Autorisation unique AU-015


Applications billettiques des transports publics

Suite à l’entrée en application du RGPD, les autorisations uniques adoptées par la CNIL n’ont plus de valeur juridique à compter du 25 mai 2018. Dans l’attente de la production de référentiels RGPD, la CNIL a décidé de les maintenir accessibles afin de permettre aux responsables de traitement d’orienter leurs premières actions de mise en conformité.


L’autorisation unique n°15 concerne la gestion des applications billettiques par les exploitants et les autorités organisatrices de transports publics, c’est-à-dire la gestion, la délivrance et l'utilisation des titres de transport, la gestion et le suivi des relations commerciales, la gestion de la fraude, la réalisation d'analyses statistiques d'utilisation des réseaux et la mesure de la qualité du fonctionnement du système, à l’exclusion du contrôle des titres de transport.

L'utilisation d'une carte nominative à puce implique la collecte de données     concernant les trajets effectués par le titulaire lors de la validation, c'est-à-dire de la présentation du titre de transport à une borne de contrôle en entrée et sortie du réseau ou à l'occasion d'une correspondance. Peuvent ainsi être mémorisés non seulement les date, heure et lieu des passages mais aussi le numéro de carte utilisé qui rend possible, à partir du fichier clientèle, l'identification du titulaire de la carte. Dès lors, les déplacements de ce dernier ne sont plus anonymes, ce qui est de nature à porter atteinte tant à la liberté fondamentale d'aller et venir, qu'au droit à la vie privée. C’est pourquoi, chaque responsable de traitement qui met à disposition des usagers des titres nominatifs de transport doit également prévoir de leur laisser le choix d'utiliser des titres de transport anonymes.

Les données de validation font l'objet d'une anonymisation à bref délai. Toutefois, ces données associées au numéro de carte ou de l'abonné pourront être conservées pendant 48 heures au maximum, aux seules fins de lutter contre la fraude technologique.

L’information sur les droits des personnes concernées se fait par l’affichage dans les points de délivrance des cartes ainsi que sur les formulaires d'abonnement. Les personnes susceptibles d'être inscrites dans le traitement de gestion des impayés doivent en être informées lors de la conclusion du contrat d'abonnement et préalablement à l'inscription dans le fichier des impayés et de la mise en opposition du titre de transport.

Texte officiel

Délibération n° 2011-107 du 28 avril 2011 portant autorisation unique de mise en œuvre de traitements automatisés de données à caractère personnel relatifs à la gestion des applications billettiques par les exploitants et les autorités organisatrices de transport publics ...

Secteurs d’activité exclus du champ de la norme


Responsables de traitement concernés


Objectif(s) poursuivi(s) par le traitement (finalités)


Données personnelles concernées


Durée de conservation des données


Destinataires des données


Information des personnes et respect des droits « informatique et libertés »


Sécurité et confidentialité

Télécharger le PDF

Aucune norme ne correspond à votre situation ?

Vous devez réaliser une déclaration complète


Autres formulaires