Finalité et caractéristiques du traitement.
Seuls peuvent faire l'objet d'un engagement de conformité en référence à la présente décision unique les traitements mis en oeuvre par les entreprises de location de véhicules ayant pour finalité la gestion d'un fichier des personnes susceptibles de représenter un risque contractuel ayant pour conséquence le refus de location aux personnes concernées.

Données à caractère personnel traitées.
Les seules données à caractère personnel pouvant être traitées dans les fichiers de gestion interne au titre de la présente décision unique d'autorisation sont :
a) La dénomination de l'entreprise et de l'agence ayant loué le véhicule ;
b) Le nom, le nom d'usage et le(s) prénom(s) du client et/ou du conducteur déclaré ;
c) La date et le lieu de naissance de la personne concernée ;
d) L'identifiant client ;
e) L'adresse du client ;
f) Le numéro de téléphone indiqué au contrat ;
g) Le numéro, la date, le lieu de délivrance du permis de conduire du client et/ou du conducteur déclaré ;
h) Le numéro d'immatriculation, la marque, le type et le modèle du véhicule concerné ;
i) Le numéro, la date et l'heure du contrat de location du véhicule.

Seules ces données associées aux actes ou faits entrant dans l'une des catégories suivantes peuvent faire l'objet d'un enregistrement dans les fichiers de gestion interne :

1. Incident de paiement ayant donné lieu à contentieux ;
2. Accidents ou dommages répétés imputables au conducteur ou à la personne inscrite au contrat ;
3. Accidents ou dommages causés volontairement ;
4. Utilisation d'un véhicule sans respecter les conditions générales du contrat de location.
   Seuls les employés ayant compétence pour vérifier le caractère certain du préjudice subi, et qui sont individuellement désignés et spécifiquement formés à cet effet, peuvent procéder à une inscription dans le fichier des personnes à risques. Le responsable du traitement s'engage à disposer des moyens suffisants pour permettre les vérifications nécessaires.
   Des zones bloc-notes peuvent être associées aux seuls actes et faits énumérés ci-dessus : les mentions inscrites dans ces zones ne doivent porter que sur des actes et des faits objectifs et ne peuvent, en aucun cas, faire apparaître, directement ou indirectement, des données relatives aux origines raciales, aux opinions politiques, philosophiques ou religieuses, aux appartenances syndicales ou aux moeurs de la personne concernée par ces actes ou ces faits.
   Dans les cas où le conducteur déclaré est un employé du client, ainsi que dans ceux où il y a pluralité de conducteurs déclarés, ne peuvent être associées aux actes et faits listés ci-dessus que les données afférentes à la seule personne concernée par les actes ou faits correspondants.
   L'inscription dans ce fichier ne peut être effectuée qu'après constat d'actes et de faits objectifs ou sur la base de documents tendant à prouver la réalité du préjudice subi par les organismes de location de véhicules concernés.

Destinataires des informations.
Seuls peuvent avoir communication des données précitées, dans la limite de leurs attributions respectives et pour l'exercice de la finalité visée à l'article 1er de la présente décision :
a) Les personnels individuellement désignés du service chargé des relations clientèle ;
b) Les responsables d'agences de location ;
c) Les personnes individuellement désignées du service en charge de la gestion du contentieux.
Les agents de comptoir en contact avec la clientèle n'ont pas directement accès aux motifs ayant justifié l'inscription dans le fichier, mais à un message d'alerte précisant l'existence d'un risque et leur indiquant la nécessité de renvoyer la personne concernée vers l'une des catégories de personnes susvisées.
Dans le cas d'une transmission au Conseil national des professions de l'automobile (CNPA) dans le cadre de l'autorisation donnée par la délibération susvisée n° 236 du 9 novembre 2006, les seules données à caractère personnel pouvant être traitées au titre de la présente décision sont les données énumérées à l'article 2.

Durées de conservation.
Les données visées à l'article 2 de la présente décision sont conservées pendant au maximum :
- trois ans à compter de la date de survenance pour les actes et faits entrant dans les catégories de 1 à 3 inclus ;
- cinq ans à compter de la date de survenance pour les actes et faits entrant dans la quatrième catégorie.
S'agissant des incidents de paiement, les faits et les données associées sont supprimés dès le paiement des sommes dues.

Mesures de sécurité.
Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité et la confidentialité des données traitées et pour empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance.
En particulier, le responsable de traitement assure une gestion rigoureuse des contrôles d'accès. Ainsi, les accès aux traitements de données s'effectuent par un identifiant et un mot de passe individuels, régulièrement renouvelés, ou par tout autre moyen d'authentification garantissant, a minima, un même niveau de sécurité.
Le responsable de traitement établit un état journalier des accès afin de pouvoir en assurer le contrôle. Il doit également disposer de moyens humains suffisants et formés.
Pour la consultation à distance du fichier ou la transmission des données qu'il contient, via un réseau de communication, le responsable de traitement recourt à des protocoles de communications sécurisés permettant de se prémunir contre les risques d'intrusion et le détournement de finalité.
Afin de parer au risque d'homonymie, la consultation du traitement s'effectue sur la base du nom, du prénom ainsi que de la date et du lieu de naissance.
Le responsable de traitement porte la mention « identité usurpée » concernant les personnes pour lesquelles il est établi que leur identité a été usurpée par un tiers et que les actes et faits incriminés ne leur sont pas imputables.

Information des personnes.
Le responsable du traitement procède, conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, à l'information des personnes concernées par la diffusion à chacune d'entre elles d'une note d'information, incluse dans le contrat de location du véhicule, précisant l'existence d'un traitement interne relatif à la prévention des risques, les conséquences d'une inscription dans un tel traitement et la possibilité qui leur est reconnue d'exercer un droit d'accès, de rectification et, le cas échéant, d'opposition à figurer dans un tel traitement pour motif légitime. Cette note d'information indique la transmission éventuelle des données à la branche loueurs du CNPA et leur mutualisation au profit des adhérents à cette branche.

Lorsque survient un acte ou un fait visé à l'article 2 de la présente décision, la personne concernée doit, préalablement à toute inscription dans un fichier de gestion des personnes à risques, en être informée et disposer de la possibilité de régulariser sa situation dans un délai déterminé porté à sa connaissance, ne pouvant être inférieur à quinze jours s'il s'agit d'un impayé.
En cas de contestation par la personne concernée des motifs pouvant entraîner son inscription dans le fichier de gestion des personnes à risques, le responsable de traitement doit procéder à une instruction contradictoire de cette contestation, dans un délai raisonnable, de façon non automatisée et assortie de la suspension du processus d'inscription dans le fichier.
Lors de son inscription effective dans le traitement ayant pour objet la prévention des risques, la personne concernée doit également en être informée.
Les droits d'accès, de rectification et, le cas échéant, d'opposition s'exercent auprès des personnes ou des services de l'entreprise de location ou, s'il y a lieu, du CNPA, dont les coordonnées doivent être clairement indiquées dans la note d'information précitée.

Tout traitement automatisé de données à caractère personnel ayant pour objet la prévention des risques qui n'est pas conforme aux dispositions qui précèdent doit faire l'objet d'une demande d'autorisation auprès de la commission dans les formes prescrites par les articles 25 (4°) et 30 de la loi du 6 janvier 1978 modifiée.

La présente délibération sera publiée au Journal officiel de la République française.