Délibération nº 2006-188 du 6 juillet 2006 portant autorisation unique de mise en oeuvre de traitements automatisés de données à caractère personnel relatifs à la gestion du contentieux lié au recouvrement des contraventions au code de la route et à l'identification des conducteurs dans le cadre du système de contrôle automatisé des infractions au code de la route (décision d'autorisation unique nº AU-010).

La Commission nationale de l'informatique et des libertés,

Vu la convention nº 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;

Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;

Vu la loi nº 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi nº 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment ses articles 25 (3°) et 25 (5°) ;

Vu le code de procédure pénale, et notamment ses articles 529 à 529-2, 529-6 à 530-3 et 537 ;

Vu le code de la route, et notamment ses articles L. 121-2 et L. 121-3, L. 130-1 à L. 130-9, L. 225-1 à L. 225-9 et L. 330-2 à L. 330-5 ;

Vu le décret nº 2005-1309 du 20 octobre 2005 pris pour l'application de la loi nº 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi nº 2004-801 du 6 août 2004 ;

Vu l'arrêté du 29 juin 1992 modifié portant création du Système national des permis de conduire ;

Vu l'arrêté du 20 janvier 1994 portant création du fichier national des immatriculations ;

Vu l'arrêté du 18 juillet 1994 portant création du traitement automatisé de suivi du recouvrement des amendes et des condamnations pécuniaires ;

Vu l'arrêté du 13 octobre 2004 portant création du système de contrôle automatisé ;

Vu la délibération de la Commission nationale de l'informatique et des libertés nº 2004-076 du 5 octobre 2004 portant avis sur un projet d'arrêté interministériel portant création d'un dispositif dénommé système » contrôle automatisé » visant à automatiser la constatation, la gestion et la répression de certaines infractions routières ;

Vu la délibération nº 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;

Après avoir entendu M. Guy Rosier, vice-président délégué, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations,

Formule les observations suivantes :

Les organismes de droit public ou de droit privé ayant pour activité la location de véhicules ou mettant des véhicules à disposition de leurs collaborateurs ou clients, lorsqu'ils sont titulaires du certificat d'immatriculation desdits véhicules, sont redevables pécuniairement de l'amende encourue pour des contraventions à la réglementation :

– sur le stationnement des véhicules ;

– sur l'acquittement des péages ;

– sur les vitesses maximales autorisées ;

– sur le respect des distances de sécurité entre les véhicules ;

– sur l'usage de voies et chaussées réservées à certaines catégories de véhicules ;

– sur les signalisations imposant l'arrêt des véhicules.

A cet égard, les organismes publics ou privés précités sont destinataires des procès-verbaux établis par les personnes habilitées à constater les contraventions susvisées. Ils peuvent néanmoins s'exonérer de leur responsabilité, notamment s'ils fournissent des renseignements permettant d'identifier l'auteur véritable de l'infraction.

Pour ce faire, ils doivent adresser une requête tendant à leur exonération auprès du service indiqué dans l'avis de contravention. Cette requête prend la forme d'une lettre signée précisant l'identité, l'adresse ainsi que la référence du permis de conduire de la personne qui était présumée conduire le véhicule lorsque la contravention a été constatée.

En outre, pour faciliter l'identification des contrevenants et donc le recouvrement des contraventions, l'arrêté du ministère de l'intérieur, de la sécurité intérieure et des libertés locales du 13 octobre 2004 portant création du système de contrôle automatisé prévoit que ce système peut faire l'objet d'interconnexion, de mise en relation ou de rapprochement avec les traitements relatifs à la gestion :

– des contrats de location et des véhicules loués mis en oeuvre par les organismes publics ou privés ayant pour activité la location de véhicules ;

– du parc automobile mis en oeuvre par les organismes publics ou privés mettant des véhicules à disposition de leurs collaborateurs ou clients.

Les conditions de cette interconnexion entre des traitements ayant des finalités principales différentes, à savoir, d'une part, automatiser la constatation, la gestion et la répression de certaines infractions routières et, d'autre part, assurer la gestion des contrats de location et du parc automobile, sont prévues par une convention signée avec le Centre national de traitement.

