Version publique du document expurgée des éléments couverts par des secrets protégés par la loi : [•••] ou [fourchette]
Avis n° 2024-079 du 24 octobre 2024 relatif au plan de gestion des informations confidentielles de la RATP au titre de son activité de gestion technique du réseau de transport public du Grand Paris
L’Autorité de régulation des transports (ci-après « l’Autorité »),
Saisie pour avis par la Régie autonome des transports parisiens (ci-après « RATP ») par courriel reçu en date du 26 juillet 2024, la saisine ayant été déclarée complète à la date du 2 août 2024 par le service de la procédure de l’Autorité ;
Vu le règlement (CE) n° 1370/2007 du Parlement européen et du Conseil du 23 octobre 2007 relatif aux services publics de transport de voyageurs par chemin de fer et par route ;
Vu l’ordonnance n° 59-151 du 7 janvier 1959 relative à l’organisation des transports de voyageurs en Ile-de-France ;
Vu la loi n° 2010-597 du 3 juin 2010 relatif au Grand Paris ;
Vu le code des transports, notamment son article L. 2142-18 ;
Vu le décret n° 2020-1752 du 28 décembre 2020 relatif aux activités de gestionnaire d’infrastructure de la Régie autonome des transports parisiens (RATP) ;
Vu l’arrêté du 8 février 2019 définissant les éléments des lignes, ouvrages et installations ainsi que des gares, y compris d’interconnexion, du réseau de transport public du Grand Paris et des réseaux mentionnés à l’article 20-2 de la loi du 3 juin 2010 relative au Grand Paris dont la RATP assure la gestion technique ;
Vu l’avis n° 2022-044 du 30 juin 2022 relatif au projet de plan de gestion des informations confidentielles de la RATP au titre de son activité de gestion technique du réseau de transport public du Grand Paris ;
Vu les autres pièces du dossier ;
Le collège en ayant délibéré le 24 octobre 2024 ;
Considérant l’ensemble des éléments qui suivent :

11 Place des 5 Martyrs du Lycée Buffon – CS 30054 – 75675 Paris Cedex 14 – Tél. +33 (0)1 58 01 01 10 autorite-transports.fr 1 / 12 RÉSUMÉ1
Aux termes de l’article 20 de la loi n° 2010-597 du 3 juin 2010 relative au Grand Paris, la RATP est responsable de la gestion technique du réseau de transport public du Grand Paris (RTPGP).
Elle assure ainsi l’entretien et le renouvellement des principaux éléments du réseau (lignes, ouvrages, gares…), réalisés sous maîtrise d’ouvrage de la Société des grands projets, qui en reste également propriétaire après leur livraison. Les lignes du RTPGP seront quant à elles exploitées par les opérateurs de transport désignés par Île-de-France Mobilités.
Au titre de sa mission de gestion technique, la RATP établit à destination de son personnel un plan de gestion des informations d’ordre économique, commercial, industriel, financier ou technique qui sont détenues par ses services et dont la divulgation serait de nature à porter atteinte aux règles d’une concurrence libre et loyale et de non-discrimination. Ce plan de gestion des informations confidentielles (PGIC) est soumis à l’avis conforme de l’Autorité.
Après avoir rendu un premier avis en 2022, l’Autorité a été saisie d’une nouvelle version du
PGIC, dans un contexte où de premières gares du RTPGP, dorénavant exploitées par des opérateurs désignés par Île-de-France Mobilités, ont été reprises en gestion technique par la
RATP.
L’Autorité considère que cette nouvelle version du PGIC, qui tient compte des premiers flux d’informations existant désormais entre la RATP et ces opérateurs, présente des garanties satisfaisantes quant (i) au nouveau périmètre des informations confidentielles couvertes par le PGIC, (ii) aux conditions d’utilisation et de communication de ces informations, et (iii) au dispositif de contrôle mis en place par la RATP pour veiller au respect de ce plan.
L’Autorité émet donc un avis favorable sur le PGIC qui est soumis à son examen. Celui-ci devra toutefois être adapté et faire l’objet d’une nouvelle saisine courant 2025, dans la perspective du début de l’exploitation de la ligne 15 Sud du RTPGP.

