Accueil » Actualité juridique » Maître Stéphane Vacca » Actualité » RGPD et collecte d’informations liées aux pertes de points de permis de conduire de collaborateurs, conducteurs de véhicules de fonction ou de service

Actualité du Cabinet Stéphane VACCA Cabinet inscrit au Barreau de PARIS


RGPD et collecte d’informations liées aux pertes de points de permis de conduire de collaborateurs, conducteurs de véhicules de fonction ou de service

Par Maître Stéphane Vacca | 06-09-2019 | 0 commentaires | 431 vues


Nous allons étudier la question du contentieux lié au recouvrement des contraventions au code de la route et à l'identification des conducteurs dans le cadre du système de contrôle automatisé des infractions au code de la route.

 

Question : l’entreprise ou la collectivité, qui met à la disposition de salariés ou collaborateurs des véhicules de service ou de fonction, peut-elle collecter et archiver les informations liées aux pertes de points des permis de conduire ?

 

D’abord, qu’est-ce que le RGPD ?

C’est l’acronyme pour Règlement Général pour la Protection des Données, issu du règlement (UE) 2016/769 du parlement européen et du Conseil du 27/04/2016 (relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE), entré en application depuis le 25 mai 2018 (application qui avait été repoussée de 2 ans), dans tous les états membres de l'union européenne, sans que des textes nationaux (loi, décrets) ne soient nécessaires. Néanmoins, une loi n°2018-493 du 20 juin 2018 adaptant la législation française au RGPD a été publiée au JO du 21 juin 2018, ainsi qu’un décret n°2018-687 du 1er août 2018 mettant en conformité les textes règlementaires avec la loi informatique et libertés du 6 janvier 1978.

 

Quels sont les grands principes du RGPD et de la loi ?

Mettre en ½uvre une gouvernance de protection des données personnelles (« accountability » en anglais) dès la conception du traitement, en assurer la sécurité tout au long du processus, être en capacité d’en rendre compte à tout moment grâce à un ensemble de règles, de bonnes pratiques et de ressources (humaines et matérielles).

Concernant les infractions routières, nous rappelons que le représentant légal de la personne morale titulaire de certificats d'immatriculation de véhicules mis à disposition (de service, de fonction, ou en location), devait, dans un délai de 45 jours suivant l'envoi ou la remise de l’avis de contravention, dénoncer le conducteur contrevenant, sauf exceptions, sous peine de sanctions pénales (cf. article L.121-6 du code de la route).

 

D’un autre côté, l’article L.223-7 du code de la route dispose que : « Les informations relatives au nombre de points détenus par le titulaire d'un permis de conduire ne peuvent être collectées que par les autorités administratives et judiciaires qui doivent en connaître, à l'exclusion des employeurs, assureurs et toutes autres personnes physiques ou morales. Toute infraction aux dispositions de l'alinéa précédent est punie des peines prévues à l’article 226-21 du code pénal. La divulgation des mêmes informations à des tiers non autorisés est punie des peines prévues à l’article 226-22 du code pénal », étant précisé que les articles 226-21 et 226-22 du code pénal prévoient des peines de 5 ans d'emprisonnement et de 300.000  d'amende.

La CNIL Commission Nationale de l’Informatique et des Libertés a rappelé sur son site que depuis l’entrée en application du RGPD, les autorisations uniques AU adoptées par la CNIL n’ont plus de valeur juridique à compter du 25/05/2018, mais que dans l’attente de la production de référentiels RGPD, la Commission décidait de les maintenir accessibles afin de permettre aux responsables de traitement d’orienter leurs premières actions de mise en conformité.

Donc, pour l’instant, et dans l’attente des référentiels CNIL sur ce sujet, les responsables de traitement se reporteront à la délibération de la CNIL n°2017-218 du 13 juillet 2017 « modifiant l'autorisation unique de mise en ½uvre de traitements automatisés de données à caractère personnel relatifs à la gestion du contentieux lié au recouvrement des contraventions au code de la route et à l'identification des conducteurs dans le cadre du système de contrôle automatisé des infractions au code de la route (décision d'autorisation unique n° AU-010) », de laquelle il ressort que :

  • Pour désigner la personne qui conduisait ou était susceptible de conduire le véhicule, il est possible :
    • (i) soit de procéder de manière ponctuelle via le site web de l'ANTAI (« Agence nationale de traitement automatisé des infractions ») ou par lettre recommandée avec accusé de réception,
    • (ii) soit, pour les flottes de plus de 1.000 véhicules, d'automatiser les échanges d'informations de désignation en concluant une convention avec l'ANTAI. Cet échange permet d'interroger les personnes morales titulaires du certificat d'immatriculation ou détentrices du véhicule sur l'identité et les coordonnées du conducteur présumé du véhicule afin de lui envoyer directement l'avis de contravention ;

 

