Arrêté du 18 décembre 2023 modifiant l'arrêté du 20 mai 2009 portant création d'un traitement automatisé dénommé « Application de gestion centrale »

Article 1 JORFARTI000048728260

L'article 1er de l'arrêté du 20 mai 2009 susvisé est ainsi modifié : 1° Le premier alinéa est remplacé par les dispositions suivantes : « Le ministre de l'intérieur (délégation à la sécurité routière) et l'Agence nationale de traitement automatisé des infractions mettent en œuvre un traitement automatisé de données à caractère personnel dénommé “ Application de gestion centrale ” dont les finalités sont : » ; 2° Il est complété par un alinéa ainsi rédigé :

«-la saisie d'infractions faisant l'objet d'une procédure d'amende forfaitaire par les agents verbalisateurs ».

Article 2 JORFARTI000048728263

L'article 2 du même arrêté est ainsi modifié : 1° Le premier alinéa est remplacé par les dispositions suivantes : « Peuvent être enregistrées dans le présent traitement les données à caractère personnel suivantes : » ; 2° Au sixième alinéa, les mots : « de police municipale ou de l'agent de surveillance de voie publique » sont supprimés ; 3° Au septième alinéa, les mots : « de police municipale » sont supprimés ; 4° Après le neuvième alinéa, est inséré un alinéa ainsi rédigé :

«-le numéro d'identification unique de l'infraction ; » ;

5° Au dixième alinéa, après les mots : « l'infraction constatée », sont insérés les mots : « et le moyen de constatation » ; 6° Après le dixième alinéa, sont insérés onze alinéas ainsi rédigés :

«-le numéro d'immatriculation, le genre, la marque et le modèle du véhicule ayant servi à commettre l'infraction ; «-identification du titulaire du certificat d'immatriculation ayant servi à commettre l'infraction :

« i) Personne physique : nom, nom d'usage, prénoms, date et lieu de naissance, nationalité, adresses postale et électronique ; « ii) Entreprise individuelle : nom, adresse postale et électronique, numéro SIREN et/ ou SIRET et catégorie juridique ; « iii) Personne morale : nom ou raison sociale, numéro SIREN et/ ou SIRET et catégorie juridique, adresse du siège social ;

«-identification du conducteur du véhicule ayant servi à commettre l'infraction : nom, nom d'usage, prénoms, date et lieu de naissance, nationalité, adresses postale et électronique, filiation lorsque ce renseignement est nécessaire à l'identification de l'intéressé, notamment en cas d'homonymes ou lorsque le conducteur est né à l'étranger ; «-identification de la personne auteur de l'infraction :

« i) Personne physique : nom, nom d'usage, prénoms, date et lieu de naissance, nationalité, adresses postale et électronique, filiation lorsque ce renseignement est nécessaire à l'identification de l'intéressé, notamment en cas d'homonymes ou lorsque le contrevenant ou le mis en cause est né à l'étranger ; « ii) Entreprise individuelle : nom, adresse postale et électronique, numéro SIREN et/ ou SIRET et catégorie juridique ; « iii) Personne morale : nom ou raison sociale, numéro SIREN et/ ou SIRET et catégorie juridique, adresse du siège social ;

«-numéro, date et lieu de délivrance de la pièce d'identité de la personne physique auteur de l'infraction et catégorie de permis de conduire, le cas échéant, dans le cas où la personne a fait l'objet d'un relevé d'identité. »

Article 3 JORFARTI000048728270

L'article 3 du même arrêté est ainsi modifié :

1° Au premier alinéa, après le mot : « verbalisations », sont ajoutés les mots : « puis jusqu'à un an à compter de la dernière action qu'il a effectuée dans le traitement » ;

2° Au deuxième alinéa, après le mot : « missions », sont ajoutés les mots : « puis, jusqu'à un an à compter de la dernière action qu'il a effectuée dans le traitement » ;

3° Il est complété par un alinéa ainsi rédigé :

« Les données relatives à la saisie des infractions par ces agents sont conservées dans le traitement jusqu'à six mois à compter de leur transmission dans le traitement “ système de contrôle automatisé ” autorisé par l'arrêté du 13 octobre 2004 susvisé. ».

