AgentPublic/cnil huggingface dataset:
La Commission considère que les données traitées sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées, conformément aux dispositions de l'article 5.1 c du RGPD.
Sur l'information et les droits des personnes
L'article 9 du projet d'arrêté prévoit que les dispositions relatives à l'information des personnes concernées sont disponibles dans la rubrique RGPD de chacun des modules du site RappelConso .
Interrogé sur ce point, le ministère a indiqué que les utilisateurs du site RappelConso seront informés des traitements les concernant :
- lors de la création d'un compte adhérent au moyen d'une case à cocher et d'un simple renvoi vers une rubrique RGPD de son module ;
- lors de l'enregistrement d'une déclaration de rappel, au moyen d'une mention d'information figurant sur toutes notifications et comportant un renvoi vers une rubrique RGPD du portail correspondant. La Commission prend acte de l'engagement du ministère de ce que cette rubrique contiendra l'ensemble des informations exigées par l'article 13 du RGPD.
La Commission rappelle que l'information des personnes concernées, qui comprennent les agents instructeurs des demandes, doit être réalisée au moment de la collecte des données par le responsable de traitement selon les modalités définies à l'article 12 du RGPD, et doit comporter l'ensemble des mentions prévues par l'article 13 de ce texte.
A cet égard, si la Commission partage la position du G29 présentée dans les lignes directrices sur la transparence au sens du règlement, adoptées dans leur version révisée le 11 avril 2018 qui reconnaît, dans un univers numérique, la possibilité d'informer au travers de plusieurs niveaux, elle rappelle que certains éléments essentiels (tels que l'identité du responsable de traitement, les finalités du traitement et les modalités d'exercice des droits des personnes) doivent immédiatement être portés à la connaissance des personnes concernées. La Commission prend à cet égard acte de l'engagement du ministère de ce que les mentions d'informations portées à la connaissance des personnes concernées contiendront ces éléments essentiels.
Sur les durées de conservation
L'article 7 du projet d'arrêté prévoit les durées de conservation des informations et des données à caractère personnel suivantes :
- les données à caractère personnel relatives à une fiche de rappel sont conservées pendant une durée maximale de six ans ;
- les données à caractère personnel du compte d'un professionnel sont supprimées six mois après la suppression du même compte ;
- les informations sur la personne physique, ainsi que la personne morale effectuant la déclaration lorsque cette dernière est un professionnel, sont conservées tant que l'utilisateur dispose d'un accès au compte du professionnel pour lequel il a effectué la déclaration ;
- les informations sur un agent d'une autorité administrative traitant les déclarations ou les informations sur les rappels sont conservées tant que l'agent demeure dans la même affectation et exerce les mêmes attributions ;
- les informations relatives aux connexions et accès aux différents modules mentionnés à l'article 1er sont conservées pendant une durée qui ne peut excéder six mois à compter du jour de leur enregistrement.
Interrogé sur ce point, le ministère a indiqué que les historiques des états des fiches de déclaration de rappel étaient conservés en base active pour une durée maximale de six ans.
A cet égard, la Commission rappelle que les données personnelles collectées doivent être conservées en base active uniquement pour la durée nécessaire à la réalisation de l'objectif poursuivi par le traitement (soit la gestion des rappels). Une fois cet objectif atteint, les données personnelles qui présentent encore un intérêt administratif pour l'organisme ou pour répondre à une obligation légale, doivent être conservées en base intermédiaire. La Commission recommande donc de conserver les historiques des états des fiches de déclaration de rappel en base intermédiaire dès lors que l'objectif poursuivi a été atteint.
Sur les mesures de sécurité
La Commission relève que des mesures de protection physiques et logiques seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée et frauduleuse, notamment par des tiers non autorisés, préserver l'intégrité des données traitées et en assurer la disponibilité.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par les dispositions de l'article 32 du RGPD.
La présidente,
M.-L. Denis
La Présidente
XXXX
XXXX
PAR PORTEUR
Et par courrier électronique à l’attention de […]
Paris, le
Références à rappeler dans toute correspondance :
N/Réf. : JDE/JMN/MDMXXX
Monsieur le Président,
Je fais suite à la décision n° 2019-035, qui vous a été notifiée le 10 février 2020, mettant en demeure la société X, ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés les 6 octobre et 23 novembre 2020 et des mesures prises dans le sens d’une mise en conformité, je vous informe que j’ai décidé de procéder à la clôture en l’état de votre dossier ainsi que de la procédure de contrôle n° 2019-023C.
Je souhaite néanmoins vous faire part des observations suivantes.
