seront notamment enregistrés les justificatifs d’identité et de domicile ainsi que la photographie du titulaire. A cet égard, elle souligne qu’aucun dispositif de reconnaissance faciale ne sera mis en œuvre et que le lien entre cette photographie et l’état civil du titulaire du permis sera en outre chiffré.
L’ensemble de ces informations seront enregistrées dans les conditions prévues par les articles R. 225-1 à R. 225-3 du code de la route, c’est-à-dire, en fonction des informations, soit par l’administration centrale du ministère de l’intérieur, éventuellement sur communication du ministère public (décisions judiciaires, procès-verbaux des infractions, etc.), soit par les préfectures compétentes. En outre, les données relatives à l’identité et à l’adresse recueillies par les écoles de conduite ou les centres de stage de sensibilisation à la sécurité routière seront enregistrées directement par ces organismes dans une base de recueil dédiée à l’alimentation du traitement SI-FAETON.
Au regard de ces éléments, la Commission souligne que de très nombreuses informations enregistrées dans le traitement SI-FAETON le sont en application des dispositions du code de la route. Elles sont en outre pertinentes, adéquates et non excessives au regard des finalités assignées au traitement, tout comme les autres données à caractère personnel enregistrées dans ce dernier et non expressément mentionnées par le code de la route.
Sur les modalités et la durée de conservation des données
Les informations relatives à l’identification des personnes concernées et à leur permis de conduire sont enregistrées dans l’application proprement dite. En revanche, les pièces justificatives réglementaires présentées à l’appui d’une demande de permis de conduire sont numérisées dans une base d’archivage électronique des documents et conservées sous le format « image ». La Commission prend en outre acte que les mentions d’aptitude, les décisions administratives et judiciaires, les procès-verbaux d’infraction, les photographies, signatures, pièces d’identité, ainsi que les formulaires CERFA et les pièces justificatives feront l’objet d’un chiffrement, ce qui est de nature à assurer la confidentialité des données du traitement SI-FAETON.
En ce qui concerne la durée de conservation de ces informations, la Commission rappelle que l’article L. 225-2 du code de la route fixe la durée de conservation des décisions judiciaires et administratives affectant le permis de conduire : ces informations doivent être effacées lorsque s'est écoulé un délai de dix ans sans que soit intervenue une nouvelle décision.
Ledit article précise néanmoins qu’au cas où une mesure administrative est annulée, l'effacement des informations relatives à cette mesure doit être effectué au jour de la décision judiciaire ou administrative prononçant cette annulation. Il prévoit en outre des délais d’effacement plus longs lorsqu’est prise une décision d'interdiction définitive de solliciter un nouveau permis de conduire (lorsque la personne atteint sa quatre-vingtième année) et plus courts lorsque ces décisions ont comme seule conséquence une modification du nombre de points (délai réduit à trois ans).
S’agissant des autres informations enregistrées dans le traitement SI-FAETON, est prévue une durée générale de conservation de dix ans après la durée de vie du dossier. Ainsi, les données relatives à l’identification du titulaire, aux permis de conduire délivrés ainsi que les pièces justificatives seront conservées durant toute la durée de vie du dossier administratif ainsi que dix années supplémentaires.
La Commission prend acte de cette durée de conservation, qui prend en compte le délai de prescription en matière civile prévue par l’article 2226 du code civil. Il apparaît en effet nécessaire, pour l’administration, de pouvoir justifier pendant cette période, en cas de contentieux civil, que la personne concernée disposait bien, au moment des faits, d’un permis de conduire valide.
Elle relève en outre qu’une durée de conservation moindre est prévue pour certaines données à caractère personnel. Ainsi, le numéro de téléphone mobile et l’adresse électronique, qui sont collectés uniquement aux fins de facilitation de la délivrance du titre, sont supprimés au bout d’un mois après celle-ci. En outre, l’adresse des personnes concernées est conservée pendant la seule durée de validité du permis de conduire, ou plus précisément jusqu’à son renouvellement, ce qui permet d’éviter que le traitement SI-FAETON conserve un historique des adresses des titulaires de permis de conduire. La photographie et les justificatifs de domicile sont quant à eux conservés pendant cinq ans à compter du renouvellement du titre, une conservation plus longue de ces éléments, par définition variables dans le temps, apparaissant inutile. Enfin, une durée de conservation de cinq ans est prévue s’agissant de l’identité des seuls candidats à l’examen du permis de conduire, afin de prendre en compte le délai de validité des demandes d’inscription au permis de conduire.