Article 4 JORFARTI000048728274

L'article 4 du même arrêté est remplacé par les dispositions suivantes :

« Art. 4.-I.-Seuls ont accès à la totalité, ou à raison de leurs attributions, à une partie des données mentionnées à l'article 2 :

«-les chefs des services et unités au sein des organismes dont certains agents sont autorisés par des dispositions législatives ou réglementaires à constater par procès-verbal des infractions pour lesquelles l'action publique est éteinte par le paiement d'une amende forfaitaire, dans la limite du périmètre des unités dans lesquelles ils exercent leurs responsabilités et, le cas échéant, les agents individuellement désignés et spécialement habilités par eux pour l'exercice de leurs missions ; «-les personnels de l'Agence nationale du traitement automatisé des infractions dans l'exercice de leurs missions.

« II.-Sont destinataires de tout ou partie de données à caractère personnel mentionnées à l'article 2 :

«-les autorités judiciaires ; «-les officiers ou agents de police judiciaire, dans l'exercice des missions définies à l'article 14 du code de procédure pénale ; «-les agents des services de la direction générale des finances publiques compétents pour le recouvrement des amendes dans la limite de leurs habilitations légales ; «-les organismes ou autorités administratives auxquels les agents doivent transmettre une copie du procès-verbal en application d'une disposition législative ou règlementaire. »

Article 5 JORFARTI000048728277

Après l'article 4 du même arrêté, il est inséré un article 4-1 ainsi rédigé :

« Art. 4-1.-Un dispositif de journalisation enregistre les opérations de collecte, de modification, de consultation, de communication, y compris les transferts, d'interconnexion et d'effacement des données à caractère personnel et informations contenues dans le traitement. L'enregistrement comprend l'identifiant de l'auteur, la date, l'heure et le motif de l'opération et, le cas échéant, les destinataires des données. Ces informations sont conservées pendant un an. »

Article 6 JORFARTI000048728280

L'article 6 du même arrêté est remplacé par les dispositions suivantes :

« Art. 6.-Conformément aux articles 105 et 106 de la loi du 6 janvier 1978 susvisée, les droits d'accès, de rectification, d'effacement et à la limitation s'exercent auprès du centre national de traitement de l'Agence nationale de traitement automatisé des infractions. Afin d'éviter de gêner des enquêtes, des recherches ou des procédures administratives ou judiciaires ou d'éviter de nuire à la prévention ou à la détection d'infractions pénales, aux enquêtes ou aux poursuites en la matière ou à l'exécution de sanctions pénales, de protéger la sécurité publique ou la sécurité nationale, les droits d'accès, de rectification, d'effacement et à la limitation des données peuvent faire l'objet de restrictions en application de l'article 107 de la même loi. La personne concernée par ces restrictions exerce ses droits auprès de la Commission nationale de l'informatique et des libertés dans les conditions prévues à l'article 108 de la même loi. Lorsque les données à caractère personnel de la personne concernée figurent dans un dossier judiciaire faisant l'objet d'un traitement lors d'une procédure pénale, les droits mentionnés au premier alinéa sont régis par les dispositions du code de procédure pénale, conformément à l'article 111 de la loi du 6 janvier 1978 susvisée. »

Article 7 JORFARTI000048728286

L'article 7 du même arrêté est remplacé par les dispositions suivantes :

« Art. 7.-Le droit d'opposition prévu par l'article 110 de la loi du 6 janvier 1978 susvisée ne s'applique pas au présent traitement. »

Article 8 JORFARTI000048728289

Le présent arrêté sera publié au Journal officiel de la République française.

