La Commission Nationale de l'Informatique et des Libertés ;
Vu la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application des chapitres I à IV et VII de la loi du 6 janvier 1978 susvisée ;
Vu sa délibération n° 91-065 du 9 juillet 1991 portant avis favorable sur la mise en oeuvre, par la SNCF, du système SOCRATE ;
Vu sa délibération n° 92-084 du 8 septembre 1992 portant avis sur la mise en place, par la SNCF, dans le cadre du système SOCRATE, du traitement automatisé dénommé "BLOC-NOTES" ;
Vu le projet d'acte réglementaire présenté par la SNCF, portant création du traitement automatisé dénommé "fiche clients-entreprises" ;
Après avoir entendu Monsieur Hubert BOUCHET, Commissaire en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ;
Considérant que la Commission Nationale de l'Informatique et des Libertés est saisie, par la SNCF, de la mise en place, dans le cadre du système SOCRATE (système offrant à la clientèle des réservations d'affaires et de tourisme en Europe), d'une application nouvelle dénommée "fiche clients-entreprises" ;
Considérant que la création de la "fiche clients-entreprises" est subordonnée à la signature d'un contrat avec la SNCF par tout organisme intéressé (entreprise, association, administration et collectivité publique) ; qu'aux termes de ce contrat, l'organisme est détenteur d'un compte répertoriant les prestations achetées et bénéficiaire de conditions privilégiées, en particulier, de réductions calculées sur le volume des achats enregistrés ;
Considérant que le traitement automatisé d'informations nominatives considéré a pour finalité d'assurer le suivi des consommations de l'organisme mais également le suivi des consommations des employés se déplaçant dans le cadre de leur activité professionnelle ;
Considérant que les données enregistrées sur l'entreprise sont les suivantes : nom, téléphone, code APE, adresse, nombre de salariés, nombre de personnes voyageant dans l'entreprise, nom du responsable "voyage", date d'adhésion, modalités de paiement ; qu'elles concernent également les consommations : date, numéro du train, classe, type d'espace, profil tarifaire, prix payé, services consommés ;
Considérant que les données relatives aux employés sont les suivantes : nom, prénom, date de naissance, sexe, adresse et numéros de téléphone professionnels et personnels, profession, raison sociale de l'entreprise ; qu'elles concernent les prestations consommées : date, numéro du train, classe, type d'espace et profil tarifaire, prix payé, services ;
Considérant qu'il est prévu que le suivi individuel des consommations de chaque employé et sa communication à l'entreprise ne peuvent être effectués qu'après information et recueil de l'accord écrit de l'intéressé ;
Considérant cependant qu'il convient de s'interroger sur l'effectivité du libre consentement du salarié dans la mesure où son accord devrait être recueilli sur le fondement d'un contrat préalablement conclu entre son employeur et la SNCF ;
Considérant en outre que le contrat signé entre la SNCF et l'entreprise ayant pour principal objectif l'obtention de réductions calculées sur le volume global des achats enregistrés, le suivi individuel des consommations de chaque employé n'est d'aucune utilité de ce point de vue ;
Considérant en conséquence qu'en enregistrant les informations relatives aux déplacements des employés, la SNCF qui paraît se substituer à l'entreprise détient des données qui ne sont pas pertinentes au regard de la finalité déclarée ;
Considérant que les données relatives à l'organisme signataire du contrat sont conservées jusqu'à l'expiration dudit contrat avec un délai maximum de trois ans ;
Considérant qu'en aucun cas les vendeurs des gares et agences agréées ne peuvent avoir accès aux informations "suivi" et "synthèse de consommation" ;
Considérant que le droit d'accès aux données nominatives enregistrées, peut être exercé auprès de la Direction de l'Activité Grandes Lignes de la SNCF ainsi qu'auprès des Conseils en voyages SNCF, conformément aux dispositions de l'article 34 de la loi susvisée ;
EMET un avis favorable à la mise en oeuvre du traitement examiné sous réserve que le système de suivi individuel des consommations des salariés ne soit pas mis en application.
Le Président, Jacques FAUVET