La Commission considère que ces durées de conservation n’excèdent pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées et sont donc conformes aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée. . Elle prend acte que des procédures de suppression automatique des données seront mises en œuvre, afin de respecter strictement les durées de conservation prévues.
Sur les destinataires des données
La Commission relève que le cadre juridique est inchangé en ce qui concerne les destinataires des données mentionnées à l’article L. 225-1 du code de la route et que les personnes pouvant accéder, directement ou indirectement, au traitement SI-FAETON sont donc les mêmes que celles accédant au traitement SNPC.
Il s’agit tout d’abord des personnes mettant en œuvre le traitement : les personnels habilités du ministère de l’intérieur (service du fichier national des permis de conduire rattaché à la sous-direction de la circulation et de la sécurité routières ; direction de la modernisation de l’action territoriale ; bureau du contentieux de la sécurité routière de la direction des libertés publiques et des affaires juridiques) ; les personnels habilités par les préfets (agents des préfectures, sous-préfectures et directions départementales interministérielle) ; les agents habilités de l’Agence Nationale des Titres Sécurisés et de l’Imprimerie Nationale.
Les autres destinataires du traitement sont les personnes qui y sont expressément autorisées en application des dispositions des articles L. 225-3 à L. 225-6 du code de la route. La Commission rappelle à cet égard que L’article L. 225-6 dudit code dispose en effet : « Aucune information nominative relative au permis de conduire ne peut être divulguée en dehors des cas expressément prévus aux articles L. 225-3 à L. 225-5. »
Elle observe dès lors que les personnes suivantes sont autorisées à accéder directement et à l’ensemble des informations enregistrées dans le traitement SI-FAETON, en vertu et dans les conditions prévues par l’article L. 225-4 du même code :
les autorités judiciaires,
les magistrats de l'ordre administratif dans le cadre des recours formulés contre les décisions de retrait de point du permis de conduire,
les officiers de police judiciaire chargés de l'exécution d'une ordonnance juridictionnelle ou agissant dans le cadre d'une enquête de flagrance,
le représentant de l'Etat dans le département dans l'exercice de ses compétences en matière de permis de conduire,
les militaires de la gendarmerie et des fonctionnaires de la police nationale habilités à effectuer des contrôles routiers.
La Commission souligne en outre que les personnes mentionnées à l’article L. 225-5 du code de la route peuvent recevoir communication de certaines données enregistrées dans le traitement, et plus précisément des informations relatives à l'existence, à la catégorie et à la validité du permis de conduire. Elle rappelle qu’il s’agit :
du titulaire du permis, de son avocat ou de son mandataire ;
des autorités compétentes des territoires et collectivités territoriales d'outre-mer, aux fins d'authentification du permis de conduire ;
des autorités étrangères compétentes, aux fins d'authentification du permis de conduire, conformément aux accords internationaux en vigueur ;
des officiers ou agents de police judiciaire agissant dans le cadre d'une enquête préliminaire ;
des militaires de la gendarmerie ou des fonctionnaires de la police nationale habilités à effectuer des contrôles routiers ;
des agents de police judiciaire adjoints et des gardes champêtres, aux seules fins d'identifier les auteurs des infractions au présent code qu'ils sont habilités à constater ;
des autorités administratives civiles ou militaires pour les personnes employées ou susceptibles d'être employées comme conducteur de véhicule à moteur ;
des entreprises d'assurances pour les personnes dont elles garantissent ou sont appelées à garantir la responsabilité encourue du fait des dommages causés par les véhicules à moteur ;
de l'organisme chargé de la délivrance et de la gestion des cartes de conducteur associées au chronotachygraphe électronique utilisé pour le contrôle des transports routiers ;
de l'organisme chargé de la délivrance et de la gestion des cartes de qualification de conducteur.
Dans la mesure où, pour chacun de ces destinataires, il existe un fondement juridique les autorisant à accéder, directement ou indirectement aux données, la Commission considère que cette liste n’appelle pas d’observation particulière.
Elle observe par ailleurs que l’article L. 222-1 du code de la sécurité intérieure prévoit expressément l’accès des services anti-terroristes au système national de gestion des permis de conduire. Ces dispositions transitoires, applicables jusqu’au 31 décembre 2012, sont d’ailleurs rappelées à l’article R. 225-4 du code de la route. Le dossier présenté par le ministère de l’intérieur ne mentionne pas l’accès des services anti-terroristes aux données enregistrées dans le traitement SI-FAETON, précisément car la mise en œuvre de ce dernier devrait intervenir après le 31 décembre 2012. La Commission rappelle dès lors que l’accès des services anti-terroristes aux données du traitement SI-FAETON ne pourra être effectif que dans l’hypothèse où ces dispositions devaient être prorogées, tout comme elles l’ont été en 2008.
