Carte Korrigo, ou quand la STAR et la ville de Rennes se font épingler par la CNIL !

La Commission Nationale Informatique et Liberté (CNIL) a prononcé le 20 janvier 2009 un avertissement à l’encontre de la société des transports urbains rennais, considérant que la carte Korrigo ne respectait pas la vie privée et les libertés individuelles des usagers.

Saisie de plusieurs plaintes concernant le passe de transport KORRIGO « anonyme » (pour lequel ni le nom ni l’adresse ne sont enregistrés), en raison d’une information jugée quasi-inexistante et de tarifs supérieurs à celui du passe nominatif, la CNIL a diligenté un contrôle dans les locaux de la société KEOLIS RENNES (STAR).

Ce contrôle a souligné de véritables obstacles pour souscrire un passe anonyme. Celui-ci est effectivement plus coûteux que le passe nominatif, seuls des tickets à l’unité pouvant y être chargés et non un abonnement. Le passe anonyme coûte ainsi entre 2,5 et 4 fois plus cher que le passe nominatif, selon l’âge de l’utilisateur.

En outre, la très faible information diffusée par la société sur son existence ne permet pas une promotion égale des deux types de cartes. Seuls 53 passes anonymes ont d’ailleurs été distribués contre 186 650 passes nominatifs.

La formation de sanction de la CNIL a donc estimé que le respect de la vie privée et de la liberté d’aller et venir anonymement impliquait que les voyageurs disposent d’un véritable choix entre des déplacements anonymes ou nominatifs, ce qui suppose que ceux-ci soient réalisés dans des conditions équivalentes.

D’autres manquements à la loi « Informatique et Libertés » ont également été relevés. Ainsi la CNIL a constaté que les données personnelles des clients détenant un passe Korrigo étaient conservées sans limite et qu’ils n’étaient pas informés de leurs droits (droit d’accéder à leurs données, de les faire rectifier ou supprimer). Enfin, si la société a pris des mesures pour renforcer la sécurité de l’accès à ses postes informatiques, aucune politique globale de sécurité et de confidentialité des données n’a réellement été formalisée. Compte tenu des faits constatés, la CNIL a prononcé, le 20 janvier 2009, un avertissement public à l’égard de la société KEOLIS RENNES.

Ce contrôle par la CNIL a été effectué suite aux dépots de plaintes de plusieurs usagers de la STAR et de militants des Verts de Rennes.