JORF n°0258 du 5 novembre 2021

Ce texte est une simplification générée par une IA.
Il n'a pas de valeur légale et peut contenir des erreurs.

Création d'un traitement de données pour le transport public particulier de personnes

Résumé La CNIL donne son avis sur un projet de loi qui permet de surveiller et de contrôler le transport public particulier de personnes en collectant des données, tout en protégeant la vie privée des personnes.

Après avoir entendu le rapport de Mme Marie-Laure DENIS, présidente, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés (ci-après « la Commission ») a été saisie le 19 mars 2021 par le ministère de la transition écologique, puis le 25 juin 2021 par saisine rectificative, d'un projet d'arrêté portant création d'un traitement de données à caractère personnel relatif à la transmission des données des personnes intervenant dans le secteur du transport public particulier de personnes dénommé « Données du transport public particulier de personnes ».
L'article L. 3120-6 du code des transports, introduit par la loi n° 2016-1920 du 29 décembre 2016 relative à la régulation, à la responsabilisation et à la simplification dans le secteur du transport public particulier de personnes, prévoit :

- d'une part, l'obligation pour les centrales de réservation, mentionnées à l'article L. 3142-1 du même code, de communiquer à l'autorité administrative toute donnée utile au contrôle du respect des dispositions législatives et réglementaires relatives à l'accès aux professions du transport public particulier de personnes (T3P), à leurs conditions d'exercice et aux activités de mise en relation mentionnées au titre IV (« Les activités de mise en relation ») du livre 1er (« Le transport routier de personnes ») du code des transports ;
- d'autre part, que l'autorité administrative peut imposer à ces centrales de réservations la transmission périodique, à des fins statistiques, des données nécessaires à la connaissance de l'activité du secteur du T3P.

