AgentPublic/cnil huggingface dataset:
Émet l'avis suivant :
La Commission a été saisie, par le ministre délégué auprès du ministre de l'économie et des finances, chargé du budget, d'une demande d'avis relative à un projet d'arrêté portant création, par la direction générale des finances publiques (DGFiP), d'un traitement automatisé de lutte contre la fraude. 
La création de ce traitement, dénommé Ciblage de la Fraude et Valorisation des Requêtes (CFVR) et basé sur du datamining, s'inscrit dans un contexte global de lutte contre la fraude fiscale.Il utilisera les données issues de onze traitements différents et innovera en ce qu'il utilisera une technique dite de  datamining  consistant en une fouille approfondie des données s'appuyant sur des méthodes exploratoires basées sur la statistique et des algorithmes et permettant de modéliser des comportements .
Dans la mesure où le traitement projeté a notamment pour objet la prévention, la recherche, la constatation et la poursuite d'infractions pénales, sa mise en œuvre doit être autorisée par arrêté ministériel, pris après avis motivé et publié de la Commission, en application des dispositions de l'article 26-I-2° de la loi du 6 janvier 1978 modifiée.
Dans ce contexte de priorité donnée à la fraude fiscale, la présente demande fait suite à la création par arrêté du 4 novembre 2013, publié au journal officiel du 12 décembre 2013, d'un entrepôt de données dédié aux études fiscales dénommé  EDEN  réunissant les données de 19 traitements différents. Il doit permettre, par l'amélioration des capacités d'analyse de l'administration fiscale, de mieux identifier les situations potentiellement frauduleuses en mettant en évidence des incohérences ou des défaillances déclaratives dans les dossiers des contribuables, améliorant ainsi le ciblage des contrôles à la suite de requêtes appropriées.
Il s'agit d'une expérimentation dont la durée devrait être de six mois.
Sur la dénomination du traitement
Le projet d'arrêté ne procède ni dans son titre ni dans ses différentes dispositions à la dénomination du traitement. Pour des raisons de commodité évidentes, la Commission demande que le traitement soit effectivement dénommé conformément à l'article 29 de la loi de 1978.Sur les finalités du traitement
Aux termes de l'article 2 du projet d'arrêté, le traitement projeté permet  une modélisation des comportements frauduleux, qui se base notamment sur les caractéristiques des cas de fraudes avérées, afin de mener des actions de prévention, de recherche, de constatation ou de poursuite d'infractions pénales ainsi que des opérations de constatation ou de poursuite de manquements fiscaux .
La finalité du traitement projeté est légitime dans la mesure où les éléments qui en seront issus n'auront qu'une valeur de signalement parmi d'autres à la disposition des services fiscaux et ne conduiront en aucun cas à une programmation automatique des contrôles, ni a fortiori à des décisions de redressement directement opposables aux contribuables.
Ce traitement sera mis en œuvre par la nouvelle mission dénommée  Requêtes et Valorisation , rattachée au service du contrôle fiscal et au service des systèmes d'information de la DGFiP, créée dans cette perspective de rationalisation du ciblage et de valorisation des requêtes effectuées sur l'ensemble des fichiers fiscaux.
Plus précisément, le mode de fonctionnement de l'outil  CFVR  résulte d'un programme se basant sur des équations mathématiques de probabilité. En aucun cas, les calculs opérés ne constitueront le résultat final du traitement. Ceci constitue une garantie selon laquelle l'outil constitue bien une aide au ciblage et à l'optimisation de la détection de la fraude et non pas un outil de profiling destiné à identifier directement des fraudeurs potentiels. 
Ainsi, les éléments qui en seront issus n'auront qu'une valeur de signalement parmi d'autres à la disposition des services fiscaux et ne conduiront en aucun cas à une programmation automatique des contrôles, ni a fortiori à des décisions de redressement directement opposables aux contribuables.
A cet égard, la Commission prend acte que le traitement n'a pas vocation à contenir de listes nominatives de personnes à contrôler, mais doit uniquement permettre la modélisation de comportement frauduleux. Ces listes devront alors être présentées aux services de la DGFiP qui valoriseront, confirmeront ou infirmeront le risque, avant de prendre toute décision de contrôle, contribuant ainsi à préciser les méthodologies existantes. 
