Délibération n° 2007-002 du 11 janvier 2007 portant autorisation unique de mise en oeuvre de traitements automatisés de données à caractère personnel relatifs à la gestion d'infractions à la police des services publics de transports terrestres (décision d'autorisation unique n° AU-012)

La Commission nationale de l'informatique et des libertés,
Vu la Convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales du 4 novembre 1950 ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi du 15 juillet 1845 relative à la police des chemins de fer, modifiée par la loi du 15 novembre 2001 relative à la sécurité quotidienne, notamment son article 24-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment ses articles 9, 25 (3°) et 25 (5°) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu le code de procédure pénale, notamment ses articles L. 529-3 à L. 529-5 et R. 49 à R. 49-8 ;
Vu le décret n° 730 du 22 mars 1942 portant règlement d'administration publique sur la police, la sûreté et l'exploitation des voies ferrées d'intérêt général et d'intérêt local, notamment ses articles 80-3 à 80-8, modifié par le décret n° 86-1045 du 18 septembre 1986 en son article 3 ;
Vu l'arrêté du 1er octobre 1986 relatif au procès-verbal d'infraction à la police des services publics de transports ferroviaires et des services de transports publics de personnes réguliers et à la demande, notamment son article 1er ;
Après avoir entendu M. Guy Rosier, vice-président délégué, en son rapport et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :

Finalités et caractéristiques techniques du traitement.
Seuls peuvent faire l'objet d'un engagement de conformité en référence à la présente décision unique les traitements mis en oeuvre par les organismes publics ou privés gérant un service public de transports pour le suivi des contraventions des quatre premières classes à la police des services publics de transports terrestres prévues aux articles 74 et suivants du décret n° 730 du 22 mars 1942 et correspondant aux finalités suivantes :
- le suivi des procès-verbaux émis et amendes ;
- l'émission de bulletins de régularisation ;
- le traitement des relances et des réclamations consécutives à un constat d'infraction ;
- la détection du délit d'habitude ;
- la réalisation de statistiques anonymes.
Les infractions sont constatées lors des contrôles à bord des véhicules de transports ferroviaires et des véhicules de transports publics des personnes et dans les espaces publics dédiés à leur accès, au moyen de procès-verbaux dressés par les personnes habilitées.
Le traitement ne peut avoir pour objet le contrôle de l'activité des agents assermentés.

Mesures de sécurité.
Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité et la confidentialité des données traitées, notamment pour empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance.
En particulier, les accès aux traitements de données s'effectuent par un code d'accès et un mot de passe individuels, régulièrement renouvelés, ou par tout autre moyen d'authentification, à l'exclusion des moyens biométriques. Ces accès font l'objet d'une journalisation.
Les agents assermentés ainsi que les agents assermentés et agréés par le procureur de la République peuvent disposer d'un assistant électronique sous réserve que les garanties de sécurité suivantes soient apportées :
- l'accès aux données est protégé par un mot de passe ;
- les données stockées sur l'assistant électronique font l'objet d'un chiffrement ;
- la transmission des données des assistants électroniques vers le fichier d'infractions s'effectue par l'intermédiaire d'un réseau sécurisé ;
- les ports de communication de l'assistant électronique sont désactivés (connexion filaire ou non : WiFi ou infrarouge) afin d'empêcher toute impression ou transmission des données présentes sur l'assistant personnel vers un autre système informatique.

Destinataires des informations.
Dans la limite de leurs attributions respectives et pour l'exercice des finalités précitées, seuls peuvent être destinataires des données :
- les agents assermentés dans les conditions prévues à l'article 23 de la loi du 15 juillet 1845 susvisée et les agents assermentés dans ces mêmes conditions et agréés par le procureur de la République selon les modalités prévues aux articles R. 49-8-1 et R. 49-8-4 du code de procédure pénale ;
- les agents habilités du service chargé du recouvrement des contraventions au sein des organismes publics ou privés gérant un service public de transports terrestres ;
- les agents habilités des services juridiques, en charge du contentieux et de la lutte contre la fraude de ces organismes ;
- les agents individuellement désignés et spécialement habilités par le ministère public ;
- les agents individuellement désignés et spécialement habilités par le Trésor public en cas d'amende forfaitaire majorée pour recouvrir les sommes dues en vertu du titre rendu exécutoire.

La présente délibération sera publiée au Journal officiel de la République française.

Durée de conservation.
En cas de paiement de l'indemnité forfaitaire prévue aux articles L. 529-3 et L. 529-4 du code de procédure pénale, les données relatives aux contrevenants doivent être supprimées à compter de ce paiement.
Ces données peuvent toutefois être conservées en archivage sur une base externe indépendante, accessible limitativement aux agents habilités des organismes publics ou privés gérant un service public de transport terrestre et pour des requêtes spécifiques, pour une durée supplémentaire maximale de deux ans à partir du paiement effectif des sommes dues.
Les données à caractère personnel stockées sur les assistants électroniques ne peuvent être conservées que pour une durée maximale de cinq jours.
Les données relatives aux contrevenants dans le cadre de contraventions n'ayant pas donné lieu à une transaction peuvent être conservées pour une durée maximale de douze mois consécutifs en vue de déterminer si le délit d'habitude est caractérisé et de constater l'infraction prévue à l'article 50 de la loi du 15 novembre 2001 pour la sécurité quotidienne. Elles peuvent également être mises en archivage sur une base externe indépendante, accessible limitativement aux agents habilités des organismes publics ou privés gérant un service public de transport terrestre et pour des requêtes spécifiques, pour une durée supplémentaire maximale de deux ans à partir de la fin du douzième mois dans la base informatique.
Les catégories de données relatives à l'agent chargé du contrôle peuvent être conservées pendant toute la durée de son affectation au sein de l'organisme.

