Délibération n° 2018-117 du 18 juillet 2018 de la Commission de Contrôle des Informations Nominatives portant autorisation à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Géolocalisation des véhicules de transport publics urbains par le biais d'un système d'aide à l'exploitation et à l'information des voyageurs » présenté par la Compagnie des Autobus de Monaco.

Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l'Ordonnance Souveraine n° 4.597 du 21 novembre 2013 approuvant la convention, le cahier des charges et leurs annexes de la concession de service public pour l'exploitation du réseau de transport public de voyageurs ;
Vu l'arrêté ministériel du 11 mai 1933 concernant la compagnie des autobus monégasques ;
Vu l'arrêté ministériel n°2009-382 du 31 juillet 2009 portant application de l'article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu la demande d'autorisation présentée le 27 avril 2018 par la Compagnie des Autobus de Monaco, concernant la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Mise en œuvre d'un système d'aide à l'exploitation grâce à la géolocalisation des véhicules professionnels de transport utilisés par les employés de la CAM » ;
Vu la prorogation du délai d'examen de la présente demande d'autorisation modificative notifiée au responsable de traitement le 25 juin 2018, conformément à l'article 11-1 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du  18 juillet 2018 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
La Compagnie des Autobus de Monaco (CAM) est une société monégasque, immatriculée au Répertoire du Commerce et de l'industrie sous le numéro 56S0465, ayant pour objet « le transport en commun ».
Afin de réguler les véhicules affectés au transport en commun, d'informer les passagers sur l'arrivée des véhicules en temps réel et de vérifier le travail accompli par les agents de conduite, cette société a mis en place un dispositif de géolocalisation à bord des autobus.
La Commission considère que le traitement objet de la présente demande est mis en œuvre à des fins de surveillance, il est donc soumis au régime de l'autorisation de l'article 11-1 de la loi n° 1.165 du 23 décembre 1993.

I. Sur la finalité et les fonctionnalités du traitement
Le traitement a pour finalité la « Mise en œuvre d'un système d'aide à l'exploitation grâce à la géolocalisation des véhicules professionnels de transport utilisés par les employés de la CAM ».
Il est dénommé SAEIV (Système d'Aide à l'exploitation et à l'Information des voyageurs).
Le responsable de traitement précise qu'il concerne les agents de conduite, les contrôleurs/régulateurs, les chefs d'équipe, le service du planning, la Direction et le service des Ressources Humaines.
La Commission relève que sont également concernés les utilisateurs de l'application mobile.
La Commission rappelle toutefois que tout traitement d'informations nominatives doit avoir une finalité « déterminée, explicite et légitime » aux termes de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.
En l'espèce, la finalité du présent traitement doit être plus explicite c'est-à-dire être claire et précise quant à l'objectif poursuivi en indiquant que le traitement permet également de gérer les transports publics urbains et d'informer les voyageurs.
Par conséquent, elle modifie la finalité comme suit : « Géolocalisation des véhicules de transport publics urbains par le biais d'un système d'aide à l'exploitation et à l'information des voyageurs ».
Le responsable de traitement indique que les fonctionnalités sont les suivantes :
- En temps réel il permet aux régulateurs de suivre la progression des véhicules et de les réguler afin de faire respecter au mieux les horaires par une optimisation de la réaffectation dynamique des ressources ;
- Mise à disposition des clients (aux arrêts de bus, gare, hôpital, dans le bus, sur le Site internet et l'application smartphone), des informations sur l'arrivée des véhicules, les horaires, liste des arrêts et temps d'attente, (positions individuelles instantanées, disponibles uniquement sur le poste cartographique de régulation, ne sont en revanche pas communiquées) ;
- En temps différé, il permet une traçabilité des services effectués pour vérification des services et du travail accompli, l'extraction et l'analyses de statistiques (vitesses, kilométrages, taux de charge,…) et la prise de décisions pour l'exploitation ultérieure du réseau. Ainsi, ce système permet notamment le suivi du temps de travail effectif et la vérification du respect des trajets prévus, ou bien le calcul de la vitesse des véhicules sur les tronçons spécifiques à des horaires particuliers permettant d'assurer respectivement le respect des engagements du service public et la construction d'horaires réalistes et fiables ;
- Il permet de déterminer la position d'un véhicule concerné en cas de réclamation et la vérification des circonstances des accidents de la circulation impliquant un véhicule de la CAM et les réclamations des tiers.
La Commission relève que l'application mobile permet de géo-positionner l'usager lorsque celui-ci active son service de localisation et autorise l'application à y avoir accès, ainsi sur une carte sont affichés l'emplacement des arrêts de bus et des distributeurs de tickets les plus proches.
Le responsable de traitement précise que ladite application mobile possède l'outil de statistiques Google Analitycs.
À cet égard, la Commission relève que les informations des utilisateurs de cette application sont de ce fait transférées aux États Unis d'Amérique, pays ne disposant pas d'un niveau de protection adéquat au sens de la législation monégasque.
Aussi elle rappelle que ladite application mobile ne pourra être mise en œuvre qu'après l'autorisation de transfert délivrée par la Commission.
Elle considère que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.

