Délibération n° 2016-007 du 14 janvier 2016 autorisant la société BMW France à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la gestion du contentieux lié au recouvrement des contraventions au code de la route.
Nature: Autre autorisation

(Demande d’autorisation n° 1701933)
La Commission nationale de l'informatique et des libertés,
Saisie par la société BMW France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion du contentieux lié au recouvrement des contraventions au code de la route,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la route ;
Vu le code de procédure pénale ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2006-188 du 6 juillet 2006 portant autorisation unique de mise en œuvre de traitements automatisés de données à caractère personnel relatifs à la gestion du contentieux lié au recouvrement des contraventions au code de la route et à l’identification des conducteurs dans le cadre du système de contrôle automatisé des infractions au code de la route (AU-010) ;  
Après avoir entendu M. Eric PERES, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes : 
La Commission est saisie d’une demande d’autorisation de la société BMW France qui souhaite mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la gestion du contentieux lié au recouvrement des contraventions au code de la route.
L’autorisation unique n° 10 adoptée par la Commission permet aux organismes qui s’y conforment de mettre en place un traitement ayant notamment pour finalité la gestion du contentieux lié au recouvrement des contraventions au code de la route.
Cependant, seuls peuvent se prévaloir de cette autorisation unique les « organismes de droit public ou de droit privé ayant pour activité la location de véhicules ou mettant des véhicules à disposition de leurs collaborateurs ou clients ».
Or, la société BMW France souhaite mettre des véhicules à disposition d’autres personnes, telles que des journalistes ou des prospects. Dès lors, elle ne peut bénéficier de l’autorisation unique n° 10.
De même, la société souhaite collecter des données supplémentaires par rapport à ce que prévoit l’autorisation unique (situation professionnelle de l’auteur de l’infraction, scan du procès-verbal d’infraction), et pouvoir rendre l’ensemble des données accessibles aux personnes en charge de la gestion des contraventions dans la société (et non pas par le seul service contentieux).
La Commission prend acte de ce que les autres caractéristiques du traitement mis en place par la société sont en tous points conformes à celles prévues dans l’autorisation unique n° 10.
Sur la finalité du traitement :
Le traitement a pour objet la gestion du contentieux lié au recouvrement des contraventions au code de la route commises par les personnes à la disposition desquelles qui la société BMW France met des véhicules. 
La Commission estime que la finalité poursuivie est déterminée, légitime et explicite.
Par ailleurs, la Commission considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sureté.
Sur la nature des données traitées :
Les catégories de données traitées sont : 
les données relatives à la situation professionnelle du conducteur ;
les données relatives aux infractions routières commises par le conducteur avec le véhicule mis à sa disposition (y compris le scan du procès-verbal d’infraction).
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie.
Sur la durée de conservation des données :
Les données sont conservées pendant une durée maximale d'un mois à compter de la réception de l'avis de contravention, puis elles sont archivées pendant une durée maximale de dix-huit mois. La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Sur les destinataires des données :
Sont destinataires des données : 
la personne en charge de réceptionner et traiter les procès-verbaux (relevant du département « services généraux ») ;
la direction des ressources humaines et la comptabilité pour le suivi / paiement des procès-verbaux des salariés ;
le service gestionnaire du pool du véhicule prêté qui a fait l’objet du procès verbal d’infraction. Ce service est responsable du transfert du procès-verbal au bénéficiaire du prêt responsable de l’infraction et du suivi du remboursement de la contravention ou de la préparation de la requête en exonération.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l'information des personnes :
Les personnes sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention sur la convention de prêt du véhicule.
En outre, pour ce qui concerne la mise en œuvre du traitement auprès des collaborateurs de la société, la société a procédé à l’information et à la consultation des instances représentatives du personnel, conformément à l’article 6 de l’autorisation unique n° 10.
La Commission estime que cette information est satisfaisante.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d’accès et de rectification s’exercent auprès du service contentieux de la société BMW France, 3 avenue Ampère – 78180 MONTIGNY LE BRETONNEUX.
La Commission considère que cette modalité d’exercice des droits est satisfaisante.
Sur la sécurité des données et la traçabilité des actions :
Au titre des mesures de sécurité, est notamment mise en place une traçabilité des consultations et modifications des données.
Le responsable de traitement a mis en place une politique de mots de passe qui exige que ceux-ci aient une longueur minimale de huit caractères et qu’ils contiennent au moins un chiffre, une minuscule et un caractère spécial. Par ailleurs, les mots de passe seront régulièrement renouvelés.
Les services web sont sécurisés au moyen du protocole SSL, ce qui permet de garantir l’identité du serveur et la confidentialité des données.
Le traitement est également accessible à partir de réseaux privés connectés par l’intermédiaire d’un VPN.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise la société BMW France à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion du contentieux lié au recouvrement des contraventions au code de la route.
La Présidente
Isabelle FALQUE-PIERROTIN