Impact de la réforme sur les équipements et informations à l’usagers. Autres questions

Qu’est ce qu’une procédure d’authentification forte des agents chargés d’établir les avis de paiement ?

En sécurité informatique, l’authentification forte, ou authentification multi-facteur, désigne une procédure d’authentification qui combine au moins deux mécanismes différents parmi :

• ce que l’on connait (exemple : un mot de passe),
• ce que l’on est (exemple : une empreinte digitale),
• ce que l’on possède (exemple : une carte à puce),
• ce que l’on sait faire (exemple : une signature manuscrite).

Dans le cadre du FPS, une authentification par saisie d’un nom d’utilisateur et d’un mot de passe n’est pas forte, car elle combine deux facteurs « que l’on connaît ». En revanche, une authentification par carte à puce + code PIN qui cumule les facteurs « que l’on possède » et « que l’on sait » est dite forte.
La procédure d’authentification des agents chargés d’établir les avis de paiement est mise en œuvre par la collectivité et relève de la responsabilité de la collectivité.

Quelles sont les règles de sécurité auxquelles doit se conformer le système d’information FPS d’une collectivité ?

S’agissant d’échanges de données entre des collectivités territoriales et un établissement public administratif (l’ANTAI) voire une juridiction administrative spécialisée (la CCSP), les règles de sécurité sont régies par l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives.
Cette ordonnance est précisée par le décret n° 2010-112 du 2 février 2010 pris pour l’application des articles 9, 10 et 12 de cette ordonnance et qui impose l’application du règlement général de sécurité fixant notamment les règles auxquelles les systèmes d’information mis en place par les autorités administratives doivent se conformer pour assurer la sécurité des informations échangées.
Signalons pour information que le règlement européen « eIDAS » n°910/2014 du 23 juillet 2014 sur l’identification électronique et les services de confiance est applicable depuis le 1er juillet 2016, mais qu’il ne concerne pas les échanges entre administrations (https://www.ssi.gouv.fr/administration/reglementation/confiance-numerique/le-reglement-eidas/#impacts-rgs) ;

L’article R 2333-120-4-I indique que l’avis de paiement est composé de deux parties.

1. Dans le cas d’un avis sur support papier, trois configurations sont envisageables : L’impression des mentions obligatoires des deux parties de l’avis sur le recto d’un support unique,
2. L’impression des mentions obligatoires des deux parties répartie sur le recto et le verso d’un support unique,
3. L’impression des mentions obligatoires des deux parties répartie sur deux supports distincts et apposés simultanément sur le véhicule. Pouvez-vous confirmer la validité réglementaire de la troisième solution ?

Le décret n°2015-557 du 20 mai 2015 a prévu les mentions obligatoires à faire figurer sur l’avis de paiement de FPS. Ces mentions sont réparties en deux parties distinctes. Une première concernant l’« Établissement de l’avis de paiement du forfait de post-stationnement » et une seconde comportant les mentions relatives aux « Modalités de paiement et contestation ». Les textes n’émettent toutefois aucune contrainte quant au format de l’avis de paiement tant que les deux parties ainsi que les mentions obligatoires qu’elles contiennent, sont présentes et lisibles pour l’usager. La localisation de ces deux parties ressortant du libre choix des collectivités l’ensemble des modalités évoquées dans la question sont donc possibles. A noter toutefois qu’au sein d’une même partie les mentions obligatoires doivent suivre un ordre précis comme prévu par l’article R. 2333-120-4 du CGCT.

Nous souhaitons prochainement délibérer sur l’instauration de la réforme du stationnement payant avec le choix d’un contrôle en régie. Les modalités sont arrêtées.Disposeriez-vous d’un modèle de délibération ?

Nous vous invitons à consulter le modèle de délibération portant établissement de la redevance de stationnement proposé en annexe 2 du Guide de recommandations, ou à vous rapprocher le cas échéant d’autres collectivités ayant opté pour un mode de fonctionnement similaire.

Dans le cadre de la loi MAPTAM, nombre de villes vont s’équiper de systèmes de contrôle de stationnement basés sur un stockage informatisé des tickets de parking. Ces tickets (virtuels) contiennent entre autres :

• un lieu
• une date/heure
• une plaque minéralogique

Cet ensemble d’information constitue-t-il une donnée personnelle? Le cas échéant, sous quel régime faut-il le déclarer à la CNIL ?

R : Le numéro d’immatriculation étant une donnée à caractère personnel, il convient à l’opérateur en charge du service de réaliser les démarches appropriées auprès de la CNIL afin de garantir la sécurité des données qui seront collectées.