Dans sa délibération n° 2019-054 du 25 avril 2019, la Commission s'était prononcée sur un projet de décret introduisant les articles R. 3120-40 et R. 3120-41 du code des transports. Elle avait relevé que ces dispositions se limitent à préciser les modalités de transmission des données et à mentionner l'autorité compétente pour chaque finalité, et avait demandé à être saisie pour avis de tout projet d'acte réglementaire pris en application du décret et de l'article L. 3120-6 du code des transports en vue de compléter le cadre juridique.
Le projet d'arrêté soumis à l'avis de la Commission précise ce cadre juridique en portant création du traitement de données relatif à la transmission des données des personnes intervenant dans le secteur du transport public, en application de l'article L. 3120-6 du code des transports. Il renvoie, pour les données à caractère personnel susceptibles d'être traitées et leurs durées de conservation, et afin d'améliorer la lisibilité des dispositions encadrant chacune des finalités concernées, à deux arrêtés pris respectivement en application des articles R. 3120-40 (pour la finalité de contrôle) et R. 3120-41 (pour la finalité statistique) du code des transports, sur lesquels la Commission a également été saisie.
Sur les finalités :
L'article 1er du projet d'arrêté précise que le traitement créé a pour finalités, dans les conditions prévues au I et au II de l'article L. 3120-6 du code des transports : « 1° Le contrôle du respect des dispositions législatives et réglementaires relatives à l'accès aux professions du transport public particulier de personnes, à leurs conditions d'exercice et aux activités de mise en relation mentionnées à l'article L. 3141-1 du code des transports (vérification du respect des conditions d'accès et d'exercice de la profession conditions, recherche et constatation d'infractions pénales) » et « 2° La transmission périodique, à des fins statistiques, des données nécessaires à la connaissance de l'activité du secteur du transport public particulier de personnes ».
S'agissant de la finalité de contrôle :
La Commission souligne que les échanges avec le ministère ainsi que l'analyse du projet d'arrêté pris en application du I de l'article R. 3120-40 du code des transports, dont elle a été également saisie pour avis, révèlent que la finalité de contrôle précisée au 1° de l'article 1er du présent projet d'arrêté renvoie en, pratique, à deux traitements distincts. En effet, bien qu'ils doivent tous deux permettre d'assurer le contrôle du respect des dispositions législatives et réglementaires tel que prévu au 1° du paragraphe 1 de l'article L. 3120-6 du code des transports, ces traitements présentent certaines spécificités qui influent, notamment, sur l'intensité de leur caractère intrusif.
D'une part, l'annexe I du projet d'arrêté pris en application du I de l'article R. 3120- 40 du code des transports contient une liste de données susceptibles d'être demandées de façon ponctuelle. Ces données seraient collectées par les agents des ministères de l'intérieur, du ministère chargé du travail ainsi que du ministère chargé des transports, compétents pour réaliser le contrôle du respect des dispositions législatives et réglementaires visées au 1° du paragraphe 1 de l'article L. 3120-6 du code des transports. La Commission relève que ces données sont variées et susceptibles de donner une vision particulièrement précise de l'activité des professionnels concernés. Elle prend toutefois acte des précisions du ministère selon lesquelles ces données n'ont vocation à être collectées que par les autorités mentionnées ci-dessus, dans le cadre d'une action de contrôle délimitée et afin de confirmer des suspicions existantes à l'égard d'une personne identifiée, dont les sources peuvent être diverses (identification d'anomalies dans le cadre du traitement mis en œuvre à partir des données collectées de façon périodique, plaintes d'usagers et d'acteurs du secteur, etc.). Aussi, ces données serviront à constituer un faisceau d'indices dans le cadre d'une procédure spécifique et ne seront pas collectées de manière régulière. Par ailleurs, afin de s'assurer de la nécessité d'une telle collecte de données et que celle-ci soit adaptée en conséquence, la Commission invite le ministère à établir et lui adresser un rapport sur l'efficacité du dispositif, en particulier s'agissant du nombre de manquements identifiés grâce au traitement de données mis en place.
D'autre part, la Commission souligne que les données visées à l'annexe II du projet d'arrêté pris en application du I de l'article R. 3120-40 du code des transports, plus limitées dans leur étendue, sont en revanche collectées de façon périodique auprès des centrales de réservation afin d'assurer un contrôle régulier de l'accès et de l'exercice de la profession via leur croisement avec certains fichiers (registre des exploitants VTC, registre des conducteurs, etc.) et conduisent à la mise en place d'une surveillance systématique du respect des règles applicables à ces professionnels. Ces contrôles auront donc un champ moins large que ceux pour lesquels pourront être utilisées les données demandées ponctuellement, mais seront réalisés indépendamment de tout soupçon à l'égard d'un professionnel identifié.
En premier lieu, la Commission rappelle que le droit de communication instauré s'agissant des données susceptibles d'être collectées de façon ponctuelle, en cas de suspicion de fraude, ne doit en aucun cas conduire à alimenter une base de données destinée à détecter, en amont, des anomalies étrangères au cas d'espèce concerné par le contrôle.
En second lieu, la Commission considère qu'il serait opportun que l'arrêté portant création du traitement vienne distinguer, de manière explicite, les traitements tels que présentés ci-dessus afin de mettre en évidence les deux logiques.
S'agissant de la finalité statistique :
S'agissant de la finalité statistique visée au 2° du projet d'arrêté, la Commission invite le ministère à modifier la rédaction pour qu'elle rappelle explicitement qu'il est interdit de réutiliser ces données pour d'autres finalités, notamment de contrôle et de sanction des professionnels concernés.
Sur les droits des personnes :
La Commission prend acte de l'inscription par le ministère, dans sa saisine rectificative, d'une obligation à la charge des centrales de réservation d'informer, de manière visible, les professionnels, dont les données à caractère personnel sont traitées, de l'existence du traitement de données effectué à des fins statistiques et de contrôle. Elle prend également acte de la précision selon laquelle une information sur le traitement à destination des acteurs du T3P sera publiée sur le site du ministère. Elle rappelle que, conformément à l'article 12 du RGPD, l'information devra être fournie de façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples.
Par ailleurs, la Commission prend acte de l'exclusion expresse du droit d'opposition tant s'agissant de la finalité de contrôle que de la finalité statistique. En revanche, elle rappelle que le ministère chargé des transports, ou les centrales de réservations collectant des données sur les professionnels du T3P, devront satisfaire aux autres demandes d'exercice des droits formulées par les personnes concernées conformément aux articles 12 et suivants du RGPD et du titre III de la loi Informatiques et libertés modifiée.
Sur la sécurité :
La Commission prend note de l'impossibilité pour le ministère de préciser, à ce stade, les mesures de sécurité du système de collecte des données dont les modalités seront déterminées ultérieurement après échanges avec les plateformes de mise en relation.
Au vu de l'ampleur des données collectées et de la sensibilité du traitement envisagé, la Commission souligne néanmoins que les mesures de sécurité qui seront mises en place par le ministère, notamment en termes de chiffrement des flux et des sauvegardes, d'authentification, de journalisation et d'habilitation des agents, devront fournir des garanties satisfaisantes quant à l'authenticité, l'intégrité et à la confidentialité des données.

