Péages en flux libre : les nouvelles exigences CNIL sur les LAPI et les données

1. Objet et contexte de la délibération no 2026-048 de la CNIL sur le défaut de paiement du péage en flux libre

1.1. La délibération no 2026-048 du 16 avril 2026 de la Commission nationale de l’informatique et des libertés (CNIL), publiée au Journal officiel de la République française du 24 juin 2026 (Texte 104 sur 138), porte avis sur un projet d’arrêté relatif au traitement des données personnelles aux fins de constatation et poursuite des infractions prévues aux articles L. 419-1, R. 419-1 et R. 419-2 du code de la route. Elle est enregistrée sous le no de demande d’avis 25005376 et le no d’acte réglementaire unique RU-84.

1.2. Les thématiques identifiées sont le défaut de paiement du péage, l’autoroute, le flux libre, le code de la route, la lecture automatisée des plaques d’immatriculation (LAPI), l’acte réglementaire unique, la concession autoroutière et le télépéage. L’organisme à l’origine de la saisine est le ministère des transports, sur le fondement des articles 31.I.2 et 31.IV de la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés.

2. L’essentiel de l’avis de la CNIL sur le projet d’arrêté

2.1. Le projet d’arrêté vise à encadrer le traitement de données à caractère personnel pour la constatation et la poursuite des infractions de défaut de paiement du péage. Il constitue un acte réglementaire unique (ARU) auquel devront se référer les sociétés de concession autoroutière (SCA) mettant en œuvre ces traitements.

2.2. A ces fins, des dispositifs de lecture automatisée de plaques d’immatriculation (LAPI) sont déployés à grande échelle par les SCA. La CNIL souligne les risques pour les droits et libertés des personnes, notamment ceux liés au suivi des déplacements, et demande que le projet de texte soit complété de plusieurs garanties : suppression sans délai des données collectées par les SCA dès que l’action publique est éteinte (par exemple, par le règlement de l’avis de paiement majoré) ; limitation de la collecte de la plaque d’immatriculation aux seuls cas d’absence de détection du boîtier de télépéage lorsque le véhicule en est équipé.

2.3. Au-delà du périmètre de l’arrêté, la CNIL demande que l’information des personnes sur les dispositifs de LAPI soit assurée sur les axes en flux libre, en particulier par une signalisation claire et visible au moment de la collecte des données.

3. Contexte du péage en flux libre et enjeux de protection des données

3.1. La délibération rappelle que tout usager d’une autoroute ou d’un ouvrage routier soumis à péage doit s’acquitter du montant du péage sous peine d’amende. Le péage, historiquement matérialisé par une barrière physique, évolue progressivement depuis 2019 vers un système de « flux libre », introduit par la loi no 2019-1428 du 24 décembre 2019 d’orientation des mobilités (LOM).

3.2. La loi no 2010-788 du 12 juillet 2010 (dite loi « Grenelle II ») a donné aux agents des sociétés concessionnaires d’autoroutes ou d’ouvrages (SCA) les pouvoirs de constater les infractions liées aux défauts de paiement et de proposer une transaction au contrevenant. Pour identifier ce dernier, ces agents assermentés peuvent accéder au système d’immatriculation des véhicules (SIV), qui recense les coordonnées du titulaire du certificat d’immatriculation et les caractéristiques techniques du véhicule.

3.3. La constatation des infractions diffère selon les dispositifs : dans le cas des péages avec barrières, l’infraction (forçage de barrière, collage de véhicule) est immédiatement constatée au moyen d’un dispositif de vidéoprotection complété, le cas échéant, par un dispositif de LAPI ; dans le cas des péages en flux libre, l’infraction est constituée au bout de soixante-douze heures en l’absence d’acquittement du péage. En l’absence de boîtier de télépéage, l’utilisateur dispose de ce délai pour régler sa redevance sur le site web de l’exploitant ou chez un buraliste affilié au réseau Nirio, à partir de sa plaque d’immatriculation.

3.4. L’évolution vers le péage en flux libre entraîne une collecte automatisée à grande échelle des plaques d’immatriculation et des trajets effectués par les usagers (plusieurs millions de trajets par mois). Les préoccupations en matière de libertés individuelles et publiques liées à la collecte des déplacements sont régulièrement remontées par la société civile, d’autant plus que la démultiplication des fraudes aux plaques d’immatriculation (usurpation, fausses plaques) expose les titulaires légitimes à des poursuites pour non-paiement.

