Systèmes de transport intelligents dans les transports routiers: "le manque de clarté risque de conduire à des niveaux différents de protection des données en Europe" met en garde le CEPD

Aujourd'hui, le Contrôleur européen de la protection des données (CEPD) a adopté un avis sur la proposition d'un plan de déploiement de la Commission européenne pour les systèmes de transport intelligents (STI) en Europe, qui a été adoptée en décembre 2008 afin d'accélérer et de coordonner leur déploiement dans les transports routiers et leur relation avec d'autres modes de transport ^(*). Le déploiement des STI a des implications importantes en termes de protection de la vie privées, notamment parce que ces systèmes permettent de suivre un véhicule et de recueillir un large éventail de données relatives aux habitudes de conduite des usagers européens de la route.

Le CEPD relève que la protection des données a été prise en compte dans le projet de cadre juridique et qu'elle est également présentée comme une condition générale pour le déploiement des STI. Il souligne cependant que la proposition de la Commission est trop générale pour répondre de façon appropriée aux questions de vie privée et de protection des données soulevées par leur déploiement dans les États membres. En particulier, le cadre juridique ne définit pas clairement quand l'exécution des services STI entraînera la collecte et le traitement de données personnelles, quelles sont les finalités et les modalités selon lesquelles des traitements de données pourront avoir lieu, ou qui sera responsable du respect des obligations en matière de protection des données.

Peter Hustinx, CEPD, déclare: "Il y a un risque que le manque de clarté du cadre juridique proposé entraîne une diversité dans la mise en œuvre des systèmes de transport intelligents et conduise à une incertitude élevée, à une fragmentation et à des incohérences en raison de différents niveaux de protection des données en Europe. Il est nécessaire d'harmoniser davantage les questions de protection des données au niveau de l'UE pour que les nombreux avantages offerts par ces systèmes ne soient pas entravés par un respect insuffisant des garanties en matière de protection des données."

L'avis du CEPD inclut les principales recommandations suivantes:

• clarification des responsabilités: il est essentiel de clarifier les rôles des différents acteurs impliqués dans les STI afin de déterminer qui a la responsabilité de s'assurer que les systèmes fonctionnent correctement du point de vue de la protection des données (qui est le responsable du traitement ?);
• garanties pour l'utilisation des technologies de localisation: des mesures de protection appropriées doivent être mises en œuvre par les responsables du traitement qui fournissent des services STI pour que l'utilisation des technologies de localisation ne soit pas intrusive en termes de vie privée. Cela nécessite notamment des précisions quant aux circonstances spécifiques dans lesquelles les mouvements d'un véhicule seront suivis, strictement limiter l'utilisation de systèmes de localisation à ce qui est nécessaire à cette fin, et veiller à ce que les données de localisation ne soient pas divulguées à des destinataires non autorisés;
• "privacy by design": le CEPD recommande d'envisager la vie privée et la protection des données à un stade précoce de la conception des STI afin de définir l'architecture, le fonctionnement et la gestion des systèmes. La protection de la vie privée et les exigences de sécurité doivent être incorporées dans les normes, les meilleures pratiques, les spécifications techniques et les systèmes.

(*) Le plan de déploiement est constitué d'un plan d'action définissant les domaines d'action prioritaires et d'une proposition de directive établissant un cadre pour leur mise en oeuvre.