La Commission nationale de l'informatique et des libertés,
 Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
 Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
 Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-II ;
 Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
 Vu la délibération n° 2003-012 du 11 mars 2003 de la CNIL portant recommandation relative à la gestion de fichiers de personnes à risques par les loueurs de véhicules ;
 Après avoir entendu M. Guy Rosier, vice-président, en son rapport et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations,
 Formule les observations suivantes :
 Les organismes de location de véhicules mettent en oeuvre des traitements de données à caractère personnel ayant pour objet la prévention des risques liés à leur activité : lorsqu'ils sont victimes de préjudices correspondant à des faits dont la liste est préétablie, ils peuvent, à partir des données à caractère personnel des clients responsables, décider de ne plus leur louer de véhicules.
 Saisie de plaintes par plusieurs personnes qui se voyaient refuser la location d'un véhicule, la commission, après avoir procédé à des contrôles auprès des principales sociétés concernées et de la branche loueurs du Conseil national des professions de l'automobile (CNPA), a adopté et publié la délibération susvisée du 11 mars 2003 portant recommandation sur la gestion des fichiers de personnes à risques par les loueurs de véhicules.
 Depuis la modification intervenue en 2004 de la loi du 6 janvier 1978, il y a lieu de faire application du nouvel article 25 (4°) de la loi qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire. En conséquence, la commission constate que tout traitement de gestion de personnes à risques mis en oeuvre par les loueurs de véhicules - ou toute modification substantielle d'un tel traitement - est soumis à autorisation préalable.
 Elle considère qu'en vertu de l'article 25-II de la loi du 6 janvier 1978 modifiée, une décision unique d'autorisation est susceptible d'être appliquée aux traitements de l'espèce répondant aux mêmes finalités et portant sur des catégories de données et de destinataires identiques.
 Le responsable de chaque traitement se conformant à cette décision unique adresse à la commission un engagement de conformité de celui-ci aux caractéristiques de la présente autorisation.
 La commission décide que les responsables de traitement qui lui adressent une déclaration comportant un engagement de conformité pour les traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à les mettre en oeuvre.
Le président,
A. Türk