Délibération n° 2017-021 du 26 janvier 2017 autorisant la Régie Autonome des Transports Parisiens (RATP) à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalités la constatation d’infractions au code de la route et la transmission des données d’infractions à l’Agence Nationale de Traitement Automatisé des Infractions (ANTAI) (Demande d’autorisation n° 1865015)
Nature: Autre autorisation

La Commission  nationale de l'informatique et des libertés,  Saisie par la Régie  Autonome des Transports Parisiens (RATP) d'une demande d'autorisation  concernant un traitement automatisé de données à caractère personnel ayant  pour finalités la constatation d'infractions au code de la  route et la transmission des données d'infractions à l'Agence Nationale de  Traitement Automatisé des Infractions (ANTAI) ;
Vu la convention n°  108 du Conseil de l'Europe pour la protection des personnes à l'égard du  traitement automatisé des données à caractère personnel ;
Vu la directive  95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la  protection des personnes physiques à l'égard du traitement des données à  caractère personnel et à la libre circulation de ces données ;
Vu le code de la  route, notamment ses articles L. 130-4 et R 130-4 ;
Vu le décret n° 2011-348 du 29 mars 2011  modifié portant création de l'Agence nationale de traitement automatisé des infractions ;
Vu l'arrêté du 12  mars 1973 listant les services publics urbains de transport en commun de  voyageurs dont les agents sont habilités à constater  les infractions affectant, dans les agglomérations, la circulation, l'arrêt et  le stationnement des véhicules de ces services ;
Vu la loi n° 78-17 du  6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux  libertés, notamment son article 25-I-3 ;
Vu le décret n°  2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17  du 6 janvier 1978 relative à l'informatique, aux fichiers et aux  libertés ;
Vu le dossier et ses  compléments ;
Sur la proposition de  M. Eric PERES,  commissaire, et après avoir entendu les observations de Mme Nacima   BELKACEM, commissaire du Gouvernement,
 
 
 
Formule les observations suivantes :
 
Responsable   du traitement
Le   responsable de traitement est la Régie Autonome des Transports Parisiens.
Sur la finalité
Le   traitement a pour objet :
-       la constatation d'infractions au code de   la route par les agents habilités de la RATP, dans les conditions prévues à   l'article L. 130-4-4 du code de la route et l'article 1er de l'arrêté du   12 mars 1973 précité ; et
-       la transmission des données d'infractions   à l'Agence Nationale de Traitement Automatisé des Infractions (ANTAI) aux   fins d'édition et d'envoi des amendes aux contrevenants, dans le cadre de ses   missions telles que définies par l'article 2 du décret n° 2011-348 du 29   mars 2011 l'ANTAI.
La Commission estime   que la finalité poursuivie est déterminée, légitime et explicite.
Sur les données traitées
Les   catégories de données traitées sont :
-       les données relatives aux infractions que   les agents de la RATP sont habilités à constater : numéro   d'immatriculation du véhicule verbalisé, date et heure de l'infraction, lieu   de l'infraction, nature de l'infraction, numéro du procès-verbal ;
-       les données relatives à l'identification   des agents verbalisateurs : nom, prénom et matricule de l'agent   verbalisateur ;
-       les données de connexion :   identifiants des terminaux, identifiants de connexions, information   d'horodatage.
La Commission   considère que ces données sont pertinentes au regard de la finalité   poursuivie.
Sur les destinataires
Les destinataires des données sont :
-       les agents de la RATP agrées par le procureur   de la République, conformément à l'article L. 130-4 du code de la   route ; et
-       les agents dûment habilités de l'ANTAI.
 
La liste de ces   destinataires n'appelle pas d'observation de la part de la Commission.
Sur l'information et le droit d'accès 
Concernant   l'information des personnes verbalisées, le traitement ayant pour objet la   constatation et la poursuite d'infractions pénales, le responsable de   traitement n'est pas tenu de délivrer l'information prévue à l'article 32-I de la loi du 6   janvier susvisée, conformément à l'article 32-VI de la même loi.
 
La   Commission prend néanmoins acte que les personnes verbalisées sont informées par   une mention sur l'avis de contravention qui leur est adressé par l'ANTAI.
 
L'information   des agents de la RATP sera effectuée par la diffusion à chaque personne   concernée, préalablement à la mise en œuvre du traitement, d'une note   explicative individuelle.
 
Les   droits d'accès et de rectification s'exercent :
-       pour les personnes verbalisées, auprès du   Centre National de Traitement des Infractions - TSA 74000 - 35094 Rennes   Cedex 9 ; et
-       pour les agents de la RATP, auprès du CIL   de la RATP par courrier électronique -cil-ratp@ratp.fr  -   ou par voie postale à l'adresse suivante : 54 quai de la   Rapée - 75599 Paris Cedex 12.
 
La   Commission estime que ces modalités d'information et d'exercice des droits   sont satisfaisantes. 
Sur les mesures de sécurité
Les   données sont collectées par les agents de la RATP au sein d'un terminal   mobile sécurisé nécessitant l'utilisation d'une carte à puce et du code   associé afin d'y accéder. 
 
Les   données stockées sont chiffrées à l'aide de l'algorithme RSA. La Commission   relève que le dispositif de chiffrement utilise une clé de taille suffisante.   
 
Le   serveur dédié à la centralisation, avant transmission, des contraventions   électroniques, mis en place par la RATP selon les standards de l'ANTAI, est   hébergé dans un local sécurisé à accès restreint.
 
Les   échanges de données avec les serveurs de l'ANTAI sont réalisés via des canaux de communication   chiffrés et assurant l'authentification de la source et de la destination.
 
Par   ailleurs, la RATP informe la Commission de la mise en place d'un processus de   suppression des données avant réparation ou destruction des matériels ayant   servi au traitement.
 
La   Commission considère que les mesures de sécurité mises en œuvre sont   conformes aux dispositions de l'article 34 de la loi.
Sur les autres caractéristiques du   traitement
Les   données sont conservées par la RATP le temps de leur transmission à l'ANTAI,   à savoir moins d'une journée.
 
La   Commission estime que ces durées de conservation sont pertinentes au regard   de la finalité poursuivie par le traitement.
 
 
Autorise, conformément à la présente délibération, la Régie Autonome des Transports Parisiens  (RATP) à mettre en œuvre le traitement susmentionné.
 
Pour  la Présidente
Le Vice-Président Délégué
Marie-France MAZARS