Ce résumé a un caractère strictement informatif. Il ne saurait se substituer aux motifs et conclusions développés ci-après, qui seuls font foi.
1 autorite-transports.fr
Avis n° 2024-079 2 / 12 Sommaire 1. CONTEXTE ET CADRE JURIDIQUE APPLICABLE …………………………………………………………….. 4 1.1. Le plan de gestion des informations confidentielles établi par la RATP au titre de sa mission de gestion technique du réseau de transport public du Grand Paris doit être validé par un avis conforme de l’Autorité …………………………………………………………………………………………………… 4 1.2. La RATP a saisi l’Autorité dans un contexte où de premiers ouvrages du RTPGP ont été repris en gestion technique par la RATP et sont exploités par des opérateurs désignés par Îlede-France Mobilités………………………………………………………………………………………………………. 5 2. ANALYSE…………………………………………………………………………………………………………………. 6 2.1. Le périmètre des informations confidentielles est élargi aux premiers flux d’informations existant désormais, dans le cadre de l’exploitation des gares, entre la RATP et les opérateurs 6 2.2. Les conditions d’utilisation et de diffusion des informations confidentielles sont affinées par rapport à la précédente version du PGIC ……………………………………………………………………. 7 2.3. Le dispositif de formation, d’information et de contrôle offre des garanties satisfaisantes 9 autorite-transports.fr
Avis n° 2024-079 3 / 12 1. CONTEXTE ET CADRE JURIDIQUE APPLICABLE 1.1. Le plan de gestion des informations confidentielles établi par la RATP au titre de sa mission de gestion technique du réseau de transport public du Grand Paris doit être validé par un avis conforme de l’Autorité 1.

Aux termes de l’article 1er de la loi précitée du 3 juin 2010 relative au Grand Paris, le Grand Paris est un projet urbain, social et économique d’intérêt national qui s’appuie « sur la création d’un réseau de transport public de voyageurs dont le financement des infrastructures est assuré par l’État ».

2.

L’article 20 de cette même loi précise que les éléments des lignes, ouvrages et installations ainsi que des gares, y compris d’interconnexion, composant le réseau de transport public du
Grand Paris sont, après leur réception par le maître d’ouvrage2, confiés à la RATP, qui en assure la gestion technique. Il en est de même des réseaux mentionnés à l’article 20-2 de cette loi3 (l’ensemble des lignes et réseaux mentionnés aux articles 20 et 20-2 étant désignés ci-après « RTPGP »). Ces différents éléments restent en outre propriété de la Société des grands projets.

3.

Cette activité de gestion technique s’exerce dans les conditions prévues à l’article L. 2142-3 du code des transports4. À ce titre, la RATP est notamment « responsable de l’aménagement, de l’entretien et du renouvellement de l’infrastructure, garantissant à tout moment le maintien des conditions de sécurité, d’interopérabilité et de continuité du service public, ainsi que de la gestion des systèmes de contrôle, de régulation et de sécurité des lignes et des réseaux ferroviaires en
Ile-de-France. Elle est chargée de la gestion du trafic et des circulations sur ces lignes et ces réseaux lorsque les exigences de sécurité et d’interopérabilité du système ferroviaire ou la continuité du service public l’imposent (…). Elle adapte les lignes, ouvrages et installations dont elle assure la gestion technique en prenant en compte les besoins des utilisateurs et favorise leur interopérabilité. Elle prend en compte les besoins de la défense. L’accès à ces lignes et réseaux est assuré dans des conditions objectives, transparentes et non discriminatoires (…) ».

4.

Les éléments confiés en gestion technique à la RATP, détaillés dans l’arrêté susvisé du 8 février 2019, comprennent notamment le génie civil des lignes ou encore le gros œuvre des sites de maintenance et de remisage, des postes de commande centralisée et des gares.