En premier lieu, s’agissant du recueil du consentement, j’ai pris bonne note de ce que la première case intitulée choisir le suivi de consommation quotidien n’est pas pré-cochée et que, si la dernière case intitulée vous ne souhaitez pas activer de suivi de consommation quotidien n’est pas cochée par le client, cela équivaut à une absence de consentement pour le traitement des données journalières et infra-journalières. En l’absence de toute coche, je note qu’X ne collecte que les données mensuelles de consommation du client.
Je prends également acte que Toutes les données, enregistrées avant la mise en demeure, des clients qui ne se sont pas repositionnés sur ce nouveau parcours de consentement ou se sont repositionnés négativement ont été effacées sur les mois d’octobre et de novembre , ainsi que vous l’indiquez dans votre courrier du 23 novembre 2020.
En second lieu, s’agissant des durées de conservation, je prends note que les données de consommation sont conservées trois ans en base active pour les données quotidiennes et deux ans pour les données infra-quotidiennes aux fins de leur mise à disposition dans l’espace client de l’abonné, conformément aux dispositions de l’article D. 224-27 du code de la consommation. Je relève que les données relatives aux consommations mensuelles sont quant à elles conservées au maximum trois ans en base active puis quatre ans en archivage en vue de la gestion de la relation contractuelle, sauf impayé, auquel cas elles sont conservées pour toute la durée du recouvrement puis archivées pendant cinq ans dans l'éventualité d’un contentieux.
Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 20 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
Les services de la Commission […], se tiennent à la disposition des vôtres pour tout renseignement complémentaire.
Je vous prie d’agréer, Monsieur le Président, mes salutations distinguées.
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'économie, des finances et de la relance d'une demande d'avis concernant un projet de décret portant modalités de mise en œuvre par la direction générale des finances publiques et la direction générale des douanes et droits indirects de traitements informatisés et automatisés permettant la collecte et l'exploitation de données rendues publiques sur les sites internet des opérateurs de plateformes en ligne ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel sur les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécutions de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi n° 2019-1479 du 28 décembre 2019 de finances pour 2020 notamment son article 154 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la décision n° 2019-796 DC du 27 décembre 2019 du Conseil Constitutionnel ;
Vu la délibération n° 2019-114 du 12 septembre 2019 portant avis sur le projet d'article 9 du projet de loi de finances pour 2020 ;
Après avoir entendu M. Philippe-Pierre CABOURDIN, commissaire en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant : 
L’article 154 de la loi n° 2019-1479 du 28 décembre 2019 de finances pour 2020 autorise, à titre expérimental pour une durée de trois ans, les administrations fiscales et douanières à collecter et exploiter les contenus librement accessibles et manifestement rendus publics par les utilisateurs sur les sites internet des opérateurs de plateforme en ligne mentionnés au 2° du I de l'article L. 111-7 du code de la consommation (ci-après les plateformes et réseaux sociaux ). Cette collecte doit permettre de rechercher des indices relatifs à la commission de certaines infractions limitativement énumérées par la loi.
La Commission rappelle qu’elle s’est déjà prononcée sur le dispositif de collecte envisagé dans sa délibération n° 2019‑114 du 12 septembre 2019 susvisée.
La Commission relève que le législateur a depuis, fixé certaines caractéristiques des traitements projetés, notamment les durées de conservation, les modalités d’exercice des droits d’accès et d’opposition ainsi que certaines des garanties à mettre en œuvre telles que la transmission d’une analyse d’impact relative à la protection des données à caractère personnel (AIPD) ou l’interdiction de recourir à un système de reconnaissance faciale. 
Si, dans ce contexte, la Commission n’entend dès lors pas revenir dans le détail sur ces différents points, elle rappelle qu’il est expressément prévu que l’expérimentation devra faire l’objet d’une première évaluation dont les résultats lui seront transmis ainsi qu’au Parlement au plus tard dix-huit mois avant son terme d’une part, et qu’un bilan définitif devra également leur être transmis six mois avant son terme d’autre part. Elle rappelle qu’elle sera particulièrement attentive aux contenus des documents transmis ainsi qu’aux suites que le ministère entendra donner à l’expérimentation menée. La Commission renvoie à sa délibération n°2019-114 susvisée s’agissant des informations qu’elle souhaite a minima lui être communiquées. 
Sur la présentation d’ensemble du dispositif prévu à l’article 154 de la loi de finances pour 2020
De manière générale, le dispositif mis en œuvre sera composé de deux phases distinctes pour chacune des administrations concernées : une phase d’apprentissage et de conception suivie d’une phase d’exploitation des données. 
