La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de la transition écologique d'une demande d'avis concernant un projet d'arrêté portant création d'un traitement de données à caractère personnel relatif à la transmission des données des personnes intervenant dans le secteur du transport public particulier de personnes dénommé Données du transport public particulier de personnes ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;
Vu le code des transports ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 31 ;
Après avoir entendu le rapport de Mme Marie-Laure DENIS, présidente, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission nationale de l’informatique et des libertés (ci-après la Commission ) a été saisie le 19 mars 2021 par le ministère de la transition écologique, puis le 25 juin 2021 par saisine rectificative, d’un projet d’arrêté portant création d’un traitement de données à caractère personnel relatif à la transmission des données des personnes intervenant dans le secteur du transport public particulier de personnes dénommé Données du transport public particulier de personnes .
L’article L. 3120-6 du code des transports, introduit par la loi n° 2016-1920 du 29 décembre 2016 relative à la régulation, à la responsabilisation et à la simplification dans le secteur du transport public particulier de personnes, prévoit :
d’une part, l’obligation pour les centrales de réservation, mentionnées à l'article L. 3142-1 du même code, de communiquer à l’autorité administrative toute donnée utile au contrôle du respect des dispositions législatives et réglementaires relatives à l'accès aux professions du transport public particulier de personnes (T3P), à leurs conditions d'exercice et aux activités de mise en relation mentionnées au titre IV ( Les activités de mise en relation ) du livre 1

d’autre part, que l'autorité administrative peut imposer à ces centrales de réservations la transmission périodique, à des fins statistiques, des données nécessaires à la connaissance de l'activité du secteur du T3P.
Dans sa délibération n° 2019-054 du 25 avril 2019, la Commission s’était prononcée sur un projet de décret introduisant les articles R. 3120-40 et R. 3120-41 du code des transports. Elle avait relevé que ces dispositions se limitent à préciser les modalités de transmission des données et à mentionner l’autorité compétente pour chaque finalité, et avait demandé à être saisie pour avis de tout projet d’acte réglementaire pris en application du décret et de l’article L. 3120-6 du code des transports en vue de compléter le cadre juridique.
Le projet d’arrêté soumis à l’avis de la Commission précise ce cadre juridique en portant création du traitement de données relatif à la transmission des données des personnes intervenant dans le secteur du transport public, en application de l’article L. 3120-6 du code des transports. Il renvoie, pour les données à caractère personnel susceptibles d’être traitées et leurs durées de conservation, et afin d’améliorer la lisibilité des dispositions encadrant chacune des finalités concernées, à deux arrêtés pris respectivement en application des articles R. 3120-40 (pour la finalité de contrôle) et R. 3120-41 (pour la finalité statistique) du code des transports, sur lesquels la Commission a également été saisie.
Sur les finalités
L’article 1

1° Le contrôle du respect des dispositions législatives et réglementaires relatives à l’accès aux professions du transport public particulier de personnes, à leurs conditions d’exercice et aux activités de mise en relation mentionnées à l’article L. 3141-1 du code des transports (vérification du respect des conditions d’accès et d’exercice de la profession conditions, recherche et constatation d’infractions pénales)
2° La transmission périodique, à des fins statistiques, des données nécessaires à la connaissance de l’activité du secteur du transport public particulier de personnes
S’agissant de la finalité de contrôle
La Commission souligne que les échanges avec le ministère ainsi que l’analyse du révèlent que la finalité de contrôle précisée au 1° de l’article 1

D’une part, l’annexe I du projet d’arrêté pris en application du I de l’article R. 3120- 40 du code des transports contient une liste de données La Commission relève que ces données sont variées et susceptibles de donner une vision particulièrement précise de l’activité des professionnels concernés. Elle prend toutefois acte des précisions du ministère selon lesquelles ces données n’ont vocation à être collectées que par les autorités mentionnées ci-dessus, dans le cadre d’une action de contrôle délimitée et afin de confirmer des suspicions existantes à l’égard d’une personne identifiée, dont les sources peuvent être diverses (identification d’anomalies dans le cadre du traitement mis en œuvre à partir des données collectées de façon périodique, plaintes d’usagers et d’acteurs du secteur, etc.). Aussi, ces données serviront à constituer un faisceau d’indices dans le cadre d’une procédure spécifique et ne seront pas collectées de manière régulière. Par ailleurs, afin de s’assurer de la nécessité d’une telle collecte de données et que celle-ci soit adaptée en conséquence, la Commission invite le ministère à établir et lui adresser un rapport sur l’efficacité du dispositif, en particulier s’agissant du nombre de manquements identifiés grâce au traitement de données mis en place.
D’autre part, la Commission souligne que les données visées à l’annexe II du projet d’arrêté pris en application du I de l’article R. 3120-40 du code des transports, plus limitées dans leur étendue, sont en revanche collectées de façon périodique auprès des centrales de réservation afin d’assurer un contrôle régulier de l’accès et de l’exercice de la profession

En premier lieu,
En second lieu
S’agissant de la finalité statistique
S’agissant de la finalité statistique visée au 2° du projet d’arrêté, la Commission invite le ministère à modifier la rédaction pour qu’elle rappelle explicitement qu’il est interdit de réutiliser ces données pour d’autres finalités, notamment de contrôle et de sanction des professionnels concernés.
Sur les droits des personnes
La Commission prend acte de l’inscription par le ministère, dans sa saisine rectificative, d’une obligation à la charge des centrales de réservation d’informer, de manière visible, les professionnels, dont les données à caractère personnel sont traitées, de l’existence du traitement de données effectué à des fins statistiques et de contrôle. Elle prend également acte de la précision selon laquelle une information sur le traitement à destination des acteurs du T3P sera publiée sur le site du ministère. Elle rappelle que, conformément à l’article 12 du RGPD, l’information devra être fournie de façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples.
Par ailleurs, la Commission prend acte de l’exclusion expresse du droit d’opposition tant s’agissant de la finalité de contrôle que de la finalité statistique. En revanche, elle rappelle que le ministère chargé des transports, ou les centrales de réservations collectant des données sur les professionnels du T3P, devront satisfaire aux autres demandes d’exercice des droits formulées par les personnes concernées conformément aux articles 12 et suivants du RGPD et du titre III de la loi Informatiques et libertés modifiée.
Sur la sécurité
La Commission prend note de l’impossibilité pour le ministère de préciser, à ce stade, les mesures de sécurité du système de collecte des données dont les modalités seront déterminées ultérieurement après échanges avec les plateformes de mise en relation.
Au vu de l’ampleur des données collectées et de la sensibilité du traitement envisagé, la Commission souligne néanmoins que les mesures de sécurité qui seront mises en place par le ministère, notamment en termes de chiffrement des flux et des sauvegardes, d’authentification, de journalisation et d’habilitation des agents, devront fournir des garanties satisfaisantes quant à l’authenticité, l’intégrité et à la confidentialité des données.
La Présidente
Marie-Laure DENIS