Dès lors, il y a lieu de faire application :

– d'une part, de l'article 25 (3°) de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté, sauf ceux qui sont mis en oeuvre par des auxiliaires de justice pour les besoins de leurs missions de défense des personnes concernées ;

– d'autre part, de l'article 25 (5°) de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés ayant pour objet l'interconnexion de fichiers relevant d'une ou de plusieurs personnes morales et dont les finalités, principales sont différentes.

En vertu de l'article 25-II de la loi du 6 janvier 1978 susvisée, la commission peut adopter une décision unique d'autorisation pour des traitements répondant notamment aux mêmes finalités, portant sur des catégories de données et des catégories de destinataires identiques.

Le responsable de traitement qui met en oeuvre un traitement de données à caractère personnel ayant pour finalités, d'une part, l'identification des conducteurs conformément aux dispositions de l'arrêté du 13 octobre 2004 portant création du système de contrôle automatisé des infractions au code de la route et, d'autre part, la gestion du contentieux lié au recouvrement des contraventions au code de la route, dans le respect des dispositions de cette décision unique, adresse à la commission un engagement de conformité de celui-ci aux caractéristiques de la présente autorisation,

Décide que les responsables de traitement qui adressent à la commission une déclaration comportant un engagement de conformité pour leurs traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à mettre en oeuvre ces traitements.

Article 1. Finalités et caractéristiques techniques du traitement.

Seuls peuvent faire l'objet d'un engagement de conformité en référence à la présente décision unique les traitements mis en oeuvre par les publics ou privés ayant pour activité la location de véhicules ou mettant des véhicules à disposition de leurs collaborateurs ou clients, lorsqu'ils sont titulaires du certificat d'immatriculation desdits véhicules :

– ayant pour finalité l'identification des conducteurs ayant commis une infraction au code de la route et qui sont mis en oeuvre dans les conditions prévues par une convention à signer avec le Centre national de traitement du contrôle automatisé ;

– ayant pour finalité la gestion du contentieux lié au recouvrement des contraventions au code de la route dont peuvent être redevables pécuniairement les organismes publics ou privés susvisés.

Article 2. Données à caractère personnel traitées.

a) Les seules données à caractère personnel relatives au conducteur traitées et transmises au Centre national de traitement par les organismes publics ou privés ayant pour activité la location de véhicules ou mettant des véhicules à disposition de leurs collaborateurs ou clients sont :

1. Le nom, le nom d'usage et le(s) prénom(s) ;

2. La date et le lieu de naissance ;

3. La nationalité ;

4. L'adresse ;

5. Le numéro de permis de conduire ;

6. Le numéro d'immatriculation du véhicule concerné.

b) Les seules données à caractère personnel relatives au conducteur traitées et transmises, auprès du service indiqué dans l'avis de contravention, par les organismes publics ou privés ayant pour activité la location de véhicules ou mettant des véhicules à disposition de leurs collaborateurs ou clients sont :

7. Le nom, le nom d'usage et le(s) prénom(s) ;

8. La date et le lieu de naissance ;

9. L'adresse ;

10. Le numéro de permis de conduire ;

11. La date et le lieu d'obtention du permis de conduire ;

12. Le numéro d'immatriculation du véhicule concerné ;

13. Le numéro, la date et l'heure du contrat de location ou de prêt du véhicule ;

14. Le numéro de procès-verbal ;

15. Le numéro de l'amende forfaitaire majorée.

Lorsque le véhicule a été loué ou mis à disposition d'un client, personne morale, les organismes publics ou privés ayant pour activité la location de véhicules ou mettant des véhicules à disposition de leurs clients peuvent transmettre au service indiqué dans l'avis de contravention l'identité d'un contact au sein de l'organisme concerné.

c) Outre les données susvisées, les organismes publics ou privés ayant pour activité la location de véhicules ou mettant des véhicules à disposition de leurs collaborateurs ou clients peuvent traiter :

1. La date et l'heure de la contravention ;

2. Le montant de la contravention ;

3. Les informations relatives au service émetteur du procès-verbal ;

4. Le type de courrier envoyé.

Article 3. Destinataires des informations.