Données à caractère personnel traitées.
a) Concernant les contrevenants n'ayant pas versé une indemnité transactionnelle au moment de la constatation :
1. Le nom, le nom d'usage et le(s) prénom(s) ;
2. La date et le lieu de naissance ;
3. L'adresse ;
4. Le numéro et la nature de la pièce d'identité ;
5. La date et l'organisme de délivrance de la pièce d'identité ;
6. Le type de titre de transport utilisé ;
7. La signature du contrevenant ;
8. Le nom du représentant légal lorsqu'un procès-verbal est émis à l'encontre d'un mineur ou d'un majeur incapable ;
b) Concernant l'infraction :
1. Le lieu de l'infraction ;
2. Le type ainsi que, le cas échéant, le code de l'infraction ;
3. Les éléments constatés de l'infraction ;

4. La date et l'heure de la contravention ;
5. Le montant et les informations relatives au paiement de la contravention ;
6. Le numéro du procès-verbal ;
7. Les informations relatives au service émetteur du procès-verbal ;
8. Les informations relatives au délit d'habitude (nombre et dates des procès-verbaux) ;
9. Les relances et réclamations ;
10. La mention et la date de la transmission des informations au ministère public ;
c) Concernant l'agent verbalisateur :
1. Le nom, le nom d'usage et le(s) prénom(s) ;
2. Le code identifiant fourni par l'employeur ;
3. La signature de l'agent verbalisateur.

Exercice des droits d'accès et de rectification.
Les droits d'accès et de rectification définis au chapitre V de la loi du 6 janvier 1978 modifiée s'exercent auprès du ou des services que le responsable de traitement aura désignés.

Les organismes de droit public ou de droit privé gérant un service public de transports mettent en oeuvre des traitements automatisés de données à caractère personnel afin d'assurer le suivi des contraventions des quatre premières classes à la police des services publics de transports terrestres.
En cas d'infraction, ces organismes sont destinataires des procès-verbaux établis par les personnes habilitées en vertu de l'article 23 de la loi du 15 juillet 1845 modifiée, qui dispose que « les crimes, délits ou contraventions prévus par les titres Ier et III de la présente loi, ainsi que les contraventions prévues par les textes réglementaires relatifs à la police, la sûreté et l'exploitation des voies ferrées, pourront être constatés par des procès-verbaux dressés concurremment par les officiers de police judiciaire, les ingénieurs des ponts et chaussées et des mines, les conducteurs, gardes-mines, agents de surveillance et gardes nommés ou agréés par l'administration et dûment assermentés [...] ».
Pour dresser ces procès-verbaux, les services publics de transports ferroviaires et les services de transports publics de personnes disposent d'agents habilités à constater les infractions et assermentés dans les conditions prévues par l'article 23 de la loi du 15 juillet 1845 susvisée. Ces agents établissent des procès-verbaux de constatation de l'infraction, dont le modèle est fixé par un arrêté conjoint du garde des sceaux, ministre de la justice, et du ministre chargé des transports.
Ces agents peuvent notamment constater le « délit d'habitude » défini par l'article 50 de la loi du 15 novembre 2001 relative à la sécurité quotidienne : « l'habitude est caractérisée dès lors que la personne concernée a fait l'objet, sur une période inférieure ou égale à douze mois, de plus de dix contraventions sanctionnées aux premier et deuxième alinéas de l'article 80-3 du décret n° 730 du 22 mars 1942, qui n'auront pas donné lieu à une transaction en application de l'article 529-3 du code de procédure pénale ».
Saisie des traitements considérés, la commission est appelée à faire application de l'article 25 (3°) de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation « les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté, sauf ceux qui sont mis en oeuvre par des auxiliaires de justice pour les besoins de leurs missions de défense des personnes concernées ».
Elle peut, en outre, en application de l'article 25-II de la même loi, adopter une décision unique d'autorisation pour des traitements répondant aux mêmes finalités, portant sur des catégories de données et des catégories de destinataires identiques. Dès lors, le responsable de traitement qui met en oeuvre un traitement de données à caractère personnel ayant pour finalité la gestion des infractions à la police des services publics de transports terrestres, est tenu, dans le respect des dispositions de cette décision unique, d'adresser à la commission un engagement de conformité de celui-ci aux caractéristiques de la présente autorisation.
Décide que les responsables de traitement qui adressent à la commission une déclaration comportant un engagement de conformité pour les traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à mettre en oeuvre ces traitements.

Information des personnes.
Le responsable du traitement procède, conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978, modifiée par la loi du 6 août 2004, à l'information des personnes susceptibles d'être concernées par l'affichage d'une note explicative devant figurer, de manière visible, à l'intérieur des transports, et par la diffusion d'une mention d'information sur les courriers de relance de recouvrement des amendes.
L'information des agents contrôleurs sera effectuée par la diffusion à chaque personne concernée, préalablement à la mise en oeuvre du traitement, d'une note explicative individuelle.

Tout traitement automatisé de données à caractère personnel ayant pour objet la gestion des infractions à la police des services publics de transports terrestres qui n'est pas conforme aux dispositions qui précèdent doit faire l'objet de demandes d'autorisation auprès de la commission dans les formes prescrites par les articles 25 (3°) et 30 de la loi du 6 janvier 1978 modifiée.

Le président,


A. Türk