La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale, et notamment ses articles 529 à 529-2, 529-6 à 530-3 et 537 ;
Vu le code de la route, et notamment ses articles L. 121-2 et L. 121-3, L. 130-1 à L. 130-9, L. 225-1 à L. 225-9 et L. 330-2 à L. 330-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment ses articles 25 (3°) et 25 (5°) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu l'arrêté du 29 juin 1992 modifié portant création du Système national des permis de conduire ;
Vu l'arrêté du 20 janvier 1994 portant création du fichier national des immatriculations ;
Vu l'arrêté du 18 juillet 1994 portant création du traitement automatisé de suivi du recouvrement des amendes et des condamnations pécuniaires ;
Vu l'arrêté du 13 octobre 2004 modifié portant création du système de contrôle automatisé ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 2004-076 du 5 octobre 2004 portant avis sur un projet d'arrêté interministériel portant création d'un dispositif dénommé système « contrôle automatisé » visant à automatiser la constatation, la gestion, et la répression de certaines infractions routières ; La présidente, I. Falque-Pierrotin
Article (sans numéro) JORFARTI000032153773
Sur la proposition de M. Eric PERES, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement.
Formule les observations suivantes :
Les organismes de droit public ou de droit privé ayant pour activité la location ou la mise à disposition de véhicules sont redevables pécuniairement de l'amende encourue pour des contraventions à la réglementation :
- sur le stationnement des véhicules ;
- sur l'acquittement des péages ;
- sur les vitesses maximales autorisées ;
- sur le respect des distances de sécurité entre les véhicules ;
- sur l'usage de voies et chaussées réservées à certaines catégories de véhicules ;
- sur les signalisations imposant l'arrêt des véhicules.
A cet égard, les organismes publics ou privés précités sont destinataires des procès-verbaux établis par les personnes habilitées à constater les contraventions susvisées. Ils peuvent néanmoins s'exonérer de leur responsabilité notamment, s'ils fournissent des renseignements permettant d'identifier l'auteur véritable de l'infraction.
Pour ce faire, ils doivent adresser une requête tendant à leur exonération auprès du service indiqué dans l'avis de contravention. Cette requête prend la forme d'une lettre signée précisant l'identité, l'adresse, ainsi que la référence du permis de conduire de la personne qui était présumée conduire le véhicule lorsque la contravention a été constatée.
En outre, pour faciliter l'identification des contrevenants et donc le recouvrement des contraventions, l'arrêté du ministère de l'intérieur, de la sécurité intérieure et des libertés locales du 13 octobre 2004 modifié portant création du système de contrôle automatisé prévoit que ce système peut faire l'objet d'interconnexion, de mise en relation ou de rapprochement avec les traitements relatifs à la gestion :
- des contrats de location et des véhicules loués mis en œuvre par les organismes publics ou privés ayant pour activité la location de véhicules ;
- du parc automobile mis en oeuvre par les organismes publics ou privés mettant des véhicules à disposition de leurs collaborateurs ou clients.
Les conditions de cette interconnexion entre des traitements ayant des finalités principales différentes, à savoir d'une part, automatiser la constatation, la gestion et la répression de certaines infractions routières, et d'autre part, assurer la gestion des contrats de location et du parc automobile, sont prévues par une convention signée avec le Centre national de traitement.
Dès lors, il y a lieu de faire application :
- d'une part de l'article 25 (3°) de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté, sauf ceux qui sont mis en oeuvre par des auxiliaires de justice pour les besoins de leurs missions de défense des personnes concernées ;
- d'autre part, de l'article 25 (5°) de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés ayant pour objet l'interconnexion de fichiers relevant d'une ou de plusieurs personnes morales et dont les finalités principales sont différentes.
En vertu de l'article 25-II de la loi du 6 janvier 1978 susvisée, la commission peut adopter une décision unique d'autorisation pour des traitements répondant notamment aux mêmes finalités, portant sur des catégories de données et des catégories de destinataires identiques.
