Version publique du document expurgée des éléments couverts par des secrets protégés par la loi : [•••] ou [fourchette]
Avis n° 2020-036 du 11 juin 2020 relatif au projet de plan de gestion des informations confidentielles de LISEA
L’Autorité de régulation des transports (ci-après « l’Autorité »),
Vu la directive 2012/34/UE du Parlement européen et du Conseil du 21 novembre 2012 modifiée établissant un espace ferroviaire unique européen ;
Vu le code des transports, notamment ses articles L. 2122-4-4 et L. 2122-4-5 ;
Vu le décret n° 2015-139 du 10 février 2015 modifié relatif à la confidentialité des données détenues par le gestionnaire de l’infrastructure ferroviaire et à la commission de déontologie du système de transport ferroviaire ;
Vu la saisine de LISEA par courrier électronique du 17 février 2020, modifiée par courrier électronique du 4 juin 2020 enregistré au pôle procédure de l’Autorité le même jour ;
Après en avoir délibéré le 11 juin 2020 ;

ÉMET L’AVIS SUIVANT 1
CONTEXTE 1.

L’article L. 2122-4-4 du code des transports prévoit que : « L’article 226-13 du code pénal s’applique à la divulgation, à toute personne étrangère aux services du gestionnaire d’infrastructure responsables de la répartition des capacités et de la tarification de l’infrastructure, d’informations d’ordre économique, commercial, industriel, financier ou technique dont la divulgation est de nature à porter atteinte aux règles d’une concurrence libre et loyale et de non-discrimination imposées par la loi. La liste des informations concernées est déterminée par voie réglementaire (…) ».

2.

L’article L. 2122-4-5 du code des transports impose à tout gestionnaire d’infrastructure de prendre des mesures d’organisation interne pour assurer le respect, par son personnel, de l’interdiction de divulgation des informations mentionnées à l’article L. 2122-4-4. Il lui incombe ainsi d’établir, à destination de son personnel, un plan de gestion des informations confidentielles. Ce plan est soumis à l’avis conforme de l’Autorité.

Tour Maine Montparnasse – 33 avenue du Maine – BP 48 – 75755 Paris Cedex 15 – Tel. +33 (0)1 58 01 01 10
Siège – 48 Boulevard Robert Jarry – CS 81915 – 72019 Le Mans Cedex 2 – Tél. + (0)2 43 20 64 30 autorite-transports.fr 1/5 3.

La liste des informations confidentielles dont la divulgation à toute personne étrangère aux services du gestionnaire d’infrastructure responsables de la répartition des capacités et de la tarification de l’infrastructure serait de nature à porter atteinte aux règles d’une concurrence libre et loyale est fixée à l’article 1er du décret du 10 février 2015 susvisé.

4.

Conformément à l’article 5 de ce décret, le plan de gestion des informations confidentielles doit détailler, parmi les informations mentionnées à l’article 1er, celles dont le gestionnaire d’infrastructure dispose et en préciser les conditions d’utilisation et de communication. Le plan de gestion des informations confidentielles doit également décrire le dispositif de contrôle que le gestionnaire d’infrastructure met en œuvre pour assurer le respect des obligations de protection des informations. Il peut enfin préciser les cas dans lesquels les informations perdent leur caractère confidentiel.

5.

Le 17 février 2020, la société LISEA, concessionnaire de la ligne ferroviaire à grande vitesse entre Tours et Bordeaux (dite « LGV Sud Europe Atlantique ») et, à ce titre, gestionnaire d’infrastructure de la ligne, a saisi l’Autorité de son projet de plan de gestion des informations confidentielles. Le 4 juin 2020, LISEA a saisi l’Autorité d’une version rectificative de ce projet.
Conformément à l’article 5 du décret du 10 février 2015, l’Autorité dispose d’un délai de quatre mois pour émettre son avis sur cette version rectifiée.

2 6.

