La Commission nationale de l'informatique et des libertés,
 Vu la Convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales du 4 novembre 1950 ;
 Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
 Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
 Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment ses articles 1er et 25-II ;
 Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
 Vu l'article 9 du code civil ;
 Vu les articles 226-16 à 226-24 du code pénal ;
 Vu la délibération n° 03-083 du 16 septembre 2003 portant adoption d'une recommandation relative à la collecte et au traitement d'informations nominatives par les sociétés de transports collectifs dans le cadre d'applications billettiques ;
 Après avoir entendu M. Guy Rosier, vice-président délégué, en son rapport et Mme Catherine Pozzo Di Borgo, commissaire du Gouvernement, en ses observations,
   Formule les observations suivantes :
 La modernisation des transports collectifs se traduit notamment par la délivrance de nouveaux titres de transport aux usagers, sous forme de cartes nominatives à puce, en vue de faciliter leurs déplacements et de leur proposer des services complémentaires.
 L'interopérabilité des systèmes permet, en outre, de voyager avec le même billet sur plusieurs réseaux et favorise l'harmonisation de la gestion des titres de transport.
 Outre l'utilisation des titres de transport, le dispositif billettique vise à assurer la réalisation d'analyses statistiques, la mesure de la qualité du fonctionnement du système, la détection de la fraude technologique et le suivi des impayés : il y a lieu, à cet effet, de préciser que l'inscription d'une personne en liste d'opposition à la suite d'un impayé a pour effet d'invalider son passe billettique et ainsi ne lui permet plus d'utiliser ce type de titre de transport jusqu'à la régularisation des sommes dues.
 La Commission considère, en conséquence, qu'il y a lieu, dès lors, de faire application de l'article 25-I-4° de la loi du 6 janvier 1978, modifiée en août 2004, qui soumet à autorisation préalable de la CNIL « les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire ».
 Cette autorisation peut prendre la forme d'une décision unique en application de l'article 25-II de la loi du 6 janvier 1978 susvisée dès lors que les traitements répondent à une même finalité, portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires.
 Ainsi l'organisme de transport collectif qui envisage de mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion des applications billettiques pourra, s'il respecte les dispositions de la décision unique, adresser à la Commission un engagement de conformité aux caractéristiques de l'autorisation.
 L'utilisation d'une carte nominative à puce implique la collecte de données concernant les trajets effectués par le titulaire lors de la validation, c'est-à-dire de la présentation du titre de transport à une borne de contrôle en entrée et sortie du réseau ou à l'occasion d'une correspondance. Peuvent ainsi être mémorisés, tant sur la carte qu'au poste central de l'exploitant de transport, non seulement les date, heure et lieu des passages mais aussi le numéro de carte utilisé qui rend possible, à partir du fichier clientèle, l'identification du titulaire de la carte. Dès lors, les déplacements de ce dernier peuvent être reconstitués et ne sont plus anonymes, ce qui est de nature à porter atteinte tant à la liberté fondamentale d'aller et venir, qu'au droit à la vie privée. Le respect de ces principes justifie ainsi une vigilance particulière de la CNIL lorsqu'elle doit apprécier la pertinence des données collectées, conformément à l'article 6 de la loi Informatique et Libertés.
 La possibilité de circuler de façon anonyme doit, dans tous les cas, être préservée : chaque responsable de traitement qui met à disposition des usagers des titres nominatifs de transport doit également prévoir de leur laisser le choix d'utiliser des titres de transport anonymes.
   Décide que les responsables de traitement qui adressent à la Commission une déclaration comportant un engagement de conformité pour les traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à mettre en œuvre ledit traitement.
Le président,
A. Türk