5.

Le département RATP Infrastructures, directement rattaché à l’Établissement public à caractère industriel et commercial RATP, assure l’activité de gestionnaire technique du RTPGP (ainsi que celle de gestionnaire d’infrastructure du réseau dit « historique »5), étant précisé que les activités de gestion technique du RTPGP, de gestionnaire d’infrastructure du réseau historique et d’opérateur de transport exercées par la RATP font chacune l’objet d’une comptabilité séparée6.

6.

S’agissant de l’exploitation des lignes du RTPGP, celle-ci est confiée à des opérateurs de transport désignés par Île-de-France Mobilités (« IdFM ») aux termes d’une procédure de mise en concurrence7.

Aux termes de l’article 15 de la loi du 3 juin 2010 susvisée, la Société des grands projets (SGP, ex-Société du Grand Paris) exerce la maîtrise d’ouvrage des opérations d’investissement concernant la réalisation des infrastructures du RTPGP.
3 Cet article vise les projets de création ou d’extension d’infrastructures du réseau métropolitain affecté au transport public urbain de voyageurs en Ile-de-France, prévoyant au moins une correspondance avec le réseau de transport public du Grand
Paris, et pour lesquelles la SGP a été désignée maître d’ouvrage. Cela vise concrètement, à ce jour, la ligne 15 Est.
4 Cet article codifie l’article 2 de l’ordonnance n° 59-151 du 7 janvier 1959, auquel font toujours référence les articles 20 et 20-2 précités.
5 À savoir le réseau métropolitain historique et certains tronçons des lignes A et B du RER.
6 Article L. 2142-16 du code des transports.
7 Voir notamment l’application combinée de l’article 20 de la loi précitée du 3 juin 2010 et de l’article 1er de l’ordonnance susvisée du 7 janvier 1959, ainsi que l’article 8.2 du règlement n° 1370/2007 susvisé (exception faite du prolongement de la ligne 14 qui, 2 autorite-transports.fr
Avis n° 2024-079 4 / 12 7.

Dans ce contexte, où la RATP exerce à la fois une activité monopolistique de gestion technique du RTPGP, et une activité concurrentielle d’opérateur de transport, en vertu de laquelle elle est susceptible d’exploiter certaines lignes du RTPGP, l’article L. 2142-18 du code des transports prévoit que, au titre de son activité de gestion technique, la RATP établit à destination de son personnel « un plan de gestion des informations d’ordre économique, commercial, industriel, financier ou technique qui sont détenues par ses services et dont la divulgation est de nature à porter atteinte aux règles d’une concurrence libre et loyale et de non-discrimination imposées par la loi ».

8.

Les informations visées à l’article L. 2142-18 comprennent notamment :
- des informations dont la communication conférerait à son destinataire un avantage injustifié lors des procédures de mise en concurrence pour l’exploitation des lignes de ce réseau (1° de l’article 11 du décret précité du 28 décembre 2020), et qui ont été obtenues dans le cadre de la participation de la RATP à la réalisation et à la mise en service du RTPGP aux côtés de la Société des grands projets ou d’IdFM ;
- des informations dont la communication conférerait à son destinataire un avantage injustifié pour l’exercice d’une activité d’exploitant de service public de transport, et qui concernent les opérateurs de transport exploitant des lignes du RTPGP (2° de l’article 11) ou le RTPGP – notamment la consistance de l’infrastructure ou ses défaillances (3° de l’article 11).

9.

Ce plan, qui précise la liste des informations concernées, leurs conditions d’utilisation et de communication, ainsi que le dispositif de contrôle que la RATP met en œuvre pour assurer le respect de ses dispositions, est adopté sur avis conforme de l’Autorité, qui se prononce dans un délai de quatre mois8.

1.2. La RATP a saisi l’Autorité dans un contexte où de premiers ouvrages du RTPGP ont été repris en gestion technique par la RATP et sont exploités par des opérateurs désignés par Île-de-France Mobilités 10.

