Délibération n° 2014-212 du 6 mai 2014 autorisant la société des autoroutes Rhône Alpes (AREA) à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude interne.
Nature: Autre autorisation

(Demande d’autorisation n° 1691880)
La Commission nationale de l'informatique et des libertés,
Saisie par la société des autoroutes Rhône Alpes (AREA) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude interne ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Eric PERES, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la société des autoroutes Rhône Alpes (AREA).
Sur la finalité
La finalité du traitement est la lutte contre la fraude interne. Les cas de fraude peuvent être liés aux tickets et aux manipulations (modification de la gare d’entrée sur le réseau, de la catégorie du véhicule, etc.), à la franchise de péage (exemptions de péage pour certaines catégories de population) et aux recettes (écart entre la recette théorique et la recette déclarée). Ce traitement implique un contrôle de l’activité des salariés de la société AREA et peut conduire au prononcé de sanctions disciplinaires. La Commission considère les finalités poursuivies sont déterminées, explicites et légitimes. Par ailleurs, l’article 9 de la loi du 6 janvier 1978 modifiée prévoit que le traitement de données relatives aux infractions, condamnations et mesures de sûreté ne peut être mis en œuvre que par :« 1° Les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ;2° Les auxiliaires de justice, pour les stricts besoins de l’exercice des missions qui leur sont confiées par la loi ;3° [Dispositions déclarées non conformes à la Constitution par décision du Conseil constitutionnel n° 2004-499 DC du 29 juillet 2004 ;] 4° Les personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d’atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d’assurer la défense de ces droits ».Dans sa décision du 29 juillet 2004, le Conseil Constitutionnel a invalidé l’article 9-3° qui permettait à une personne morale de droit privé, mandatée par d’autres personnes morales estimant avoir été victimes ou être susceptibles d’être victimes d’agissements passibles de sanctions pénales, de rassembler des données portant sur des infractions, condamnations ou mesures de sûreté, au motif de son caractère trop général et du manque de précision sur les garanties devant encadrer ce type de traitement. Pour autant, le Conseil Constitutionnel a précisé que cette annulation ne saurait être interprétée comme « privant d’effectivité le droit d’exercer un recours juridictionnel dont dispose toute personne physique ou morale s’agissant des infractions dont elle a été victime ». Cette réserve d’interprétation était indispensable pour ne pas priver de base légale les traitements légitimement mis en œuvre pour assurer le suivi des dossiers contentieux relatifs à des infractions. Elle permet à toute personne de constituer, pour les besoins de l’exercice de son droit au recours, des fichiers de pré-contentieux.Dans ce contexte, la Commission considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté. 
Sur les données traitées
Les données suivantes relatives aux salariés de la société AREA sont collectées : 
Données d’identification : nom, prénom, sexe et âge ;
Données relatives à la vie professionnelle : situation professionnelle, matricule, numéro de carte professionnelle ;
Données relatives au poste de travail : date et heure d’ouverture et de fermeture de poste, transactions, recette théorique, recette déclarée.
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie. 
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités de la direction clientèle et péage de la société AREA. Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Conformément à l’article 32 de la loi du 6 janvier 1978 modifiée les salariés de la société AREA sont informés de l’identité du responsable de traitement, de la finalité du traitement, des destinataires des données et de leurs droits via une note de service adressée aux salariés. Les droits d’accès et de rectification s’exercent auprès de ma direction clientèle et péage de la société AREA - 260, avenue Jean Monnet – 69500 BRON.  La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
Le traitement est hébergé au sein de l’organisme sur un réseau privé. Le réseau est protégé de l’extérieur par l’intermédiaire d’un pare feu. Une compartimentation du réseau avec des règles de filtrage est effectuée. Les développements sont réalisés sur des données anonymisées.Des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur.L’accès à l’application se fait par l’intermédiaire d’un couple login/mot de passe d’une durée de validité de 180 jours. Le mot de passe est conforme aux recommandations de la Commission.Le traitement met en œuvre une traçabilité des accès à l’application.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques 
Sur les autres caractéristiques du traitement
Les données sont conservées le temps de la prescription de l’infraction, à savoir 3 ans en matière délictuelle. La Commission estime que cette durée de conservation est proportionnée au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, la société des autoroutes Rhône Alpes (AREA) à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN