Délibération n° 2011-066 du 3 mars 2011 portant avis sur un projet d'arrêté autorisant la création du traitement automatisé de données à caractère personnel dénommé « automatisation du registre des entrées et sorties des recours en matière de contravention » (ARES) (demande d'avis n° 1430589) 
Nature: Avis

La Commission nationale de l'informatique et des libertés,  Saisie pour avis par le ministère de l'intérieur, de l'outre-mer et des collectivités territoriales le 17 mai 2010 d'un projet d'arrêté autorisant la création du traitement automatisé de données à caractère personnel dénommé automatisation du registre des entrées et sorties des recours en matière de contravention (ARES) ; Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé de données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ; Vu le code de procédure pénale, notamment ses articles 9, 45 et suivants, 529 et suivants et R. 48-1 et suivants ; Vu le code pénal, notamment son article 133-4 ; Vu le code de la route, notamment ses articles L. 121-1 et suivants ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 26 ; Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ; Vu le décret n° 2009-898 du 24 juillet 2009 relatif à la compétence territoriale de certaines directions et de certains services de la préfecture de police ;
Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations, Emet l'avis suivant : La Commission a été saisie pour avis par le ministère de l'intérieur, de l'outre-mer et des collectivités territoriales d'un projet d'arrêté autorisant la création du traitement automatisé de données à caractère personnel dénommé automatisation du registre des entrées et sorties des recours en matière de contravention (ARES), mis en œuvre par la préfecture de police. Ce traitement aura pour objet la gestion par les officiers du ministère public près les juridictions de proximité situées à Paris (75) et dans les départements de la petite couronne parisienne (92, 93 et 94) des recours déposés par les personnes faisant l'objet d'une procédure d'amende forfaitaire, dans les conditions prévues aux article 529 et suivants du code de procédure pénale, à la suite de la commission d'une contravention des quatre premières classes prévue à l'article R. 48-1 du code de procédure pénale. La commission note que ce traitement permettra notamment d'optimiser le traitement des sept millions de procédures d'amende forfaitaire annuellement établies à Paris pour des infractions au code de la route.
Sur la finalité du traitement
Outre sa vocation statistique, le traitement aura pour finalité la gestion par l'officier du ministère public près la juridiction de proximité des recours dont il peut être saisi dans le cadre des procédures contraventionnelles d'amende forfaitaire, à savoir les requêtes en exonération prévues à l'article 529-2 du code de procédure pénale et, en cas de majoration de l'amende forfaitaire, les réclamations visées à l'article 530 dudit code. La commission prends acte que ce traitement ne constitue pas un fichier d'antécédents judiciaires en matière contraventionnelle et qu'il ne sera pas utilisé comme tel.
Sur la nature des données traitées
Le projet d'arrêté prévoit tout d'abord le traitement des données relatives à l'identité (civilité, nom, prénom, date et lieu de naissance, sexe, adresse) . La commission prend acte qu'à sa demande le projet d'arrêté précise dorénavant que le traitement pourra concerner l'auteur des faits mais aussi le propriétaire du véhicule dès lors que certains recours reposeront sur la communication par le titulaire du certificat d'immatriculation, responsable pécuniairement en vertu des articles L. 121-2 et L. 121-3 du code de la route, de renseignements relatifs à la personne qui conduisait effectivement le véhicule en contravention, notamment dans les conditions prévues au 1° de l'article 529-10 du code de procédure pénale. Le projet d'arrêté mentionne aussi le traitement de données relatives à la vie professionnelle (nom du responsable légal dans le cas de réclamations de sociétés) . La commission estime que le traitement de telles données est effectivement justifié lorsque la mention de la situation professionnelle d'une personne résulte de l'application des dispositions finales des articles L. 121-2 et L. 121-3 du code de la route qui désignent comme redevable de l'amende le responsable légal de la personne morale titulaire du certificat d'immatriculation du véhicule ayant permis la commission de l'infraction. Enfin, le texte soumis à la commission autorise le traitement des références permettant l'identification a posteriori du fonctionnaire ayant effectué la saisie. La commission souligne que ces informations contribuent à assurer la sécurité des données en permettant la traçabilité des actions de création et de modification directement dans l'application.