II. Sur la licéité et la justification du traitement

• Sur la licéité

La Commission observe que la CAM est une société privée concessionnaire d'un service public. À cet égard, elle relève que ladite concession est fondée sur la convention de concession entre le Gouvernement Princier et la Compagnie des Autobus de Monaco qui comporte notamment la desserte du réseau de transports publics, ainsi que l'exploitation et la maintenance des infrastructures d'accueil et d'information des usagers telle qu'approuvée par l'Ordonnance Souveraine n° 4.597 du 21 novembre 2013.
En conséquence, la Commission constate que l'activité d'exploitation du réseau de transports publics urbains de voyageurs par la CAM dispose d'un fondement juridique propre. Elle considère donc que le traitement est licite conformément à l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.

• Sur la justification

Le responsable de traitement indique que le traitement est justifié par le respect d'une obligation légale, l'exécution d'un contrat ou de mesures contractuelles avec la personne concernée et la réalisation d'un intérêt légitime sans que ne soient méconnus les droits et libertés fondamentaux de la personne concernée.
À cet égard, le responsable de traitement précise que « Dans le respect des obligations issues de la convention de concession entre le Gouvernement Princier et la Compagnie des Autobus de Monaco et de son cahier des charges, la CAM doit notamment :
- Assurer l'exploitation du réseau urbain dans le respect des parcours, arrêts, intervalles de passage spécifiés par ligne ;
- Présenter un rapport annuel d'activité qui doit comporter l'ensemble de ses missions et présenter des indicateurs de suivi ;
- Développer des outils nécessaires à la réalisation des objectifs et en particulier un système d'aide à l'exploitation et à l'information des voyageurs (S.A.E.I.V.) ».
À cet égard le responsable de traitement a joint au dossier un  extrait de la convention de concession, laquelle prévoit en son article 4 qu'il y ait un « système d'aide à l'exploitation et à l'information des voyageurs (S.A.E.I.V.)  pour la diffusion d'informations dynamiques aux arrêts  (…), l'article 14 stipule quant à lui que le rapport d'activité de la CAM doit contenir « l'activité du réseau », l'article 20 de l'annexe n° 1 de la convention de concession précise que « chaque véhicule doit être équipé d'un système de contrôle d'exploitation agrée par le service de tutelle. Il s'agit (…) du système SAE (Système d'Aide à l'Exploitation) (…). Ce système sera exploité en vue de permettre la détermination des vitesses de circulation, des distances parcourues et des durées de conduite et de repos. Le service de tutelle procèdera au moyen de ces équipements aux contrôles qu'il jugera utiles pour la surveillance de l'exploitation (…) et enfin l'article 22 dispose que « (…) l'information diffusée via les canaux d'information et d'affichage électronique doivent être préalablement validés par le service de tutelle (…) ».
Il ajoute par ailleurs que le traitement lui permet de vérifier les temps de conduite pour le paiement des primes et indemnités des agents de conduite et permet également de fournir aux compagnies d'assurances les informations nécessaires lors d'accident impliquant un véhicule de la CAM et de déterminer la position d'un véhicule concerné en cas de réclamation.
La Commission considère donc que le traitement est justifié, conformément aux dispositions de l'article 10-2 de la loi n° 1.165 du 23 décembre 1993.

