Délibération n°2008-008 du 22 janvier 2008 autorisant  la mise en oeuvre par la Ville de Paris et par la Société des Mobiliers Urbains pour la Publicité et l’Information (SOMUPI) d’un traitement de données à caractère personnel ayant pour finalité la gestion de fichier de personnes à risque dans le cadre du système de location de vélos Vélib’ (autorisations n°1247032 et n° 1247035)
Nature: Autre autorisation

La Commission nationale de l’informatique et des libertés,Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données, notamment en son article 2 d) ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment en son article 25-4° ; Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;Vu les demandes d’autorisation reçues le 24 juillet 2007 par la Ville de Paris et par la SOMUPI ;Sur le rapport de M. Guy ROSIER, Vice-Président délégué, et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-4° de la loi du 6 janvier 1978 modifiée en août 2004 qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure une personne au bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.Dans les conditions figurant dans le tableau ci-dessous, autorise la mise en œuvre par la Ville de Paris et par la SOMUPI d’un traitement de données à caractère personnel ayant pour finalité la gestion des personnes à risque dans le cadre du système de location Vélib’. 
Responsables du traitement
La Ville de Paris et la Société des Mobiliers Urbains pour la Publicité et l’Information (SOMUPI), filiale de la société JC Decaux.La SOMUPI collecte, dans le cadre de la convention de mandat conclue avec la Ville de Paris, les recettes liées aux abonnements et à l’utilisation des vélos pour le compte de la Ville et gère pour son propre compte les recettes liées aux cautions et le fichier de personnes à risques pour les dommages causés aux mobiliers urbains. 
Finalités
Le dispositif soumis à la Commission a pour objet la prévention des risques liés à l’activité de location des vélos Vélib’.La SOMUPI inscrit en son nom les utilisations des vélos non conformes aux conditions générales du contrat de location et le non recouvrement des dépôts de garantie. Mais la SOMUPI inscrit au nom de la Ville de Paris le non recouvrement des montants liés aux abonnements et aux temps de location des usagers.L’inscription dans le fichier d’exclusion peut avoir pour conséquence :
de suspendre l’abonnement longue durée en cas d’impayé sur l’abonnement ou sur les temps de location non honorées en fin d’abonnement longue durée ; 
de résilier l’abonnement  longue durée  d’un usager inscrit sur le fichier ; 
de ne plus permettre la souscription d’un autre contrat longue durée durant le temps de l’inscription. 
Données traitées
Les données traitées seront :
les nom et prénoms du client ; 
l’année de naissance (facultatif) ; 
le numéro d’abonné ; 
les nom et prénoms du tuteur légal si l’usager est mineur ; 
l’adresse du client ; 
les données relatives au prélèvement des dépôts de garantie : montant, date et justification du prélèvement ; 
la date d’achèvement de l’abonnement ; 
les correspondances avec le client ; 
Incident de paiement sur dépôt de garantie ayant donné lieu à contentieux ; 
Incident de paiement sur l’abonnement et/ou sur les temps de location ayant donné lieu à contentieux ; 
Accidents ou dommages répétés imputables à l’utilisateur ; 
Accidents ou dommages causés volontairement par l’utilisateur ; 
Utilisation d’un vélo par un client sans respecter les conditions générales du contrat de location. 
Seules ces données associées aux actes ou faits entrant dans l’une des catégories suivantes peuvent faire l’objet d’un enregistrement dans les fichiers de gestion interne :Incident de paiement sur dépôt de garantie ayant donné lieu à contentieux ;Incident de paiement sur l’abonnement et/ou sur les temps de location ayant donné lieu à contentieux ;Accidents ou dommages répétés imputables à l’utilisateur ;Accidents ou dommages causés volontairement par l’utilisateur ;Utilisation d’un vélo par un client sans respecter les conditions générales du contrat de location.S’agissant des informations relatives aux impayés, seules peuvent être inscrites les créances certaines pour lesquelles le créancier pourrait contraindre la personne débitrice au paiement, le cas échéant devant le juge.Seuls les personnels habilités à vérifier le caractère certain du préjudice subi, et qui sont individuellement désignés et spécifiquement formés à cet effet, peuvent procéder à une inscription dans le fichier des personnes à risques. Le responsable du traitement s’engage à disposer des moyens suffisants pour permettre les vérifications nécessaires. Des zones bloc-notes peuvent être associées aux seuls actes et faits énumérés ci-dessus : les mentions inscrites dans ces zones ne doivent porter que sur des actes et des faits objectifs et ne peuvent, en aucun cas, faire apparaître, directement ou indirectement, des données relatives aux origines raciales, aux opinions politiques, philosophiques ou religieuses, aux appartenances syndicales ou aux mœurs de la personne concernée par ces actes ou ces faits. L’inscription dans ce fichier ne peut être effectuée qu’après constat d’imputabilité du dommage à l’usager d’actes et de faits objectifs en présence de l’usager par les agents de police et les agents de maintenance de la SOMUPI sur la base de rapports écrits attestant de ce constat.Dans tous les cas, une procédure de réclamation est possible, via le service de gestion de la clientèle dans un premier temps, et via le service juridique dans un deuxième temps. 
Destinataires
Les destinataires des données seront dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnels individuellement désignés du service Vélib’ de la SOMUPI, à savoir les responsables des abonnements, et les personnels individuellement désignés du service de recouvrement de la Ville de Paris.
Information et droit d’accès
Les abonnés seront informés de l’existence du fichier par les conditions générales d’accès et d’utilisation. En cas d’inscription sur ce fichier, l’abonné en est informé par l’envoi de courriers et lorsqu’il présente sa carte sur la borne de location par l’affichage d’un message lui demandant de contacter le centre d’appel. Un rappel des consignes peut également être effectué par téléphone en cas d’utilisation irrégulière du vélo. Les droits d’accès et de rectification s’exerceront auprès du service Vélib’ de la SOMUPI, ZI Ste Apolline - 78378 Plaisir.
Durée de conservation
Les données collectées sont conservées pendant au maximum :
trois ans à compter de la date de survenance pour les actes et faits entrant dans les catégories de 1) à 4) inclus ; 
cinq ans à compter de la date de survenance pour les actes et faits entrant dans la cinquième catégorie. 
S’agissant des incidents de paiement, les faits et les données associées sont supprimés dès le paiement des sommes dues ; à défaut, lesdites informations seront conservées pendant 3 ans à compter de la survenance de l’incident.S’agissant des accidents ou dommages prévus dans les catégories 3) et 4) ainsi que de l’utilisation irrégulière d’un vélo (catégorie 5),la récidive s’entend sur une période de douze mois glissants. 
Observations particulières 
Au terme d’une année de mise en œuvre, un bilan sera apporté à la Commission.
Le président
Alex TURK