Dans cette mesure, le traitement est conforme aux dispositions de l'article 10 de la loi du 6 janvier 1978 modifiée.
La réalisation du prototype, pour permettre une analyse ultérieure objective des données, devra reprendre les principales étapes du projet global qui sont les suivantes : - l'inventaire des données nécessaires ;- l'examen de la qualité de ces données ; - la recherche de critères de départ pour qualifier les fraudes ; - le périmètre modélisation sur la base de ces données et de ces critères, l'examen du résultat sous un angle métier ; - l'itération avec une possible modélisation enrichie soit des données, soit de critères afin de sortir un résultat lisible, explicable et utile.
Ce projet expérimental se déroulera sur une période de six mois.
Ces travaux expérimentaux devraient permettre ainsi de dégager des secteurs à risque et de comprendre l'évolution de certaines données fiscales. En effet, la détection de fraudes récurrentes a vocation, dans une démarche de datamining, à générer des indicateurs pour valoriser les applicatifs existants. Plusieurs essais seront donc nécessaires pour améliorer la modélisation de l'outil, qui a lui-même vocation à améliorer la performance des autres outils existants, tel qu'EDEN.
En raison des enjeux soulevés par le datamining, la combinaison et le croisement croissant de différents outils de détection et de lutte contre la fraude, ainsi que le caractère innovant de l'outil présenté, la Commission estime que des garanties fortes, notamment au travers des mesures de sécurité, doivent être prises afin d'assurer la protection des données à caractère personnel, en particulier en ce qui concerne le nombre des agents habilités à émettre des requêtes et celui des destinataires. 
Compte tenu de ces observations, la Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l'article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur le caractère expérimental du traitement
La Commission demande que ce caractère soit précisé dans le texte de l'arrêté et que la DGFiP lui transmette le bilan de cette expérimentation avant toute généralisation du traitement, qui devrait elle-même faire l'objet d'un nouvel arrêté.
Dans la mesure, où la Commission ne dispose d'aucun élément sur le fonctionnement du traitement lui-même, le bilan transmis devra comporter :- une description des conditions de mise en œuvre technique et opérationnelle des phases du prototype, - des éléments chiffrés sur le contenu de la base, sur le nombre de consultations, sur les conditions de mises à jour des données et sur les demandes de droits d'accès indirect ;- une description précise des différentes interconnexions d'  EDEN  avec d'autres traitements, et des modalités d'échanges avec ces autres traitements; - des éléments de conclusion généraux relatifs au fonctionnement du traitement, aux éventuelles difficultés rencontrées, aussi bien juridiques que techniques.Sur la nature des données traitées 
Aux termes de l'article 3-I du projet d'arrêté, les données à caractère personnel traitées relèvent de quatre catégories :- identification des personnes physiques et éléments de situation professionnelle et économique ;- identification des entreprises et éléments de situation professionnelle et économique ; - informations d'ordre économique et financier des entreprises ;- résultats obtenus par le traitement. 
Les trois premières catégories concernant l'identification se réfèrent aux données issues des onze traitements suivants : ADELIE, MEDOC, FNDP, Obligation déclarative des domiciliantes, BODACC, REBECA, TSE, SIR, ALPAGE, COMPAS (présence d'un compte bancaire à l'étranger - O/N) et SIRIUS-PRO
Comme pour EDEN, la combinaison de données personnelles et de données professionnelles est justifiée par le fait qu'une analyse conjointe facilite la détection de montages fiscaux frauduleux. 
La quatrième catégorie de données concerne les résultats du traitement et en fait la spécificité par rapport à EDEN. C'est la catégorie la plus sensible avec le numéro SIREN, le numéro SIRET, la dénomination, l'adresse et les critères à risques.
Au regard de ces éléments, la Commission considère que ces catégories de données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Toutefois, face au volume important de données destinées à être traitées, la Commission souhaite que des garanties fortes soient apportées quant à l'utilisation qui pourra être faite des données à caractère personnel par l'outil  CFVR . 