Les articles 5 et 6 du projet de décret se rapportent à la phase d’apprentissage et de conception du dispositif. Les traitements de données à caractère personnel mis en œuvre doivent permettre de développer des outils de collecte et d’analyse des données (tels que des outils d’identification de personnes titulaires de comptes, d’identification des données de localisation ou des outils permettant la suppression des données), et d’élaborer des critères de pertinence ou indicateurs susceptibles de caractériser des manquements et infractions recherchés.
Les articles 7 à 9 du projet de décret se rapportent à la phase d’exploitation des données. Il s’agit pour les administrations concernées, à partir des indicateurs précédemment élaborés et des outils de collecte et d’analyse développés, de collecter des contenus susceptibles de révéler un manquement ou une infraction en matière fiscale ou douanière. La Commission rappelle que les données ainsi collectées par le dispositif de collecte ne pourront donner lieu à aucune décision automatisée des administrations fiscales et douanières à l’encontre des personnes concernées d’une part et que ces données, si elles révèlent par la suite un éventuel comportement frauduleux, ne pourront être utilisées que dans le respect des règles relatives à la procédure de contrôle mentionnée au titre II du code des douanes ou au chapitre premier du titre II de la première partie du livre des procédures fiscales, d’autre part. 
La Commission relève que les données ainsi collectées seront transmises aux traitements ciblage de la fraude et valorisation des requêtes (CFVR) de la Direction générale des finances publiques (DGFiP) et valorisation des données pour l’analyse de risque de la Direction générale des douanes et droits indirects (DGDDI). Cette transmission doit permettre de déterminer si les données collectées constituent des indices caractérisant un manquement ou une infraction en matière fiscale ou douanière.
Dans la mesure où cette transmission de données conduit notamment à l’enregistrement de nouvelles données dans les traitements précités CFVR et valorisation des données pour l’analyse de risque , la Commission a également été saisi pour avis, de manière concomitante au présent projet de décret, des projets d’actes réglementaires modifiés encadrant ces deux traitements. Les modifications de ces traitements font l’objet de deux délibérations distinctes du même jour. 
Ces éléments généraux rappelés, la Commission entend formuler les observations suivantes. 
Sur les finalités et le régime juridique applicable
En premier lieu, la Commission relève que le dispositif prévu à l’article 154 de la loi de finances repose, en pratique, sur la mise en œuvre de plusieurs traitements de données à caractère personnel correspondant de manière générale aux deux phases présentées précédemment. 
L’article 4 du projet de décret précise à cet égard que les traitements autorisés sont mis en œuvre par les administrations concernées, en vue :
a) de la collecte des données et de la sélection des données pertinentes durant la phase prévue aux articles 5 et 6 et au I des articles 7, 8 et 9 ;
b) du transfert de données pour les traitements visés au II des articles 7, 8 et 9. 
.
La Commission considère qu’une telle rédaction vise davantage à expliciter les grandes fonctionnalités des traitements mis en œuvre que leurs finalités. A ce titre, elle observe que d’autres dispositions du projet de décret qui lui est soumis apportent davantage de précisions sur les finalités effectivement poursuivies par les traitements mis en œuvre lors de chacune des phases du dispositif. Sur ce point, la Commission prend acte de l’engagement du ministère de modifier l’article 4 du projet de décret afin de faire apparaître de manière explicite les finalités des différents traitements mis en œuvre. 
En second lieu, la Commission relève que le ministère entend faire application des seules dispositions de la Directive (UE) 2016/680 susvisée (ci-après la Directive ), s’agissant de l’ensemble du dispositif expérimental. Elle observe toutefois que les deux phases du dispositif poursuivent en première intention des objectifs distincts dont il convient de tirer toutes les conséquences s’agissant du régime juridique applicable.
La phase d’apprentissage et de conception a en effet uniquement pour objectif primaire de développer des outils techniques et d’établir des indicateurs. Sur ce point, la Commission constate qu’à l’issue de la phase d’apprentissage et de conception, l’ensemble des données à caractère personnel collectées sont supprimées et qu’aucun ciblage de personnes physiques ou morales ou envoi d’informations à un service de contrôle ou de gestion n’est réalisé par les administrations concernées. 
Au regard de ces éléments la Commission considère que la phase d’apprentissage et de conception du dispositif devrait relever du régime juridique du règlement européen sur la protection des données (ci-après le RGPD ). La phase d’exploitation a directement pour finalité la recherche d’infractions fiscales et douanières, elle relève donc bien de la Directive. La Commission prend acte que le ministère entend tirer toutes les conséquences de cette distinction et modifier le projet de décret en conséquence. 
