Protection des données personnelles dans les applications billettiques des transports collectifs

La recommandation encadre les traitements billettiques susceptibles d’identifier indirectement les voyageurs. Le numéro de carte, associé aux dates, heures et lieux de validation, constitue une information nominative au sens de l’article 4 de la loi du 6 janvier 1978. La reconstitution des déplacements peut porter atteinte à la vie privée et à la liberté d’aller et venir, ce qui impose des finalités déterminées, légitimes, adéquates et non excessives conformément à l’article 5 b) et c) de la convention du Conseil de l’Europe du 28 janvier 1981.

Les données de déplacement doivent être anonymisées, sauf pour la lutte contre la fraude. Leur conservation à des fins de détection ne devrait pas excéder deux jours consécutifs, sauvegarde comprise. Après détection, elle doit être limitée à la vérification de la fraude et, le cas échéant, à l’instruction judiciaire. La possibilité de circuler anonymement doit être maintenue et l’usager doit pouvoir s’opposer à la conservation numérique de sa photographie.

Les personnes concernées doivent recevoir les informations prévues par les articles 26 et 27 de la loi du 6 janvier 1978 et l’article 10 de la directive 95/46/CE : responsable du traitement, finalités, destinataires, droits d’accès et de rectification. Les traitements sont soumis aux formalités des articles 15 et 16 de cette loi, sous peine des sanctions de l’article 226-16 du code pénal. Les articles 29 et 45 imposent enfin des mesures de sécurité et de confidentialité adaptées.

⬇️Télécharger la décision version officielle

La recommandation encadre les cartes nominatives de transport et les enregistrements de validation susceptibles de permettre la reconstitution des trajets. Elle précise les règles relatives aux finalités, à l’anonymisation, à la conservation, à l’information des usagers, à leurs droits et à la sécurité. Des dispositions particulières concernent la fraude, les pertes, les vols et les incidents de paiement.

Les sociétés de transports collectifs développent des cartes nominatives magnétiques ou à puce permettant la délivrance et le contrôle des titres de transport. Lors de chaque validation, la date, l’heure, le lieu du passage et le numéro de carte sont enregistrés sur le support et dans le système central.

Le numéro de carte permet indirectement d’identifier le titulaire grâce au fichier clientèle. La reconstitution des trajets n’est donc plus anonyme et peut porter atteinte à la vie privée ainsi qu’à la liberté d’aller et venir.

La CNIL formule une recommandation applicable aux traitements automatisés comme aux fichiers manuels ou mécanographiques. Elle encadre leurs finalités, l’anonymisation, la durée de conservation, l’information des usagers, les droits d’accès et de rectification, les formalités préalables et la sécurité. Des règles particulières sont prévues pour la détection de la fraude, les pertes, les vols et les incidents de paiement.

• Définir précisément une finalité légitime du traitement
• Limiter les données à celles nécessaires à cette finalité
• Anonymiser les données de déplacement hors lutte contre la fraude
• Limiter la conservation destinée à détecter la fraude à deux jours
• Informer les personnes des finalités, destinataires et droits applicables
• Accomplir les formalités préalables auprès de la CNIL
• Garantir la sécurité et la confidentialité des données

• Numéro de carte relié au fichier clientèle
• Enregistrement des dates, heures et lieux de validation
• Historique des trajets conservé sur la carte et dans le système central
• Possibilité de reconstituer les déplacements du titulaire

Les sociétés de transports doivent revoir la conception de leurs systèmes billettiques afin de limiter l’identification des voyageurs et la conservation des historiques. Les usagers doivent bénéficier d’une information complète, de droits effectifs et d’une possibilité de circulation anonyme.

• Anonymisation des données hors opérations antifraude
• Limitation de la conservation antifraude à deux jours pour la détection
• Maintien d’une solution de transport anonyme
• Information sur les finalités, destinataires et droits
• Déclaration ou demande d’avis préalable auprès de la CNIL
• Renforcement des habilitations, accès et dispositifs de chiffrement

À faire

• Définir et documenter chaque finalité du traitement
• Anonymiser les historiques hors lutte contre la fraude
• Informer les usagers des données et destinataires
• Organiser les droits d’accès et de rectification
• Déclarer le traitement ou solliciter l’avis requis

À éviter

• Conserver les trajets nominatifs sans nécessité antifraude
• Utiliser les données pour une finalité incompatible
• Supprimer la possibilité de circuler anonymement
• Accéder aux données de carte sans habilitation
• Inscrire une créance sérieusement contestée dans un fichier mutualisé

La finalité déterminée et légitime des traitements billettiques

Les finalités doivent être clairement indiquées et relever notamment de la délivrance des titres, du contrôle, du service après-vente, de la relation commerciale, de la fraude, des statistiques ou de la sécurité technique. Les données doivent rester adéquates, pertinentes et non excessives au regard de ces finalités, conformément à l’article 5 b) et c) de la convention du Conseil de l’Europe du 28 janvier 1981.

L’anonymisation des données de déplacement et la lutte contre la fraude

Les données associant date, heure, lieu et numéro de carte devraient être anonymisées. L’exception concerne la lutte contre la fraude. La conservation destinée à la détection ne devrait pas dépasser deux jours consécutifs, sauvegarde comprise ; après détection, elle doit être limitée à la vérification de la fraude et à l’instruction judiciaire éventuelle.

Les formalités préalables et la sécurité des traitements nominatifs

Les traitements doivent faire l’objet d’une demande d’avis ou d’une déclaration selon les articles 15 et 16 de la loi du 6 janvier 1978. Les articles 29 et 45 imposent des mesures de sécurité et de confidentialité, notamment pour empêcher les accès non autorisés aux données conservées dans la carte.

Loi n° 78-17 du 6 janvier 1978, Article 4 de la loi n° 78-17 du 6 janvier 1978, Article 5 de la loi n° 78-17 du 6 janvier 1978, Articles 15 et 16 de la loi n° 78-17 du 6 janvier 1978, Articles 26 et 27 de la loi n° 78-17 du 6 janvier 1978, Articles 29 et 45 de la loi n° 78-17 du 6 janvier 1978, Article 9 du Code civil, Articles 226-16 à 226-24 du Code pénal, Article 226-16 du Code pénal, Article 10 de la directive 95/46/CE