Annexe JORFARTI000048728291

ANNEXEDÉLIBÉRATION NO 2023-111 DU 19 OCTOBRE 2023 PORTANT AVIS SUR UN PROJET D'ARRÊTÉ MODIFIANT L'ARRÊTÉ DU 20 MAI 2009 PORTANT CRÉATION D'UN TRAITEMENT AUTOMATISÉ DÉNOMMÉ « APPLICATION DE GESTION CENTRALE »

La Commission nationale de l'informatique et des libertés, Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 1° et 2° du I de son article 31 ; Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement, Adopte la délibération suivante :

I. - La saisine A. - Le contexte de la saisine

1. Le traitement de données à caractère personnel dénommé « application de gestion centrale » (ci-après « AGC ») est une application web centralisée permettant la verbalisation électronique des infractions relevant de la procédure de l'amende forfaitaire :

- initialement cela concernait uniquement les contraventions de 1re à 4e classe en lien avec la sécurité routière ; - puis le périmètre s'est ouvert aux infractions en lien avec la sécurité publique, sanitaire, la protection environnementale, les contraventions de 5e classe et certains délits, lorsqu'un texte le prévoit.

2. L'application AGC est mise en relation avec le traitement dénommé « système de contrôle automatisé » (ci-après « SCA »). Pour chaque verbalisation, l'AGC adresse un « message d'infraction » contenant l'ensemble des données utiles au déroulement de la procédure pénale. Le SCA assure, en aval, le suivi de la procédure liée à l'infraction (l'émission des avis d'infraction, la matérialisation des procès-verbaux et la gestion des paiements ou des contestations). 3. Le recours au traitement AGC vise à fiabiliser et simplifier l'activité de verbalisation électronique (réduction du risque d'erreurs de transcription) et assurer le suivi de l'activité des agents et services verbalisateurs. L'application s'inscrit dans une démarche de dématérialisation et de forfaitisation des infractions, dont les champs ont été progressivement étendus par le législateur. De ce fait, les moyens des agents et les fonctionnalités ont dû être adaptés en créant une nouvelle finalité de saisie d'infractions dans l'application elle-même, en dehors des terminaux mobiles. L'AGC doit ainsi permettre à l'ensemble des nouveaux agents légalement habilités, de verbaliser électroniquement.

B. - L'objet de la saisine

4. La Commission nationale de l'informatique et des libertés (ci-après « CNIL ») a été saisie conjointement par le ministère de l'intérieur et l'Agence nationale de traitement automatisé des infractions (ci-après « ANTAI ») d'un projet d'arrêté modifiant les dispositions encadrant le traitement AGC. 5. Le projet d'arrêté modifie l'arrêté du 20 mai 2009 et prévoit :

- une nouvelle finalité de saisie d'infractions via l'application AGC pour les agents habilités ne disposant pas de terminaux mobiles ; - la collecte de nouvelles données relatives aux auteurs d'infractions ; - la conservation des données relatives à la saisie d'infractions et à la journalisation des traces.

II. - L'avis de la CNIL A. - Sur le périmètre et les finalités du traitement

6. Le traitement AGC a pour finalités :

- la gestion des habilitations des agents verbalisateurs utilisant des appareils électroniques d'enregistrement des procès-verbaux ; - la gestion des habilitations des agents utilisateurs du traitement ; - le suivi de l'activité des agents et services verbalisateurs.

7. Le projet d'arrêté ajoute une finalité au traitement AGC de « saisie d'infractions faisant l'objet d'une procédure d'amende forfaitaire par les agents verbalisateurs ». En pratique, cette modification vise à prendre en compte l'extension des agents autorisés à verbaliser électroniquement par amende forfaitaire, jusqu'alors limités aux agents de la police et gendarmerie nationales et de la police municipale équipés de terminaux mobiles. De nombreux agents de divers organismes étant désormais concernés par cette procédure (ex : sociétés de transport de voyageurs, gardes-chasse et gardes-pêche, agents de l'Office national des forêts). Dès lors, la possibilité de procéder à la verbalisation électronique via le traitement AGC en dehors des terminaux mobiles est rendue nécessaire du fait que :

- les carnets à souche permettant la verbalisation forfaitaire au format papier disparaissent progressivement ; - les petites unités ne disposent pas nécessairement de terminaux mobiles ; - la verbalisation doit parfois se faire à distance depuis un centre de vidéoverbalisation ou depuis un bureau.