III. Sur les informations traitées
Les informations nominatives traitées sont :
- identité : nom, prénom ;
- données d'identification électronique : numéro de l'agent, code d'activation individuel, numéro de véhicule ;
- informations temporelles : horodatages, etc : heures prévisionnelles de début et de fin, heures effectives de début et de fin, numéro de véhicule, numéro de service, déroulement du service continu, géolocalisation, statistiques diverses (vitesses, kilométrages, taux de charge, …) ;
- Log de journalisation ;
- Identifiant et mot de passe des opérateurs SAE.
La Commission relève qu'est également collectée l'adresse IP publique de l'utilisateur de l'application mobile.
Les informations relatives au nom, prénom et numéro d'agent proviennent du traitement légalement mis en œuvre relatif à la « Gestion du personnel », le reste des informations est généré automatiquement par le système.
Aussi, la Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.

IV. Sur les droits des personnes concernées

• Sur l'information préalable des personnes concernées

Le responsable de traitement indique que l'information préalable des personnes concernées est effectuée par le biais d'un affichage et par une procédure interne accessible en intranet.
À la lecture de l'information dispensée, la Commission constate qu'il ne comporte pas l'ensemble des dispositions de l'article 14 de la loi n° 1.165 du 23 décembre 1993.
Aussi, elle demande que l'information préalable des personnes concernées soit dispensée conformément aux dispositions de l'article 14 de la loi n° 1.165 du 23 décembre 1993.

• Sur l'exercice du droit d'accès, de modification et de mise à jour

Le responsable de traitement indique que le droit d'accès est exercé soit par voie postale, par courrier électronique, ou sur place. La réponse se fera dans le mois suivant la réception de la demande.
S'agissant de l'exercice du droit d'accès par voie électronique, la Commission considère qu'une procédure devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations. À ce titre, elle précise que si une copie d'un document d'identité était demandée, la transmission et le traitement de ce document devront faire l'objet de mesures de protection particulières comme rappelé dans sa délibération n° 2015-116 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d'identité officiels.
À la condition de la prise en compte de ce qui précède, elle constate ainsi que les modalités d'exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993.

V. Sur les personnes ayant accès au traitement et les communications d'informations

• Sur les accès au traitement

Le responsable de traitement indique qu'ont accès au traitement :
- « Administrateur du programme  à la CAM : le responsable coordination et exploitation : responsabilités d'administration et tous autres droits d'accès » ;
- « Direction : contrôle et consultation de l'administration du programme, inscription, consultation, vérification » ;
- « Service du planning et du mouvement (dont contrôle et régulation) ainsi que le chef du dépôt : inscription pour affectation des numéros de services et des numéros d'équipement et modification en cas de nécessité » ;
- « Ressources humaines : suivi et consultation pour assurer le suivi et le respect de la qualité de travail et du temps de travail » ;
- « Service IT CAM ainsi que Prestataire (…) : maintenance ».
En ce qui concerne le prestataire, la Commission rappelle que conformément aux dispositions de l'article 17 de la loi n° 1.165 du 23 décembre 1993, les droits d'accès doivent être limités à ce qui est strictement nécessaire à l'exécution de son contrat de prestation de service. De plus, ledit prestataire est soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
À cet égard, elle constate que les accès distants du prestataire et des utilisateurs nomades de la CAM sont sécurisés.
Enfin, la Commission souligne que conformément à l'article 17-1 de la loi n° 1.165 du 23 décembre 1993, le responsable de traitement est tenu de « déterminer nominativement la liste des personnes qui ont seul accès, pour les stricts besoins de l'accomplissement de leurs mission, aux locaux et aux installations utilisées pour les traitements, de même qu'aux informations traitées ». Elle rappelle que cette liste doit être tenue à jour et précise qu'elle doit lui être communiquée à première réquisition.
Sous réserve de la prise en compte des éléments qui précèdent, elle considère que ces accès sont justifiés.

