(Demande d'avis n° 1234919 et n° 252953v2)
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu les articles L. 225-3 à L. 225-8 et R. 225-4 et R. 225-5 du code de la route ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment l'article 27-II-4 ;
Vu la loi n° 89-469 du 10 juillet 1989 relative à diverses dispositions en matière de sécurité routière et en matière de contraventions ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu le décret n° 2007-753 du 9 mai 2007 relatif au permis de conduire et modifiant le code de la route ;
Vu l'arrêté du 29 juin 1992 portant création du système national des permis de conduire ;
Après avoir entendu M. Guy Rosier, vice-président délégué, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Le ministère de l'intérieur, de l'outre-mer et des collectivités territoriales a saisi la commission d'un projet d'arrêté portant création du téléservice « Télépoints » permettant à tout titulaire du permis de conduire de consulter par internet le solde des points affectés à son permis de conduire et modifiant l'arrêté du 29 juin 1992 portant création du système national des permis de conduire (SNPC).
Actuellement le solde des points affectés à un permis de conduire ne figure que sur le relevé intégral délivré par les préfectures ou sous-préfectures. La délivrance de ces relevés est strictement encadrée par les articles L. 225-3 à 225-8 et R. 225-4 et 5 du code de la route.
Toutefois, le décret n° 2007-753 du 9 mai 2007 relatif au permis de conduire vient insérer dans le code de la route un nouvel article R. 225-6 dont les termes sont les suivants : « Nonobstant les dispositions de l'article R. 225-5, le titulaire du permis de conduire peut consulter directement le solde des points affectés à son permis de conduire au moyen d'un site internet dédié et sécurisé. Les modalités d'application du présent article sont fixées par arrêté du ministre de l'intérieur. »
Cette consultation en ligne n'étant pas prévue par le système national des permis de conduire (SNPC), ce dernier traitement qui alimente le téléservice Télépoints doit donc faire l'objet d'une modification.
La commission prend acte du fait que la modification de ce traitement porte uniquement sur la transmission à l'application Télépoints de certaines données, énumérées à l'article 2 du projet d'arrêté.
L'accès au site Télépoints se fera par un identifiant correspondant au numéro de permis et un mot de passe qui figurera sur le relevé intégral et qui s'obtiendra donc uniquement auprès d'une autorité préfectorale.
La commission considère que le téléservice Télépoints relève du 4° du II de l'article 27 de la loi du 6 janvier 1978 modifiée en août 2004 qui prévoit que « sont autorisés par arrêté (...) pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés : (...) 4° Les traitements mis en oeuvre par l'Etat ou les personnes morales mentionnées au I aux fins de mettre à la disposition des usagers de l'administration un ou plusieurs téléservices de l'administration électronique, si ces traitements portent sur des données parmi lesquelles figurent le numéro d'inscription des personnes ou répertoire national d'identification ou tout autre identifiant des personnes physiques ».
Sur les données enregistrées :
Le traitement est alimenté par extraction des données enregistrées dans le SNPC.
Les données collectées, énumérées à l'article 2 du projet d'arrêté portant création du traitement projeté, sont les noms, prénoms, date de naissance des titulaires du permis de conduire, les soldes de points associés au permis de conduire des intéressés, leurs numéros de dossiers et leurs codes confidentiels sécurisés attribués à chaque dossier de permis de conduire.
Le site internet permettra aux conducteurs de connaître leur solde de points, à l'exclusion de toute autre information.
La commission estime que les données à caractère personnel collectées et traitées sont pertinentes au regard de la finalité du traitement.
Seuls les titulaires du permis de conduire ont accès aux informations délivrées par Télépoints.
Sur les sécurités du traitement :
L'application Télépoints met en oeuvre les mesures de sécurité suivantes :
- une connexion à l'application Télépoints via un protocole sécurisé de type HTTPS ;
- une identification de l'usager via son numéro de permis et son code personnel ;
- une confidentialité des informations de la base Télépoints via un chiffrement à partir du code confidentiel de l'usager, ce qui garantit qu'une personne ayant accès à la base Télépoint ne peut retrouver l'état civil des usagers ;
- un chiffrement des données dès l'extraction de la base SNPC, ce qui garantit qu'en cas d'interception des fichiers de mise à jour il ne peut y avoir de fuite d'informations ;
- une communication à sens unique des informations transmises à Télépoints ;
- une confidentialité du code personnel diffusé uniquement via le relevé intégral disponible en préfecture et sous-préfecture après un contrôle d'identité de l'usager par l'autorité préfectorale.
Par conséquent, la commission considère que les éléments qui lui ont été communiqués sur la sécurité du dispositif sont satisfaisants au regard de la finalité du traitement mis en oeuvre.
Sur l'information et le droit d'accès des personnes :
La commission relève qu'il est prévu d'informer les intéressés de leurs droits par une mention sur le site internet et que le projet d'arrêté précise en son article 5 que les droits d'accès et de rectification s'exercent auprès du service préfectoral du lieu de résidence de l'intéressé.
Une campagne d'information sera également organisée par le ministère de l'intérieur à l'occasion de la mise en service de Télépoints.
Fait à Paris, le 21 juin 2007.