Obligation de dénonciation des infractions routières : employeurs, pensez à réaliser une analyse d’impact relative à la protection des données avant de mettre en œuvre le traitement de données personnelles

Depuis le 1^er janvier 2017, lorsque les personnes morales ont mis un véhicule à disposition d’une personne physique et qu’une infraction a été constatée, elles doivent désigner cette personne auprès de l’Agence nationale de traitement automatisé des infractions (article 121-6 du Code de la Route).

Cette mesure vise à éviter le paiement des contraventions par les personnes morales, et permettre leur répression directement auprès des auteurs des faits.

Par délibération n° 2017-218 du 13 juillet 2017, la CNIL avait déterminé les modalités d’application de cette obligation, pour permettre aux entreprises de respecter le droit des données personnelles dans le cadre de ce traitement.

Le 4 novembre 2019, la CNIL a ouvert une consultation publique sur un projet de référentiel adaptant le cadre juridique au Règlement général sur la protection des données (« RGPD »).

En l’état, il ressort de ce projet de référentiel que les employeurs de plus de 250 salariés doivent conduire une analyse d’impact relative à la protection des données (« AIPD ») à propos de ce traitement.

En effet, la CNIL considère qu’un tel traitement, même s’il est rendu obligatoire par la loi, implique des données relatives aux condamnations pénales ou aux infractions s’agissant de salariés (donc, conformément au droit des données personnelles, de personnes vulnérables) et à large échelle.

S’agissant des employeurs de moins de 250 salariés, ceux-ci bénéficient d’une dispense d’analyse d’impact, conformément à la délibération du 12 septembre 2019 portant adoption de la liste des types d’opérations de traitement pour lesquelles une AIPD n’est pas requise (cf. notre article sur les traitements RH exonérés d’AIPD). Les loueurs de véhicules, même employant moins de 250 salariés, ne bénéficient toutefois pas de cette dispense et doivent conduire une analyse d’impact.

Pour mémoire, le fait de manquer à l’obligation de conduire une étude d’impact préalablement à la mise en œuvre d’un traitement de données personnelles peut donner lieu à une amende administrative pouvant aller jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent.