La Commission nationale de l'informatique et des libertés ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 6, 9 et 25-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris en application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la déclaration présentée par le groupe MAAF Assurances SA ayant pour finalité la mise en place d'une nouvelle offre d'assurance automobile à destination des jeunes conducteurs dénommée "capital conduite" et les pièces relatives à l'instruction de ce dossier ;
Après avoir entendu M. Didier Gasse, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement en ses observations ;
Formule les observations suivantes :
La MAAF Assurances SA a saisi la Commission nationale de l'informatique et des libertés d'une déclaration relative à la mise en oeuvre d'un traitement automatisé de données à caractère personnel basé sur la géolocalisation des véhicules.  Ce traitement s'inscrit dans la mise en place, à titre expérimental, d'une nouvelle offre d'assurance automobile à destination des jeunes conducteurs qui y auront volontairement souscrit.
Le volet principal de cette offre repose sur le respect par le jeune conducteur d'un certain nombre d'engagements relatifs notamment au respect des limitations de vitesse et aux périodes de conduite.  Le respect de ces engagements conduit à une baisse de la surprime appliquée aux primes d'assurance des jeunes conducteurs.
Afin de vérifier le respect de certains de ces engagements, la MAAF demanderait au jeune conducteur d'installer dans son véhicule un système télématique embarqué GPS-GSM qui, en collectant les informations relatives aux numéros de boîtier, vitesses, lieux, dates, heures et durées de conduite, nombre de kilomètres parcourus au total et type de route, permettrait de déterminer la localisation du véhicule toutes les deux minutes, les vitesses pratiquées, le type de route sur lequel roule le véhicule, les horaires de conduite et les durées de conduite.
Ces informations seraient collectées et traitées par le sous-traitant de la MAAF, laquelle ne serait destinataire que de certaines données faisant apparaître les ruptures des engagements pris par le jeune conducteur.  Un relevé mensuel faisant apparaître les éventuelles ruptures des engagements pris serait envoyé à l'assuré.  En cas de contestation par ce dernier, la MAAF pourrait demander à son sous-traitant le détail exact des données de localisation.
La solution de géolocalisation installée dans le véhicule du jeune conducteur lui permettrait aussi de bénéficier d'une assistance géolocalisée en cas de panne ou d'accident et de la géolocalisation, immobilisation et récupération du véhicule en cas de vol.
La Commission observe que la MAAF précise être destinataire des vitesses moyennes supérieures aux limitations de vitesse autorisées afin de vérifier l'engagement relatif au respect des limitations de vitesse.  Cette information est rendue disponible par la collecte systématique de la vitesse des véhicules des assurés, cette information étant par ailleurs accessible à la MAAF en cas de contestation du relevé mensuel de la part de l'assuré.
Ainsi, la Commission considère que le traitement mis en oeuvre pour le compte de la MAAF, en ce qu'il vise notamment à recenser des données qui constituent des infractions à la réglementation routière s'agissant des vitesses maximales autorisées, entraîne l'application de l'article 25-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions.
La Commission relève que l'article 9 de la loi ne permet pas à une personne de droit privé de mettre en oeuvre un traitement relatif aux violations des limitations de vitesse.
Au surplus, si la mise en oeuvre d'actions visant à développer la prévention routière au bénéfice des jeunes conducteurs ne peut être qu'encouragée, la Commission rappelle qu'il lui appartient d'apprécier, au regard de la loi du 6 janvier 1978 modifiée et notamment de son article 6, la proportionnalité des moyens mis en oeuvre dans le cadre d'un traitement de données à caractère personnel.  En l'espèce, il s'agit de déterminer si l'utilisation d'un système de géolocalisation est proportionnée en ce qu'il vise exclusivement à contrôler le respect des engagements pris par l'assuré.
La Commission relève que l'utilisation d'un dispositif de géolocalisation équipant chacun des véhicules des assurés conduit, directement ou indirectement, la MAAF à mettre en oeuvre un traitement permettant d'enregistrer l'intégralité des déplacements effectués par les assurés concernés.
La Commission considère que la collecte systématique des données relatives à la localisation des véhicules utilisés à titre privé à des fins de modulation de tarifs d'assurance automobile est de nature à porter atteinte à la liberté d'aller et venir anonymement dans des proportions injustifiées.  Dès lors, elle considère que le traitement présenté par la MAAF ne répond pas à l'exigence de proportionnalité posée par l'article 6 de la loi.
N'autorise pas, dans les conditions décrites dans la déclaration dont elle est saisie, la MAAF Assurances SA à mettre en oeuvre un traitement automatisé de données à caractère personnel basé sur la géolocalisation des véhicules dans le cadre d'une nouvelle offre d'assurance automobile à destination des jeunes conducteurs.
Le président, Alex TURK.
