Délibération n° 2017-031 du 16 février 2017 autorisant le Centre d’études et d’expertise sur les risques, l’environnement, la mobilité et l’aménagement (CEREMA) à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la réalisation d’études et de recherche de sécurité routière
Nature: Autre autorisation

La Commission nationale de l'informatique et des libertés,Saisie par le Centre d’études et d’expertise sur les risques, l’environnement, la mobilité et l’aménagement (CEREMA) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la réalisation d’études et de recherche de sécurité routière ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale, notamment son article A1-I ;
Vu la loi n° 2013-431 du 28 mai 2013, notamment son article 44 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 9-1°, 25-I-1° et 25-I-3° ;
Vu le décret n° 2013-1273 du 27 décembre 2013 relatif au Centre d’études et d’expertise sur les risques, l’environnement, la mobilité et l’aménagement (CEREMA) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Eric PERES, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le responsable de traitement est le Centre d’études et d’expertise sur les risques, l’environnement, la mobilité et l’aménagement (CEREMA).
Le CEREMA est un établissement public à caractère administratif, qui a notamment pour mission d’apporter son concours à l’élaboration, la mise en œuvre et l’évaluation des politiques publiques dans le domaine de la sécurité routière.
Sur la finalité
La finalité du présent traitement est la réalisation d’études et de diagnostics en sécurité routière afin de proposer des actions pour faire baisser les chiffres de l’accidentalité.
Les études du CEREMA reposent sur l’analyse de données issues : 
des procès-verbaux d’accidents de la circulation routière survenus en France établis par les services de police ou de gendarmerie ;
des bulletins d’analyse des accidents corporels de la circulation routière (BAAC) établis par les forces de l’ordre lors d’accidents corporels de la circulation.
La Commission estime que la finalité poursuivie est déterminée, légitime et explicite.
Sur les données traitées
Les catégories de données collectées sont relatives : 
à l’identification ; 
à la vie personnelle ; 
à la vie professionnelle ; 
à la localisation de l’accident ; 
aux données de santé ;
aux infractions.
L’organisme TRANS-PV, qui centralise tous les PV d’accidents de la circulation, ou tout autre autorité ou organisme de la liste de l’article A1-I du code de procédure pénale autorisée à cet effet par la Commission, peut communiquer ces données au CEREMA, sous réserve de l’autorisation du procureur de la République, conformément à l’article A1-I du code de procédure pénale et à l’article 26 du décret n° 2013-1273 du 27 décembre 2013.
La Commission prend acte de ce que les données nominatives des personnes concernées sont contenues dans les PV mais ne sont pas enregistrées dans la base du CEREMA.
De même, la Commission relève que les NIR figurant sur les PV transmis au CEREMA seront masqués par un bandeau dès réception des données et avant diffusion aux équipes d’étude.
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie.
Sur les destinataires
L’ensemble des données collectées est accessible aux personnels du CEREMA impliqués dans les études. Ces personnels sont tenus au secret par la signature d’un engagement de confidentialité et de par leur statut.
En outre, le CEREMA peut transmettre les fichiers numérisés des PV d’accidents, après suppression du NIR, aux autres bénéficiaires visés à l’article A1-I du code de procédure pénale, sous réserve que ces derniers aient obtenu, d’une part, l’accord du procureur de la République et, d’autre part, une autorisation préalable de la CNIL.
Les commanditaires (Etat, collectivités locales, gestionnaires de voirie) sont destinataires des résultats des études menées par le CEREMA. Les données transmises sont uniquement des données anonymisées.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès 
En application de l’article 32-III de la loi du 6 janvier 1978 modifiée, le CEREMA ne peut informer les personnes concernées en raison du caractère disproportionné des efforts qui devraient être entrepris par rapport à l’intérêt de la démarche.
La Commission prend note qu’une mention d’information est prévue sur le site internet du CEREMA.
Le droit d’accès s’exerce auprès du CEREMA – Direction Technique Territoires et Ville – 2 rue Antoine Charial – CS 33927 – 69426 Lyon Cedex 03, à l’exclusion des éléments couverts par le secret professionnel prévu à l’article 11-1 du code de procédure pénale.
De manière générale, il est rappelé qu’en application de l’article L. 211-10 du code des assurances, l'assureur est tenu, à l'occasion de sa première correspondance avec la victime, à peine de nullité relative de la transaction qui pourrait intervenir, d'informer la victime qu'elle peut obtenir de sa part, sur simple demande, la copie du procès-verbal d'enquête de police ou de gendarmerie.
En effet, les assureurs de véhicules impliqués dans un accident de la circulation reçoivent les procès-verbaux de police, dans un but d’accélération des procédures d’indemnisation, selon une procédure dénommée  transpv .
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
La Commission prend acte du fait que l’ensemble des échanges de données à caractère personnel seront chiffrés. Par ailleurs, les disques internes des postes permettant la consultation des données à caractère personnel seront également chiffrés.
L’accès aux procès-verbaux par les agents habilités sera tracé, afin de permettre de détecter a posteriori d’éventuels accès illégitimes.
Différents profils d’habilitations seront mis en place afin de gérer les droits d’accès des utilisateurs.
Les modalités d’authentification des utilisateurs sont conformes aux recommandations de la Commission en la matière.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les procès-verbaux sont conservés pendant la durée de l’étude, puis pendant une période de douze mois, de façon à permettre au CEREMA de retravailler certains points avec le commanditaire de l’étude.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, le Centre d’études et d’expertise sur les risques, l’environnement, la mobilité et l’aménagement (CEREMA) à mettre en œuvre le traitement susmentionné.
Pour la Présidente
Le Vice-Président Délégué
 
 
Marie-France MAZARS