La Commission nationale de l'informatique et des libertés ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la délibération n° 03-038, adoptée par la CNIL le 16 septembre 2003, portant adoption d'une recommandation relative à la collecte et au traitement d'informations nominatives par les sociétés de transports collectifs dans le cadre d'applications billettiques ;
Vu la demande d'autorisation présentée par la SNCF d'un traitement automatisé de données à caractère personnel ayant pour finalité principale la gestion des abonnements TAPAS sous forme billetterie et billettique des voyageurs du réseaux ferroviaire régional ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004.
Après avoir entendu M. Guy Rosier, Vice-Président délégué, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement en ses observations ;
Formule les observations suivantes :
La Commission Nationale de l'Informatique et des Libertés a été saisie par la Société Nationale des Chemins de Fer (SNCF) le 27 février 2006 d'un dossier de déclaration relatif à la mise en oeuvre d'un traitement de données à caractère personnel pour la gestion des abonnements TAPAS ("forme billetterie" ou "forme billettique") souscrits par des voyageurs du réseau ferroviaire régional.
L'objectif poursuivi par la SNCF est de fournir des titres de transports payables par prélèvement automatique aux abonnés qui les reçoivent mensuellement à domicile ("forme billetterie") ou voyageant jusqu'à l'expiration du justificatif ("forme billettique") en bénéficiant d'une réduction dudit abonnement par rapport au même abonnement acheté à un guichet.
Le dispositif présenté concerne non seulement la gestion des abonnements, la délivrance et l'utilisation des titres de transport (émission de titres de transport sous "forme billetterie" avec fabrication d'une carte contenant des données d'identification et les caractéristiques du transport et émission de titres de transport sous "forme billettique" avec fabrication d'une carte à puce contenant ces mêmes données) et l'émission des avis de prélèvements, mais aussi le suivi des impayés.
En matière d'impayés, il y a lieu de noter que, dans un premier temps, l'abonné concerné est inscrit dans le fichier de gestion des abonnements sous la dénomination "abonnement impayé" :  il reçoit alors un courrier lui précisant les sommes dues.  Si l'impayé est le second impayé sur une période de 12 mois, l'abonnement est résilié et l'abonné concerné est inscrit sur une liste d'opposition jusqu'à régularisation de sa situation, ce qui a notamment pour effet de lui interdire, durant cette inscription, de bénéficier des abonnements aux titres de transport proposés par la SNCF sur le réseau ferroviaire régional.
Ceci appelle deux observations concernant la résiliation et la durée de conservation :
. la résiliation a pour effet :
- l'arrêt de l'émission des titres de transports jusqu'à régularisation (sous "forme billetterie")
- l'inscription dans un fichier du numéro de sa carte à puce ainsi que la diffusion de ce fichier aux équipements SNCF (sous "forme billettique") :  le titre de transport devient invalide, l'invalidation ne concernant que l'abonnement mensuel de la SNCF et non les éventuels autres titres de transport que la carte à puce pourrait contenir.  L'abonnement étant résilié, le client peut souscrire un nouvel abonnement, dès lors qu'il a régularisé sa situation.
la durée de conservation retenue en matière de gestion des impayés est pertinente :  en effet les informations concernant les impayés sont conservées pendant une durée maximale de 24 mois à compter de la date du second impayé constaté sur une période de 12 mois après le premier impayé.  Si l'abonné régularise sa situation avant ce délai, les informations concernant ses impayés seront effacées dès le paiement de sa dette.
Ainsi il apparaît que les modalités pratiques de mise en oeuvre des traitements relatifs à la prévention et au suivi des impayés présentés par la SNCF satisfont aux principes dégagés et aux recommandations émises par la Commission en matière de gestion de fichiers d'impayés, à savoir notamment le respect du principe de sectorisation, la notification préalable de l'inscription, le choix d'une durée de conservation pertinente et la définition stricte des motifs d'inscription.
La Commission considère qu'il y a lieu, en l'espèce, de faire application de l'article 25-4° de la loi du 6 janvier 1978 modifiée en août 2004 qui soumet à autorisation préalable de la CNIL les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire.
Les catégories de données à caractère personnel enregistrées seront :
. au titre des traitements relatifs à la délivrance et à l'utilisation des titres de transport l'identité (nom, prénom) de l'abonné ; sa date de naissance ; son numéro de téléphone son adresse ; sa photographie ; le trajet ; la classe et la période de validité.
. au titre des traitements relatifs à la gestion des impayés : l'identité (nom, prénom) du payeur ; sa date de naissance ; son adresse et numéro de téléphone ; ses coordonnées bancaires (code banque / code guichet dans le répertoire des guichet et contrôle de la clé RIB) ;
Les destinataires des informations seront, dans la limite de leurs attributions et, pour la poursuite des finalités suivantes :
. au titre des traitements relatifs à la délivrance, l'utilisation des titres de transport (billetterie et billettique) et à l'émission des avis de prélèvements :  les personnes habilitées du département Marketing de la SNCF et du Centre de relation Client SNCF et des prestataires agréés par la SNCF pour la gestion des abonnements, la fabrication des titres de transport, l'édition du courrier et les renseignements téléphoniques des clients.
. au titre des traitements relatifs à la gestion des impayés : les prélèvements rejetés sont transmis à la Direction des opérations financières de la SNCF qui communique cette information au Centre de gestion.  Dans le cas d'un second impayé dans une période de 12 mois, et lorsque le titre de transport est sous forme billettique, l'inscription en liste d'opposition est diffusée sur les équipements SNCF suivants :  postes de vente des guichets, terminaux portables des contrôleurs à bord des trains, équipements de validation des titres de transport en gare et automates de vente de la SNCF.
Les personnes seront informées dans les Conditions Générales d'Abonnement, et conformément à l'article 32 de la loi du 6 janvier 1978 modifiée en août 2004, de l'identité du responsable de traitement, de la finalité poursuivie par le traitement, du caractère obligatoire ou facultatif des réponses, des conséquences éventuelles d'un défaut de réponse, des destinataires des données et des droits qu'elles détiennent au titre de la loi de 1978 à savoir un droit d'accès, de rectification et d'opposition.
Les droits d'accès et de rectification s'exerceront auprès du Centre d'Abonnement TER, en faisant preuve de leur identité, à l'adresse suivante :  Centre d'Abonnement TER - TSA 66503 - 95905 CERGY PONTOISE CEDEX 9.
Autorise la SNCF à mettre en oeuvre le traitement de données à caractère personnel pour la gestion des abonnements TAPAS (forme billetterie ou forme billettique) souscrits par des voyageurs du réseau ferroviaire régional.
Le président Alex TURK.
