Protection des données dans la billettique : manquements à l’anonymat, à l’information et à la sécurité

La CNIL prononce un avertissement en raison de plusieurs manquements affectant un dispositif de billettique par carte RFID. La société ne garantissait pas un véritable choix entre titres nominatifs et anonymes dans des conditions équivalentes, contrairement à l’article 1er de la loi du 6 janvier 1978 et aux finalités de l’autorisation unique n° 15.

La conservation illimitée de données clients, bancaires, d’impayés et de validation non anonymisées méconnaissait le 5° de l’article 6 de la loi du 6 janvier 1978 ainsi que l’article 4 de l’autorisation unique n° 15. La société n’avait pas défini de politique effective de purge.

La CNIL retient également l’absence de finalité déterminée, explicite et légitime pour la liste des clients ayant résilié leur prélèvement automatique, en violation du 2° de l’article 6. L’information des personnes était insuffisante au regard du I de l’article 32 : les clients n’étaient pas correctement informés du traitement des impayés et du passe anonyme.

Enfin, les mots de passe insuffisamment sécurisés, leur affichage sur les écrans, l’absence de politique écrite et la transmission non chiffrée de données caractérisaient un manquement à l’article 34. Les mesures correctrices engagées ultérieurement n’ont pas supprimé l’insuffisance des garanties. Eu égard à la nature et à la gravité des manquements, la décision est rendue publique conformément aux articles 45 et suivants de la loi du 6 janvier 1978.

⬇️Télécharger la décision version officielle

Un opérateur de transports conservait sans durée définie des données clients, bancaires, d’impayés et de validation non anonymisées. La CNIL a aussi relevé une information insuffisante sur le passe anonyme, des mots de passe peu sécurisés, l’absence de règles formalisées et la transmission non chiffrée de données aux autorités judiciaires. Un avertissement public a été prononcé.

La société X exploite un réseau de transports publics et propose des titres nominatifs et anonymes reposant sur une carte RFID. Des plaintes ont signalé un défaut d’information concernant le passe anonyme et la différence de tarif avec le passe nominatif.

Un contrôle de la CNIL a révélé que la société conservait sans durée définie des données clients, bancaires, d’impayés et de validation non anonymisées. Une liste de clients ayant résilié leur prélèvement automatique ne reposait sur aucune finalité établie. Les voyageurs n’étaient pas suffisamment informés du traitement des impayés ni de l’existence du passe anonyme, dont les conditions d’utilisation étaient nettement moins favorables.

Le contrôle a également relevé des mots de passe trop courts, parfois visibles sur les écrans, l’absence de règles de sécurité formalisées et l’envoi non chiffré de données en réponse à des réquisitions judiciaires. Après la procédure contradictoire, la CNIL a prononcé un avertissement et ordonné la publication de sa délibération.

• Préserver un véritable choix entre titres nominatifs et anonymes
• Définir une finalité déterminée, explicite et légitime pour chaque traitement
• Limiter la conservation aux durées nécessaires ou prévues
• Informer les personnes lors de la collecte et avant l’inscription aux impayés
• Présenter le titre anonyme selon les mêmes modalités que le titre nominatif
• Mettre en place des mesures écrites et effectives de sécurité

• Constat sur place de l’absence de politique de conservation
• Présence de données bancaires et d’impayés conservées sans limitation
• Conservation de données de validation non anonymisées dans le serveur S3
• Constat de mots de passe courts et affichés sur les écrans
• Absence d’information équivalente sur les titres anonymes
• Réponses aux réquisitions transmises sans authentification ni chiffrement

La société fait l’objet d’un avertissement en raison de manquements persistants affectant les traitements de billettique et la sécurité des données. La publication de la délibération expose publiquement les insuffisances constatées et impose une mise en conformité structurée.

• Mettre en place une politique documentée de conservation et de purge
• Garantir une offre anonyme réellement équivalente à l’offre nominative
• Informer les clients sur les impayés et les titres anonymes
• Formaliser une politique de sécurité et une charte utilisateur
• Authentifier les réquisitions et chiffrer les données transmises

À faire

• Définir les durées de conservation par catégorie de données
• Automatiser les purges et documenter leur contrôle
• Présenter le titre anonyme avec une information équivalente
• Formaliser la politique de sécurité et les procédures internes
• Chiffrer les transmissions et authentifier leurs destinataires

À éviter

• Conserver indéfiniment les données bancaires ou d’impayés
• Maintenir des données de validation identifiantes sans finalité documentée
• Limiter l’information du passe anonyme à un support peu visible
• Utiliser des mots de passe courts ou affichés publiquement
• Envoyer des données sensibles sans authentification ni chiffrement

La durée de conservation des données personnelles

La CNIL constate la conservation sans limitation de durée des données du traitement de gestion des fiches clients, notamment les coordonnées bancaires et les mentions d’impayés, ainsi que des données de validation non anonymisées. Cette pratique méconnaît le 5° de l’article 6 de la loi du 6 janvier 1978 et l’article 4 de l’autorisation unique n° 15, qui imposent une conservation limitée aux finalités poursuivies. Des purges ponctuelles ne suffisent pas à établir une politique effective de conservation.

L’information des personnes concernées

Le I de l’article 32 de la loi du 6 janvier 1978 impose une information sur le traitement et ses principales caractéristiques. L’article 6 de l’autorisation unique n° 15 prévoit en outre une double information concernant les impayés et une présentation du titre anonyme selon les mêmes modalités que le titre nominatif. Une mention générale sur le formulaire d’adhésion et une information peu visible ne satisfont pas ces exigences.

La sécurité et la confidentialité des données

L’article 34 de la loi du 6 janvier 1978 impose les précautions utiles contre l’accès de tiers non autorisés. La CNIL relève des mots de passe trop courts, leur affichage sur les écrans, l’absence de politique de sécurité écrite et la transmission non chiffrée de données dans les réponses aux réquisitions. Les mesures engagées n’ont pas compensé l’absence de formalisation et de sensibilisation suffisantes.

Article 1er de la loi n° 78-17 du 6 janvier 1978, Article 6 de la loi n° 78-17 du 6 janvier 1978, Article 32 de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Articles 45 et suivants de la loi n° 78-17 du 6 janvier 1978