J.O. 114 du 17 mai 2003
J.O. disponibles
Alerte par mail
Lois,décrets
codes
AdmiNet
Texte paru au JORF/LD page 08515
Ce document peut également être consulté sur le site officiel Legifrance
Délibération n° 2003-012 du 11 mars 2003 portant recommandation relative à la gestion de fichiers de personnes à risques par les loueurs de véhicules
NOR : CNIX0306630X
La Commission nationale de l'Informatique et des Libertés,
Vu la convention du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46 /CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, pris ensemble le décret d'application du 17 juillet 1978 ;
Vu le code de la consommation, notamment l'article L. 122-1 ;
Après avoir entendu M. Guy Rosier, commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Saisie de plaintes par plusieurs personnes qui se voient refuser la location d'un véhicule, la commission a procédé à plusieurs vérifications sur place auprès des principales sociétés exerçant cette activité et de leur chambre syndicale, le Conseil national des professions de l'automobile, branche loueurs ;
Des constats opérés lors de ces missions, il apparaît que les loueurs de véhicules gèrent un fichier nominatif, le plus souvent informatisé, et, sur la base des informations ainsi collectées, décident de refuser la location d'un véhicule ; il appartient dès lors à la commission de faire part des préconisations suivantes aux responsables des traitements automatisés d'informations nominatives concernés.
1. Sur la création et la tenue de fichiers de personnes à risques
La commission rappelle qu'aux termes de l'article 2, alinéa 2, de la loi du 6 janvier 1978 : « aucune décision administrative ou privée impliquant une appréciation sur un comportement humain ne peut avoir pour seul fondement un traitement automatisé d'informations donnant une définition du profil ou de la personnalité de l'intéressé ».
La décision d'inscrire une personne dans un fichier spécifique ou l'enregistrement de données la concernant dans un fichier clientèle qui pourrait conduire à lui refuser la location d'un véhicule devrait relever des agents ayant compétence pour vérifier le caractère certain du préjudice subi et habilités à cet effet par la société ou l'organisme concerné.
La commission rappelle également qu'aux termes des dispositions du code de la consommation il est interdit de refuser à un consommateur la vente d'un produit ou la prestation d'un service, sauf motif légitime. En outre, selon l'article 5 (c) de la convention du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, les données à caractère personnel faisant l'objet d'un traitement automatisé doivent être pertinentes, adéquates et non excessives par rapport aux finalités pour lesquelles elles sont enregistrées.
En conséquence, l'inscription d'une personne dans un fichier spécifique ou l'enregistrement de données la concernant dans un fichier clientèle qui conduit à refuser la location d'un véhicule doit reposer sur des motifs objectifs opposables à la personne concernée, faisant abstraction de tout jugement de valeur ou d'une appréciation de son comportement. La commission recommande qu'une liste des motifs d'inscription soit préétablie et que toute inscription sans indication de motif soit exclue.
La commission recommande qu'une distinction soit établie entre les motifs d'inscription résultant du comportement d'un conducteur employé par une société ou un organisme et les motifs d'inscription imputables à ladite société ou audit organisme.
Par ailleurs, la commission appelle l'attention des responsables des sociétés de location de véhicules sur la nécessité d'adopter des mesures permettant de pallier tout risque d'homonymie, notamment dans des cas signalés d'usurpation d'identité.
2. Sur la durée de conservation des données
La commission rappelle qu'aux termes de l'article 5 (e) de la convention du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, ces données ne doivent pas être conservées sous une forme permettant l'identification des personnes concernées pendant une durée excédant celle nécessaire aux finalités pour lesquelles elles sont enregistrées.
Il appartient en conséquence aux responsables des sociétés ou organismes concernés de fixer des durées de conservation des données enregistrées, directement ou indirectement nominatives, adaptées aux différents motifs d'inscription, et de mettre en oeuvre des procédures de mise à jour et de suppression des informations. Ainsi, les données enregistrées à la suite d'un impayé devraient être supprimées dès lors que le montant de la facture est réglé ou, à défaut, à l'expiration d'un délai déterminé.
3. Sur l'information des personnes
En application de l'article 27 de la loi du 6 janvier 1978, les personnes auprès desquelles sont recueillies des informations nominatives doivent être informées :
- du caractère obligatoire ou facultatif des réponses ;
- des conséquences à leur égard d'un défaut de réponse ;
- des personnes physiques ou morales destinataires des informations ;
- de l'existence d'un droit d'accès et de rectification.
Lorsque de telles informations sont recueillies par voie de questionnaires, ceux-ci doivent porter mention de ces prescriptions.
La commission rappelle, en outre, qu'aux termes de l'article 26 de la loi précitée toute personne physique a le droit de s'opposer, pour des raisons légitimes, à ce que des informations nominatives la concernant fassent l'objet d'un traitement.
La commission recommande que les personnes soient systématiquement informées par les sociétés ou organismes concernés de l'existence d'un fichier spécifique ou de la possibilité d'enregistrer dans un fichier clientèle des données qui conduisent à refuser la location d'un véhicule, des motifs d'inscription, des destinataires des données - information qui revêt une importance particulière lorsque les données sont mutualisées - et de leur faculté d'exercer leur droit d'accès, conformément à l'article 34 de la loi du 6 janvier 1978. La commission rappelle que la communication des informations doit s'effectuer en langage clair et être conforme au contenu des enregistrements.
La commission recommande en outre que, sauf exception légitime, toute personne inscrite sur un fichier spécifique ou faisant l'objet de l'enregistrement de données conduisant à lui refuser la location d'un véhicule en soit informée dès son inscription, afin qu'elle soit en mesure de présenter alors ses éventuelles observations.
4. Sur la sécurité et la confidentialité des données
La commission rappelle qu'aux termes de l'article 29 de la loi du 6 janvier 1978 tout responsable de traitement automatisé d'informations nominatives s'engage vis-à-vis des personnes concernées à prendre toutes précautions utiles afin de préserver la sécurité des informations, et notamment d'empêcher qu'elles ne soient déformées, endommagées ou communiquées à des tiers non autorisés.
En conséquence, elle appelle l'attention des responsables des traitements automatisés d'informations nominatives concernés sur la nécessité de veiller à ce que, sous réserve de l'application de l'article 27 de la loi, les données ne soient communiquées qu'aux seuls professionnels de la location de véhicules, et ce par des moyens sécurisés (fichier ou mél crypté).
Pour le président :
Le vice-président délégué,
H. Bouchet