Délibération n°2010-335 du 22 juillet 2010 autorisant la mise en œuvre par la société Autoroutes du Sud de la France (ASF) d’un traitement de données à caractère personnel ayant pour finalité le contrôle du trafic autoroutier par reconnaissance des plaques d’immatriculation  (autorisation n°1416385)
Nature: Autre autorisation

La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment ses articles 9-1° et 25-I-3° ;
Vu la loi n° 2009-1674 du 30 décembre 2009 de finances rectificative pour 2009 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par le décret n°2007-401 du 25 mars 2007 ;
Vu le décret n° 2010-328 du 22 mars 2010 approuvant des avenants aux conventions passées entre l’Etat et la Société des Autoroutes du Sud de la France (ASF), entre l’Etat et la société de l’autoroute Esterel-Cote d’Azur (ESCOTA), entre l’Etat et la Compagnie Financière et industrielle des autoroutes (COFIROUTE), entre l’Etat et la Société des autoroutes du nord et de l’est de la France (SANEF), entre l’Etat er la société des autoroutes Paris-Normandie (SAPNN) pour la concession de la construction, de l’entretient et de l’exploitation d’autoroutes et aux cahiers des charges annexés à ces conventions ;
Vu l’arrêté du 28 mars 2006 relatif à l’interdiction de circulation des véhicules de transport de marchandises à certaines périodes ;
Sur le rapport de M. Emmanuel de GIVRY, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, la société Autoroutes du Sud de la France à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité le contrôle du trafic autoroutier par reconnaissance des plaques d’immatriculation.
Responsable du traitement
La société Autoroutes du Sud de la France.
Finalités
Le dispositif soumis à la Commission a pour finalité le contrôle du trafic autoroutier via un dispositif de reconnaissance des plaques d’immatriculation.   Le traitement a pour objectifs : 
Contrôler la vitesse des véhicules en vue d’inviter les conducteurs à respecter les limitations de vitesse et ainsi favoriser l’éco-conduite. En cas de dépassement de la vitesse maximale autorisée, le numéro de plaque minéralogique du contrevenant, accompagné d’un message de prudence, s’affiche en clair sur un panneau à message variable ;
élaborer une information trafic précise, régulière, fiable et pertinente, connaitre les disponibilités sur les aires de services, les places poids lourds libres, connaitre le temps d’attente au péage ;
détecter dans les meilleurs délais les anomalies du trafic et ainsi améliorer l’efficacité des actions de gestion des évènements ;
réaliser des statistiques.
En juin 2004, la Commission avait déjà rendu un avis tacite favorable pour l’expérimentation par la société ASF du premier objectif, à savoir le contrôle des vitesses des automobilistes en vue de les inviter à respecter les limitations de vitesse.
Aujourd’hui, la société ASF accompagne sa demande de pérennisation de ce dispositif de nouveaux objectifs. Il convient de relever, ici, que le dispositif présenté concerne plusieurs millions d’automobilistes.
Au vu du premier objectif poursuivi, la Commission considère qu’il y a lieu désormais de faire application des dispositions de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée en août 2004 qui soumet à autorisation les traitements portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.
Modalités de mise en œuvre 
Le dispositif est composé : 
de caméras dédiées reconnaissant les plaques d’immatriculation de véhicules circulant sur le réseau ASF. Ces caméras seront installées en section courante et en gare de péage ; environ 130 portiques seront répartis sur différents axes du réseau d’ASF, espacés en moyenne de 11 et 35 kilomètres. 
d’un système d’information susceptible d’associer à un numéro d’immatriculation d’autres données et de traiter ces données collectées ;
d’équipements permettant de diffuser aux clients les informations issues de ce dispositif (notamment de panneaux à messages variables).
La Commission rappelle qu’elle considère que la liberté d’aller et venir et le droit à la vie privée supposent que les personnes puissent notamment se déplacer de manière anonyme.
Données traitées
Les données traitées sont :
la photographie de la plaque d’immatriculation ;
le numéro d’immatriculation (en entier pour la finalité de contrôle des vitesses et tronqué pour les autres finalités)
le dépassement de la vitesse autorisée uniquement pour la finalité de contrôle de la vitesse ;
le pays d’immatriculation du véhicule ;
l’horodatage ;
la situation géographique (gare de péage en entrée et sortie, numéro de voie, aire de service, positionnement sur la section courante d’un véhicule lors de son passage en un point de mesure sur le réseau, reconstitution de parcours individuel, temps de parcours individuels) ;
classe du véhicule.
Destinataires
Les destinataires des données seront dans la limite de leurs attributions et pour la poursuite de la finalité précitée les administrateurs d’application et de bases de données. Les personnes en charge de l’exploitation n’auront accès qu’aux données anonymisées relatives aux moyens de déplacement des personnes.
Durée de conservation
Les durées de conservations varient en fonction des objectifs fixés pour le dispositif :
pour l’objectif visant à inviter les automobilistes à respecter les limitations de vitesse : l’information « numéro d’immatriculation associé à une vitesse individuelle instantanée » est effacée moins d’une minute après son affichage sur le prochain panneau ;
pour l’élaboration d’une information trafic précise ainsi que pour la détection des anomalies : les données tronquées seront conservées uniquement pendant le temps de présence d’un véhicule (au maximum 72h) ;
Mesures de sécurité 
La mise en œuvre du traitement s’appuie sur l’infrastructure informatique de la société ASF.
Concernant spécifiquement la finalité d’élaboration d’une information trafic précise ainsi que pour la détection des anomalies, des mesures de sécurité spécifiques ont été prévues pour limiter la traçabilité des véhicules : 
une troncature consistant à supprimer deux caractères d’une plaque minéralogique dès sa capture par la caméra ;
l’application d’une fonction de hachage à clé secrète au numéro de plaque minéralogique tronqué dès la sortie du véhicule du réseau. 
Information et droit d’accès
Les personnes seront informées au préalable par des stickers apposés sur les équipements ainsi que dans les conditions générales d’abonnement pour les abonnés, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée en août 2004, de l’identité du responsable de traitement, de la finalité poursuivie par le traitement, des destinataires des données et des droits qu’ils détiennent.Plus spécifiquement, pour la finalité de contrôle des vitesses, la société ASF s’engage à informer clairement les usagers en amont des dispositifs de contrôle.Les droits d’accès et de rectification s’exerceront auprès de la Direction de l’ingénierie et des systèmes d’information, Autoroutes du Sud de la France, Vedène quartier saint Anne – 84967 le Pontet Cedex.
Le président
Alex TURK