• Sur les communications d'informations

Le responsable de traitement indique que les informations sont susceptibles d'être transmises au service de tutelle de la CAM, aux compagnies d'assurances pour la gestion des déclarations d'accidents, à la Direction de la Sûreté Publique et aux Autorités judiciaires dans le cadre de procédures mettant en cause la CAM.
La Commission en prend acte et rappelle qu'elles sont susceptibles d'être communiquées aux Autorités compétentes dans le cadre des missions qui leurs sont légalement conférées.

VI. Sur les interconnexions avec d'autres traitements
Le responsable de traitement indique qu'il existe un rapprochement avec le traitement légalement mis en œuvre relatif à la « Gestion du personnel ».

VII.  Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation.
Cependant les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort.
Par ailleurs, la Commission demande que la sécurité du réseau WIFI soit renforcée.
Enfin, elle rappelle que la copie ou l'extraction d'informations issues de ce traitement doit être chiffré sur son support de réception et que  conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.

VIII. Sur la durée de conservation
Le responsable de traitement indique que les informations relatives au nom, prénom, numéro d'agent et identifiant des opérateurs SAE sont conservés jusqu'à trois mois après la fin de la relation contractuelle.
Le numéro du véhicule est conservé la durée de vie de l'équipement.
Les informations temporelles sont conservées 3 mois.
Les logs de journalisation sont conservés entre 90 jours à 1 an.
Cependant, la Commission considère que les informations ne peuvent être conservées que pour une durée n'excédant pas celle nécessaire à la réalisation de la finalité pour laquelle elles ont été collectées.
En conséquence, elle fixe la durée de conservation des informations relatives au nom, prénom, numéro d'agent et identifiant des opérateurs SAE à la durée de la relation contractuelle.
Aussi, à la condition de la prise ne compte de ce qui précède, elle considère que la durée de conservation des informations est conforme à l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.
Après en avoir délibéré, la Commission :
Relève que :
- les utilisateurs de l'application mobile sont également des personnes concernées ;
- l'application mobile permet de géo-positionner l'usager lorsque celui-ci active son service de localisation et autorise l'application à y avoir accès ;
- l'adresse IP publique de l'utilisateur de l'application mobile est également collectée.
Demande que :
- l'information préalable soit dispensée à l'ensemble des personnes concernées conformément à l'article 14 de la loi n° 1.165 du 23 décembre 1993 ;
- la sécurité du réseau WIFI soit renforcée.
Considère que le traitement objet de la demande est mis en œuvre à des fins de surveillance.
Fixe la durée de conservation des informations relatives au nom, prénom, numéro d'agent et identifiant des opérateurs SAE à la durée de la relation contractuelle.
Constate que les accès distants du prestataire et des utilisateurs nomades de la CAM sont sécurisés.
Rappelle que :
- l'application mobile ne pourra être mise en œuvre qu'après l'autorisation de transfert délivrée par la Commission ;
- la liste nominative des personnes ayant accès au traitement doit être tenue à jour et doit lui être communiqué à première réquisition ;
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort ;
- que la copie ou l'extraction d'informations issues de ce traitement doit être chiffré sur son support de réception.
À la condition de la prise en compte des éléments qui précèdent,
la Commission de Contrôle des Informations Nominatives autorise la mise en œuvre, par la Compagnie des Autobus de Monaco du traitement automatisé d'informations nominatives ayant pour finalité « Géolocalisation des véhicules de transport publics urbains par le biais d'un système d'aide à l'exploitation et à l'information des voyageurs ».
Le Président de la Commission de Contrôle des Informations Nominatives.