Par l’avis susvisé du 30 juin 2022, l’Autorité s’était prononcée sur une première version du plan de gestion des informations confidentielles (ci-après « PGIC ») à une époque où, la RATP n’ayant pas encore repris d’ouvrages en gestion technique et les futurs exploitants du RTPGP n’ayant pas encore été désignés, les problématiques de confidentialité se rapportaient surtout aux informations relatives à la phase de conception du RTPGP.

11.

Lors de cette première saisine, la RATP avait indiqué qu’elle compléterait son PGIC lors du lancement de la phase d’exploitation, à échéance 2024, notamment pour prendre en compte les flux d’informations entre les opérateurs de transport désignés et le gestionnaire technique.

12.

La présente saisine s’inscrit ainsi dans un contexte où désormais :
- plusieurs exploitants de lignes du RTPGP ont été désignés par IdFM : (i) le consortium ORA (Alstom-RATP Dev-ComfortDelGro) pour la ligne 15 Sud et (ii) Keolis, pour les lignes 16, 17 et 18 ;
- la RATP a repris en gestion technique trois gares du RTPGP, à savoir Orly, Saint-Denis Pleyel et Villejuif-Institut Gustave Roussy, respectivement à compter des 29 mars, 1er mai et en tant qu’extension d’une ligne du réseau métropolitain historique, est exploitée par la RATP en vertu du monopole dont celle-ci bénéficie jusqu’en 2039, en application des articles L. 1241-6 et L. 2142-1 du code des transports).
8
Article L. 2142-18 du code des transports et article 13 du décret précité du 28 décembre 2020.

autorite-transports.fr
Avis n° 2024-079 5 / 12 1er octobre 2024, avant que ne soient reprises en gestion technique les lignes 15 Sud, 16, 17 et 18 qui leur sont raccordées.
Les trois gares susmentionnées, qui se situent sur le prolongement de la ligne 149 mis en service en juin 2024, sont en effet désormais ouvertes au public (ou vont prochainement l’être, s’agissant de Villejuif- Institut Gustave Roussy). Elles constituent toutefois des ouvrages rattachés, non pas à la ligne 14, mais aux autres lignes du RTPGP qui sont en correspondance. Par conséquent, elles sont exploitées dans les conditions suivantes :

13.

- la gare Saint-Denis Pleyel, rattachée aux lignes 16 et 17, est exploitée par Keolis, en sa qualité d’opérateur désigné pour l’exploitation de ces lignes ;
- la gare d’Orly, rattachée à la ligne 18, est exploitée provisoirement par RATP Dev (avant qu’elle ne le soit par Keolis, en sa qualité d’opérateur désigné pour l’exploitation de cette ligne10) ;
- la gare de Villejuif-Institut Gustave Roussy, rattachée à la ligne 15 Sud, sera exploitée, à compter de sa mise en service en décembre 2024, par le consortium ORA, en sa qualité d’opérateur désigné pour l’exploitation de cette ligne.
14.

Les exploitants exercent des missions telles que l’accueil des voyageurs ou certaines prestations de maintenance ne relevant pas de la mission de gestion technique confiée à la RATP.

15.

C’est notamment pour tenir compte des premiers flux d’informations existant désormais entre la
RATP, en sa qualité de gestionnaire technique, et les opérateurs désignés par IdFM, que l’Autorité est saisie d’un nouveau projet de PGIC. Celui-ci sera toutefois amené à évoluer à l’occasion de la reprise en gestion technique, par la RATP, des lignes du RTPGP qui seront progressivement mises en service à compter de fin 202511 : il en résultera, en effet, de nouveaux enjeux de transmission d’informations entre la RATP et les opérateurs de transport, dans le cadre de l’exploitation et de la maintenance de ces lignes.

2. ANALYSE 2.1. Le périmètre des informations confidentielles est élargi aux premiers flux d’informations existant désormais, dans le cadre de l’exploitation des gares, entre la RATP et les opérateurs 16.