Sur la durée de conservation des données :
Aux termes de l'article 4 du projet d'arrêté, les données seront conservées dans le traitement pendant une durée de six mois, c'est-à-dire le temps de l'expérimentation. 
Cette durée de conservation est adaptée au regard de la finalité poursuivie par le traitement et de la nature expérimentale de ce dernier. Sur les destinataires des données :
L'article 5 du projet d'arrêté prévoit que  les informations traitées seront consultables sur un serveur de valorisation de la DGFiP par les personnels habilités de la mission  Requêtes et Valorisation . 
Il est également précisé que seuls les agents des services - au maximum sept personnes - de la DGFiP chargés de la recherche et du contrôle fiscal sont destinataires des résultats obtenus par la mission  Requêtes et Valorisation .
La Commission estime que la limitation du nombre de destinataires du traitement constitue une garantie forte du respect de la protection des données des personnes concernées et qu'il convient de ne pas y déroger.
Sur les droits des personnes concernées
L'article 6 du projet d'arrêté est consacré aux droits des personnes concernées par le traitement. En application du VI de l'article 32 de la loi de 1978, le droit d'information ne s'applique pas à ce traitement, puisque ce dernier a notamment pour objet la prévention, la recherche, la constatation ou la poursuite d'infractions pénales.
En application de l'article 38 de la même loi, le droit d'opposition ne s'applique pas davantage.
Enfin, l'arrêté prévoit que les droits d'accès et de rectification s'exerceront de manière indirecte, dans les conditions prévues par l'article 42 de la loi de 1978 En effet, permettre à toute personne d'obtenir l'ensemble des informations la concernant contenues dans ce traitement, et notamment les critères de fraude retenus, compromettrait l'objectif recherché, car les entités en ayant connaissance pourraient organiser leur fraude en fonction de ces informations. 
Sur la sécurité des données et la traçabilité des actions :La Commission estime que la dimension importante du traitement projeté, la nature des données traitées, ainsi que la volonté d'automatiser la détection de la fraude, sont de nature à accroître les risques en termes de protection des droits des personnes concernées. Ces risques appellent des précautions renforcées en matière de sécurité du traitement. 
A cet égard, la Commission note que les échanges de données sont réalisés au moyen de canaux sécurisés et, notamment, que les données transmises sont chiffrées. 
De plus, la Commission relève que des profils d'habilitation pour accéder au traitement ont été définis et que l'authentification des utilisateurs est basée sur des mots de passe dont la complexité est conforme aux préconisations de la CNIL.
La Commission relève qu'une fonctionnalité de journalisation des opérations de consultation, création, mise à jour et suppression a été définie, étant précisé que les données journalisées sont supprimées au bout de 4 ans (conservation pendant 1 an en ligne puis pendant 3 ans en archives). 
Les autres mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Le Vice-président Délégué 
Emmanuel de GIVRY
La Commission nationale de l'informatique et des libertés, réunie en sa formation restreinte sous la présidence de Mme Claire DAVAL ; Etant aussi présents M. Jean-François CARREZ, M. Claude DOMEZEIL, Mme Marie-Hélène MITJAVILE et M. Dominique RICHARD, membres ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et 46 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ; 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2013-020 du 13 juin 2013 de la Présidente de la Commission nationale de l'informatique et des libertés mettant en demeure l'Association X ;
Vu le rapport de Mme Laurence DUMONT, commissaire rapporteur, adressé par courrier au président de l'Association X, le 2 décembre 2013 ; 
Vu les observations écrites versées par l'Association X le 12 décembre 2013, ainsi que les observations orales formulées lors de la séance de la formation restreinte;
Vu le constat d'huissier du 20 novembre 2013 ;
Vu la plainte n°12035214 du 21 novembre 2012 ;
Vu les autres pièces du dossier ;
Ayant entendu, lors de la séance de la formation restreinte du 16 Janvier 2013 :- Mme Laurence DUMONT, commissaire, en son rapport ;- Mme Catherine POZZO DI BORGO, commissaire du Gouvernement adjoint, en ses observations ;- M. XX en sa défense ;- Le représentant de l'Association X ayant pris la parole en dernier ;
A adopté la décision suivante :
I. FAITS ET PROCÉDURE
L'Association X (ci-après l'association) est une association créée en 1911, elle compte environ 300 membres dont 200 sont cotisants. Son objet social est lié à la réflexion sur [...]. Elle dispose depuis 2011 d'un site internet dédié à l'emploi des urbanistes. 
