(Demande d'avis n° 1343314) 
La Commission nationale de l'informatique et des libertés, 
Saisie pour avis par la ministre de l'intérieur, de l'outre-mer et des collectivités territoriales d'un projet d'arrêté portant création d'un traitement automatisé de contrôle des données signalétiques des véhicules ; 
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 95 / 46 / CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ; 
Vu le code pénal ; 
Vu le code de procédure pénale, notamment son article 706-73 ; 
Vu le code des douanes ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 26 ; 

Vu la loi n° 2003-239 du 18 mars 2003 pour la sécurité intérieure, notamment son article 26 ; 

Vu le décret n° 96-418 du 15 mai 1996 portant application au fichier des véhicules volés des dispositions de l'article 31, troisième alinéa, de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ; 
Vu l'arrêté du 15 mai 1996 modifié relatif au fichier des véhicules volés ; 
Vu l'arrêté du 31 mars 2006, modifié par l'arrêté du 17 août 2006, pris pour l'application de l'article 33 de la loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers ; 
Vu l'arrêté du 2 mars 2007 portant création, à titre expérimental, d'un traitement automatisé de contrôle des données signalétiques des véhicules ; 
Vu la délibération n° 95-041 du 4 avril 1995 de la Commission nationale de l'informatique et des libertés portant avis sur le projet d'arrêté relatif au fichier des véhicules volés ; 
Vu la délibération n° 95-047 du 25 avril 1995 relative au système informatique de la partie nationale du système d'information Schengen mis en œuvre par le ministère de l'intérieur ; 
Vu la délibération n° 2005-208 du 10 octobre 2005 de la Commission nationale de l'informatique et des libertés portant avis sur le projet de loi relatif à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers ; 
Vu la délibération n° 2007-027 du 8 février 2007 portant avis sur un projet d'arrêté pris pour la création, à titre expérimental, d'un traitement automatisé de contrôle des données signalétiques des véhicules en application de l'article 8 de la loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers ; 
Sur le rapport de M. Jean-Marie Cotteret, commissaire, et les observations de Mme Catherine Pozzo di Borgo, commissaire adjoint du Gouvernement, 
Emet l'avis suivant : 
Le ministère de l'intérieur, de l'outre-mer et des collectivités territoriales a saisi pour avis la Commission nationale de l'informatique et des libertés, le 28 janvier 2009, d'un projet d'arrêté portant création d'un traitement automatisé de contrôle des données signalétiques des véhicules. 
Ce projet d'arrêté a pour objet la pérennisation des dispositifs de lecture automatisée de plaques d'immatriculation (LAPI), aux fins, notamment, de faciliter la constatation des infractions de vol et de recel de véhicules volés ainsi que des infractions criminelles ou liées à la criminalité organisée au sens de l'article 706-73 du code de procédure pénale et de prévenir et réprimer les actes de terrorisme, ainsi que de faciliter la constatation des infractions s'y rattachant. Ils pourront aussi être utilisés pour la préservation de l'ordre public, à l'occasion d'événements particuliers ou de grands rassemblements de personnes. 
Chaque dispositif constituant, en tant que tel, un traitement de données à caractère personnel et présentant des caractéristiques identiques, le ministère de l'intérieur a saisi la commission d'un projet d'arrêté dans les conditions prévues au IV de l'article 26 de la loi du 6 janvier 1978 modifiée en août 2004. 
Le projet d'arrêté constitue ainsi un acte réglementaire unique. Il en résulte que la mise en œuvre de tout nouveau dispositif similaire pourra s'effectuer via un simple engagement de conformité de celui-ci à la description figurant dans l'arrêté publié. 
Les finalités assignées aux traitements par l'article 1er du projet d'arrêté sont celles qui ont été définies par le législateur aux deux premiers alinéas de l'article 26 de la loi susvisée du 18 mars 2003. 
La mise en œuvre de dispositifs expérimentaux, autorisés par un arrêté du 3 mars 2007, a permis une première évaluation de l'emploi de ce type de procédé afin d'améliorer l'expression des besoins et de définir une architecture opérationnelle et technique pérenne. 