En outre, elle rappelle que la communication des informations mentionnées à l’article L. 225-5 du code de la route est assurée par le préfet du département dans lequel les demandeurs ont leur domicile ou leur siège, conformément à l’article R. 225-5 dudit code. La Commission appelle donc l’attention du ministère de l’intérieur sur la nécessité de s’assurer que les autorités qui requièrent une telle communication sont bien habilitées par la loi à prendre connaissance des informations requises d’une part, et de s’opposer à toute demande d’information abusive d’autre part.
Sur les interconnexions avec d’autres traitements de données
La Commission relève que les différentes modalités de collecte des informations enregistrées dans le traitement SI-FAETON ainsi que les accès prévus audit traitement impliquent la mise en œuvre de plusieurs interconnexions avec d’autres fichiers de données à caractère personnel. A titre général, la Commission considère que ces interconnexions apparaissent nécessaires aux finalités du traitement et participent en outre à la bonne mise à jour des informations qui y sont enregistrées. Elle relève que, pour la plupart, ces interconnexions sont d’ailleurs déjà mises en œuvre avec le traitement SNPC.
Le processus d’alimentation de l’application implique tout d’abord la mise en œuvre d’une interconnexion avec le traitement de gestion opérationnelle des examens du permis de conduire, dénommé AURIGE et créé par un arrêté du 26 juin 1996. Cette interconnexion permettra de transférer vers le SI-FAETON les demandes d’inscription au permis de conduire, le résultat après examen ainsi que les mentions additionnelles à l’initiative de l’inspecteur du permis de conduire. En retour, le traitement SI-FAETON adressera à AURIGE, aux fins de mise à jour, les données relatives à l’éligibilité des candidats avant affectation des places d’examen et à la fabrication du titre ou au refus du bénéfice des résultats des épreuves (cas des candidats faisant l’objet d’une interdiction d’obtenir ou de présenter les épreuves).
Ce processus d’alimentation nécessite également une interconnexion avec le traitement dénommé RAFAEL, registre national de l'enseignement de la conduite des véhicules à moteur et de la sécurité routière créé par un arrêté du 8 janvier 2001, aux fins de transmission des référentiels contenant les agréments des écoles de conduite et des centres de stage.
Ces interconnexions n’appellent pas d’observation particulière de la part de la Commission, de même que l’interconnexion prévue avec le système d’information de l’Imprimerie Nationale aux fins d’édition des nouveaux modèles sécurisés de permis de conduire ainsi que des lettres de notification des décisions judiciaires et administratives.
Aux fins de transmission et d’enregistrement des décisions à caractère définitif concernant des infractions au code de la route, la Commission relève que trois interconnexions sont prévues avec les applications utilisées par les officiers du ministère public. Il s’agit de l’application « Win OMP » utilisée par ces officiers au sein des tribunaux de police, de « l’applicatif PP », qui constitue l’équivalent, au sein de la Préfecture de Police, de l’application « Win OMP », ainsi que du « système contrôle sanction automatisé » (CSA), créé par l’arrêté du 13 octobre 2004 modifié et mis en œuvre par les officiers du ministère public spécialisés dans cette modalité d’infraction (les infractions au code de la route constatées au moyen de radars automatiques). Ces interconnexions n’appellent pas d’observation particulière de la part de la Commission.
En application de l’article L. 225-5 du code de la route, l’application SI-FAETON doit également permettre à l'organisme chargé de la délivrance et de la gestion des cartes de conducteur associées au chronotachygraphe électronique utilisé pour le contrôle des transports routiers et à l'organisme chargé de la délivrance et de la gestion des cartes de qualification de conducteur de vérifier la validité des droits à conduire des personnes concernées. Deux interconnexions sont donc mises en œuvre dans ce cadre avec l’application chargée de gérer la délivrance des cartes professionnelles aux conducteurs routiers et avec l’application du service délivrant les cartes chronotachygraphes pour les conducteurs routiers.
Afin de mettre à jour les données enregistrées dans le traitement « Télépoints », téléservice créé par un arrêté du 27 juin 2007 et qui permet à chaque titulaire du permis de conduire français de consulter le solde des points qui lui est affecté, le traitement SI-FAETON doit enfin transmettre les données relatives au solde de points du permis de conduire.