4. Analyse de la CNIL sur les finalités, les données collectées et les durées de conservation

4.1. Sur les finalités du traitement, la CNIL relève que l’article 1er du projet d’arrêté liste les finalités poursuivies par les traitements mis en œuvre par les SCA. Elle s’interroge sur l’emploi du terme « poursuite » dans le titre de l’arrêté, susceptible de prêter à confusion, les poursuites étant menées par le ministère public. Elle invite le ministère à retirer ce terme, ce à quoi celui-ci s’est engagé.

4.2. Sur les données collectées, l’article 2 du projet d’arrêté prévoit la collecte des images des véhicules et des plaques d’immatriculation issues des caméras de vidéoprotection et des capteurs de LAPI. La CNIL souligne que, sur l’autoroute, le passage en zone de péage peut être détecté par un boîtier de télépéage, rattaché au titulaire du contrat et permettant le paiement automatique. Dans ce cas, le défaut de paiement n’apparaît pas possible, et l’identification de l’usager se fait via les informations contractuelles. La CNIL considère donc que la collecte de la plaque d’immatriculation n’est justifiée qu’en cas d’absence de détection du boîtier de télépéage et demande que le projet de texte soit modifié en ce sens.

4.3. La CNIL prend acte du fait que les images issues des dispositifs de LAPI ne doivent pas permettre l’identification des occupants des véhicules et que les SCA doivent mettre en œuvre des mesures techniques (angles de prise de vue à hauteur de plaque, floutage de l’habitacle) prévues par l’AIPD-cadre (analyse d’impact relative à la protection des données cadre).

4.4. Sur les durées de conservation, l’article 5 du projet d’arrêté prévoit que, pour les infractions prévues aux articles R. 419-1 et R. 419-2, en cas d’extinction de l’action publique suite à une transaction, le responsable de traitement supprime les données au maximum six mois après cette transaction. La CNIL rappelle que, conformément à l’article 4 de la loi « informatique et libertés », les données ne doivent être conservées que le temps strictement nécessaire. Elle estime que, le règlement de l’avis de paiement majoré éteignant l’action publique, les données n’ont plus lieu d’être conservées et doivent être supprimées sans délai. Le délai opérationnel de six mois n’apparaît pas justifié et la CNIL demande la modification du projet en ce sens.

5. Information des personnes, mesures de sécurité et recommandations complémentaires

5.1. Sur l’information des personnes concernées, le I de l’article 7 du projet d’arrêté prévoit que les usagers sont informés des données collectées, des traitements mis en œuvre et de leurs droits par des mentions d’information publiées sur le site internet des responsables du traitement. Ces mentions doivent contenir l’ensemble des informations prévues aux I et II de l’article 104 de la loi « informatique et libertés ».

5.2. La CNIL prend acte de ce que le site du ministère de la transition écologique et de l’aménagement du territoire fournit une présentation générale du « flux libre » et recommande de la compléter par des informations sur les modalités de collecte et de gestion des données personnelles et sur l’exercice des droits en cas de défaut de paiement du péage. Elle relève la formulation envisagée pour la présentation introductive du système de péage en flux libre, qui décrit les portiques équipés de caméras de lecture des plaques d’immatriculation et les avantages en termes de sécurité, de temps de trajet et de carburant.

5.3. Plus largement, la CNIL s’interroge sur l’absence actuelle de signalisation informant les usagers du traitement des plaques d’immatriculation sur les axes en flux libre et invite le ministère à déployer rapidement une information claire et visible au plus tard au moment de la collecte des données.

5.4. Sur les aspects techniques et mesures de sécurité, la CNIL relève que des mesures de sécurité sont prévues dans l’AIPD-cadre et invite le ministère à la compléter sur la sécurisation et la limitation des accès aux données, ainsi que sur les habilitations, afin de s’assurer que l’accès aux données ne soit possible que pour les personnes citées au I de l’article 6, « à raison de leurs attributions et dans la limite du besoin d’en connaître ». Cette précision est jugée nécessaire pour répondre aux risques d’accès illégitime aux données traitées.

5.5. La délibération conclut que les autres dispositions du projet d’arrêté n’appellent pas d’observations de la part de la CNIL. Elle est signée par la présidente de la CNIL, M.-L. DENIS, et s’inscrit dans la mise en œuvre de la loi « informatique et libertés » et du RGPD dans le contexte spécifique du péage en flux libre, du défaut de paiement du péage et de l’utilisation de la lecture automatisée des plaques d’immatriculation par les sociétés de concession autoroutière.