Délibération n° 2014-214 du 6 mai 2014 autorisant la Régie Autonome de Transports Parisiens (RATP) à interconnecter le traitement de gestion des procès-verbaux d’infraction (OASIS) avec des bases de données de tiers dans le cadre de procédures de recouvrement amiable des contraventions.
Nature: Autre autorisation

(Demande d’autorisation n° 1728638)
La Commission nationale de l'informatique et des libertés,
Saisie par la Régie Autonome de Transports Parisiens (RATP) d’une demande d’autorisation présenter par la Régie Autonome de Transports Parisiens (RATP) et relative à l’interconnexion du traitement de gestion des procès-verbaux d’infraction (OASIS) avec des bases de données de tiers dans le cadre de procédures de recouvrement amiable des contraventions ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-5° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Eric PERES, commissaire et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la Régie Autonome de Transports Parisiens (RATP).
Sur la finalité
La RATP souhaite interconnecter son traitement de gestion des procès-verbaux d’infraction (OASIS) avec des bases de données de tiers. Le choix des bases de données concernées dépendra du prestataire qui sera retenu à la suite d’un appel d’offres. La Commission prend acte de ce que le cahier des charges de cet appel d’offres impose au prestataire de ne recourir qu’à des bases des données constituées en conformité avec la loi du 6 janvier 1978 modifiée.Cette interconnexion a pour objet d’enrichir la base OASIS avec les numéros de téléphone et adresses électroniques des personnes ayant commis une infraction. Grâce à ces nouvelles données, la RATP pourra contacter les contrevenants et leur proposer un règlement amiable du montant de la contravention avant transmission du procès-verbal au ministère public.La Commission prend acte de ce que les données contenues dans les bases de données utilisées pour enrichir la base OASIS ont été collectées avec le consentement des personnes concernées.La Commission considère les finalités poursuivies sont déterminées, explicites et légitimes. Par ailleurs, elle considère qu’il y a lieu de faire application des dispositions de l’article 25-I-5° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements automatisés ayant pour objet l’interconnexion de fichiers dont les finalités principales sont différentes. 
Sur les données traitées
La base de données OASIS est interconnectée avec les bases de données des tiers sur la base des données suivantes : nom, prénom, adresse, date et lieu de naissance.Si ces données permettent d’identifier une personne figurant dans les bases de données des tiers, la base OASIS est enrichie des numéros de téléphone fixe et mobile et de l’adresse électronique de cette personne.La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie. 
Sur les destinataires
Les données issues de l’interconnexion sont intégrées à la base OASIS et sont accessibles par toutes les personnes pouvant avoir accès à cette base, à savoir : 
le centre de recouvrement des infractions RATP ;
les services clientèles RATP ; 
le département affaires pénales RATP ;
les sociétés chargées de la saisie, de l’enrichissement, de l’envoi des SMS et du recouvrement ;
les parquets, tribunaux et préfectures ; 
le centre informatique des impôts.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées de l’existence de l’interconnexion entre la base OASIS et les bases de données des tiers sur la lettre de relance qui leur ait adressée si elles ne payent pas l’amende demandée. Les droits d’accès et de rectification s’exercent auprès du Correspondant Informatique et Libertés de la RATP, 13 rue Jules Valles – 75547 PARIS Cedex 11.La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
Les transferts de données en provenance de l’extérieur pour alimenter la base OASIS se font par l’intermédiaire du protocole SFTP, qui garantit le chiffrement du canal de communication lors des échanges via internet.Les échanges sur le réseau interne se font par l’intermédiaire du protocole HTTPS qui garantit la confidentialité des échanges sur le réseau interne.Les environnements de production et de développement sont distincts.La Commission rappelle que les développements doivent être réalisés sur des données fictives ou anonymisées.Le système d’information bénéficie de mesure de sécurité prémunissant du risque d’intrusion.Des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur. L’authentification des utilisateurs se fait par l’intermédiaire d’un mot de passe composé de 8 caractères alphanumériques, renouvelé tous les 6 mois. La Commission rappelle qu’en matière de mot de passe, il est nécessaire que ces derniers intègrent au minimum 3 des 4 complexités suivantes : majuscules, minuscules, chiffres, caractères spéciaux.Le traitement met en œuvre une journalisation des accès aux données à caractères personnelles et cela lors des actions de consultation, mise à jour et suppression.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. 
Sur les autres caractéristiques du traitement
Les données issues de l’interconnexion sont intégrées à la base OASIS et sont donc conservées pendant les durées de conservation prévues pour cette base, à savoir :
Pour les dossiers d’infractions de 3ème et de 4ème classe réglés pendant la phase amiable : les données sont conservées pendant un an à compter de la date des faits ;
Pour les dossiers d’infractions de 3ème et de 4ème classe qui n’ont pas donné lieu à une procédure pénale : les données sont conservées pendant un an à compter de la date des faits, puis sont archivées pendant deux ans ;
Pour les dossiers d’infractions de 3ème et de 4ème classe qui ont donné lieu à une procédure pénale : les données sont conservées pendant trois ans à compter de la date des faits, puis sont archivées pendant deux ans.
La Commission estime que ces durées de conservation sont proportionnées au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, la Régie Autonome de Transports Parisiens (RATP) à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN