Délibération n° 2022-147 du 19 octobre 2022 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Enquête Mobilité Certifiée CEREMA « Côte d'Azur Est-Var » » présenté par le Conseil Départemental des Alpes‑Maritimes représenté par l'Institut Monégasque de la Statistique et des Études Économiques.
Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés et non automatisés d’informations nominatives ;
Vu la demande d’avis déposée par le Conseil Départemental des Alpes-Maritimes représenté en Principauté de Monaco par l’IMSEE, le 22 septembre 2022, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité « Enquête Mobilité Certifiée CEREMA « Côte d’Azur Est-Var » » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 19 octobre 2022 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Le Département des Alpes-Maritimes a, au cours de l’année 2008-2009, copiloté avec l’Agence de déplacements et d’aménagement des Alpes-Maritimes une enquête ménage déplacements.
Face à la croissance du nombre de déplacements sur son territoire, le Département des Alpes-Maritimes a souhaité coordonner un groupement de maîtrise d’ouvrage afin de réaliser une nouvelle enquête de mobilité. Il a signé en ce sens une convention pour le déroulement de l’enquête avec le Centre d’études et d’expertises sur les risques, l’environnement, la mobilité et l’aménagement (CEREMA).
Afin d’être pertinente et de prendre en compte les échanges aux frontières du Département des Alpes-Maritimes le périmètre de l’enquête a notamment été étendu à la Principauté de Monaco qui en sera partenaire.
Cette enquête est réalisée sous l’égide du Conseil Départemental des Alpes-Maritimes représenté en Principauté de Monaco par l’Institut Monégasque de la Statistique et des Études Économiques (IMSEE).
Ainsi, le traitement y relatif est soumis à l’avis de la Commission, conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993.
I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité « Enquête Mobilité Certifiée CEREMA « Côte d’Azur Est-Var » ».
Il concerne les personnes qui consentent à répondre à l’enquête.
À cet égard, le responsable de traitement précise que « pour être pertinente et prendre en compte les échanges aux frontières du département, le périmètre pressenti pour l’enquête comporte l’ensemble du département mais aussi la Principauté de Monaco, le pays de Fayence et Dracénie Provence Verdon agglomération ».
Le présent traitement a pour objet la réalisation et l’exploitation des données résultant de l’enquête de mobilité réalisée, laquelle s’articule autour d’une enquête dite « cœur » correspondant au recueil des déplacements de la semaine ouvrée et de deux enquêtes complémentaires effectuées par téléphone et par email, nommées « week-end » et « web » (destinées à recueillir les pratiques sur les modes actifs - marche, vélo, trottinette, etc.) réalisées auprès de personnes volontaires.
Le responsable de traitement indique plus précisément que l’enquête est un outil stratégique à la décision pour :
- la planification des infrastructures de transport et les schémas de mobilité associés ;
- l’accompagnement des politiques de développements urbains ;
- la croissance et la prévision des reports potentiels vers les modes alternatifs à la voiture individuelle dans une stratégie de développement durable ;
- l’orientation et le soutien du développement local ;
- l’adaptation de l’investissement aux besoins réels de la population et à l’évolution du comportement des usagers, dans un souci de rationalisation des dépenses publiques et dans une logique de développement durable ;
- la mise à jour du modèle multimodal de prévisions des flux de déplacements des Alpes-Maritimes.
Les fonctionnalités associées au présent traitement sont :
- « conception et préparation de l’enquête comprenant le repérage et l’enrichissement ;
- réalisation et suivi de l’enquête, saisie des données recueillies ;
- apurement, mise au format standard des fichiers et rendu de l’enquête ».
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.
II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le présent traitement est justifié par le consentement des personnes concernées.
À cet égard, il précise que « les informations qui seront recueillies lors de l’entretien en face à face et téléphonique feront l’objet d’un traitement informatique, auquel la personne enquêtée consentira. Ce traitement est fondé sur le consentement et n’a pas de caractère obligatoire ».
En outre, il ressort des précisions apportées par le responsable de traitement que les numéros de téléphone et les emails sont collectés au cours des entretiens réalisés face à face auprès de personnes volontaires et sont utilisés pour procéder à des enquêtes complémentaires dites « web » et « week-end ». S’agissant des enquêtes par téléphone, il est exposé que celles-ci peuvent faire l’objet d’un enregistrement et qu’« au début de l’entretien il est précisé aux personnes interrogées que l’entretien est enregistré et qu’elles peuvent s’y opposer ».
La Commission prend par ailleurs acte des précisions qui lui sont apportées sur le fait que la participation des personnes concernées est facultative, en ce que les réponses aux questions n’ont pas de caractère obligatoire. Il est indiqué en ce sens qu’« il est possible, pour les personnes enquêtées, de ne pas répondre à ces questions. Il leur est précisé qu’ils peuvent ne pas répondre à ces questions ».
La Commission considère que ce traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993.
III. Sur les informations traitées
Le responsable de traitement indique que les informations nominatives traitées sont :
- identité : nom, prénom.
Il est souligné que ces informations sont « utilisées uniquement pour se rendre chez la personne lors de l’enquête ».
- données d’identification électronique : dans le cadre du questionnaires « web ».
