Afin d’améliorer les statistiques liées à la sécurité routière, le gouvernement vient d’autoriser la création d’un traitement composé des nombreuses informations contenues dans les procès-verbaux dressés par les forces de l’ordre : nom du conducteur, circonstances de l’accident, mais aussi « données de santé » ou même profession.

Comme chaque année, l’exécutif profite du calme des fêtes pour publier de – très – nombreux textes au Journal officiel. Le 27 décembre dernier, Édouard Philippe et son ministre de l’Intérieur, Gérard Collomb, ont ainsi signé un décret qui permet dorénavant à l’Observatoire national interministériel de la sécurité routière (ONISR) de collecter les données issues des PV dressés par les gendarmes et policiers lors d’accidents de la circulation routière.

Dans l’objectif de mieux analyser « l'accidentalité » locale comme nationale, et améliorer « l'évaluation des politiques de sécurité routière sur la longue durée », l’institution se voit autorisée à exploiter ces informations, qui ne seront pas anonymisées.

La CNIL en appelle à une « vigilance particulière » du fait de l’absence d’anonymisation

Peuvent notamment être enregistrées et exploitées, au titre de ce nouveau traitement :

• État civil (nom, nom d'usage, prénom, sexe, date et lieu de naissance)
• Adresse postale
• Numéro et état de validité du permis de conduire
• Numéro d’immatriculation du véhicule
• Infractions constatées au Code de la route
• « Informations sur la profession, la police d'assurance ou le comportement des personnes impliquées dans l'accident, l'ensemble des circonstances de cet accident et du déplacement à l'occasion duquel il a eu lieu, et les constatations faites à cette occasion »
• « Données de santé »
• Résultats des épreuves de dépistages d’alcoolémie ou de stupéfiants

Ces très nombreuses données ne pourront être exploitées qu’à des fins statistiques. Le décret interdit en ce sens toute recherche ou extraction d’informations visant à identifier une personne enregistrée dans ce nouveau traitement – et ce « de façon automatisée ou non ». Autrement dit, il ne devrait par exemple pas être possible pour un agent habilité de rechercher tous les accidents dans lesquels un individu en particulier a été impliqué.

« Les informations collectées (...) ne seront pas utilisées, dans le cadre des traitements envisagés, pour prendre des décisions à l'égard des personnes concernées » souligne ainsi la Commission nationale de l’informatique et des libertés (CNIL), dans sa délibération relative à ce décret.

Des données transmises « en clair » via TransPV

La gardienne des données personnelles se montre toutefois inquiète de « l'absence d'anonymisation ou de pseudonymisation des procès-verbaux collectés ».

L’autorité administrative indépendante explique que l’ONISR et ses observatoires départementaux et régionaux sont censés disposer avec ce décret de « l'ensemble des procès-verbaux des accidents de la circulation routière », « dans leur version numérisée ». Ces documents transitent « sous format PDF » par le biais du dispositif existant TransPV, « mis en œuvre par l'AGIRA (Association pour la gestion des informations sur le risque en assurance) ». Un outil qui permettait jusqu’ici aux seuls assureurs de recevoir les PV dressés par les services de police et de gendarmerie.

Tout en reconnaissant que cette situation lui semble « envisageable » compte tenu des « difficultés matérielles » liées à une purge des données nominatives figurant dans les masses de PV dressés par les forces de l'ordre, la CNIL prévient que « le choix aujourd'hui effectué devra être réévalué dès que les conditions d'établissement des procès-verbaux ou d'accès à leur contenu par le biais du dispositif TransPV AGIRA auront évolué ».

L’institution s’appuie par ailleurs sur cet élément pour prôner une « vigilance particulière », quant à la désignation et l'habilitation des agents pouvant accéder à ces données « à raison de leurs attributions et dans la limite du besoin d'en connaître ».

Dans son avis, qui date d’avril 2017, la commission constate en outre que les données de TransPV sont « transmises en clair ». Un point fâcheux selon la gardienne des données personnelles, qui en appelait ainsi les pouvoirs publics à prendre des mesures de sécurité appropriées, « telles que le chiffrement des données échangées par un algorithme réputé fort afin de garantir la confidentialité ».

La CNIL n’a en revanche pas contesté que les données collectées puissent être conservées pendant dix ans, étant donné « qu'une meilleure compréhension de l'accidentalité suppose de pouvoir analyser les accidents sur une durée relativement longue, en particulier dans les départements et régions à faible accidentalité ».

La base des vitesses maximales autorisées se fait toujours attendre

Avec ce décret, le gouvernement d’Édouard Philippe donne le coup d’envoi d’une réforme annoncée par Manuel Valls à l’issue du Comité interministériel de la sécurité routière d’octobre 2015 (mesure C19).

Force est toutefois de constater que certaines des mesures annoncées à cette occasion n’ont pas été respectées : la précédente majorité ambitionnait notamment de « bâtir à échéance de deux ans » une base de données des vitesses maximales autorisées sur l’ensemble du territoire. Ce méga-fichier devait être mis gratuitement à la disposition du public, pour éviter notamment que certains utilisateurs de GPS ou de systèmes d’aide à la navigation ne soient induits en erreur par un appareil non mis à jour.

Cette réforme est certes actée par la loi Numérique de 2016, mais son décret d’application manque toujours à l’appel...