Le responsable de traitement qui met en œuvre un traitement de données à caractère personnel ayant pour finalités d'une part, l'identification des conducteurs conformément aux dispositions de l'arrêté du 13 octobre 2004 modifié portant création du système de contrôle automatisé des infractions au code de la route et d'autre part, la gestion du contentieux lié au recouvrement des contraventions au code de la route ainsi que la réalisation de statistiques notamment en vue d'adapter les formations de prévention routière, dans le respect des dispositions de cette décision unique adresse à la commission un engagement de conformité de celui-ci aux caractéristiques de la présente autorisation.
Décide que les responsables de traitement qui adressent à la commission une déclaration comportant un engagement de conformité pour leurs traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à mettre en œuvre ces traitements.
Article 1 JORFARTI000032153777
Finalités et caractéristiques techniques du traitement.
Seuls peuvent faire l'objet d'un engagement de conformité en référence à la présente décision unique les traitements mis en œuvre par les organismes publics ou privés ayant pour activité la location ou la mise à disposition de véhicules, qu'ils soient ou non titulaires du certificat d'immatriculation desdits véhicules, ayant pour finalité :
- l'identification des conducteurs ayant commis une infraction au code de la route et qui sont mis en œuvre dans les conditions prévues par une convention à signer avec le Centre national de traitement du contrôle automatisé ;
- la gestion du contentieux lié au recouvrement des contraventions au code de la route dont peuvent être redevables pécuniairement les organismes publics ou privés susvisés ;
- la réalisation de statistiques (analyses statistiques des types d'infractions routières et des sinistres), notamment en vue d'adapter les formations de prévention routière.
Article 2 JORFARTI000032153780
Données à caractère personnel traitées.
a) Les seules données à caractère personnel relatives au conducteur traitées et transmises au Centre national de traitement par les organismes publics ou privés ayant pour activité la location ou la mise à disposition de véhicules sont :
1. Le nom, le nom d'usage et le(s) prénom(s).
2. La date et le lieu de naissance.
3. La nationalité.
4. L'adresse postale et électronique.
5. Le numéro de permis de conduire.
6. Le numéro d'immatriculation du véhicule concerné.
b) Les seules données à caractère personnel relatives au conducteur traitées et transmises, auprès du service indiqué dans l'avis de contravention, par les organismes publics ou privés ayant pour activité la location ou la mise à disposition de véhicules sont :
1. Le nom, le nom d'usage et le(s) prénom(s).
2. La date et le lieu de naissance.
3. L'adresse.
4. La situation professionnelle.
5. Le numéro de permis de conduire.
6. La date et le lieu d'obtention du permis de conduire.
7. Le numéro d'immatriculation du véhicule concerné.
8. Le numéro, la date et l'heure du contrat de location ou de prêt du véhicule.
9. Le numéro de procès-verbal.
10. Le scan du procès-verbal.
11. Le numéro de l'amende forfaitaire majorée.
Lorsque le véhicule a été loué ou mis à disposition d'un client, personne morale, les organismes publics ou privés ayant pour activité la location de véhicules ou mettant des véhicules à disposition de leurs clients peuvent transmettre au service indiqué dans l'avis de contravention l'identité d'un contact au sein de l'organisme concerné.
c) Outre les données susvisées, les organismes publics ou privés ayant pour activité la location ou la mise à disposition de véhicules peuvent traiter :
1. La date et l'heure de la contravention.
2. Le montant de la contravention.
3. Les informations relatives au service émetteur du procès-verbal.
4. Les données de connexion visant à assurer la traçabilité des accès.
5. Le type de courrier envoyé.
Article 3 JORFARTI000032153781
Destinataires des informations.
S'agissant des traitements d'identification des conducteurs mis en œuvre dans le cadre de l'arrêté du 13 octobre 2004 modifié portant création du système de contrôle automatisé des infractions au code de la route, le destinataire des données à caractère personnel précitées est le Centre national de traitement du contrôle automatisé.