Le 21 novembre 2012 la Commission nationale de l'informatique et des libertés (ci-après la Commission ou la CNIL) a été saisie d'une plainte d'une urbaniste faisant état de sa difficulté à obtenir la suppression de son curriculum vitae, publié initialement à sa demande, du site de l'association. Elle se plaignait par ailleurs du référencement de ce document dans les moteurs de recherches externes et de ce fait, de la diffusion de données à caractère personnel la concernant. Ne pouvant supprimer les données, une demande de suppression avait été formulée par la plaignante auprès de l'association sans qu'il y soit fait droit ou même répondu.
Par courrier du 4 janvier 2013, la CNIL a rappelé à l'association les dispositions de la loi du 6 janvier 1978 modifiée relative à l'informatique et aux libertés. Sans répondre à la Commission, l'association a demandé à la plaignante de retirer sa plainte et de reformuler sa demande. 
Les 31 janvier et 8 mars 2013, la Commission a, par courrier recommandé, rappelé les termes de son courrier du 4 janvier. Aucune réponse n'a été faite à ces courriers.
Par décision n°2013-020 du 13 juin 2013 de la Présidente de la Commission a mis en demeure l'association de procéder, sous quinze jours, notamment à la suppression des données à caractère personnel de la plaignante et de s'assurer du déréférencement, de ne pas s'opposer à l'action de la commission et de procéder à la formalité préalable de déclaration de son site. En l'absence de réponse dans le délai, un courrier de relance a été adressé à l'association le 11 juillet 2013.
En réponse à cette relance, l'association a fait connaitre ses observations le 12 juillet 2013. Elle estime ne pas procéder à un traitement de données à caractère personnel concernant la plaignante et être confrontée à une demande abusive de la plaignante. Elle indique que le retrait des informations publiées aurait dû être réalisé par la plaignante et fait valoir la faiblesse de ses moyens humains et financiers. Elle précise avoir néanmoins donné ordre à son prestataire de faire cesser la diffusion des données litigieuses.
Par courrier avec accusé de réception en date du 18 octobre 2013, la commission informait l'association du fait que le dossier faisait encore l'objet de mesures d'instruction. Le 20 novembre 2013, un constat d'huissier diligenté à la demande de la commission constatait la présence du curriculum vitae de la plaignante sur le site de l'association. 
Sur la foi de ces éléments, la présidente de la Commission a désigné comme rapporteur Mme Laurence DUMONT, Commissaire, membre de la CNIL, sur le fondement de l'article 46 de la loi du 6 janvier 1978 modifiée.
A l'issue de son instruction, considérant que l'association avait manqué à plusieurs obligations lui incombant en application de la loi du 6 janvier 1978 modifiée, le rapporteur a fait notifier à l'association par courrier du 2 décembre 2013, un rapport détaillant les manquements à la loi qu'il estimait constitués en l'espèce. Ce rapport proposait à la formation restreinte de la Commission de prononcer à l'encontre de l'association une sanction pécuniaire, dont il sollicitait par ailleurs qu'elle soit rendue publique. 
Était également jointe au rapport une convocation à la séance de la formation restreinte du 16 janvier 2014 indiquant à l'association qu'elle disposait d'un délai d'un mois pour communiquer ses observations écrites. 
L'association a produit, par courrier daté du 11 décembre 2013, des observations écrites sur le rapport, réitérées oralement lors de la séance de la formation restreinte du 16 janvier 2014.
A l'issue de cette procédure, et après en avoir délibéré, la formation restreinte a adopté la décision dont la teneur suit. 
II. MOTIFS DE LA DÉCISION
1. Sur le manquement à l'obligation d'accomplir les formalités préalables à la mise en œuvre du traitement
L'article 22-I de la loi du 6 janvier 1978 modifiée dispose que A l'exception de ceux qui relèvent des dispositions prévues aux articles 25, 26 et 27 ou qui sont visés au deuxième alinéa de l'article 36, les traitements automatisés de données à caractère personnel font l'objet d'une déclaration auprès de la Commission nationale de l'informatique et des libertés. 