ANALYSE DE L’AUTORITE
Le plan de gestion des informations confidentielles élaboré par LISEA comprend trois parties :

2.1
-
La première définit le périmètre des informations confidentielles ;

-
La deuxième précise les conditions d’utilisation et de communication des informations confidentielles ;

-
La troisième décrit le dispositif d’information, de formation et de contrôle de la mise en œuvre du plan par les personnes ayant accès aux informations confidentielles.

Le périmètre des informations confidentielles 7.

Le plan de gestion des informations confidentielles (ci-après « PGIC ») de LISEA établit une cartographie des informations listées à l’article 1er du décret du 10 février 2015 susvisé dont le gestionnaire d’infrastructure dispose, précise leur caractère confidentiel ou non et, le cas échéant, les échéances de publication ou de concertation ayant pour effet de lever leur confidentialité. Les informations cartographiées sont réparties, en fonction de leur objet, en sept catégories :
capacités ; tarification ; facturation ; réclamations ; accidents/incidents ; essais de matériel roulant ; régularité.

8.

L’Autorité considère que le périmètre des informations confidentielles est conforme aux dispositions des articles 1er et 5 du décret du 10 février 2015 et qu’il est défini de manière suffisamment précise.

autorite-transports.fr
Avis n°2020-036 2/5 9.

Toutefois, l’Autorité relève que, si la cartographie des données relatives à la régularité horaire peut être considérée comme suffisante à ce jour, elle devra être mise à jour à l’occasion du déploiement du futur système d’amélioration des performances de LISEA dont l’établissement est prévu par l’article 35 de la directive 2012/34/UE susvisée. Conformément à l’article 5 du décret du 10 février 2015 susvisé, il appartiendra alors à LISEA de saisir l’Autorité pour avis sur cette modification.

2.2
Les conditions d’utilisation et de communication des informations confidentielles 10.

La deuxième partie du PGIC de LISEA rappelle le principe d’interdiction de communication des informations confidentielles posé à l’article 1er du décret du 10 février 2015 susvisé, ainsi que les dérogations prévues par l’article 2 du même décret.

11.

Chacune des sept cartographies précise, pour une information donnée, son origine (à savoir LISEA ou les demandeurs de sillons, les autorités organisatrices de transports et l’EPSF) et les services du gestionnaire d’infrastructure pouvant y avoir accès, en particulier les services autres que ceux responsables de la répartition des capacités et de la tarification de l’infrastructure, par dérogation à l’article 1er du décret du 10 février 2015 susvisé. Chaque cartographie identifie également les données faisant l’objet d’échanges avec d’autres gestionnaires d’infrastructure, en l’occurrence
SNCF Réseau.

12.

Le PGIC rappelle que les collaborateurs destinataires d’informations confidentielles au titre des dérogations prévues par le décret du 10 février 2015 susvisé sont tenus de faire respecter leur caractère confidentiel.

13.

Afin de signaler le caractère confidentiel de l’information, les collaborateurs font apparaitre la mention « Confidentiel PGIC » sur le document transmis lorsque cela est possible. L’Autorité note ainsi que l’identification des informations confidentielles repose sur la vigilance des agents dans leurs échanges. L’Autorité invite donc LISEA à initier une réflexion sur la possibilité d’identifier matériellement, au sein des systèmes d’information, les informations sensibles lors de leur émission et leur circulation, et de l’informer des résultats.

14.

Le PGIC rappelle par ailleurs que toute communication d’informations confidentielles à une entreprise ferroviaire ou un autre candidat, une autorité organisatrice des transports, un candidat autorisé, leurs filiales ou prestataires est interdite. La transmission d’informations à des tiers, notamment prestataires ou conseils, est conditionnée à l’existence d’une clause de confidentialité dans les contrats ou conventions les liant.

15.

L’Autorité considère que les dispositions prévues par le PGIC de LISEA sont à ce stade suffisantes.

2.3 16.