8. La CNIL relève que le périmètre du traitement dépend de celui de la procédure de l'amende forfaitaire. Elle observe, à cet égard, que son champ s'est étendu ces dernières années. 9. Compte tenu des raisons opérationnelles invoquées par le ministère ainsi que des garanties entourant le périmètre du dispositif, la CNIL estime que l'extension des finalités du traitement est légitime.

B. - Sur les nouvelles catégories de données traitées 1. Concernant les données relatives aux infractions

10. Le projet d'arrêté prévoit la collecte de données relatives aux infractions sanctionnées par amende forfaitaire en vue de la génération d'un procès-verbal. Il s'agit du numéro d'identification unique de l'infraction, ainsi que de la nature, du lieu, des dates et heure de l'infraction constatée et du moyen de constatation. 11. Le ministère précise que ces données pourront être complétées via des zones de commentaires libres :

- pour les contraventions : elles sont systématiques et permettent à l'agent verbalisateur de relever des éléments matériels ayant vocation à être reportés sur le procès-verbal ; - pour les délits, les éléments caractérisant chaque infraction à relever sont préalablement déterminés via des menus déroulants. A défaut, un champ libre très encadré guide l'agent verbalisateur par son intitulé, pour ne relever que les éléments utiles au procès-verbal ; - pour justifier, auprès du chef de service, une demande de saisine de l'autorité judiciaire en vue de faire annuler une procédure en cas d'erreur.

12. Afin d'encadrer leur usage dans l'AGC, le ministère met en œuvre :

- des consignes de saisie précisant les informations attendues dans ces champs. Celles-ci transcrivent ainsi dans l'application la doctrine d'emploi actuellement diffusée au travers des manuels d'utilisation et des formations ; - un rappel spécifique relatif à l'interdiction de collecter des données sensibles.

13. La CNIL rappelle que les champs libres devront comporter des informations dénuées de toute appréciation étrangère à la qualification des éléments de l'infraction. Un contrôle strict et régulier devra être réalisé pour s'assurer que seuls les éléments utiles à la génération d'un procès-verbal sont effectivement renseignés. 14. Sous ces réserves, la CNIL estime que la collecte de ces données est légitime. Elle accueille favorablement les efforts du ministère pour encadrer ces champs de commentaires libres.

2. Concernant les données relatives aux contrevenants ou mis en cause

15. Le projet d'arrêté prévoit la collecte d'informations relatives à la pièce d'identité (numéro, date, lieu de délivrance), ainsi qu'à la « filiation notamment en cas d'homonymes ou lorsque le conducteur est né à l'étranger ». 16. Le ministère précise que la collecte de ces données vise à éviter des erreurs sur l'identité et anticiper toute éventuelle contestation. La CNIL considère que :

- la collecte des informations relatives à la pièce d'identité est justifiée ; - la collecte de la filiation en présence d'une personne née à l'étranger apparaît justifiée. La collecte de cette information est d'ores et déjà prévue à l'article R. 65 du code de procédure pénale pour l'inscription au casier judiciaire national des personnes qui sont condamnées à une amende forfaitaire pour un délit ou une contravention de la cinquième classe. S'agissant des cas d'homonymie des autres personnes, nées en France, la CNIL estime que cette collecte doit rester subsidiaire, en cas de doute réel quant à l'identité de la personne concernée. A ce titre, lorsque l'agent relève déjà les informations relatives à la carte d'identité française, dont le numéro du titre qui permet d'éviter les risques liés à l'homonymie, la collecte de la filiation n'apparaît pas nécessaire.

17. Par ailleurs, le projet d'arrêté prévoit la collecte des données de contact et notamment, les « adresses postale et électronique ». Elles permettent l'envoi des avis de contravention et courriers à la personne verbalisée. 18. L'avis de contravention peut être mis à la disposition du contrevenant au format électronique, dans une zone sécurisée du portail de relation avec les usagers de l'ANTAI, lorsque l'usager en fait la demande. 19. Le ministère a précisé que la fourniture d'une adresse électronique n'est pas obligatoire et que, même lorsque celle-ci est fournie, le choix n'est pas irréversible. Ainsi, en cas de non utilisation du lien envoyé à l'adresse de messagerie fournie dans le délai indiqué dans le courriel, l'envoi du document se fait automatiquement par voie postale. Aucune pénalité n'est appliquée au justiciable. 20. Le justiciable peut, après verbalisation, retirer ou réitérer son consentement à la dématérialisation de la procédure. La CNIL estime ainsi que la collecte facultative de l'adresse électronique est conforme au principe de minimisation des données et accueille favorablement ces modalités de mise à disposition.