1 version

Historique des versions

Version 1

Après avoir entendu le rapport de Mme Marie-Laure DENIS, présidente, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,

Emet l'avis suivant :

La Commission nationale de l'informatique et des libertés (ci-après « la Commission ») a été saisie le 19 mars 2021 par le ministère de la transition écologique, puis le 25 juin 2021 par saisine rectificative, d'un projet d'arrêté portant création d'un traitement de données à caractère personnel relatif à la transmission des données des personnes intervenant dans le secteur du transport public particulier de personnes dénommé « Données du transport public particulier de personnes ».

L'article L. 3120-6 du code des transports, introduit par la loi n° 2016-1920 du 29 décembre 2016 relative à la régulation, à la responsabilisation et à la simplification dans le secteur du transport public particulier de personnes, prévoit :

- d'autre part, que l'autorité administrative peut imposer à ces centrales de réservations la transmission périodique, à des fins statistiques, des données nécessaires à la connaissance de l'activité du secteur du T3P.

Le projet d'arrêté soumis à l'avis de la Commission précise ce cadre juridique en portant création du traitement de données relatif à la transmission des données des personnes intervenant dans le secteur du transport public, en application de l'article L. 3120-6 du code des transports. Il renvoie, pour les données à caractère personnel susceptibles d'être traitées et leurs durées de conservation, et afin d'améliorer la lisibilité des dispositions encadrant chacune des finalités concernées, à deux arrêtés pris respectivement en application des articles R. 3120-40 (pour la finalité de contrôle) et R. 3120-41 (pour la finalité statistique) du code des transports, sur lesquels la Commission a également été saisie.

Sur les finalités :

L'article 1er du projet d'arrêté précise que le traitement créé a pour finalités, dans les conditions prévues au I et au II de l'article L. 3120-6 du code des transports : « 1° Le contrôle du respect des dispositions législatives et réglementaires relatives à l'accès aux professions du transport public particulier de personnes, à leurs conditions d'exercice et aux activités de mise en relation mentionnées à l'article L. 3141-1 du code des transports (vérification du respect des conditions d'accès et d'exercice de la profession conditions, recherche et constatation d'infractions pénales) » et « 2° La transmission périodique, à des fins statistiques, des données nécessaires à la connaissance de l'activité du secteur du transport public particulier de personnes ».

S'agissant de la finalité de contrôle :

La Commission souligne que les échanges avec le ministère ainsi que l'analyse du projet d'arrêté pris en application du I de l'article R. 3120-40 du code des transports, dont elle a été également saisie pour avis, révèlent que la finalité de contrôle précisée au 1° de l'article 1er du présent projet d'arrêté renvoie en, pratique, à deux traitements distincts. En effet, bien qu'ils doivent tous deux permettre d'assurer le contrôle du respect des dispositions législatives et réglementaires tel que prévu au 1° du paragraphe 1 de l'article L. 3120-6 du code des transports, ces traitements présentent certaines spécificités qui influent, notamment, sur l'intensité de leur caractère intrusif.