Vous indiquez que la mention "les systèmes de décompte au temps qui passe ne sont plus compatibles" concerne uniquement les systèmes de paiement en temps réel sans indication dès le début de la durée de stationnement choisie par l’automobiliste. Est-ce à dire qu’un système qui aujourd’hui n’indique pas la durée choisie mais serait mis à jour pour donner l’indication de début de stationnement, deviendrait, compatible avec la réforme?

R : Non. La seule mention de début n’est pas conforme aux exigences des textes ; il convient d’indiquer une heure de fin.
Les dispositions de l’art. L,2333-87 du CGCT, dans leur version en vigueur au 1er janvier 2018, précisent en effet que :
« La délibération établit :
« - Le barème tarifaire de paiement immédiat de la redevance, applicable lorsque la redevance correspondant à la totalité de la période de stationnement est réglée par le conducteur du véhicule dès le début du stationnement ;
« - Le tarif du forfait de post-stationnement, applicable lorsque la redevance correspondant à la totalité de la période de stationnement n’est pas réglée dès le début du stationnement ou est insuffisamment réglée »

Cela signifie que dès le départ l’usager doit choisir la durée qu’il veut et doit la payer. C’est d’ailleurs l’esprit de cette réforme que de favoriser la rotation sur les emplacements de stationnement sur voirie. Le FPS, qui ne constitue pas le principe (qui reste le paiement d’une tranche horaire déterminée selon ses besoins par l’automobiliste) mais l’exception, doit être analysé comme le choix de régler ultérieurement au forfait la redevance pour la période la plus étendue prévue par la réglementation locale.

Par ailleurs le CGCT précise que le ticket ou le reçu dématérialisé doit indiquer la date et l’heure de fin de la période du stationnement payé.
« Art. R. 2333-120-3. – Le paiement immédiat de la redevance de stationnement donne lieu à la délivrance d’un justificatif imprimé ou transmis par voie dématérialisée. Ce justificatif comporte les informations suivantes : 
a) La date et l’heure d’impression ou de transmission du justificatif ; 
b) La date et l’heure de fin de la période du stationnement payé immédiatement ; 
c) Le montant de la redevance de stationnement payé ; 
d) Le barème tarifaire appliqué dans la zone de stationnement ; 
e) Le rappel de la règle : "Le forfait est dû en cas de paiement insuffisant" ; 
f) Lorsque le justificatif est délivré sous forme d’un imprimé, la prescription suivante : "A placer à l’avant du véhicule, bien lisible de l’extérieur".

Peut-on prévoir uniquement un système de paiement dématérialisé? Notre collectivité doit s’équiper d’horodateurs pour mettre en place le stationnement payant au centre ville. Cependant on se pose la question de savoir si juridiquement nous pouvons mettre en place un système de paiement par smartphone/téléphone portable (avec un numéro à contacter pour ceux qui n’ont pas de smartphone). Cela pourrait nous affranchir de la dépense liée aux horodateurs. La question est de savoir si le fait qu’il n’y ait pas d’horodateurs peut conduire à des contestations de la part des usagers, sous prétexte qu’il ne dispose pas de téléphone portable par exemple.

R : Non. 
La réglementation en vigueur ne permet pas, s’agissant de recettes publiques, même encaissées par voie de délégation ou régies (art. R.1617-7 CGCT), de ne prévoir que les seuls paiement dématérialisés.
Les recettes publiques sont encaissées par les moyens listés par l’article 11 de l’arrêté du 24 décembre 2012 NOR EFIE1239638A, portant application des articles 25, 26, 32, 34, 35, 39 et 43 du décret n° 2012-1246 du 7 novembre 2012 relatif à la gestion budgétaire et comptable publique et énumérant les moyens de règlement des dépenses publiques et les moyens d’encaissement des recettes publiques du ministre de l’économie et des finances, sans préjudice des dispositions du code général des impôts, du livre des procédures fiscales et des autres lois et règlements en vigueur spécifiques à certaines catégories de créances publiques.