S'agissant des traitements d'identification des conducteurs mis en oeuvre dans le cadre de l'arrêté du 13 octobre 2004 portant création du système de contrôle automatisé des infractions au code de la route, le destinataire des données à caractère personnel précitées est le Centre national de traitement du contrôle automatisé.

S'agissant des traitements ayant pour finalité la gestion du contentieux lié au recouvrement des contraventions au code de la route :

– le destinataire des données à caractère personnel précitées est le service indiqué dans l'avis de contravention ;

– seules les personnes en charge de la gestion du contentieux au sein des organismes publics ou privés ayant pour activité la location de véhicules ou mettant des véhicules à disposition de leurs collaborateurs ou clients sont, dans la limite de leurs attributions respectives et pour la poursuite de la finalité visée à l'article 1er de la présente décision unique d'autorisation, destinataires de données à caractère personnel susvisées.

Article 4. Durée de conservation.

Les traces des requêtes effectuées par le Centre national de traitement sur les conducteurs de véhicules ayant commis une infraction au code de la route sont détruites après le retour d'information au Centre national de traitement.

En aucun cas, les organismes publics ou privés visés à l'article 1er et dont les traitements de gestion du parc automobile, des contrats de location et des véhicules loués sont interconnectés, mis en relation ou rapprochés avec le système de contrôle automatisé ne peuvent garder traces de ces requêtes, les consolider ou les archiver.

S'agissant des traitements ayant pour finalité la gestion du contentieux lié au recouvrement des contraventions au code de la route, les organismes publics ou privés ayant pour activité la location de véhicules ou mettant des véhicules à disposition de leurs collaborateurs ou clients peuvent consulter en ligne les données visées à l'article 2 de la présente décision unique d'autorisation au maximum un mois à compter de la réception de l'avis de contravention. A l'issue de cette période, ces données peuvent être archivées pendant au maximum dix-huit mois.

Article 5. Mesures de sécurité.

Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité et la confidentialité des données traitées et notamment pour empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance.

En particulier, les accès aux traitements de données s'effectuent par un identifiant et un mot de passe individuels, régulièrement renouvelés, ou par tout autre moyen d'authentification. Ces accès sont enregistrés et leur régularité est contrôlée.

S'agissant des traitements d'identification des conducteurs mis en oeuvre dans le cadre de l'arrêté du 13 octobre 2004 précité, les contraintes techniques d'échange informatique ainsi que les mesures destinées à assurer la sécurité des systèmes d'information des données et des mécanismes d'échange doivent être mises en oeuvre dans les conditions prévues par la convention à signer avec le Centre national de traitement et notamment son Cahier des clauses techniques particulières.

Article 6. Information des personnes.

Le responsable du traitement procède, conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée en août 2004, à l'information des personnes susceptibles d'être concernées par la diffusion à chacune d'entre elles d'une note explicative pouvant figurer, le cas échéant, dans le contrat de location ou de prêt du véhicule.

Par ailleurs, les organismes publics ou privés mettant des véhicules à disposition de leurs collaborateurs procèdent également, conformément aux dispositions de l'article L. 432-2-1 du code du travail et à la législation applicable aux trois fonctions publiques, à l'information et à la consultation des instances représentatives du personnel avant la mise en oeuvre des traitements visés à l'article 1er.

Article 7. Exercice des droits d'accès et de rectification.

Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 modifiée s'exerce auprès du ou des services que le responsable de traitement aura désignés.

Article 8. Tout traitement automatisé de données à caractère personnel ayant pour objet l'interconnexion, le rapprochement ou la mise en relation de traitements relatifs à la gestion des contrats de location, des véhicules loués ou du parc automobile avec le système de contrôle automatisé qui n'est pas conforme aux dispositions qui précèdent doit faire l'objet de demandes d'autorisation auprès de la commission dans les formes prescrites par les articles 25 (3°), 25 (5°) et 30 de la loi du 6 janvier 1978 modifiée.

Article 9. La présente délibération sera publiée au Journal officiel de la République française.

Le président, A. Türk