La liste des informations confidentielles, dont la divulgation à toute personne étrangère aux services de la RATP assurant la gestion technique du RTPGP serait de nature à porter atteinte aux règles d’une concurrence libre et loyale et de non-discrimination, est fixée à l’article 11 du décret du 28 décembre 2020 susvisé.

17.

Le PGIC soumis à l’Autorité établit deux matrices d’informations précisant, pour chaque catégorie d’information à disposition des personnels assurant la gestion technique du RTPGP, le caractère confidentiel ou non de cette information.

Le prolongement de la ligne 14 est quant à lui rattaché comptablement à la mission de gestionnaire d’infrastructure du réseau « historique » en vertu de l’article L. 2142-16 du code des transports, et est exploité par la RATP au titre de son monopole, jusqu’en 2039, sur ce réseau.
10 Compte tenu des calendriers respectifs de mise en service de la gare d’Orly (juin 2024) et du calendrier d’attribution du contrat d’exploitation de la ligne 18 (dont le titulaire, Keolis, n’a pu être désigné avant juin 2024), IdFM a conclu pour une période provisoire un marché de gestion temporaire de cette gare avec RATP Dev.
11
L’ouverture de la ligne 15 Sud est prévue fin 2025.
9 autorite-transports.fr
Avis n° 2024-079 6 / 12 18.

La première matrice concerne les informations relatives à la conception, à la réalisation et aux performances des équipements constitutifs du RTPGP. Cette matrice distingue les informations obtenues par la RATP dans le cadre de la participation à la réalisation et à la mise en service du
RTPGP (cf. 1° de l’article 11 du décret précité) et celles relatives notamment à la consistance du
RTPGP (3° de l’article 11). Ces informations sont ensuite classifiées par niveaux de sensibilité et par catégorie d’équipements dont la RATP est gestionnaire technique, tels que ces équipements sont répertoriés dans l’arrêté précité du 8 février 2019. Par ailleurs, la durée pendant laquelle la donnée est confidentielle est désormais précisée.

19.

La seconde matrice, qui a trait aux informations relatives à l’exploitation et à la maintenance du
RTPGP échangées entre le gestionnaire technique et le gestionnaire de gare ou l’opérateur de transport qui a été désigné, concerne essentiellement les informations visées au 2° de l’article 11 précité et celles relatives aux défaillances de l’infrastructure, au sens du 3° du même article. Cette matrice présente, par thématique, les informations, leur origine, leur destination, leur caractère non confidentiel ou confidentiel, assorti, dans ce dernier cas, du niveau de sensibilité et de la durée de la confidentialité, et le type de support.

20.

Dans cette matrice, sont qualifiés de « confidentiels » les rapports d’exploitation de l’opérateur de transport et les informations (orales ou sur supports écrits) échangées lors des réunions mensuelles entre le gestionnaire technique et l’opérateur12. Il résulte de l’instruction que la RATP a ainsi adopté une approche prudente pour la délimitation de ce périmètre d’informations confidentielles, puisqu’à l’issue des concertations menées par la RATP auprès des opérateurs13, ceux-ci ne se prévalaient pas du caractère confidentiel d’informations relatives à une exploitation limitée, pour l’instant, aux gares.

21.

Dans un contexte de début d’exploitation d’ouvrages du RTPGP, l’Autorité approuve cette prudence (qui est en tout état de cause au bénéfice des opérateurs), sans que cela ne fasse obstacle à ce que la RATP ré-évalue à l’avenir, après un retour d’expérience, la nécessité de conserver ou non une telle approche.

2.2. Les conditions d’utilisation et de diffusion des informations confidentielles sont précisées par rapport à la précédente version du PGIC 22.

L’article 12 du décret du 28 décembre 2020 susvisé rappelle que la transmission des informations confidentielles aux personnes étrangères aux services de la RATP assurant la gestion technique du RTPGP est en principe interdite, sauf dérogations dans des cas limitativement énumérés.

23.

