Voyageurs sans titre de transport valable - contrôle de la base de données auprès des CFF

Nous avons procédé auprès des CFF à un contrôle portant sur le traitement des données relatives aux voyageurs sans titre de transport valable. A cette occasion, il a été constaté qu’une base légale au sens formel manque pour le système d’information proprement dit. L’Office fédéral des transports a de ce fait accepté d’entamer les démarches nécessaires sur le plan législatif. Lors de notre contrôle sur place, les CFF n’avaient pas encore mis en œuvre la suppression prévue des données dans leur système d’information. Nous sommes actuellement en train d’étudier le concept de suppression des données qui a été élaboré entretemps, ainsi que sa mise en œuvre.

Nous avons reçu plusieurs demandes concernant le traitement que les CFF effectuent avec les données des voyageurs sans titre de transport valable. Diverses informations sont apparues dans la presse à ce sujet. Le nombre de personnes concernées par ce traitement est considérable étant donné que les CFF recensent également les voyageurs qui ont oublié d'emporter leur abonnement. Nous avons par voie de conséquence procédé à un contrôle auprès des CFF.

Les données des voyageurs sans titre de transport valable sont traitées dans le système d'information RogF des CFF. Ce système se base sur la loi fédérale sur le transport de voyageurs (LTV) ainsi que sur les dispositions tarifaires des entreprises de transport suisses. Le «Tarif 600» contient les conditions générales pour le transport des voyageurs, le «Tarif 600.5» les lignes directrices pour le traitement des voyageurs sans titre de transport valable. Ce dernier s'appuie principalement sur la loi fédérale sur le transport de voyageurs qui prévoit que les personnes qui ne peuvent pas présenter de titre de transport valable doivent payer un supplément. Ce supplément peut être majoré dans les cas où le voyageur récidive. Les CFF disposent d'autre part d'une directive du groupe relative à la protection des données. Ces derniers ont pu nous expliquer quelles données sont traitées et à quelles fins elles le sont dans le système RogF, toutefois les détails de ces traitements (finalités, catégories de données, accès aux données, suppression des données, etc.) ne sont décrits nulle part, ni dans la documentation des CFF, ni dans une base légale.

Selon les indications des CFF, le traitement des données a lieu comme suit: l'agent d'accompagnement du train effectue ses contrôles à l'aide de son terminal mobile pour le personnel roulant. Ce terminal mobile ne dispose pas de liaison en ligne avec le système RogF. Cela signifie que les données concernant les voyageurs sans titre de transport valable, qui ont été saisies sur le terminal mobile, ne sont transférées dans la base de données RogF qu'après le service. Si l'agent d'accompagnement de train a affaire à un passager ne possédant pas de titre de transport valable, il remplit en plus le formulaire 7000, qui sert de titre de transport et est en outre sauvegardé par les CFF. Ce formulaire est rempli dans les cas où un voyageur a oublié son abonnement personnel (p.ex. un AG) et ne peut pas prouver son identité ou s'il possède un titre de transport, mais a oublié son abonnement demi-tarif. Dans ces deux cas, la personne concernée dispose de dix jours pour présenter l'abonnement qu'elle avait oublié, après quoi l'affaire est classée.

Dans le cadre de la concession qui leur a été attribuée, et selon la définition de la loi sur la protection des données les CFF agissent en tant qu'organe fédéral. Ils doivent donc disposer d'une base légale pour traiter des données personnelles. Cette base légale doit être de nature formelle (p. ex. une loi fédérale adoptée par le parlement) dans les cas où le traitement concerne des données personnelles sensibles. La LTV réglemente la perception des suppléments, mais pas le système d'information en soi. Parallèlement, la loi sur la protection des données stipule que des données personnelles sensibles peuvent être traitées sans base légale dans les cas où cela est exceptionnellement nécessaire pour une tâche clairement définie dans la loi au sens formel. Nous avons conclu que les CFF doivent exploiter un système d'information afin de remplir leur devoir légal, notamment la majoration du supplément pour les personnes récidivistes. Un tel traitement ne peut cependant s'appuyer sur la loi sur la protection des données que dans des cas exceptionnels. Le cas présent ne constitue pas une telle exception.

Vu la définition claire de la tâche légale dans la LTV, nous avons néanmoins pu renoncer à interdire le système d'information RogF jusqu'à l'élaboration de la base légale nécessaire. La base actuelle reste cependant lacunaire, raison pour laquelle le système pourra continuer à être exploité pour une période restreinte uniquement. La base légale manquante doit être créée aussi vite que possible. La difficulté à laquelle nous avons été confronté dans ce cas est de ne pas pouvoir exiger cette base de la part des CFF, du fait qu'ils ne peuvent pas eux-mêmes mettre en route un processus législatif. Ils peuvent cependant intervenir auprès de l'Office fédéral des transports (OFT) pour que celui-ci lance le processus. C'est pour cette raison que nous avons proposé aux CFF de nous communiquer, en coordination avec l'OFT, si les démarches nécessaires à la création d'une base légale pour l'exploitation de tels systèmes ont été entreprises. En même temps, nous nous sommes réservés le droit de recommander aux CFF de renoncer aux traitements de données dans le système RogF au cas où ces démarches n'étaient pas mises en œuvre. Nous avons également proposé aux CFF de définir le détail des traitements de données effectués dans des instructions ou directives en attendant que les bases légales voient le jour.

A l'origine, les CFF avaient prévu de supprimer les données stockées dans RogF au bout de deux ans. Notre contrôle sur place a cependant révélé qu'aucune donnée n'avait jusqu'ici été supprimée. Ainsi, le système contient encore des données datant des années 1999 et 2000. Un stockage de données pour une telle durée viole le principe de la proportionnalité. Lors de notre contrôle, les CFF étaient en train d'élaborer un concept pour la suppression des données. Ce concept doit préciser quelles données sont conservées, pendant combien de temps, pour quelle finalité et comment la suppression des données sera effectuée. Nous avons recommandé aux CFF d'élaborer ce concept d'ici la fin de 2012, de nous le soumettre et en même temps de procéder à la suppression des données qui ne sont plus nécessaires. Les formulaires 7000 sauvegardés n'avaient également pas été supprimés au moment de notre contrôle. Effectivement, des documents qui dataient déjà de l'année 2006 ont été retrouvés. Nous avons de ce fait émis une recommandation de procéder de la même manière que pour la suppression des données dans RogF. D'autres recommandations concernaient l'élaboration d'un règlement de traitement pour le système ainsi que pour la génération de mots de passe.

Les CFF ont accepté nos propositions et recommandations. L'OFT de son côté nous a assuré qu'il entreprendrait les démarches nécessaires à la création des bases légales manquantes. Le concept pour la suppression des données ainsi que le règlement de traitement nous ont d'ores et déjà été délivrés. Ces documents feront l'objet d'une analyse de notre part par le biais de laquelle nous vérifierons si les données ont effectivement été supprimées. Parallèlement, nous continuerons à suivre les démarches sur le plan législatif.

https://www.edoeb.admin.ch/content/edoeb/fr/home/documentation/rapports-d-activites/20e-rapport-d-activites-2012-2013/voyageurs-sans-titre-de-transport-valable---controle-de-la-base-.html