Version publique du document expurgée des éléments couverts par des secrets protégés par la loi : [•••] ou [fourchette]
Avis n° 2022-044 du 30 juin 2022 relatif au projet de plan de gestion des informations confidentielles de la RATP au titre de son activité de gestion technique du réseau de transport public du Grand Paris
L’Autorité de régulation des transports (ci-après « l’Autorité »),
Saisie pour avis par la Régie autonome des transports parisiens (ci-après « RATP ») par un courrier en date du 27 avril 2022, enregistré le même jour au greffe de l’Autorité ;
Vu le règlement (CE) n° 1370/2007 du Parlement européen et du Conseil du 23 octobre 2007 relatif aux services publics de transport de voyageurs par chemin de fer et par route ;
Vu la loi n° 2010-597 du 3 juin 2010 relative au Grand Paris ;
Vu le code des transports, notamment son article L. 2142-18 ;
Vu le décret n° 2020-1752 du 28 décembre 2020 relatif aux activités de gestionnaire d’infrastructure de la Régie autonome des transports parisiens (« RATP ») ;
Vu les autres pièces du dossier ;
Le collège en ayant délibéré le 30 juin 2022 ;
Considérant l’ensemble des éléments qui suivent :

1.

L’article L. 2142-18 du code des transports prévoit que la RATP, au titre de son activité de gestion technique du réseau de transport public du Grand Paris « établit, à destination de son personnel, un plan de gestion des informations d’ordre économique, commercial, industriel, financier ou technique qui sont détenues par ses services et dont la divulgation est de nature à porter atteinte aux règles d’une concurrence libre et loyale et de non-discrimination imposées par la loi. Ce plan précise la liste des informations concernées ainsi que leurs conditions d’utilisation et de communication ».

2.

L’Autorité veille au respect de ce plan qui lui est soumis pour avis conforme. Elle dispose, conformément à l’article 13 du décret du 28 décembre 2020 susvisé, d’un délai de quatre mois pour rendre son avis.

3.

Par courrier en date du 27 avril 2022, le directeur de RATP Infrastructures a saisi l’Autorité du projet de plan de gestion des informations confidentielles établi par la RATP au titre de son activité de gestion technique du réseau de transport public du Grand Paris.

autorite-transports.fr 1/6 1. LE PLAN DE GESTION DES INFORMATIONS CONFIDENTIELLES SOUMIS PAR LA RATP
S’INSCRIT DANS UN CONTEXTE SPÉCIFIQUE, LA PHASE D’EXPLOITATION DU GRAND
PARIS EXPRESS N’AYANT PAS DÉBUTÉ 4.

Le Grand Paris Express (ci-après « GPE ») est un projet urbain, social et économique d’intérêt national mené de manière tripartite par Île-de-France Mobilités (autorité organisatrice), la Société du Grand Paris (maître d’ouvrage du réseau) et la RATP (futur gestionnaire technique du réseau).
Il s’appuie sur la création d’un réseau de transport public de voyageurs dont le financement des infrastructures est assuré par l’État. Il est composé de quatre nouvelles lignes de métro automatiques (lignes 15, 16, 17 et 18) et de l’extension de deux lignes existantes (lignes 11 et 14).
L’exploitation des quatre nouvelles lignes doit être soumise à une procédure de mise en concurrence1, tandis que la mise en concurrence de l’exploitation des lignes du réseau métropolitain historique, de l’extension des deux lignes existantes et d’une partie du réseau express régional n’est prévue qu’en 20392.

5.

Le Groupe RATP opère aujourd’hui en Île-de-France à un double titre. Il est à la fois le gestionnaire de l’infrastructure et l’opérateur de transport pour le réseau métropolitain ainsi qu’une partie des lignes du réseau express régional3. Au titre de ses missions de gestionnaire d’infrastructure, il est également le futur gestionnaire technique des lignes de métro 15, 16, 17 et 18 du GPE4. Le département RATP Infrastructures, directement rattaché à l’EPIC RATP, a été créé le 1er janvier 2020. Il est chargé d’assurer les missions de gestionnaire d’infrastructure du réseau d’Île-de-France de la RATP et de gestionnaire technique du réseau de transport public du Grand
Paris.