S'agissant des traitements ayant pour finalité la gestion du contentieux lié au recouvrement des contraventions au code de la route :
- le destinataire des données à caractère personnel précitées est le service indiqué dans l'avis de contravention ;
- les personnes en charge de la gestion des contraventions au sein des organismes publics ou privés ayant pour activité la location ou la mise à disposition de véhicules sont, dans la limite de leurs attributions respectives et pour la poursuite de la finalité visée à l'article 1er de la présente décision unique d'autorisation, destinataires de données à caractère personnel susvisées.
Article 4 JORFARTI000032153784
Durée de conservation.
Les traces des requêtes effectuées par le Centre national de traitement sur les conducteurs de véhicules ayant commis une infraction au code de la route sont détruites après le retour d'information au Centre national de traitement.
En aucun cas, les organismes publics ou privés visés à l'article 1er et dont les traitements de gestion du parc automobile, des contrats de location et des véhicules loués sont interconnectés, mis en relation ou rapprochés avec le système de contrôle automatisé ne peuvent garder traces de ces requêtes, les consolider ou les archiver.
S'agissant des traitements ayant pour finalité la gestion du contentieux lié au recouvrement des contraventions au code de la route, les organismes publics ou privés ayant pour activité la location ou la mise à disposition de véhicules peuvent consulter en ligne les données visées à l'article 2 de la présente décision unique d'autorisation au maximum un mois à compter de la réception de l'avis de contravention. A l'issue de cette période, ces données peuvent être archivées pendant au maximum dix-huit mois.
Article 5 JORFARTI000032153787
Mesures de sécurité.
Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité et la confidentialité des données traitées et notamment pour empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance.
En particulier, les accès aux traitements de données s'effectuent par un identifiant et un mot de passe individuels, régulièrement renouvelés, ou par tout autre moyen d'authentification. Ces accès sont enregistrés et leur régularité est contrôlée.
S'agissant des traitements d'identification des conducteurs mis en œuvre dans le cadre de l'arrêté du 13 octobre 2004 précité, les contraintes techniques d'échange informatique ainsi que les mesures destinées à assurer la sécurité des systèmes d'information des données et des mécanismes d'échange doivent être mises en œuvre dans les conditions prévues par la convention à signer avec le Centre national de traitement et notamment son Cahier des clauses techniques particulières.
Article 6 JORFARTI000032153788
Information des personnes.
Le responsable du traitement procède, conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée en août 2004, à l'information des personnes susceptibles d'être concernées par la diffusion à chacune d'entre elles d'une note explicative pouvant figurer, le cas échéant, dans le contrat de location ou de prêt du véhicule.
Par ailleurs, les organismes publics ou privés mettant des véhicules à disposition de leurs collaborateurs procèdent également, conformément aux dispositions de l'article L. 432-2-1 du code du travail et à la législation applicable aux trois fonctions publiques, à l'information et à la consultation des instances représentatives du personnel avant la mise en oeuvre des traitements visés à l'article 1er.
Article 7 JORFARTI000032153790
Exercice des droits d'accès et de rectification.
Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 modifiée s'exerce auprès du ou des services que le responsable de traitement aura désignés.
Article 8 JORFARTI000032153791
Tout traitement automatisé de données à caractère personnel ayant pour objet l'interconnexion, le rapprochement ou la mise en relation de traitements relatifs à la gestion des contrats de location, des véhicules loués ou du parc automobile avec le système de contrôle automatisé qui n'est pas conforme aux dispositions qui précèdent doit faire l'objet de demandes d'autorisation auprès de la commission dans les formes prescrites par les articles 25 (3°), 25 (5°) et 30 de la loi du 6 janvier 1978 modifiée.
Article 9 JORFARTI000032153792
La présente délibération sera publiée au Journal officiel de la République française.
Textes cités liens · DILA7
Code de procédure pénale - art. 529 (M)
Code de la route. - art. L121-2 (M)
Cité par 1 texte