Il est précisé que ces données « ne concernent que les volontaires qui ont déjà réalisé le questionnaire cœur ».
La Commission relève par ailleurs que le numéro de téléphone des personnes concernées et leur email sont susceptibles d’être collectés, auprès de volontaires, lors de l’entretien réalisé face-à-face en vue de leur permettre de participer à des enquêtes complémentaires.
En outre, il appert que plusieurs données notamment relatives aux pratiques de déplacement des personnes, tous modes confondus, pour un jour normal et moyen de semaine du lundi au vendredi (partie « cœur ») ainsi que le week-end sont également collectées. La Commission prend toutefois acte des précisions qui lui sont apportées sur le caractère non-obligatoire des réponses et sur l’anonymisation des données. Il est indiqué en ce sens que « sur la partie face à face, les données sont immédiatement anonymisées. Si la personne enquêtée accepte de répondre à la partie téléphonique nous devons conserver son numéro de téléphone pour la rappeler. Dès l’entretien téléphonique réalisé, tout est anonymisé ».
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.
IV. Sur les droits des personnes concernées
- Sur l’information préalable des personnes concernées
L’information préalable des personnes concernées est effectuée par le biais d’un courrier ainsi que par téléphone.
La Commission rappelle que l’information doit contenir l’ensemble des informations prévues aux dispositions de l’article 14 de la loi n° 1.165.
En outre, les personnes interrogées doivent être valablement informées quel que soit le mode de réalisation de l’enquête (sur place, téléphone, web).
Sous ces conditions, la Commission considère que les modalités d’information préalable des personnes concernées sont conformes aux dispositions de l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée.
- Sur l’exercice du droit d’accès, de modification et de mise à jour
Le droit d’accès est exercé par voie postale, par courrier électronique ou par téléphone.
À cet égard, la Commission rappelle que la réponse à ce droit d’accès doit intervenir dans le mois suivant la réception de la demande.
Par ailleurs, s’agissant de l’exercice du droit d’accès par voie électronique, la Commission considère qu’une procédure devra être mise en place afin que le responsable de traitement puisse s’assurer que l’expéditeur du courriel est effectivement la personne concernée par les informations.
À ce titre, elle précise que si une copie d’un document d’identité était demandée, la transmission et le traitement de ce document devront faire l’objet de mesures de protection particulières, comme rappelé dans sa délibération n° 2015-113 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d’identité officiels.
Sous ces réserves, elle constate que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.
V. Sur les personnes ayant accès au traitement
Les accès sont définis comme suit :
- Le CEREMA (Centre d’études et d’expertise sur les risques, l’environnement, la mobilité et l’aménagement) : référent technique et méthodologique durant toute la durée d’exécution de l’Enquête mobilité : modification, consultation.
Il est précisé que « le CEREMA assurera le contrôle qualité de la prestation et transmettra au Département des Alpes-Maritimes ainsi qu’au titulaire du marché les éléments permettant de procéder aux différentes étapes de validation de la méthodologie standard. Le CEREMA interviendra entre autres lors de l’apurement des données et lors de l’anonymisation de ces dernières ».
- Le prestataire en charge de réaliser les enquêtes : inscription, modification, consultation et maintenance.
En ce qui concerne le prestataire, la Commission rappelle que conformément aux dispositions de l’article 17 de la loi n° 1.165 du 23 décembre 1993 les droits d’accès de ce dernier doivent être limités à ce qui est strictement nécessaire à l’exécution de son contrat de prestations de services. De plus, ledit prestataire est soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
La Commission considère que ces accès sont justifiés.
VI. Sur les rapprochements et les interconnexions
Le responsable de traitement indique que le présent traitement ne fait l’objet d’aucun rapprochement ou interconnexion.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.
Cependant les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
La Commission rappelle enfin que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VIII. Sur la durée de conservation
Le responsable de traitement indique que les informations relatives au nom, prénom et adresse des personnes concernées sont conservées 8 mois.
En outre, les données d’identification électronique le sont 3 mois après validation des résultats.
Il est précisé en ce qui concerne les réponses apportées aux questionnaires que « sur la partie face à face, les données sont immédiatement anonymisées. Si la personne enquêtée accepte de répondre à la partie téléphonique nous devons conserver son numéro de téléphone pour la rappeler. Dès l’entretien téléphonique réalisé, tout est anonymisé ».
La Commission considère que ces durées de conservation sont conformes aux exigences légales.
Après en avoir délibéré, la Commission :
Considère qu’une procédure relative au droit d’accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s’assurer que l’expéditeur du courriel est effectivement la personne concernée par les informations.
Rappelle que :
- l’information des personnes concernées doit être conforme aux dispositions de l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée ;
- les personnes interrogées doivent être valablement informées quel que soit le mode de réalisation de l’enquête (sur place, téléphone, web) ;
- la réponse à un droit d’accès doit intervenir dans le mois suivant la réception de la demande ;
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switch, routeurs, pares-feux), ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
À la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par le Conseil Départemental des Alpes-Maritimes représenté en Principauté de Monaco par l’IMSEE, du traitement automatisé d’informations nominatives ayant pour finalité « Enquête Mobilité Certifiée CEREMA « Côte d’Azur Est-Var » ».
Le Président de la Commission de Contrôle des Informations Nominatives.