Le domaine des transports et de la mobilité n’échappe pas aux nouvelles exigences induites par la nouvelle réglementation européenne, et, en la matière, il semble que certaines problématiques soient particulièrement exposées à celles-ci.
- La problématique du stationnement payant
En matière de stationnement payant sur voirie, les collectivités locales peuvent être conduites à recourir à de nouveaux téléservices impliquant la mise en œuvre de traitement de données personnelles. La CNIL a émis des recommandations en la matière, dont il faut relever qu’elles sont néanmoins antérieures à l’entrée en vigueur du RGPD (Recommandations du 14 novembre 2017). Toutefois, le renforcement des droits des personnes physiques concernées incite à une vigilance renforcée quant au respect de ces recommandations.
Ainsi, lors des contrôles préalables aux contrôles physiques réalisés par des agents assermentés des véhicules stationnés sur la voirie, réalisés par l’intermédiaire de véhicules (voitures ou scooters) équipés d’un dispositif de lecture automatisé des plaques d’immatriculation (dite LAPI), ne devraient être collectés que les numéros de plaque d’immatriculation ainsi que l’horodatage et la géolocalisation du véhicule : le champ de la prise de vue doit être limité à la plaque d’immatriculation. Par ailleurs, les données doivent être supprimées dès qu’il est établi que le véhicule est en règle, et, à défaut, dès lors que le contrôle par l’agent assermenté est réalisé et que la procédure de « FPS » (forfait de post-stationnement) est, le cas échéant, initiée.
Ces données anonymisées peuvent également être utilisées à des fins statistiques par l’observatoire du stationnement de la collectivité « dans des conditions appropriées à cet usage », précise la CNIL.
- La problématique de la billettique
Par ailleurs, les applications billettiques et tickets/abonnements dématérialisés de transports se développent sur le territoire et impliquent la mise en œuvre de nombreux traitements de données à caractère personnel : identité, âge et situation professionnelle, mode et données de paiement, numéro et type d’abonnement, données de localisation, etc. La CNIL a déjà apporté d’importantes précisions sur les applications billettiques des transports publics dans une délibération du 28 avril 2011, lesquelles pourraient être adaptées au nouveau cadre du RGPD, par exemple pour intégrer le droit à la portabilité des données et à l’oubli.
En outre, dans le cadre d’enquêtes de satisfaction, les transporteurs et collectivités sont conduits à collecter des données personnelles (telles que les noms, prénoms et âges des usagers, leurs adresses mails, les lieux de point de départ et d’arrivée privilégiés de transport).
Les usagers devraient être informés de la finalité de cette collecte, laquelle pourrait être, par exemple, la réalisation d’études statistiques (si la finalité du traitement n’est pas initialement statistique mais que les données sont utilisées dans un second temps pour une telle finalité, le droit de l’Union précise que ce traitement « devrait être considéré comme une opération de traitement licite compatible » (Considérant 50 du RGPD)) ou l’amélioration du fonctionnement du réseau. Des garanties appropriées devraient être prévues par les Etats membres pour le traitement de données à caractère personnel à des fins statistiques (Considérant 156 du RGPD). Par ailleurs, il conviendra de s’assurer de la licéité de ces traitements, en le fondant expressément soit sur l’accomplissement de missions de service public soit sur l’expression univoque et éclairée du consentement des usagers à la collecte de leurs données à caractère personnel pour la finalité indiquée.
Enfin, les contrats liant les autorités organisatrices de la mobilité à leurs opérateurs devront être soigneusement analysés et faire l’objet d’avenants précis, en fonction de la qualification retenue du cocontractant, qui pourra alternativement se trouver être un responsable de traitement, un sous-traitant ou un destinataire tiers.