La Commission souligne enfin que de nouvelles interconnexions sont actuellement à l’étude par le ministère de l’intérieur. Elle rappelle à cet égard que leur mise en œuvre nécessitera une nouvelle demande d’autorisation auprès de la Commission.
Sur les sécurités du dispositif
En ce qui concerne tout d’abord l’accès au traitement SI-FAETON, la Commission souligne que tous les personnels disposant d’un accès direct font l’objet d’une habilitation individuelle et que chaque type d’habilitation obtenu est associé à un profil d’utilisation déterminé en fonction des responsabilités (niveau hiérarchique, poste) et de l’entité d’appartenance. Ce profil est également associé à des droits dans le traitement : droits de lecture (consultation) ou droits d’écriture (saisie de nouvelles données, modification et suppression des données existantes), ces derniers n’étant accordés qu’aux personnes qui peuvent être authentifiées de manière forte, par l’intermédiaire soit de certificats logiciels (écoles de conduite et centres de stage, médecins agréés) soit par carte à puce munie d’un code PIN (forces de l’ordre, agents de préfecture, agents du service du fichier national des permis de conduire).
La Commission considère que les actions effectuées par les utilisateurs font en outre l’objet d’une traçabilité suffisante. Un module dédié aux recherches en traçabilité permettra de savoir quel agent a effectué une action donnée, à quelle date et quel était l'état des données avant et après l'action. Ce module sera réservé à un profil spécifiquement habilité sous la responsabilité du service du fichier national des permis de conduire.
Elle prend acte que ces les accès indirects aux données enregistrées dans le traitement SI-FAETON, c’est-à-dire les accès prévus par l’article L. 225-5 du code de la route, feront également l’objet d’une traçabilité. Celle-ci sera assurée par l’intermédiaire de l’enregistrement des actions effectuées par les personnes assurant la communication des données à ces destinataires.
La Commission relève par ailleurs que tous les échanges sur les réseaux sont chiffrés et qu’en ce qui concerne en particulier les interconnexions prévues, ce chiffrement intervient par authentification mutuelle des serveurs par certificat, ce qui est de nature à assurer la sécurité des données échangées. En outre, elle souligne que la confidentialité des données enregistrées dans l’application est assurée par le fait que les sécurités d’accès au système sont différenciées selon le type de réseau utilisé et la nature des destinataires.
Dans ces conditions, la Commission estime que les mesures de sécurité prévues en ce qui concerne le traitement SI-FAETON sont satisfaisantes au regard des obligations de l’article 34 de la loi du 6 janvier 1978 modifiée.
Elle observe que le titre lui-même fait l’objet de mesures de sécurisation importantes, comme le chiffrement, dans la puce sans contact, de la photographie et de la signature du porteur. La Commission estime néanmoins que ces mesures doivent être améliorées. En ce qui concerne le chiffrement utilisé, de type BAC – ce qui est conforme à la norme communément admise, elle relève ainsi que la sécurité de la puce serait plus importante si un aléa était ajouté en fin de bande MRZ, afin de limiter aux seuls destinataires ayant physiquement accès au titre l’accès à ces données chiffrées.
Sur l'information et les droits d’accès, de rectification et d'opposition des personnes
Tout comme dans le cas du SNPC, la Commission relève que l’information des personnes concernées est assurée au moyen de mentions d’information figurant sur les formulaires de demande d’inscription au permis de conduire. Ces formulaires CERFA sont signés par les demandeurs avant d’être dématérialisés et contiennent les mentions prévues à l’article 32 de la loi du 6 janvier 1978 modifiée.
La Commission prend acte que le droit d’opposition prévu à l’article 38 de la loi du 6 janvier 1978 modifiée n’est pas applicable au traitement SI-FAETON.
Elle rappelle enfin que les personnes concernées disposent, en application des articles 39 et 40 de la loi du 6 janvier 1978 modifiée, d’un droit d’accès et de rectification des données enregistrées dans le traitement. Le droit à la communication du relevé intégral des mentions le concernant pour tout titulaire ou usager est en outre prévu par l’article L. 225-3 du code de la route. Ces droits s’exercent directement auprès du préfet du lieu de résidence.
Dans ces conditions, la Commission autorise le ministère de l’intérieur, de l’outre-mer, des collectivités territoriales et de l’immigration à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion des droits à conduire.
La Présidente
Isabelle FALQUE-PIERROTIN