Délibération n° 2017-261 du 05 octobre 2017 autorisant la société MILTON LOCATION DE VOITURES à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la gestion de personnes à risques (Demande d’autorisation n° 1985271)
Nature: Autre autorisation

La Commission nationale de l'informatique et des libertés,
Saisie par la société MILTON LOCATION DE VOITURES d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion de personnes à risques ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4° et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2006-235 du 9 novembre 2006 portant autorisation unique de mise en œuvre par les organismes de location de véhicules de traitements automatisés de données à caractère personnel ayant pour finalité la gestion de fichiers de personnes à risques ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Eric PERES, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le responsable de traitement est la société MILTON LOCATION DE VOITURES, spécialisée dans la location de véhicules.
Sur la finalité
Le traitement automatisé de données à caractère personnel a pour finalité la gestion de personnes à risques, aux fins de permettre à la société MILTON LOCATION DE VOITURES d’identifier les personnes à risques et, le cas échéant, de ne plus leur louer de véhicules.
Le traitement comprend l’inscription sur une « liste noire » de clients :
n’ayant pas honoré une facture de 30 euros ou plus ; ou
ayant commis un manquement aux conditions générales de location.
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.
La Commission rappelle qu’elle a adopté, le 9 novembre 2006, une délibération portant autorisation unique (AU-11) de mise en œuvre par les organismes de location de véhicules de traitements automatisés de données à caractère personnel ayant pour finalité la gestion des fichiers de personnes à risques.
La société MILTON LOCATION DE VOITURE répond à toutes les exigences prévues par l’autorisation unique, à l’exception de certaines dispositions de l’article 5 sur les mesures de sécurité et du transfert de données hors de l’Union Européenne.
La Commission considère que cette finalité est déterminée, explicite et légitime.
Sur les données traitées
Les données traitées sont les suivantes : le nom, le prénom, la date de naissance, le numéro de permis de conduire, le numéro de contrat de location concerné et / ou le numéro identifiant client, et le « code risque » qui fait référence à la raison de l’inscription de la personne concernée dans le fichier.
A cet égard, la Commission rappelle qu’au titre de l’AU-11 seules les données associées aux actes ou faits entrant dans l'une des catégories suivantes peuvent faire l'objet d'un enregistrement dans les fichiers de gestion interne :
1) incident de paiement ayant donné lieu à contentieux ;
2) accidents ou dommages répétés imputables au conducteur ou à la personne inscrite au contrat ;
3) accidents ou dommages causés volontairement ;
4) utilisation d'un véhicule sans respecter les conditions générales du contrat de location.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
L’accès au traitement est restreint aux personnels du service chargé des relations clientèle et du service chargé de la gestion du contentieux et aux responsables d’agences de location.
L’ensemble de ces personnes est localisé au sein de l’Union Européenne.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées au préalable de la mise en œuvre du traitement, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, par une note d’information incluse dans les conditions générales de location et le contrat de location.
En cas d’impayé ou de non-respect des conditions générales de location, la personne concernée en est informée par courrier, préalablement à toute inscription dans la liste noire. Il lui est proposé de régulariser sa situation dans un délai de quinze jours et, le cas échéant, de formuler des observations.
En cas de contestation, la société MILTON procède à une instruction contradictoire de cette contestation, dans un délai raisonnable de façon non automatisée et assortie de la suspension du processus d’inscription dans le fichier.
Lors de son inscription effective dans la liste noire, la personne concernée en est également informée.
Les droits d’accès et de rectification s’exercent auprès des personnes en charge de la gestion du contentieux à l’adresse privacy@budget-emea.com.
Les personnes concernées ont été clairement informées de l’existence d’un transfert de données vers la maison mère située aux Etats-Unis et des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition, dans les conditions prévues par les dispositions des articles 90 et 91 du décret du 20 octobre 2005 modifié.
Sur les mesures de sécurité
Les mesures de sécurité sont conformes à l’article 5 de l’autorisation unique n° 11, à l’exception des deux points suivants.
D’une part, le traitement ne comprend pas de journalisation des accès pour la consultation de la liste noire car celle-ci est interrogée de manière automatique par l’outil informatique de gestion des contrats de location pour chaque conclusion de contrat de location. 
La société MILTON assure en revanche une traçabilité rigoureuse pour chaque ouverture de nouveau contrat de location et pour la consultation de la liste noire par les personnes physiques.
D’autre part, la Commission prend note qu’afin de parer au risque d’homonymie, la consultation du traitement s'effectue sur la base du nom, prénom et numéro du permis de conduire.
Sur les autres caractéristiques du traitement
Les informations sont conservées pendant une durée maximale de trois ans pour un impayé non régularisé et de cinq ans pour un manquement aux conditions de location, conformément à l’article 4 de l’autorisation unique n°11.
Les données sont enregistrées dans la liste noire via une plateforme gérée par la maison-mère basée aux Etats-Unis. Le transfert des données vers les Etats-Unis est encadré par la conclusion d’un contrat basé sur le modèle de clauses contractuelles de « responsable de traitement à responsable de traitement ».
Autorise, conformément à la présente délibération, la société MILTON LOCATION DE VOITURES à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS