Après avoir entendu le rapport de Mme Marie-Laure DENIS, présidente, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés (ci-après « la Commission ») a été saisie, le 19 mars 2021, par le ministère de la transition écologique, d'un projet d'arrêté pris en application du I de l'article R. 3120-40 du code des transports.
L'article L. 3120-6 du code des transports, introduit par la loi n° 2016-1920 du 29 décembre 2016 relative à la régulation, à la responsabilisation et à la simplification dans le secteur du transport public particulier de personnes, prévoit l'obligation, notamment pour les centrales de réservation, de communiquer à l'autorité administrative toute donnée utile au contrôle du respect des dispositions législatives et réglementaires relatives à l'accès aux professions du transport public particulier de personnes (T3P), à leurs conditions d'exercice et aux activités de mise en relation, à l'exclusion des données à caractère personnel relatives aux passagers.
Le paragraphe I de l'article R. 3120-40 du code des transports liste les agents pouvant demander la communication de ces données et prévoit que, sauf dans les cas où des dispositions législatives ou réglementaires en disposent autrement, la nature, l'antériorité et la durée de conservation de ces données et, le cas échéant, la périodicité minimale de leur communication par les personnes intervenant dans le secteur du transport public particulier de personnes sont fixées par arrêté conjoint du ministre de l'intérieur et des ministres chargés des transports et du travail.
La Commission, qui s'était prononcée sur le décret introduisant cette disposition, avait demandé à être saisie pour avis de tout projet d'acte réglementaire pris en application de ce décret.
Si les dispositions relatives à l'antériorité et la durée de conservation des données ainsi que, le cas échéant, la périodicité minimale de leur communication, n'appellent pas d'observations particulières de la Commission, elle rappelle toutefois la nécessité de limiter à ce qui est nécessaire les données demandées dans le cadre de suspicion de fraude (données listées à l'annexe I) et invite le ministère à préciser les agents qui auront accès aux données collectées périodiquement (données listées à l'annexe II). Enfin, elle s'interroge sur la collecte de certaines données au regard de l'interdiction de collecter des données à caractère personnel relatives aux passagers.
Sur les données susceptibles d'être demandées de façon ponctuelle ou périodique :
L'article 1er du projet d'arrêté distingue les données susceptibles d'être demandées aux centrales de réservations à des fins de contrôle en fonction du fait que celles-ci soient susceptibles d'être recueillies de façon ponctuelle (annexe I) ou de façon périodique (annexe II).
A titre liminaire, comme mentionné dans la délibération n° 2021-094 du 22 juillet 2021 portant avis sur le projet d'arrêté portant création du traitement de données à caractère personnel dénommé « Données du transport public particulier de personnes », les traitements mis en œuvre à partir de ces données, s'ils concourent à la même finalité, doivent toutefois être distingués. Leur confusion reviendrait à instaurer une surveillance systématique du secteur du transport public particulier de personnes pour un champ très large d'infractions et sur la base de données très précises dont la combinaison présente un caractère particulièrement intrusif.
S'agissant des données collectées, la Commission prend acte des précisions apportées par le ministère selon lesquelles l'ensemble des données listées au sein de de l'annexe I du projet d'arrêté ne seront pas collectées indépendamment de la nature de la suspicion de fraude concernée. En effet, la demande formulée portera sur les seules données pertinentes au regard de l'infraction suspectée et des personnes concernées. Elle rappelle que seuls des agents habilités par un texte à réaliser des contrôles pour une finalité déterminée peuvent avoir accès aux données, dans la mesure strictement nécessaire à la réalisation du contrôle dont ils ont la charge.
Par ailleurs, la Commission prend note de la précision apportée par le ministère chargé des transports selon laquelle seuls les agents du ministère auront accès aux données collectées périodiquement. Toutefois, elle relève que l'annexe II du projet d'arrêté, s'agissant de l'autorité compétente pouvant collecter de manière périodique les données, renvoie au I de l'article R. 3120-40 du code des transports, qui vise une liste plus étendue d'agents. La Commission relève donc que le projet d'arrêté ne garantit pas, en l'état, que seuls les agents du ministère chargé des transports pourront traiter ces données à des fins de contrôle et invite le ministère à préciser le projet sur ce point.