6.

Ainsi, le Groupe RATP est susceptible d’exercer, dès 2024, une activité légalement en monopole de gestion technique des infrastructures du réseau de transport public du Grand Paris, ainsi qu’une activité d’opérateur de transport ouverte à la concurrence sur ce même réseau. Or, dans le cadre de l’exercice de ses missions de gestion technique des infrastructures du réseau de transport public du Grand Paris, la RATP est amenée à recueillir des informations d’ordre économique, commercial, industriel, financier ou technique. Certaines de ces informations sont sensibles et leur divulgation en dehors des services de la RATP en charge de la gestion technique des infrastructures du réseau de transport public du Grand Paris pourrait porter atteinte aux règles d’une concurrence libre et loyale et au principe de non-discrimination. C’est la raison pour laquelle l’article L. 2142-18 du code des transports impose à la RATP, au titre de son activité de gestion technique du réseau de transport public du Grand Paris, d’établir un plan de gestion des informations confidentielles (ci-après « PGIC »), soumis à l’avis conforme de l’Autorité.

7.

Le projet de PGIC présente la spécificité de traiter de la gestion des informations confidentielles échangées lors de la phase de conception du GPE. En effet, les opérateurs de transport qui exploiteront les futures gares et lignes n’ont pas encore été désignés, la mise en service des nouvelles lignes n’étant prévue, de manière progressive, qu’à partir de 2024. La RATP, en sa qualité de gestionnaire technique du futur réseau de transport public du GPE, n’est pas impliquée dans les échanges avec les candidats à l’exploitation des services de transports, qui relèvent de la seule responsabilité d’Île-de-France Mobilités.

Règlement n° 1370/2007, article 8, par.2.
Code des transports, article L. 1241-6.
3 Code des transports, articles L. 2142-1 et L. 2142-3.
4
Loi n° 2010-597 du 3 juin 2010 relative au Grand Paris, article 20.
1 2 autorite-transports.fr
Avis n°2022-044 2/6 8.

Dans sa saisine, la RATP indique qu’elle prévoit d’enrichir ce PGIC, notamment pour prendre en compte les flux d’information entre le gestionnaire technique et les opérateurs de transport en phase d’exploitation, une fois que ceux-ci auront été désignés. À cette fin, elle précise qu’une nouvelle saisine portant sur un PGIC plus complet interviendra au lancement de la phase d’exploitation, soit à l’horizon 2024.

9.

Prenant acte de cette information, et dans la perspective d’une nouvelle saisine lors de la désignation des exploitants du GPE, l’Autorité entend, dans le cadre du présent avis, formuler plusieurs recommandations concernant le contenu du PGIC proposé.

2. DANS LA PERSPECTIVE D’UNE FUTURE SAISINE, L’AUTORITÉ IDENTIFIE TROIS
RECOMMANDATIONS POUR ASSURER UN ENCADREMENT EFFICACE DE LA
CIRCULATION DES INFORMATIONS CONFIDENTIELLES EN PHASE D’EXPLOITATION 2.1. Le périmètre des informations confidentielles devra être clarifié 10.

La liste des informations confidentielles, dont la divulgation à toute personne étrangère aux services de la RATP assurant la gestion technique du réseau de transport public du Grand Paris (ci-après « RTPGP ») serait de nature à porter atteinte aux règles d’une concurrence libre et loyale et de non-discrimination, est définie à l’article 11 du décret du 28 décembre 2020 susvisé. Le
PGIC soumis à l’Autorité établit une matrice des informations listées à l’article 11 en précisant, pour chaque catégorie d’information à disposition des personnels assurant la gestion technique du RTPGP, le caractère confidentiel ou non de cette information.