En premier lieu, le PGIC élaboré par la RATP précise ces dispositions en délimitant le périmètre des personnels employés par la RATP qui sont soumis au PGIC. Ce périmètre est constitué de deux catégories de personnels : d’une part, l’ensemble des membres des services de la RATP assurant la gestion technique du RTPGP14 ; d’autre part, les « personnels d’autres services de la
RATP qui contribuent régulièrement aux missions de gestion technique » : il s’agit là d’un premier cas de dérogations au principe de confidentialité énumérées à l’article 12 susvisé15. Cet ensemble
Ces documents sont assimilés, dans l’annexe, à une thématique dénommée « indicateurs liés à l’exploitation des gares », dont il résulte de l’instruction que cette appellation n’est toutefois pas appropriée et pourrait être rectifiée.
13
Dans le cadre de la rédaction des protocoles opérationnels conclus entre ces opérateurs et le gestionnaire technique.
14 Personnels employés dans l’entité dédiée à la gestion technique des lignes 15, 16, 17 et 18 du RTPGP au sein de RATP
Infrastructures.
15 1° de l’article 12 du décret n° 2020-1752 du 28 décembre 2020 : « 1° Lorsque les destinataires sont des personnels d’autres services de la RATP qui contribuent régulièrement aux missions de gestion technique, ont signé un engagement de confidentialité pris à titre personnel et ne sont pas directement impliqués dans l’activité d’exploitant de service public de transport d’un réseau mentionné à l’article 1er ou dans une procédure d’appels d’offres pour l’exploitation d’un tel réseau ».
12 autorite-transports.fr
Avis n° 2024-079 7 / 12 de personnels, signataires d’un accord de confidentialité, et soumis au PGIC dans les mêmes conditions, est désigné sous le nom de « GI-RTPGP ».
24.

Il ressort de l’instruction que l’inclusion dans le GI-RTPGP de personnels extérieurs au service assurant la gestion technique du RTPGP et qui ont, par conséquent, accès aux informations confidentielles couvertes par le PGIC n’est pas, à ce stade, de nature à porter atteinte aux règles d’une concurrence libre et loyale et de non-discrimination. En effet, la RATP a confirmé en instruction que les personnels concernés sont situés à des postes qui ne les impliquent pas dans une activité d’opérateur de transport des réseaux dont la RATP est gestionnaire technique ou gestionnaire d’infrastructure, ni dans une procédure d’appel d’offres pour l’exploitation de ces réseaux. Ces personnels sont en outre identifiés dans une liste de contributeurs régulièrement mise à jour.

25.

L’Autorité rappelle à cet égard que la dérogation posée au 1° de l’article 12 du décret du 28 décembre 2020 susvisé, en tant qu’elle fait exception au principe d’interdiction de transmission des informations confidentielles, doit s’apprécier strictement et concrètement au vu des missions réellement exercées par les personnels concernés. Il incombe ainsi à la RATP de s’assurer à intervalles rapprochés que l’appartenance au GI-RTPGP de personnels autres que ceux assurant la gestion technique du RTPGP reste justifiée par leur contribution régulière à l’activité de gestion technique du RTPGP.

26.

En deuxième lieu, le PGIC rappelle les autres cas de dérogations au principe de confidentialité, qui doivent, là encore, être strictement interprétées, et dans le cadre desquelles les personnels concernés sont soit signataires d’un accord de confidentialité, soit tenus au respect de la confidentialité en application de leurs obligations professionnelles.

27.

Concernant plus spécifiquement la dérogation tenant à la communication d’informations lorsque cela « est nécessaire au bon fonctionnement des services de la RATP dans son activité de gestion technique », au sens du 2° de l’article 11 précité, la RATP a précisé les situations conduisant à cette dérogation (notamment pour des motifs de sécurité ou de cybersécurité), et soumet désormais toute transmission d’informations au titre de cette dérogation à l’accord, selon les cas, du directeur de RATP Infrastructures ou du directeur du pôle dédié à la gestion technique du
RTPGP16 ou son délégué.