  • Le responsable de traitement qui met en ½uvre un traitement de données à caractère personnel ayant pour finalités la désignation auprès de l'ANTAI du conducteur du véhicule pour lequel une infraction a été constatée, le suivi de la procédure de recouvrement des contraventions au code de la route, ainsi que la réalisation de statistiques, notamment en vue d'adapter les formations de prévention routière, dans le respect des dispositions de cette décision unique, adresse à la Commission un engagement de conformité de celui-ci aux caractéristiques de la présente autorisation, les responsables de traitement qui adressent à la commission une déclaration comportant un engagement de conformité pour leurs traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à mettre en ½uvre ces traitements ;
  • les seules données à caractère personnel pouvant être transmises à l'ANTAI dans le cadre de la procédure de désignation sont :
    • Les données relatives à la personne qui conduisait ou était susceptible de conduire le véhicule lorsque la contravention a été constatée (le nom, le nom d'usage, le(s) prénom(s), le sexe et, le cas échéant, la civilité de la personne ; la date et le lieu de naissance ; la nationalité ; l'adresse postale et, le cas échéant, l'adresse électronique ; le cas échéant, la fonction de la personne ; le numéro, la date et le lieu d'obtention du permis de conduire ; le numéro d'immatriculation du véhicule concerné) ;
    • Les autres données suivantes  : le nom, le prénom et les coordonnées du représentant du responsable de traitement et, le cas échéant, d'un contact au sein de l'organisme concerné ; le numéro et la date de l'avis de contravention ; le cas échéant, la date et heure du début de location et la date et heure de fin de location ; le cas échéant, la date et heure de l'infraction ; le cas échéant, la copie de l'avis de contravention ;


  • les seules données à caractère personnel traitées par le responsable de traitement au titre du suivi de la procédure de recouvrement des contraventions au code de la route sont : 
    • 1. la copie du formulaire de requête en exonération, ainsi que de l'ensemble des documents envoyés à l'ANTAI ; 
    • 2. le numéro, la date et l'heure du contrat de location ou de mise à disposition du véhicule ; 
    • 3. le montant de la contravention ;

 

  • la copie du permis de conduire ne saurait être demandée par le responsable de traitement pour l'une des finalités précitées. La CNIL a précisé que la conservation de la copie du permis de conduire par l’entité mettant à disposition un véhicule est excessive au regard de l’article 6-3° de la loi du 6 janvier 1978 modifiée : la conservation d’une copie du permis de conduire effectuée à un instant « T » ne garantit pas à cette entité que le conducteur auquel elle a confié un véhicule dispose toujours d’un permis valide puisque le nombre de points est susceptible de varier dans le temps sans que le permis n’en porte trace. L’entité peut en revanche demander au conducteur une attestation sur l’honneur par laquelle il déclare être titulaire d’un permis de conduire en cours de validité, ainsi que la présentation ponctuelle du permis de conduire, mais sans en conserver de copie ;

 

  • le responsable de traitement peut également réaliser des statistiques anonymes sur la base de données traitées ne permettant en aucun cas d'établir un lien entre un conducteur et la commission d'infractions ;

 

  • dans le cadre de la procédure de désignation, les responsables de traitement peuvent conserver dans leur base active les données précitées le temps de procéder à la désignation, qui ne saurait en tout état de cause excéder 45 jours à compter de la réception de l'avis de contravention. A l'issue de cette période, les données peuvent être archivées, en archivage intermédiaire, au maximum le temps de la prescription en matière contraventionnelle, à savoir 12 mois. Les données anonymisées peuvent être conservées sans limitation de durée. Dans l'hypothèse d'une désignation automatisée et de la conclusion d'une convention avec l'ANTAI, les traces des requêtes effectuées par l'ANTAI sur les conducteurs de véhicules ayant commis une infraction au code de la route sont détruites après le retour d'information à l'ANTAI. En aucun cas les organismes publics ou privés ne peuvent garder trace de ces requêtes, les consolider ou les archiver ;

 

  • le responsable du traitement prend toutes précautions utiles au regard des risques présentés par le traitement pour préserver la sécurité et la confidentialité des données traitées. Il doit, notamment au moment de leur collecte, durant leur transmission et leur conservation, empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance ;

 

  • le responsable du traitement procède, conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée en août 2004, à l'information des personnes susceptibles d'être concernées par la diffusion à chacune d'entre elles d'une note explicative pouvant figurer, le cas échéant, dans le contrat de location ou de prêt du véhicule. Par ailleurs, les organismes publics ou privés mettant des véhicules à disposition de leurs collaborateurs veillent également, conformément aux dispositions du code du travail et à la législation applicable aux trois fonctions publiques, à l'information et, le cas échéant, à la consultation des instances représentatives du personnel compétentes avant la mise en ½uvre des traitements visés ;

 

  • les droits des personnes à l'égard des traitements de données, définis au chapitre V de la loi du 6 janvier 1978 modifiée, s'exercent auprès du ou des services que le responsable de traitement aura désignés ;

 

  • tout traitement automatisé de données à caractère personnel relatif à la gestion de la procédure de recouvrement des contraventions au code de la route qui n'est pas conforme aux dispositions de la délibération n°2017-218, doit faire l'objet d'une demande d'autorisation auprès de la commission dans les formes prescrites par les articles 25-I (3°), 25-I (5°) et 30 de la loi du 6 janvier 1978 modifiée.

Contactez le Cabinet VACCA

Vos Réactions Réagir

Répondre au sujet

Pour commenter cet article, veuillez vous connecter ou compléter le formulaire ci-dessous :





Je souhaite être prévenu(e) des nouvelles contributions publiées sur ce sujet


Voir les conditions générales d'utilisation

Ces informations, nécessaires au traitement de votre demande, sont destinées au Juritravail et à la société WENGO SAS. Conformément à la loi relative aux fichiers, à l'informatique et aux libertés, vous bénéficiez d'un droit d'opposition, d'accès et de rectification des informations par mail à info@juritravail.com




30 000 professionnels MyBestPro disponibles sur :


© 2003 - 2019 JuriTravail tous droits réservés

L'info vient à vous
Recevez gratuitement l'essentiel de l'actualité juridique de la semaine
Je m'inscris Ou je me connecte à mon compte