11.

Les informations concernées sont réparties, en fonction de leur objet, en deux rubriques : d’une part, les informations relatives à la conception, à la réalisation et aux performances des équipements constitutifs du RTPGP ; d’autre part, les informations relatives aux modalités d’exploitation et de maintenance du GPE et à la performance des opérateurs de transport.

12.

L’Autorité relève que les catégories listées dans la matrice ont un caractère assez général.
L’origine de la donnée ainsi que la durée durant laquelle cette donnée est confidentielle ne sont pas précisées. Dans la perspective du lancement de la phase d’exploitation du GPE, il est indispensable que la RATP développe la matrice des informations confidentielles en y insérant les informations qui seront transmises aux et par les opérateurs de transport désignés au terme de la procédure de mise en concurrence. À cette fin, il conviendra, dès la désignation des futurs exploitants et préalablement à la mise en exploitation effective, d’établir, pour chaque information, si sa divulgation à toute personne étrangère aux services de la RATP assurant la gestion technique du RTPGP est susceptible de porter atteinte aux règles d’une concurrence libre et loyale et de non-discrimination au sens de l’article 11 du décret du 28 décembre 2020.

13.

En outre, l’Autorité recommande de rendre la matrice plus opérationnelle pour les personnels de la RATP soumis au PGIC, afin de leur permettre d’identifier facilement le caractère confidentiel ou non des informations qu’ils détiennent. À cet égard, la matrice devra préciser, pour chaque catégorie, l’origine de la donnée, ainsi que la durée de sa protection.

autorite-transports.fr
Avis n°2022-044 3/6 2.2. Les conditions d’utilisation et de diffusion des informations confidentielles devront être précisées 14.

L’article 12 du décret du 28 décembre 2020 susvisé rappelle que la transmission des informations confidentielles aux personnes étrangères aux services de l’établissement assurant la gestion technique du RTPGP est en principe interdite, et peut être autorisée à titre exceptionnel dans des cas limitativement énumérés.

15.

Le PGIC élaboré par la RATP précise ces dispositions en délimitant, d’une part, le périmètre des personnels employés par la RATP qui seront soumis au PGIC. L’ensemble des membres des services de la RATP assurant la gestion technique du RTPGP ainsi que les personnels de la RATP extérieurs à ce service qui contribuent régulièrement aux missions de gestion technique sont concernés et sont, à cet égard, signataires d’un accord de confidentialité. Cet ensemble de personnels est désigné dans le PGIC sous le nom de « GI-RTPGP ».

16.

Le PGIC rappelle, d’autre part, les dérogations au principe de confidentialité, qui doivent être strictement interprétées. La transmission des informations sensibles à des personnes extérieures au GI-RTPGP peut, selon le degré de sensibilité des catégories d’informations, être soumise à l’accord de la hiérarchie et à la signature d’un accord de confidentialité.

17.

L’Autorité considère que les dispositions prévues par le PGIC sont, à ce stade, suffisantes, mais qu’il appartiendra au Groupe RATP, afin d’être prêt dès le lancement effectif de l’exploitation des services de transport du GPE, d’affiner les dérogations au principe d’interdiction de communication des informations confidentielles pour permettre aux agents du GI-RTPGP d’identifier facilement, pour chaque catégorie de données, les conditions de sa diffusion à des personnes extérieures au service, ainsi que les cas où l’accord de la hiérarchie est nécessaire avant toute transmission.

18.

L’Autorité relève en outre que l’identification et l’apposition d’une mention de confidentialité sur les différents supports est faite manuellement. Elle recommande à la RATP de mettre en place un outil d’identification automatique des informations confidentielles, afin que celle-ci ne relève plus de la seule vigilance des agents du GI-RTPGP.

