Transport routier: cadre pour le déploiement de systèmes de transport intelligents et d'interfaces avec d'autres modes de transport

AVIS DU CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES concernant la communication de la Commission sur le plan d'action pour le déploiement de systèmes de transport intelligents en Europe et la proposition de directive du Parlement européen et du Conseil établissant le cadre pour le déploiement de systèmes de transport intelligents dans le domaine du transport routier et d'interfaces avec d'autres modes de transport.

Le CEPD accueille favorablement le plan de déploiement des STI proposé par la Commission qui a pour but d'harmoniser le traitement des données dans toute l'Europe en vue de faciliter la fourniture de services STI, plan qui présente la protection des données comme une condition essentielle du déploiement approprié des STI en Europe.

Le CEPD note que la directive proposée instaure un cadre général qui soulève un certain nombre de questions en matière de respect de la vie privée et de protection des données, qui doivent être examinées plus en détail aussi bien à l'échelon de l'UE qu'au niveau national:

• le cadre juridique proposé manque de clarté, de sorte que les STI risquent d'être mis en œuvre de différentes manières en Europe et que les données risquent donc d'y bénéficier de niveaux de protection variables. Le CEPD souligne qu'il est nécessaire de pousser plus loin l'harmonisation de ces questions au niveau de l'UE afin de clarifier les questions en suspens (telles que les rôles et les responsabilités des différents acteurs des STI, les applications et systèmes STI spécifiques devant être embarqués à bord des véhicules, les contrats harmonisés pour la fourniture de services STI, les finalités spécifiques et les modalités d'utilisation des STI, etc.). Il est particulièrement important de déterminer le responsable du traitement puisqu'il lui incombera de veiller à ce que les considérations en matière de respect de la vie privée et de protection des données soient prises en compte à chaque étape du traitement ;
• les décisions concernant les modalités du traitement qui pourraient avoir des conséquences significatives pour les droits de chacun en matière de respect de la vie privée et de protection des données devraient incomber au Parlement européen et au Conseil, et ne pas être arrêtées selon la procédure de comitologie ;
• il est capital de prendre en considération le respect de la vie privée et la protection des données dès le début du traitement et à tous les stades de celui-ci; il convient d'encourager la mise en œuvre du principe de la prise en compte du respect de la vie privée dès la conception lors de l'élaboration des applications et systèmes STI, ainsi que des normes, des meilleures pratiques et des spécifications techniques ;
• en cas d'interconnexion d'applications et de systèmes, il faut veiller à respecter pleinement les principes de protection des données et les garanties concrètes en matière de sécurité ;
• pour ce qui est des incertitudes qui demeurent à ce stade concernant les modalités de déploiement des STI, le CEPD se félicite tout particulièrement que la Commission ait prévu dans sa communication de procéder d'ici à 2011 à une évaluation des éléments relatifs à la vie privée. Il recommande d'évaluer les incidences en termes de respect de la vie privée et de protection des données en fonction du secteur et/ou de la finalité considérée, en vue de définir les mesures de sécurité appropriées, et de définir les meilleures techniques disponibles en matière de respect de la vie privée, de protection des données et de sécurité dans le domaine des STI ;
• le CEPD souligne en outre qu'il sera de la responsabilité des États membres de mettre en œuvre correctement la directive, de manière à ce que les exploitants de STI puissent mettre au point des systèmes et des services offrant un niveau approprié de protection des données dans toute l'Europe ;
• les responsables de traitements fournissant des services STI devraient instaurer les garanties nécessaires pour que l'utilisation de technologies de positionnement, par exemple systèmes de positionnement par satellite et étiquettes RFDI, ne porte pas atteinte à la vie privée de personnes utilisant un véhicule à la fois à des fins strictement privées et dans un cadre professionnel. À cet effet, il faudra notamment limiter le traitement aux données strictement nécessaires pour la finalité poursuivie, en veillant à ce que des mesures de sécurité appropriées soient intégrées dans les systèmes pour éviter que les données de positionnement ne soient divulguées à des destinataires non autorisés, et en fournissant aux utilisateurs un moyen aisé de désactiver le système et/ou la fonction de positionnement.

Le CEPD recommande que l'article 6 de la proposition (règles relatives au respect de la vie privée, à la sécurité et à la réutilisation des informations) soit modifié, en conformité avec la directive 95/46/CE, comme suit:

• aux fins du traitement de données par les STI, il convient d'encourager l'application du principe de limitation des données ;
• il est important que les données à caractère personnel traitées par des systèmes interopérables ne soient pas utilisées pour d'autres finalités que celles pour lesquelles elles ont été collectées ;
• le CEPD recommande de mentionner expressément à l'article 6 de la proposition, aux fins de la conception des applications et systèmes STI, le principe de la prise en compte du respect de la vie privée dès la conception. En outre, il recommande que le groupe de travail «Article 29» et le CEPD soient informés et consultés en ce qui concerne toute nouvelle mesure prise à cet égard selon la procédure de comitologie.

Enfin, le CEPD recommande que les autorités de protection des données, notamment par l'intermédiaire du groupe de travail «Article 29», et le CEPD soient étroitement associés aux initiatives relatives au déploiement des STI et qu'ils soient consultés à un stade suffisamment précoce avant que lesdites mesures ne soient définies.