Grâce aux caméras vidéo installées sur les véhicules, sur des trépieds et sur des systèmes fixes, le traitement permet à la fois : 
― de capter et lire les plaques d'immatriculation de tous les véhicules passant dans leur champ de vision, de les comparer en temps réel au fichier des véhicules volés et signalés (FV) et au système d'information Schengen (SIS), et de générer une « alerte » lorsqu'un rapprochement positif est effectué ; 
― de capter et stocker une image de la plaque d'immatriculation et une image plus large des mêmes véhicules comportant la photographie des occupants, en même temps que la date et l'heure de chaque photographie et les coordonnées de géolocalisation du véhicule de prise de vues. 
La commission prend acte que les occupants des véhicules photographiés ne seront pas reconnaissables, seuls le nombre de passagers et, éventuellement, leur sexe pourront être déterminés grâce aux images. 
En cas d'alerte, c'est-à-dire de rapprochement positif, les opérateurs habilités pourront accéder à ces images pour contrôler visuellement le numéro d'immatriculation fourni par la lecture automatique, ainsi qu'aux données du FVV et / ou du SIS concernant le motif du signalement et la conduite à tenir.
S'agissant de la durée de conservation appliquée aux données, le projet d'arrêté, reprenant les termes de l'article 8 de la loi du 23 janvier 2006 susvisée, prévoit que : 
― les données relatives à un rapprochement positif entre le FVV et / ou le SIS et les caractéristiques d'un véhicule sont conservées pendant une durée d'un mois ; 
― les données qui n'ont pas fait l'objet d'un rapprochement positif avec le FVV et / ou le SIS sont conservées durant un délai maximum de huit jours.
L'application utilise la totalité de ce délai afin que les données qui n'auront pas fait l'objet d'un rapprochement positif avec le FVV et / ou le SIS le premier jour soient, pendant la période de huit jours, comparées chaque jour de manière automatique à la version de l'extraction du FVV et / ou du SIS chargée quotidiennement dans les véhicules. Si cette nouvelle comparaison a posteriori débouche sur des rapprochements positifs, ceux-ci seront alors consultables et conservés pendant un mois. 
La commission prend acte que le rapport d'évaluation de l'expérimentation n'apporte pas d'élément permettant d'apprécier et de justifier le choix de la durée de conservation adoptée, contrairement à ce qui avait été demandé dans la délibération n° 2007-027 du 8 février 2007. 
En toute hypothèse, pendant la période de huit jours, les données recueillies et conservées ne pourront faire l'objet d'aucune consultation, à l'exception du cas d'une procédure pénale uniquement. 
La commission prend également acte qu'à l'expiration des délais autorisés les données feront l'objet d'une suppression automatique, totale et définitive.
S'agissant des mesures de sécurité mises en place, la commission considère que les données, qui sont transférées via un support indépendant, doivent faire l'objet d'un chiffrement sur ledit support de stockage à l'occasion de leur transfert. 
Au vu de ce qui précède, la commission demande au ministère qu'au terme d'une année de mise en œuvre un nouveau bilan fasse le point sur la pertinence de la durée de conservation, sur les modalités d'application du dispositif, notamment les périmètres d'implantation des dispositifs fixes et mobiles et leur déploiement, ainsi que sur les types d'événements particuliers ou grands rassemblements de personnes à l'occasion desquels ces dispositifs peuvent être utilisés. 
Enfin, la commission souligne que la mise en pauvre des traitements décrits, compte tenu des risques potentiels qu'ils comportent au regard de la protection des libertés individuelles et de la vie privée, nécessite des procédures internes de contrôle a posteriori de l'utilisation des données collectées et enregistrées rigoureuses aux fins de prévenir et empêcher tout traitement ultérieur pour d'autres finalités que celles inscrites dans l'article 26 de la loi du 18 mars 2003, modifié par la loi du 23 janvier 2006.