2.3. La RATP devra appliquer efficacement le dispositif d’information, de formation et de contrôle qu’elle propose et informer régulièrement l’Autorité de sa mise en œuvre 19.

Le Groupe RATP est tenu, conformément à l’article 14 du décret du 28 décembre 2020 susvisé, de prendre toutes les mesures nécessaires afin que les agents du GI-RTPGP respectent la confidentialité des données qui leur sont communiquées en mettant en place un dispositif de contrôle de l’application du PGIC et en notifiant celui-ci à chacun des membres du GI-RTPGP.

20.

Le PGIC élaboré par la RATP met en œuvre ces obligations en prévoyant, tout d’abord, la désignation d’un référent au respect du PGIC au sein du GI-RTPGP. Ce dernier est chargé de s’assurer du respect, par les membres du GI-RTPGP, du PGIC. Il est l’interlocuteur privilégié des personnels du Groupe RATP pour toutes les questions relatives à ce document.

21.

Ensuite, le PGIC décrit les actions d’information et de formation prévues auprès des membres du
GI-RTPGP. Une formation d’une durée de trente minutes sera dispensée via un support e-learning aux nouveaux agents dès leur arrivée en poste, et aux agents déjà en poste dans un délai de deux autorite-transports.fr
Avis n°2022-044 4/6 à cinq mois à compter de la validation du PGIC. Le PGIC sera diffusé aux membres du GI-RTPGP à l’occasion de la signature de l’engagement de confidentialité, qui est immédiate pour les nouveaux arrivants. Les salariés déjà en poste soumis au PGIC devront retourner l’accord de confidentialité signé dans un délai de trente jours calendaires. La dernière version du PGIC sera disponible pour consultation sur l’intranet.
22.

Les managers s’assurent de la connaissance, de la compréhension et de l’application du PGIC par les membres du GI-RTPGP. En cas de difficultés d’application par un manager du GI-RTPGP, l’accompagnement par un membre du comité de direction de l’unité GIGP est prévu.

23.

Enfin, le contrôle de l’application du PGIC se traduit, d’une part, par la mise en place d’une adresse électronique dédiée aux membres du GI-RTPGP leur permettant de signaler toute transmission irrégulière d’informations confidentielles au titre du PGIC et, d’autre part, par la création d’un dispositif de contrôle interne permettant d’apprécier la bonne application et l’efficacité des dispositifs de protection de la confidentialité.

24.

L’Autorité considère, en l’espèce, que les dispositions prévues par le PGIC de la RATP sont satisfaisantes. Elle recommande que le dispositif de contrôle interne soit mis en œuvre de manière régulière par un audit interne dont les résultats devront lui être communiqués.

ÉMET L’AVIS SUIVANT
L’Autorité prend acte de ce que le plan de gestion des informations confidentielles de la RATP au titre de son activité de gestion technique du réseau de transport public du Grand Paris sera, le moment venu, complété pour prendre en compte les flux d’information entre le gestionnaire technique et les opérateurs de transport en phase d’exploitation, une fois que ceux-ci auront été désignés.
Conformément à ses engagements, il appartiendra à la RATP de saisir l’Autorité, préalablement au lancement de la phase d’exploitation du GPE, d’une version complétée du document.
L’Autorité émet un avis favorable sur le projet de plan de gestion des informations confidentielles de la RATP au titre de son activité de gestion technique du réseau de transport public du Grand
Paris.
Le présent avis sera notifié à la RATP et publié sur le site internet de l’Autorité.

autorite-transports.fr
Avis n°2022-044 5/6 L’Autorité a adopté le présent avis le 30 juin 2022.

Présents : Monsieur Bernard Roman, président ; Monsieur Philippe Richert, vice-président ;
Mesdames
Florence
Rousse et
Sophie
Auconie, vice-présidentes ;
Mesdames Marie Picard et Cécile George, membres du collège.

Le Président
Bernard Roman autorite-transports.fr
Avis n°2022-044 6/6