Le dispositif d’information, de formation et de contrôle
Le gestionnaire d’infrastructure est tenu, conformément à l’article 6 du décret du 10 février 2015 susvisé, de prendre toutes les mesures nécessaires pour que son personnel respecte la confidentialité des données qui lui sont communiquées. À cette fin, il doit mettre en œuvre un dispositif permettant le contrôle de l’application du PGIC et notifier celui-ci à chacun des membres de son personnel.

autorite-transports.fr
Avis n°2020-036 3/5 17.

LISEA organise le respect de ces obligations autour de trois axes. En premier lieu, le PGIC prévoit la désignation d’un référent principal en la personne du directeur juridique et d’un référent suppléant au sein de la direction juridique, auprès desquels les collaborateurs peuvent s’adresser en cas de question sur l’application du plan et des obligations de confidentialité pesant sur LISEA.

18.

En complément, l’Autorité invite LISEA à mettre en place un système d’alerte permettant à toute personne étrangère aux services du gestionnaire d’infrastructure de signaler un incident avéré ou fortement présumé dans la protection des informations confidentielles.

19.

En second lieu, des actions de sensibilisation, d’information et de formation sont prévues auprès des collaborateurs de LISEA et des membres du Comité de direction. Le plan fera l’objet d’une présentation à l’ensemble des collaborateurs à l’occasion d’une réunion mensuelle ; il sera diffusé en version électronique, remis en version papier à chaque agent et sera disponible sur un dossier informatique commun accessible à tous les collaborateurs. Une présentation ad hoc est prévue pour les personnes absentes. Tous les collaborateurs de LISEA devront signer, dans les deux mois suivant l’avis conforme de l’Autorité, une attestation par laquelle ils reconnaissent avoir pris connaissance des règles de confidentialité définies à l’article L. 2122-4-1 du code des transports et du décret du 10 février 2015 susvisé ainsi que du PGIC. Cette attestation devra également être signée par tout nouvel arrivant auquel le PGIC sera présenté par le directeur concerné.

20.

Dans le mois suivant l’avis conforme de l’Autorité, les membres du Comité de direction bénéficieront d’une formation assurée par le Directeur juridique, à charge pour eux, dans un délai de trois mois suivant l’avis conforme, de partager le PGIC avec leurs collaborateurs et de les informer du caractère confidentiel des informations relevant de leurs activités habituelles et des modalités concrètes de communication de ces informations.

21.

Un rappel des obligations de confidentialité et du PGIC est prévu en réunion de service lorsque les circonstances le commandent, annuellement lors de l’entretien individuel des agents et à l’occasion du départ d’un collaborateur.

22.

Enfin, le contrôle de l’application du PGIC se traduit par une revue annuelle du plan par le Comité de direction afin d’apprécier sa pertinence, son adéquation et son efficacité au regard des obligations de confidentialité pesant sur LISEA, et de déterminer d’éventuelles modifications. Il est prévu que la divulgation non autorisée d’informations confidentielles soit traitée en Comité de direction afin d’en analyser les circonstances et prendre les mesures nécessaires. Un audit interne est également conduit annuellement auprès des directions pour apprécier la conformité au plan et son efficacité.

23.

En outre, une information sur l’application du PGIC au sein du gestionnaire d’infrastructure est transmise annuellement à l’Autorité.

24.

L’Autorité considère, eu égard aux spécificités de LISEA et notamment son dimensionnement, que le dispositif d’information, de formation et de contrôle prévu est suffisant.

autorite-transports.fr
Avis n°2020-036 4/5 CONCLUSION
L’Autorité émet un avis favorable sur le projet de plan de gestion des informations confidentielles de LISEA.
Le présent avis sera notifié à LISEA et publié sur le site internet de l’Autorité.
L’Autorité a adopté le présent avis le 11 juin 2020.
Présents : Monsieur Bernard Roman, Président ; Madame Anne Yvrande-Billon, vice-présidente, Madame Florence Rousse, vice-présidente, Monsieur Patrick Vieu, vice-président ; Monsieur Yann Pétel ainsi que Mesdames Marie Picard et Cécile George, membres du collège.

Le Président
Bernard Roman autorite-transports.fr
Avis n°2020-036 5/5