(Demande d'avis n° 08014819)

La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment l'article 26 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu le décret n° 95-577 du 6 mai 1995 relatif au système d'information national du système d'informations Schengen dénommé N-SIS ;
Vu le décret n° 2004-1086 du 14 octobre 2004 portant création et organisation du centre automatisé de constatation des infractions routières ;
Vu l'arrêté du 15 mai 1996 modifié relatif au fichier des véhicules volés ;
Vu l'arrêté du 13 octobre 2004 portant création du système de contrôle automatisé ;
Vu la délibération n° 2008-001 du 10 janvier 2008 autorisant la mise en œuvre par le ministère de l'intérieur d'un traitement automatisé de données à caractère personnel dénommé « système d'immatriculation des véhicules » (SIV) ayant pour finalité la gestion des pièces administratives du droit de circuler des véhicules ;
Après avoir entendu M. Guy Rosier, vice-président délégué, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Le ministère de l'intérieur, de l'outre-mer et des collectivités territoriales a saisi la commission d'un projet d'arrêté portant création d'un traitement automatisé de données à caractère personnel dénommé « base satellite des véhicules volés » (BSVV).
La BSVV est appelée à servir de support à la gestion des états de vol et de surveillance des véhicules et participe aux métiers de l'immatriculation, de l'investigation et de la verbalisation. Le ministère de l'intérieur ayant considéré que le fichier des véhicules volés n'avait pas les capacités d'interrogation pour répondre aux besoins de vérification de l'état de vol du véhicule lors d'une opération d'immatriculation a mis en place la BSVV en vue de répondre à ce besoin.
La commission considère que la création de la BSVV relève du 2° du I de l'article 26 de la loi du 6 janvier 1978 modifiée qui prévoit que « sont autorisés par arrêté (...) pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés les traitements de données à caractère personnel mis en œuvre pour le compte de l'Etat et/ou qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l'exécution des condamnations pénales ou des mesures de sûreté ».
Sur les finalités du traitement :
La BSVV, telle qu'elle est présentée, devrait permettre :
― d'informer sur la nature des opérations d'immatriculation réalisées sur un véhicule mis sous surveillance ;
― de disposer de l'information de vol pour les opérations de gestion de l'immatriculation afin de ne pas réaliser ces opérations si le véhicule est volé ;
― de disposer de l'information de l'état de vol à une date donnée sur un véhicule identifié par son numéro d'immatriculation si ce dernier circulait sous ce numéro lors du vol.
La commission considère que l'article 1er du projet d'acte réglementaire doit être modifié de façon à faire apparaître que la BSVV a pour finalité non pas d'« enregistrer » mais d'« accéder » aux informations relatives à l'état de vol et de la mise sous surveillance des véhicules.
Sur les données enregistrées :
Le traitement est alimenté par extraction des données enregistrées dans le National Schengen Identification System (NSIS), le Fichier des véhicules volés (FVV) et le Système d'immatriculation des véhicules (SIV).
Les données collectées, énumérées à l'article 2 du projet d'arrêté portant création du traitement projeté, sont les caractéristiques permettant l'identification du véhicule, l'état de vol du véhicule, le code du service à l'origine de cet état, le cas échéant, la date de découverte du véhicule ainsi que le code du service à l'origine de la découverte.
La commission estime que les données à caractère personnel collectées et traitées sont pertinentes au regard de la finalité du traitement.
Sur les destinataires des informations :
Sur les interconnexions :
La commission relève que les informations enregistrées dans la BSVV pourront, selon le cas, faire l'objet d'interconnexions et être consultables à distance. Elle observe, toutefois, que les organismes concernés n'auront accès à ces données que dans la limite de leurs attributions et en application de dispositions supralégislatives, législatives et réglementaires.
Des informations pourraient être ainsi échangées entre la BSVV et :
― le NSIS afin de permettre la mise à jour de la copie technique des états de vol et de surveillance en ce qui concerne les procédures ouvertes dans l'espace Schengen, hors de la France ;
― le FVV : afin de permettre la mise à jour de la copie technique des états de vol et de surveillance en ce qui concerne les procédures ouvertes en France ;
― le SIV : afin de transmettre aux services de police et aux unités de gendarmerie nationales ayant inscrit un véhicule surveillé dans le FVV, les opérations d'immatriculations effectuées ou tentées sur ce véhicule.
Sur la consultation de la BSVV :
Auront également accès à la BSVV, dans la limite de leurs attributions, et conformément aux dispositions législatives et réglementaires :
― les personnes habilitées à gérer le SIV afin d'interroger sur l'état de vol des véhicules et sur leur placement sous surveillance ;
― les personnes habilitées à gérer l'application du contrôle sanction automatisée (CSA) afin de consulter l'état de vol des véhicules avant d'engager une procédure de verbalisation suite à la commission d'une infraction au code de la route.
Pour permettre aux agents du CSA de consulter les informations de la BSVV, la commission recommande que soit mis à jour l'article 5 de l'arrêté du 13 octobre 2004 portant création du CSA afin qu'il apparaisse clairement dans le texte la possibilité d'une telle consultation.
Sur les sécurités du traitement :
L'application BSVV met en œuvre les mesures de sécurité suivantes :
― les accès des personnels de la police sont protégés par l'infrastructure Cheops (réseau privé avec chiffrement et authentification) ;
― les connexions de consultation de BSVV sont individuellement sécurisées par le protocole HTTPS ;
― l'hébergement des machines est réalisé sur le réseau privé RGT interne du ministère de l'intérieur ;
― les accès à l'application sont journalisés ;
― les accès physiques aux locaux informatiques sont contrôlés (badge/habilitation) ;
― une politique de sécurité est formalisée.
Les échanges avec les autres bases (SIV, CSA, N-SIS et FVV) sont protégés soit par des technologies WEB sécurisées, soit par l'utilisation de lignes spécialisées privatives (X25).
Par conséquent, la commission considère que les éléments qui lui ont été communiqués sur la sécurité du dispositif sont satisfaisants au regard de la finalité du traitement mis en œuvre.
Sur l'information et les droits des personnes :
Le ministère de l'intérieur considère que le droit d'information prévu au I de l'article 32 de la loi du 6 janvier 1978, modifiée par la loi du 6 août 2004, et le droit d'opposition prévu à l'article 38 de la même loi ne s'appliquent pas au traitement considéré, conformément aux dispositions du V et du VI de l'article 32 de ladite loi.
Pour autant, la commission estime qu'il serait souhaitable qu'une information soit donnée sur les modalités d'exercice du droit d'accès aux personnes concernées lorsque leur inscription dans ce fichier leur sera opposable. Il est en effet prévu que les individus intéressés pourront exercer leur droit d'accès indirectement auprès de la Commission nationale de l'informatique et des libertés pour les véhicules surveillés conformément à l'article 41 de la loi n° 78-17 du 6 janvier 1978, et directement auprès de la direction générale de la police nationale pour les véhicules volés conformément à l'article 39 de la loi n° 78-17.
Le droit d'opposition prévu à l'article 38 de la loi du 6 janvier 1978 modifiée n'est pas applicable au présent traitement.
Fait à Paris, le 23 octobre 2008.