La liste des moyens de paiement acceptés par une régie de recettes est déterminée dans l’acte constitutif de la régie (article R.1617-7 du CGCT précité et page 12 de l’Instruction N° 06-031-A-B-M DU 21 AVRIL 2006 relative aux régies de recettes et d’avances des collectivités territoriales et de leurs établissements publics. Aux termes de cette instruction, « Les modes de perception et la forme des justificatifs remis en contrepartie des encaissements doivent être clairement précisés dans l’acte constitutif de la régie ou sous-régie. (…) Par mesure de simplification, il est admis qu’un nouveau moyen de paiement automatisé (carte bancaire, TIP, prélèvement) puisse être mis en œuvre sans mise à jour préalable de l’acte constitutif de la régie, dès lors que la régularisation a lieu lors de la plus prochaine réunion de l’instance délibérative lorsque cet acte doit prendre la forme d’une délibération. »
Le moyen de paiement par smartphone, à ce jour, ne sont conformes aux prescriptions de l’article 11 de l’arrêté du 24 décembre 2012, que s’ils mettent en œuvre de manière directe ou indirecte, un paiement par carte bancaire ou prélèvement. Il en va ainsi notamment d’un paiement par carte bancaire en vente à distance par téléphone ou encore lorsque l’envoi d’un SMS ou le recours à une application installée sur le smartphone, permettent d’initier un paiement par prélèvement sur une facture mobile ou un paiement par carte bancaire ou sur un compte usager alimenté par carte bancaire.
Certains dispositifs d’encaissement CB recourant aux smartphones supposent une communication et un enrôlement préalable des usagers. Ils ne peuvent donc pas être utilisés par des usagers occasionnels.
La question de l’unicité du smartphone comme moyen de paiement soulevée ne peut être retenue.
La mise en place du dispositif d’encaissement CB via téléphone suppose la mise en place sur la voirie des consignes permettant à l’usager d’appeler un numéro en lui donnant les informations nécessaires à la validation de la transaction CB (n° de carte, date de validité, cryptogramme, etc.). Certaines collectivités ont fait le choix d’installer sur la voirie des bornes de paiement qui détaillent ces consignes et qui permettent également de payer directement avec une carte de paiement (une carte bancaire, ou une carte prépayée qui peut être achetée par numéraire, et disponible auprès des débitants de tabac de la commune). Ce dispositif permet donc de dématérialiser les paiements, tout en laissant à l’usager une possibilité indirecte d’utiliser le numéraire pour acquérir un moyen de paiement par carte. La jurisprudence de la Cour de cassation a confirmé la légalité de ce dispositif par un arrêt du 23 janvier 2013 (n° de pourvoi 12-84.164, Bulletin des arrêts de la Chambre criminelle n°1, janvier 2013, n° 28).
Mais il résulte de cette jurisprudence, qu’il n’est pas admis de supprimer totalement les bornes de paiement sur la voirie, et qu’il convient de maintenir un minimum de points d’encaissement de proximité, pour permettre aux usagers de payer par un autre moyen que le smartphone ou la carte bancaire.
Il est par ailleurs important que les collectivités se prononcent sur le choix entre la mise en place d’horodateurs récents ou le rééquipement des dispositifs préexistants localement susceptibles de recevoir de nouveaux services de paiement.

Je suis gestionnaire d’un parc d’horodateurs. Nous sommes en train de changer les appareils en vu de la reforme de 2018. Les fournisseurs nous indiquent qu’il sera nécessaire de pouvoir payer le FPS directement à la machine et qu’à ce titre nous devons nous équiper de machines capable d’enregistrer les plaques d’immatriculation des véhicules donc avec un clavier sur la machine. Pourriez vous me confirmer ou pas cette mesure ?

R. La réforme induit quelques évolutions obligatoires des équipements. Concernant les horodateurs existants, il s’agit d’évolutions a minima, comme la mention des date et heure d’impression ou de transmission du justificatif de paiement, la mention « forfait exigible à défaut de paiement suffisant », etc. (se référer aux pages 93 et suivantes du guide actualisé avril 2017).

Des services complémentaires sont proposés par les professionnels pour aider les collectivités mais ils ne présentent pas de caractère obligatoire. Ainsi l’acquisition de matériels disposant d’un clavier permettant l’enregistrement des plaques d’immatriculation est une possibilité que les fournisseurs peuvent proposer dans leurs offres mais les textes n’imposent pas cette option pour mettre en oeuvre la réforme. Il en est de même pour le paiement du FPS directement à l’horodateur. C’est une offre de service supplémentaire à l’usager mais ce n’est pas une obligation.

Il appartient à chaque collectivité d’apprécier l’opportunité de doter les horodateurs de fonctionnalités supplémentaires, notamment en évaluant leurs coûts (et leur amortissement) au regard des services qu’elle en attend dans la gestion du stationnement et qu’elle souhaite proposer aux usagers.