Résumé de l’avis du contrôleur européen de la protection des données sur sur la proposition modifiant la directive concernant le cadre pour le déploiement de systèmes de transport intelligents dans le domaine du transport routier

(Le texte complet de l’avis en anglais, français et allemand est disponible sur le site Internet du CEPD www.edps.europa.eu)

(2022/C 157/06)

Le 14 décembre 2021, la Commission européenne a adopté une proposition modifiant la directive 2010/40/UE concernant le cadre pour le déploiement de systèmes de transport intelligents («STI») dans le domaine du transport routier et d’interfaces avec d’autres modes de transport. La Commission définit le déploiement des STI comme une action clé pour parvenir à une mobilité multimodale, connectée et automatisée.

L’objectif de la proposition est d’élargir le champ d’application actuel de la directive STI afin de couvrir les défis nouveaux et émergents et de rendre obligatoires les services STI essentiels dans l’ensemble de l’UE. En outre, la révision s’inscrit dans le paysage évolutif de la législation sur les données, à la suite de la communication sur la stratégie européenne pour les données.

Le CEPD rappelle que le traitement de données à caractère personnel est licite si la personne concernée (la personne physique identifiée ou identifiable à laquelle se rapportent les données à caractère personnel) a donné son consentement au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ou si une autre base juridique appropriée au sens de l’article 6 du RGPD peut être valablement appliquée.

La proposition indique que les types de données et les services à rendre obligatoires seraient définis sur la base des spécifications énoncées dans les actes délégués complétant la directive STI et correspondraient aux types de données et services qui y sont définis. Dans le même temps, le CEPD note que la proposition supprimerait un certain nombre de dispositions comprises dans la directive STI existante, y compris les dispositions relatives au principe de précision des finalités et de minimisation des données.

Compte tenu des garanties particulières dont bénéficie le droit au respect de la vie privée et à la protection des données en vertu des articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne, le CEPD estime que les catégories de données à caractère personnel ainsi que les finalités du traitement des données à caractère personnel dans le cadre du déploiement de services STI devraient être précisées directement dans la proposition plutôt que dans des actes délégués complétant la directive STI. En outre, le CEPD juge important que les exigences relatives à la précision des finalités, à la sécurité, à la minimisation des données et à la nécessité de veiller au respect des dispositions relatives au consentement restent dûment prises en considération dans la directive STI révisée.

Dans la mesure où la proposition vise à fournir une base juridique pour le traitement des données à caractère personnel dans le cadre du déploiement et de l’utilisation opérationnelle des STI, elle devrait également fixer une durée maximale de conservation pour les catégories pertinentes de données concernées, en tenant compte des STI en question.

Étant donné que le déploiement des STI peut impliquer un grand nombre de parties prenantes, le CEPD recommande qu’une AIPD soit réalisée par la Commission avant de permettre le déploiement de services STI susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques (par exemple, les services de gestion de la mobilité fournis par les autorités chargées des transports publics).

1. INTRODUCTION

1. Le 14 décembre 2021, la Commission européenne a adopté une proposition modifiant la directive 2010/40/UE concernant le cadre pour le déploiement de systèmes de transport intelligents dans le domaine du transport routier et d’interfaces avec d’autres modes de transport (la «proposition») ( 1 )

2. La directive 2010/40/UE (la «directive STI») a été conçue pour servir de cadre visant à accélérer et coordonner le déploiement et l’utilisation des STI appliqués au transport routier et à ses interfaces avec d’autres modes de transport.

3. communication de la Commission sur une stratégie de mobilité durable et intelligente (la «stratégie») La(la «stratégie») ( 2 ) définit le déploiement de systèmes de transport intelligents (STI) comme une action clé pour parvenir à une mobilité multimodale, connectée et automatisée et, partant, contribuer à la transformation du système de transport européen en vue d’atteindre l’objectif d’une mobilité efficace, sûre, durable, intelligente et résiliente.

4. La stratégie annonçait que la directive STI serait bientôt révisée, y compris certains de ses règlements délégués. La stratégie a également mis en évidence l’intention de la Commission de soutenir la création d’un mécanisme de coordination en 2021 pour les points d’accès nationaux (PAN) établis au titre de la directive STI. En outre, la révision s’inscrit dans le paysage évolutif de la législation sur les données, à la suite de la communication sur la stratégie européenne pour les données ( 3 )

5. La proposition entend s’attaquer aux problèmes suivants ( 4 ) i. le manque d’interopérabilité et de continuité des applications, des systèmes et des services; ii. le manque de concertation et de coopération effective entre les parties prenantes; et iii. les problèmes non résolus liés à la disponibilité et au partage de données à l’appui des services STI.

6. La proposition vise à s’attaquer à ces problèmes, notamment en élargissant le champ d’application actuel de la directive STI afin de couvrir les défis nouveaux et émergents, et en rendant obligatoires les services STI essentiels dans l’ensemble de l’UE. Le déploiement des services STI sera intensifié par la disponibilité des données nécessaires pour fournir des informations fiables et des règles supplémentaires contribueraient à améliorer l’alignement sur les pratiques et les normes actuelles ( 5 )

7. Le 6 janvier 2022, la Commission européenne a demandé au CEPD d’émettre un avis sur la proposition, conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 (le «RPDUE») ( 6 ) . Les observations et recommandations contenues dans le présent avis se limitent aux dispositions les plus pertinentes de la proposition du point de vue de la protection des données.

4. CONCLUSIONS

39. À la lumière des considérations qui précèdent, le CEPD émet les recommandations principales suivantes: a) Dans la mesure où la proposition vise à fournir une base juridique pour le traitement de données à caractère personnel dans le cadre du déploiement et de l’utilisation opérationnelle des STI, elle devrait donc: — préciser clairement la ou les finalités du traitement; et — fournir une vue d’ensemble claire et complète des catégories de données à caractère personnel concernées; — attribuer clairement les rôles des différents acteurs concernés en tant que responsable du traitement, responsable conjoint du traitement ou sous-traitant; — fixer une durée maximale de conservation pour les catégories pertinentes de données concernées, en tenant compte des finalités du traitement des STI en question. b) Étant donné que le déploiement des STI peut impliquer un grand nombre de parties prenantes, le CEPD recommande à la Commission de procéder à une analyse d’impact relative à la protection des données avant de permettre le déploiement de services STI susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques.

Bruxelles, le 2 mars 2022. Wojciech Rafał WIEWIÓROWSKI

(1) COM(2021) 813 final.

(2) Communication de la Commission au Parlement européen, au Conseil, au Comité économique et social européen et au Comité des régions «Stratégie de mobilité durable et intelligente – mettre les transports européens sur la voie de l’avenir», adoptée en décembre 2020, COM(2020) 789 final.

(3) https://digital-strategy.ec.europa.eu/fr/policies/sshoudltrategy-data

(4) Exposé des motifs, p. 3.

(5) Exposé des motifs, p. 3.

(6) Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (JO L 295 du 21.11.2018, p. 39).