CNIL, 12 juin 2014, 2014-252

(Demande d'autorisation n° 1680822) La Commission nationale de l'informatique et des libertés,

Saisie par

la société des autoroutes Esterel, Côte d'azur, Provence, Alpes (ESCOTA) d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la prévention des impayés ;

Vu

la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le dossier et ses compléments ; Sur la proposition de M. Eric PERES, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,

Formule les observations suivantes

: Sur le responsable du traitement Le responsable de traitement est la société des autoroutes Esterel, Côte d'azur, Provence, Alpes (ESCOTA). Sur la finalité La finalité du traitement est la prévention des impayés des clients abonnés par la création d'une liste d'opposition de certains supports d'abonnement au péage (cartes magnétiques et télébadge) dite « liste grise ». L'inscription de ces supports d'abonnement en liste grise résulte du rejet du prélèvement sur le compte bancaire du client abonné conduisant à un impayé. Le titulaire d'un support inscrit sur la liste grise ne peut plus bénéficier de l'autorisation de passage en voie de péage, et ce jusqu'à la régularisation de l'impayé. A défaut de régularisation dans les 20 jours qui suivent l'impayé, le contrat est résilié. La Commission prend acte de ce que, pendant la durée d'inscription de leurs supports sur la liste grise, les abonnés conservent la possibilité d'utiliser l'autoroute en payant par un autre moyen accepté par le réseau. La Commission estime que la finalité poursuivie est déterminée, légitime et explicite. Par ailleurs, elle considère qu'il y a lieu de faire application des dispositions de l'article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire. Sur les données traitées Les données enregistrées dans la liste grise sont le code émetteur du support (numéro de support d'abonnement) et le numéro client. La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie. Sur les destinataires Les destinataires des données sont les personnels dûment habilités : du service commercial de la société ESCOTA en charge de la gestion des contrats d'abonnement et de la facturation ; les sociétés concessionnaires d'autoroutes utilisant les mêmes supports d'abonnement, les sociétés d'exploitation d'ouvrage à péage et les sociétés d'exploitation de parking acceptant les télébadges. Ces destinataires n'appellent pas d'observations de la part de la Commission. Sur l'information et le droit d'accès Conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées de l'identité du responsable de traitement, de la finalité du traitement, des destinataires des données et de leurs droits dans les conditions générales d'abonnement. Les personnes concernées sont également informées, dans ces mêmes conditions générales d'abonnement, de la possibilité qu'elles soient inscrites sur la liste d'opposition en cas d'impayé. En outre, en cas d'impayé, la société informe les personnes concernées par courrier postal qu'à défaut de régularisation dans les 10 jours, elles feront l'objet d'une inscription sur la liste grise. Elles sont également contactées par courrier électronique et/ou par téléphone avant cette inscription. Les droits d'accès et de rectification s'exercent auprès du service Département Administration Péage de la société des autoroutes Esterel, Côte d'azur, Provence, Alpes (ESCOTA), 432, avenue de Cannes - 06210 MANDELIEU LA NAPOULE. La Commission estime que ces modalités d'information et d'exercice des droits sont satisfaisantes. Sur les mesures de sécurité Le traitement met en œuvre une base de données hébergée au sein de l'organisme. La Commission prend acte du fait que le traitement est accessible via internet, et que le transport des données se fait via le protocole SSL, ce qui permet de garantir l'identité du serveur et la confidentialité des données. Le traitement est également accessible à partir de réseaux privés connectés par l'intermédiaire d'un VPN ou d'une ligne spécialisée. Les développements sont réalisés sur des environnements distincts des environnements de productions et sur des données fictives ou anonymisés. La Commission observe que l'authentification des utilisateurs du traitement respecte ses préconisations, et notamment que les mots de passe utilisés sont d'un niveau de complexité suffisant. Le traitement met en œuvre une traçabilité des accès à l'application et aux fichiers de données à caractère personnel pour les actions de création, mis à jour et suppression. Ces traces seront conservées pour une durée de 6 mois. Les mesures de sécurité mises en place n'appellent pas d'observation de la part de la Commission et sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. Sur les autres caractéristiques du traitement Les données sont conservées dans la liste grise jusqu'à la régularisation de l'impayé, et au plus tard jusqu'à la résiliation du contrat (soit 20 jours à compter de l'impayé). La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement. Par ailleurs, elle prend acte de ce que ce traitement est interconnecté avec le traitement de gestion des informations relatives aux abonnés de la société et aux clients sociétaires. Ainsi, en cas d'impayé, le code émetteur du support d'abonnement est extrait de ce fichier pour être placé dans la liste grise.

Autorise, conformément à la présente délibération

, la société des autoroutes Esterel, Côte d'azur, Provence, Alpes (ESCOTA) à mettre en œuvre le traitement susmentionné. La Présidente I. FALQUE-PIERROTIN