Aux termes de la mise en demeure du 13 juin 2013, l'association disposait d'un délai de 15 jours pour procéder aux formalités et en justifier auprès de la Commission.
Il est établi que l'association n'a procédé à aucune déclaration pour son site internet et ne revendique pas le bénéfice des dispositions du II de l'article 22. 
En sa défense, l'association fait valoir qu'à son sens elle ne procédait à aucun traitement de données à caractère personnel par l'intermédiaire de son site. Elle indique n'avoir compris que tardivement que la diffusion de curriculum vitae sur un site internet pouvait être qualifiée de traitement et que c'est en toute bonne foi qu'elle estimait que les dispositions de la loi du 6 janvier 1978 modifiée ne lui étaient pas applicables. Elle précise par ailleurs que l'association dispose des ressources matérielles et humaines très limitées.
La formation restreinte rappelle qu'il ne saurait être contesté sérieusement que la diffusion de données à caractère personnel sur un site internet constitue un traitement au sens de l'article 2 de la loi du 6 janvier 1978 modifiée. Elle constate que l'association ne s'est pas conformée dans les délais indiqués à la mise en demeure en ne procédant pas aux formalités attendues et qu'elle n'a pas justifié auprès de la commission de ses diligences ou de circonstances propres à écarter l'application de la loi susvisée.
Dans ces conditions, la formation restreinte constate le manquement à l'obligation d'accomplir les formalités préalables à la mise en œuvre du traitement et que l'association ne respecte pas les termes de la mise en demeure du 13 juin 2013.
2. Sur le manquement à l'obligation de respecter le droit d'opposition
L'article 38 de la loi du 6 janvier 1978 modifiée dispose en ses alinéas 1 et 2 que toute personne physique a le droit de s'opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l'objet d'un traitement. 
Elle a le droit de s'opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d'un traitement ultérieur.
Il est établi que malgré les demandes répétées, tant de la plaignante que de la commission, y compris dans le cadre de la mise en demeure du 13 juin 2013, les données à caractère personnel de la plaignante présentes sur le site de l'association sont restées accessibles jusqu'à la date du 20 novembre 2013, à tout le moins. 
En sa défense l'association entend faire valoir que la plaignante aurait pu retirer lesdites données par ses propres moyens et que si elle n'a pu le faire ou si un tel retrait n'a pas été opéré par son prestataire informatique, malgré des ordres donnés en ce sens, c'est en raison de circonstances techniques inexpliquées. Elle avance à ce sujet sa bonne foi et atteste, par courrier du 11 décembre 2013, avoir ordonné la mise hors ligne de son site.
La formation restreinte constate, outre le refus initial opposé à la plaignante que l'association, alors seule en capacité de procéder au retrait, n'a pas pris que tardivement les dispositions nécessaires pour faire cesser la publication des données à caractère personnel de la plaignante sur son site internet. 
Dans ces conditions, la formation restreinte constate le manquement à l'obligation de faire droit à une demande de droit d'opposition fondée sur un motif légitime et que l'association n'a pas respecté les termes de la mise en demeure sur ce point.
3. Sur le manquement à l'obligation de répondre aux demandes de la CNIL
La Présidente de la Commission a mis en demeure le 13 juin 2013 l'association de respecter les dispositions de l'article 21 alinéa 2 de la loi du 6 janvier 1978 modifiée qui dispose que les ministres, autorités publiques, dirigeants d'entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s'opposer à l'action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche .
Il est établi que l'association s'est abstenue de répondre aux courriers des 4 janvier, 28 janvier, 8 mars 2013 alors que les preuves de remise de deux de ces courriers ont été retournées à la commission ; le courrier adressé le 18 octobre 2013, a été retourné avec la mention non réclamé. Ce n'est que tardivement et en tout état de cause hors délai, qu'elle a répondu à la mise en demeure. 
Enfin, il est également avéré que malgré les affirmations de l'association, formulées dans son courrier du 12 juillet 2013, le site internet restait actif le 20 novembre 2013 comme cela a été établi par constat d'huissier.