28.

En troisième lieu, le PGIC apporte différentes précisions sur les modalités pratiques de protection des données confidentielles. Il prévoit différents niveaux de sensibilité des informations et précise les évènements entraînant la perte du caractère confidentiel d’une information. Enfin, il indique les modalités de sauvegarde et de stockage des informations sensibles, qu’elles soient sur un support physique ou contenues dans les réseaux informatiques.

29.

L’Autorité considère que les dispositions prévues par le PGIC sont à ce stade suffisantes. Elle recommande toutefois à la RATP, lors de la prochaine saisine pour avis conforme, de réexaminer (i) les cas de dérogation à l’interdiction de communication d’informations confidentielles – plus particulièrement ceux relevant du 2° de l’article 11 du décret – dans le contexte du lancement de l’exploitation de la ligne 15 Sud du RTPGP, ainsi que (ii) les conditions dans lesquelles les applications concrètes de ces dérogations seront appréciées au cas par cas par les instances de
RATP Infrastructures.

La « Business Unit RATP Infrastructures » comprend différents directions et pôles (« projets et ingénierie », « gestion opérationnelle des actifs », etc.) dont l’un est spécifiquement dédié à la conduite des activités de gestion technique du réseau de transport public du Grand Paris.
16 autorite-transports.fr
Avis n° 2024-079 8 / 12 30.

N° 1
Recommandation
Destinataire
Réexaminer les cas de dérogations à l’interdiction de RATP communication des informations confidentielles, dans le contexte du lancement de l’exploitation d’un premier tronçon de ligne du RTPGP et les conditions dans lesquelles les applications concrètes de ces dérogations seront appréciées au cas par cas
Échéance
Prochaine mise à jour du
PGIC, courant 2025 2.3. Le dispositif de formation, d’information et de contrôle offre des garanties satisfaisantes 31.

La RATP est tenue, conformément à l’article 14 du décret du 28 décembre 2020 susvisé, de prendre toutes les mesures nécessaires afin que son personnel respecte l’interdiction de divulgation des informations confidentielles et de mettre en œuvre un dispositif de contrôle de l’application du PGIC.

32.

En premier lieu, tous les membres du GI-RTPGP sont signataires d’un engagement de confidentialité. Cet engagement prévoit notamment que les obligations de confidentialité perdureront pendant une durée de trois ans suivant l’échéance de la mission, ce que l’Autorité considère comme une période raisonnable. Cet engagement contient également une clause relative à la mobilité des personnels signataires, en vertu de laquelle le signataire s’engage, pendant une durée de trois ans suivant l’achèvement de sa mission au sein du GI-RTPGP, à ne pas occuper un poste ou des fonctions qui l’amèneraient à contribuer à la constitution, par la
RATP ou une de ses filiales, d’une offre pour l’exploitation d’un service de transport utilisant le
RTPGP.

33.

En deuxième lieu, le PGIC décrit les actions d’information et de formation prévues auprès des membres du GI-RTPGP. Tous les membres du GI-RTPGP reçoivent une formation dispensée via un support de formation en ligne dès leur arrivée en poste, et tracée via le suivi individuel des formations. Il ressort de l’instruction que, en l’espèce, l’ensemble des membres du GI-RTPGP a suivi le module de formation en ligne au PGIC.

34.

En troisième lieu, l’encadrement direct des membres du GI-RTPGP s’assure de la connaissance, de la compréhension et de l’application du PGIC par les membres du GI-RTPGP. En cas de détection de difficultés d’application du PGIC par un membre de l’encadrement du GI-RTPGP, un membre du comité du direction du pôle dédié à la gestion technique du RTPGP accompagne le membre de l’encadrement concerné. Enfin, un référent PGIC est nommé au sein du GI-RTPGP. Il est à la fois l’interlocuteur privilégié des membres du GI-RTPGP pour toutes les questions relatives au PGIC, et chargé de s’assurer du respect du PGIC par les membres du GI-RTPGP.

35.

