La Commission nationale de l'informatique et des libertés,

Saisie par le ministère de l'intérieur d'une demande d'avis concernant la modification de l'arrêté du 13 octobre 2004 portant création du système de contrôle automatisé ;

Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;

Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;

Vu le code de procédure pénale, notamment ses articles 529-1 et suivants ;

Vu le code de la route, notamment son article L. 130-9 ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26 (I, 2°) et 30 ;

Vu la loi n° 2003-495 du 12 juin 2003 renforçant la lutte contre la violence routière ;

Vu la loi n° 2011-267 du 14 mars 2011 d'orientation et de programmation pour la performance de la sécurité intérieure ;

Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;

Vu l'arrêté du 13 octobre 2004 modifié portant création du système de contrôle automatisé ;

Vu la délibération n° 2004-076 du 5 octobre 2004 portant avis sur un projet d'arrêté interministériel portant création d'un dispositif dénommé système « contrôle automatisé » visant à automatiser la constatation, la gestion et la répression de certaines infractions routières ;

Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,

Emet l'avis suivant :

La loi du 12 juin 2003 renforçant la lutte contre la violence routière a modifié les dispositions du code de procédure pénale et du code de la route, afin d'apporter un cadre juridique au système de contrôle sanction automatisé.

L'article 529-11 du code de procédure pénale dispose ainsi que « l'avis de contravention prévu par les articles 529-1 et 529-8 peut être envoyé à la suite de la constatation d'une contravention au code de la route réalisée grâce à un appareil homologué de contrôle automatique ».

Dans ce cadre, le ministère de l'intérieur a été autorisé, par l'arrêté du 13 octobre 2004 pris après avis de la commission, à mettre en œuvre un traitement de données à caractère personnel permettant notamment de constater, au moyen d'appareils de contrôle automatique homologués, certaines infractions au code de la route.

La loi n° 2011-267 du 14 mars 2011 dite LOPPSI 2 a modifié l'article L. 130-9 du code de la route. Cet article prévoit dorénavant que : « Lorsque l'excès de vitesse est constaté par le relevé d'une vitesse moyenne, entre deux points d'une voie de circulation, supérieure à la vitesse maximale autorisée entre ces deux points, le lieu de commission de l'infraction est celui où a été réalisée la deuxième constatation, sans préjudice des dispositions du précédent alinéa. »

En pratique, le relevé de la vitesse moyenne peut être effectué par une nouvelle catégorie de radars, appelés radars de vitesse moyenne ou « radars-tronçons ». La mise en œuvre de ces nouveaux dispositifs implique notamment la collecte de nouvelles données à caractère personnel, non mentionnées dans l'arrêté du 13 octobre 2004 modifié.

Dans ce contexte, le ministère de l'intérieur a saisi la commission, à sa demande expresse, d'une demande d'avis portant sur un projet d'arrêté modificatif, sur le fondement des dispositions des articles 26 (I, 2°) et 30 de la loi du 6 janvier 1978 modifiée.

Par ailleurs, le ministère a informé la commission de la mise en place des radars « mobile-mobile », qui sont embarqués à bord des voitures banalisées pour photographier, sans flash visible et en roulant, tous les véhicules en excès de vitesse. Selon le ministère, ces radars étaient déjà couverts par l'arrêté du 13 octobre 2004. En effet, les données collectées sont les mêmes que pour les radars fixes dans la mesure où seules les données relatives aux véhicules en infraction sont concernées.

Sur les personnes concernées par les radars de vitesse moyenne et les nouvelles données collectées :

La mise en œuvre des radars-tronçons implique nécessairement la collecte de données relatives à l'ensemble des véhicules qui circulent sur la section contrôlée, et non aux seuls véhicules en infraction.

A cet égard, la commission prend acte que les données relatives aux véhicules n'étant pas en infraction ne sont pas transmises au Centre national de traitement (CNT) et ne sont donc pas enregistrées dans le système de contrôle automatisé, comme le prévoit le projet d'article 2-1 (III) de l'arrêté du 13 octobre 2004 modifié.