C. - Sur les durées de conservation des données 1. S'agissant des données relatives au suivi d'activité des agents

21. Le projet d'arrêté prévoit le suivi de l'activité de verbalisation électronique des agents verbalisateurs. Pour cette finalité, le projet d'arrêté prévoit une durée de conservation des données de trois ans. 22. Il ressort de l'analyse d'impact que ces données incluent notamment des informations liées au nombre et aux caractéristiques des infractions relevées par PVe, ainsi que des données liées aux agents verbalisateurs (numéros identifiants). 23. La CNIL estime que la durée de trois ans pour la conservation de données relatives au suivi d'activité de verbalisation électronique, à l'exclusion des données à caractère personnel des contrevenants ou mis en cause, n'est pas suffisamment justifiée. Elle prend acte de ce que ces données ne seront pas utilisées à des fins disciplinaires.

2. S'agissant de la durée de conservation des données relatives à la saisie d'infractions et au suivi d'activité des services verbalisateurs

24. L'AGC transmet les données relatives à la saisie des infractions par les services verbalisateurs au SCA via l'émission d'un « message d'infraction ». Les données sont traitées et conservées dans le SCA. 25. Les données ne sont pas stockées dans l'AGC mais y sont enregistrées temporairement pour une durée maximale de six mois pour permettre leur affichage. Par ailleurs, il est possible de procéder à l'interrogation des bases de données du SCA afin de consulter, par l'intermédiaire de l'AGC et de manière temporaire et limitée :

- l'historique des infractions saisies par les agents verbalisateurs : la mise à disposition de la copie du contenu du « message d'infraction » stocké dans le SCA est nécessaire en cas de saisine du ministère public par le service verbalisateur pour solliciter l'annulation d'une procédure comportant une erreur, de réquisition judiciaire ou encore de contestation de l'infraction par le justiciable auprès de l'autorité judiciaire ; - et les procès-verbaux des infractions constatées et saisies par les agents verbalisateurs à partir des applications PVe et AGC : leur mise à disposition est nécessaire pour les besoins de transmission des procès-verbaux, induits par l'habilitation de nouveaux agents verbalisateurs soumis à des règles de procédure particulières.

26. Les données à caractère personnel ne sont pas conservées dans le traitement AGC mais sont rendues accessibles depuis le SCA par un affichage temporaire. Cela est justifié pour les besoins de la procédure pénale et de gestion de la procédure d'amende forfaitaire. La CNIL considère que la durée maximale de six mois de cet affichage, en simple consultation, est justifiée et proportionnée.

D. - Sur les mesures de sécurité

27. La CNIL prend acte :

- de la mise en œuvre d'une gestion des droits d'accès par profil dans la limite de leur besoin d'en connaître ; - de l'usage d'une authentification forte pour les forces de police et de gendarmerie nationales et d'un projet de déploiement d'une authentification forte de niveau équivalent pour les autres agents et services verbalisateurs ; - de l'usage de mots de passe conformes à la délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés, et abrogeant la délibération n° 2017-012 du 19 janvier 2017 ; - de la mise en œuvre de solutions de sauvegardes mais rappelle la nécessité de réaliser périodiquement des tests de restauration de ces dernières afin de s'assurer de leur bon fonctionnement ; - de la mise en œuvre de communications chiffrées entre les différents environnements le nécessitant et permettant ainsi d'assurer le respect de la confidentialité desdites communications.

28. Par ailleurs, le ministère confirme une durée de conservation des données de traçabilité limitée à un an. Néanmoins, la CNIL rappelle l'importance de la mise en œuvre d'outils de détection automatisés permettant une réaction rapide en cas d'actions malveillantes qui seraient réalisées sur le traitement.

La présidente, M.-L. Denis