En quatrième lieu, le contrôle de l’application du PGIC se traduit par la mise en place d’un dispositif d’alerte via une adresse électronique, qui permet de signaler toute transmission irrégulière d’informations confidentielles au titre du PGIC. Les destinataires de cette adresse sont le comité de direction du pôle dédié à la gestion technique du RTPGP et le référent PGIC qui, en cas d’alerte, se réunissent pour déterminer si les informations transmises irrégulièrement relèvent d’informations classifiées dans le PGIC et prendre les mesures adéquates.

autorite-transports.fr
Avis n° 2024-079 9 / 12 36.

En cinquième lieu, l’efficacité des mesures de protection des informations confidentielles fait l’objet d’un dispositif de contrôle interne qui s’articule autour de l’identification de cinq sous-risques17 et de deux niveaux de contrôle, menés par le référent PGIC et la direction en charge de l’audit et du contrôle interne de la RATP. Un audit sera réalisé annuellement par
RATP Infrastructures pour évaluer la bonne application de ce dispositif de contrôle interne.

37.

L’Autorité prend acte de la mise en place d’un audit annuel par la RATP de la bonne application du dispositif interne de contrôle de l’application du PGIC, dont les résultats devront lui être communiquées sur demande. Elle relève également que la réalisation d’un audit indépendant contribuerait à renforcer encore davantage les garanties d’une bonne application du PGIC.

38.

L’Autorité considère que l’ensemble de ces dispositions sont satisfaisantes. Elle recommande toutefois à la RATP, lors de la prochaine saisine, de travailler sur les procédures à suivre et les mesures à prendre en cas d’incidents afin de limiter ou atténuer leurs conséquences et qui, à ce jour, faute d’historique d’incidents, ne sont pas explicitées dans le PGIC.
N° 2
Recommandation
Destinataire
Expliciter les procédures à suivre et les mesures qui peuvent RATP être prises en cas d’incidents afin de limiter ou atténuer leurs conséquences
Échéance
Prochaine mise à jour du
PGIC, courant 2025
Non-identification des membres du GI-RTPGP ; non-sensibilisation au PGIC des membres du GI-RTPGP ; non-sécurisation de l’accès aux informations confidentielles au sens du PGIC ; non-sécurisation de la transmission d’informations confidentielles au sens du PGIC ; non-efficacité du dispositif d’alerte.
17 autorite-transports.fr
Avis n° 2024-079 10 / 12 ÉMET L’AVIS SUIVANT
L’Autorité émet un avis favorable sur le projet de plan de gestion des informations confidentielles de la RATP au titre de son activité de gestion technique du réseau de transport public du Grand
Paris.
Le présent avis sera notifié à la RATP et publié sur le site internet de l’Autorité.

L’Autorité a adopté le présent avis le 24 octobre 2024.

Présents : Monsieur Thierry Guimbaud, président ; Monsieur Philippe Richert, vice-président ; Madame Florence Rousse, vice-présidente ; Monsieur Patrick Vieu, vice-président ; Madame Sophie Auconie, vice-présidente.

Le Président #signature#
Thierry Guimbaud autorite-transports.fr
Avis n° 2024-079 11 / 12 ANNEXE – RÉCAPITULATIF DES RECOMMANDATIONS FORMULÉES
DANS LE PRÉSENT AVIS
Point de l’avis
N°
Recommandations
Destinataire
Échéance 29 1
Réexaminer les cas de dérogations à l’interdiction de RATP communication des informations confidentielles, dans le contexte du lancement de l’exploitation d’un premier tronçon de ligne du RTPGP et les conditions dans lesquelles les applications concrètes de ces dérogations seront appréciées au cas par cas
Prochaine modification du
PGIC, courant 2025 38 2
Expliciter les procédures à suivre et les mesures qui RATP peuvent être prises en cas d’incidents afin de limiter ou atténuer leurs conséquences
Prochaine modification du
PGIC, courant 2025 autorite-transports.fr
Avis n° 2024-079 12 / 12