L'article 3 dudit arrêté est également modifié afin de mentionner expressément que seules les données relatives aux véhicules en infraction sont enregistrées dans le système de contrôle automatisé.

Par ailleurs, le projet d'article 2-1 de l'arrêté du 13 octobre 2004 modifié liste les données collectées par les radars de vitesse moyenne, à savoir les clichés concernant le véhicule et ses passagers, le lieu, la date et l'heure des clichés (ceux-ci étant pris à l'entrée et à la sortie de la section contrôlée), la voie de circulation du véhicule et le numéro d'immatriculation du véhicule. Ces nouveaux radars impliquent en outre la collecte de la vitesse moyenne du véhicule, qui est calculée entre les deux bornes et comparée à la vitesse autorisée.

La Commission estime que les données ainsi collectées sont pertinentes au regard de la finalité poursuivie.

Sur la durée et les modalités de conservation des données :

Le point III du projet d'article 2-1 de l'arrêté précité prévoit que les données sont enregistrées dans le système de contrôle automatisé lorsqu'une infraction à la vitesse maximale autorisée est constatée. En revanche, lorsque aucune infraction à la vitesse maximale autorisée n'est constatée, les données sont supprimées dans les vingt-quatre heures.

Par ailleurs, la commission prend acte que les données sont également supprimées dans les vingt-quatre heures dans les deux cas suivants :

― lorsqu'une plaque d'immatriculation enregistrée par la borne d'entrée n'est pas retrouvée en sortie ;

― lorsqu'une plaque d'immatriculation enregistrée par la borne de sortie ne correspond à aucune plaque enregistrée par la borne d'entrée.

Les données relatives aux véhicules n'étant pas en infraction sont conservées localement pendant vingt-quatre heures, dans les bornes des radars. Si la capacité du disque dur de ces bornes permet une conservation pendant sept jours, un processus automatique se charge de supprimer les données après vingt-quatre heures, par l'intermédiaire d'une commande de suppression de ligne. A chaque redémarrage du système (toutes les vingt-quatre heures), celui-ci s'assure que les données supprimées ont bien été purgées.

En outre, pour prévenir tout accès illégitime aux données qui sont conservées en local, le disque dur des bornes est chiffré et signé selon les règles de la politique de sécurité des systèmes d'information du CNT, validée par l'ANSSI. Cette mesure permet donc de prévenir l'accès aux données en cas de vol du disque dur.

La Commission considère que les modalités de conservation permettent d'assurer la confidentialité des informations collectées par l'intermédiaire des radars-tronçons.

Cependant, la commission estime que les données doivent être supprimées le plus tôt possible après le passage des véhicules non en infraction devant la borne de sortie. Dans ce contexte, elle recommande que le premier alinéa du projet d'article 2-1 (III) soit modifié de la façon suivante : « Lorsque aucune infraction à la vitesse maximale autorisée n'est constatée, les données collectées et la vitesse moyenne calculée correspondante sont supprimées dès que possible, dans le délai maximum de vingt-quatre heures. »

Sur les destinataires :

L'article 4 de l'arrêté du 13 octobre 2004 modifié liste les destinataires des données enregistrées dans le système de contrôle automatisé, à savoir notamment les autorités judiciaires, les forces de l'ordre, les sociétés de location de véhicules et les sociétés mettant des véhicules à disposition de leurs collaborateurs (pour l'identification des auteurs des contraventions et le recouvrement).

La Commission prend acte que le projet d'arrêté ne modifie pas cette liste, mais précise, à des fins de clarification, que ces destinataires ne peuvent accéder qu'aux seules données mentionnées à l'article 3 (les données relatives aux seuls véhicules ayant commis une infraction).

Ainsi, les destinataires mentionnés à l'article 4 ne peuvent en aucun cas avoir accès aux données relatives aux véhicules pour lesquels aucune infraction n'a été constatée.

La présidente,

I. Falque-Pierrotin