Publié le 7 mai 2021 par la Commission nationale de l’informatique et des libertés (Cnil), le nouveau référentiel relatif aux traitements de données à caractère personnel mis en œuvre dans le cadre de la désignation des conducteurs ayant commis une infraction au code de la route vient répondre aux exigences européennes formulées dans le Règlement général sur la protection des données (RGPD). Il convient de rappeler que l’employeur est légalement tenu de désigner le salarié ayant commis une infraction au code de la route sous peine d’être pénalement sanctionné.
Remplaçant l’ancienne autorisation unique AU-10, le nouveau référentiel se veut être « un outil d’aide à la mise en conformité des personnes et organismes identifiant et désignant le conducteur en cas d’infraction routière ». Il trouve donc à s’appliquer en cas d’infraction routière lorsque les employeurs, mettant un véhicule à disposition de leurs salariés, doivent indiquer à l’autorité compétente l’identité et l’adresse de la personne physique conduisant le véhicule. Le référentiel n’a cependant pas de valeur contraignante, son application pouvant être écartée par l’employeur sous réserve de justification.
Le référentiel précise que le traitement des données du salarié doit répondre à une finalité et être justifié aux vues des missions et activités de l’organisme. Ainsi, il liste trois finalités chacune associée à une base légale :
- la désignation auprès de l’Agence nationale de traitement automatisé des infractions (ANTAI) de la personne qui conduisait ou était susceptible de conduire le véhicule lorsque l’infraction a été constatée, correspondant à l’obligation légale prévue à l’article L.121-6 du code de la route ;
- le suivi de la procédure de recouvrement des contraventions au code de la route, motivé par les intérêts légitimes de l’employeur;
- la réalisation de statistiques anonymes en vue d’adapter les formations de prévention routière, motivée par les intérêts légitimes de l’employeur.
Selon le principe de minimisation des données, seules les données nécessaires à la poursuite des finalités du traitement doivent être traitées, une liste illustrative des données concernées étant formulée directement par le référentiel (notamment : nom, prénom, sexe, date et lieu de naissance, adresse et adresse électronique du conducteur).
La sécurisation des données étant au cœur du RGPD, le nouveau référentiel prévoit des critères tenant aux personnes susceptibles d’accéder aux données et à leurs destinataires (liste limitative : l’ANTAI, l’officier du ministère public, les entreprises de travail temporaire). L’organisme doit prendre toutes les précautions utiles au regard des risques présentés par son traitement pour préserver la sécurité des données (sensibiliser les utilisateurs, protéger le réseau informatique, archiver de manière sécurisée…). En principe, la durée de conservation des données doit être limitée à 45 jours à compter de la réception de la contravention.
Le souci de transparence vis-à-vis du salarié implique que ce dernier soit informé de l’existence du traitement, de ses caractéristiques essentielles (parmi lesquelles l’identité du responsable du traitement et l’objectif poursuivi) et des droits dont il dispose. Le référentiel précise que le salarié dispose du droit d’accès, de rectification, d’effacement, de limitation du traitement et de s’opposer au traitement, sous réserve du refus de l’employeur motivé par des intérêts légitimes et impérieux.
En application des dispositions de l’article 35 du RGPD, le référentiel prévoit que le responsable de traitement peut avoir à réaliser une analyse d’impact dès lors que le traitement qu’il met en œuvre est susceptible de présenter un risque élevé pour les droits et les libertés des personnes concernées. Cette analyse d’impact apparait alors obligatoire pour les employeurs de plus de 250 salariés dès lors que le traitement remplit au moins deux des neufs critères établis par le Comité européenne de la protection des données.
Me Sophie WATTEL, Avocat spécialiste en droit du travail
Camille MOUTOUS, stagiaire