D'une part, l'annexe I du projet d'arrêté pris en application du I de l'article R. 3120- 40 du code des transports contient une liste de données susceptibles d'être demandées de façon ponctuelle. Ces données seraient collectées par les agents des ministères de l'intérieur, du ministère chargé du travail ainsi que du ministère chargé des transports, compétents pour réaliser le contrôle du respect des dispositions législatives et réglementaires visées au 1° du paragraphe 1 de l'article L. 3120-6 du code des transports. La Commission relève que ces données sont variées et susceptibles de donner une vision particulièrement précise de l'activité des professionnels concernés. Elle prend toutefois acte des précisions du ministère selon lesquelles ces données n'ont vocation à être collectées que par les autorités mentionnées ci-dessus, dans le cadre d'une action de contrôle délimitée et afin de confirmer des suspicions existantes à l'égard d'une personne identifiée, dont les sources peuvent être diverses (identification d'anomalies dans le cadre du traitement mis en œuvre à partir des données collectées de façon périodique, plaintes d'usagers et d'acteurs du secteur, etc.). Aussi, ces données serviront à constituer un faisceau d'indices dans le cadre d'une procédure spécifique et ne seront pas collectées de manière régulière. Par ailleurs, afin de s'assurer de la nécessité d'une telle collecte de données et que celle-ci soit adaptée en conséquence, la Commission invite le ministère à établir et lui adresser un rapport sur l'efficacité du dispositif, en particulier s'agissant du nombre de manquements identifiés grâce au traitement de données mis en place.

D'autre part, la Commission souligne que les données visées à l'annexe II du projet d'arrêté pris en application du I de l'article R. 3120-40 du code des transports, plus limitées dans leur étendue, sont en revanche collectées de façon périodique auprès des centrales de réservation afin d'assurer un contrôle régulier de l'accès et de l'exercice de la profession via leur croisement avec certains fichiers (registre des exploitants VTC, registre des conducteurs, etc.) et conduisent à la mise en place d'une surveillance systématique du respect des règles applicables à ces professionnels. Ces contrôles auront donc un champ moins large que ceux pour lesquels pourront être utilisées les données demandées ponctuellement, mais seront réalisés indépendamment de tout soupçon à l'égard d'un professionnel identifié.

En premier lieu, la Commission rappelle que le droit de communication instauré s'agissant des données susceptibles d'être collectées de façon ponctuelle, en cas de suspicion de fraude, ne doit en aucun cas conduire à alimenter une base de données destinée à détecter, en amont, des anomalies étrangères au cas d'espèce concerné par le contrôle.

En second lieu, la Commission considère qu'il serait opportun que l'arrêté portant création du traitement vienne distinguer, de manière explicite, les traitements tels que présentés ci-dessus afin de mettre en évidence les deux logiques.

S'agissant de la finalité statistique :

S'agissant de la finalité statistique visée au 2° du projet d'arrêté, la Commission invite le ministère à modifier la rédaction pour qu'elle rappelle explicitement qu'il est interdit de réutiliser ces données pour d'autres finalités, notamment de contrôle et de sanction des professionnels concernés.

Sur les droits des personnes :

La Commission prend acte de l'inscription par le ministère, dans sa saisine rectificative, d'une obligation à la charge des centrales de réservation d'informer, de manière visible, les professionnels, dont les données à caractère personnel sont traitées, de l'existence du traitement de données effectué à des fins statistiques et de contrôle. Elle prend également acte de la précision selon laquelle une information sur le traitement à destination des acteurs du T3P sera publiée sur le site du ministère. Elle rappelle que, conformément à l'article 12 du RGPD, l'information devra être fournie de façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples.

Par ailleurs, la Commission prend acte de l'exclusion expresse du droit d'opposition tant s'agissant de la finalité de contrôle que de la finalité statistique. En revanche, elle rappelle que le ministère chargé des transports, ou les centrales de réservations collectant des données sur les professionnels du T3P, devront satisfaire aux autres demandes d'exercice des droits formulées par les personnes concernées conformément aux articles 12 et suivants du RGPD et du titre III de la loi Informatiques et libertés modifiée.

Sur la sécurité :

La Commission prend note de l'impossibilité pour le ministère de préciser, à ce stade, les mesures de sécurité du système de collecte des données dont les modalités seront déterminées ultérieurement après échanges avec les plateformes de mise en relation.

Au vu de l'ampleur des données collectées et de la sensibilité du traitement envisagé, la Commission souligne néanmoins que les mesures de sécurité qui seront mises en place par le ministère, notamment en termes de chiffrement des flux et des sauvegardes, d'authentification, de journalisation et d'habilitation des agents, devront fournir des garanties satisfaisantes quant à l'authenticité, l'intégrité et à la confidentialité des données.