Sur la durée de conservation des données
Le projet d'arrêté indique que la durée de conservation des données dans le traitement est de cinq ans à partir de la date du dernier fait enregistré à l'occasion d'une même affaire . La commission considère que la durée de cinq ans est proportionnée aux fins poursuivies par le traitement, dès lors que cette durée peut approximativement correspondre à l'enchaînement des délais légaux dans lesquels un recours devant l'officier du ministère public peut être formé dans le cadre de la procédure d'amende forfaitaire. En effet, l'officier du ministère public n'intervient en principe qu'au stade de l'action publique contraventionnelle, laquelle se prescrit par une année, éventuellement interrompue, conformément à l'article 9 du code de procédure pénale. Cependant, l'article 530 dudit Code prévoit que, dans certains cas, une réclamation peut lui être adressée postérieurement à l'émission du titre exécutoire de l'amende dans le temps de la prescription de la peine, soit trois ans en matière contraventionnelle conformément à l'article 133-4 du code pénal. En revanche, s'agissant du point de départ de ce délai de cinq ans, le projet d'arrêté prévoit un décompte à partir de la date du dernier fait enregistré à l'occasion d'une même affaire . La commission estime que ce fait, dont l'enregistrement constitue le point de départ du délai, devra être entendu comme le fait constitutif de la contravention ou tout acte postérieur interruptif de la prescription.
Sur les destinataires des données
La commission prend acte que seront autorisés à accéder aux données les officiers du ministère public près les juridictions de proximité dont le ressort territorial se situe dans la zone de compétence du préfet de police, conformément au décret du 24 juillet 2009 susvisé, à savoir à Paris (75) et dans les départements des Hauts-de-Seine (92), de la Seine-Saint-Denis (93) et du Val-de-Marne (94). Par ailleurs, les fonctionnaires affectés dans les services de ces officiers du ministère public, individuellement désignés et spécialement habilités par ce dernier, pourront accéder au traitement. La commission souligne que la compétence territoriale d'un officier du ministère public est identique au ressort de la juridiction de proximité devant laquelle il occupe le siège du ministère public. Ainsi, en principe, un officier du ministère public près une juridiction de proximité déterminée, ainsi que les fonctionnaires de son service, n'ont pas vocation à connaître des recours déposés auprès d'officiers du ministère public près d'autres juridictions. A ce titre, la commission prend acte du fait que les accès au traitement seront restreints par des profils établis en fonction des attributions et compétences, notamment territoriales, de ces fonctionnaires.
Sur les droits des personnes
Le dossier administratif prévoit que l'information des personnes sera assurée, dans les conditions prévues à l'article 32 de la loi du 6 janvier 1978 modifiée, par affichage dans les locaux des services des officiers du ministère public concernés ainsi que par l'insertion d'une mention sur les courriers adressés aux personnes dans le cadre de la gestion de leur recours. Le projet d'arrêté prévoit que les droits d'accès et de rectification s'exerceront, conformément aux dispositions des articles 39 et 40 de la loi du 6 janvier 1978 modifiée, auprès de la direction de la sécurité de la police de la police d'agglomération parisienne de la préfecture de police. Le droit d'opposition prévu à l'article 38 de la loi du 6 janvier 1978 modifiée ne s'applique pas au présent traitement.
Sur les mesures de sécurité
Le traitement est hébergé dans les locaux sécurisés de la préfecture de police et les connexions empruntent un réseau privatif du ministère de l'intérieur. Les données font l'objet de sauvegardes régulières, elle-même sécurisées. Le projet d'arrêté prévoit une traçabilité complète des actions de création, modification, suppression et consultation. La commission prend acte que, conformément à ses recommandations, l'accès au traitement sera sécurisé par des mots de passe individuels, robustes et régulièrement renouvelés. Enfin, elle relève que les accès au traitement seront encadrés par des profils définis au regard des attributions et compétences de chaque utilisateur.
 Pour la présidente :
Le vice-président délégué,
E. Givry