Sur le périmètre du dispositif et les données traitées
A titre liminaire, la Commission rappelle qu’il revient au ministère de s’assurer de la stricte proportionnalité des données collectées lors de chacune des deux phases du dispositif mis en œuvre. 
Sur les notions de contenus librement accessibles et manifestement rendus publics
L’article 3 du projet de décret rappelle que, conformément à l’article 154 de la loi de finances pour 2020, seuls les contenus librement accessibles et manifestement rendus publics sur les sites internet des opérateurs de plateforme en ligne pourront être collectés.
Dans sa décision n° 2019-796 DC du 27 décembre 2019, le Conseil Constitutionnel a précisé que […], les données susceptibles d’être collectées et exploitées doivent répondre à deux conditions cumulatives. D’une part, il doit s’agir de contenus librement accessibles sur un service de communication au public en ligne d’une des plateformes précitées, à l’exclusion donc des contenus accessibles seulement après saisie d’un mot de passe ou après inscription sur le site en cause. D’autre part, ces contenus doivent être manifestement rendus publics par les utilisateurs de ces sites. Il en résulte que ne peuvent être collectés et exploités que les contenus se rapportant à la personne qui les a, délibérément, divulgués. […] .
La Commission considère tout d’abord qu’il résulte des termes mêmes de cette décision que les contenus librement accessibles doivent être entendus comme les contenus auxquels un utilisateur non inscrit ou sans enrôlement préalable (création de compte, fourniture de certaines informations pour créer un identifiant ou toute autre forme d’inscription) sur une plateforme ou un réseau social pourrait avoir accès, sans saisie préalable d’un mot de passe. À cet égard, elle relève d’emblée que le recours à des identités d’emprunts ou la création de comptes spécialement créés à cet effet par les administrations fiscale et douanière est bien exclue par le présent projet de décret. 
La Commission relève qu’il ressort de la documentation transmise que le ministère entend utiliser des API (interfaces de mise à disposition des données des sites) proposées par les plateformes ou les réseaux sociaux, et/ou des techniques de  webscraping (techniques d'extraction du contenu de sites, via des scripts ou des programmes automatisés) pour collecter les données des plateformes et des réseaux sociaux. Elle observe que ces deux modalités de collecte nécessitent toutefois de se créer un compte développeur dans le cas des API ou un compte utilisateur pour le webscraping .
Interrogé sur ce point, le ministère a indiqué que les contenus librement accessibles désignent, selon son interprétation, les données publiées sur les plateformes et les réseaux sociaux sans paramètre de confidentialité spécifique ou avec un paramétrage de confidentialité public, à savoir les données qui ne sont pas publiées en mode privé ou en accès restreint à un cercle de contacts, quel que soit les modalités techniques utilisées pour les collecter. 
La Commission considère que si le ministère peut utiliser des API, en se créant un compte développeur, les contenus accessibles via ces API doivent être limités à ceux accessibles par un utilisateur qui ne disposerait pas de compte sur la plateforme et sans saisie préalable d’un mot de passe. Les sites ou plateformes nécessitant une inscription telle que définie précédemment ou un mot de passe ne peuvent donc être accessibles conformément à la loi telle qu’interprétée par le Conseil constitutionnel. Le décret devra être modifié en conséquence.
En ce qui concerne la notion de contenus manifestement rendus publics, la Commission relève que le projet de décret permet, dans certaines conditions, la collecte de commentaires rédigés par des tiers.
Interrogé sur le caractère manifestement rendu public des commentaires rédigés par des tiers sur la page personnelle d’un individu, le ministère a fait valoir le caractère public – par nature – des commentaires publiés sur les sites marchands au regard de leur modèle économique ainsi que la connaissance, par les utilisateurs de ces sites marchands, des paramètres de confidentialité retenus. 
S’agissant des réseaux sociaux, le ministère estime que les utilisateurs ont également la possibilité de configurer les paramètres de confidentialité de leurs pages, en l’absence de paramétrage spécifique, de suppression des contenus concernées ou de signalement effectué auprès de la plateforme concernée, l’utilisateur les divulguent délibérément. 
La Commission estime néanmoins, au regard de la décision du Conseil Constitutionnel précitée, que pour être manifestement rendus publics les contenus doivent être délibérément divulgués par la personne titulaire du compte ou de la page ce qui implique incontestablement une action volontaire de sa part. A contrario, elle estime que la simple absence de mise en place d’un paramétrage de confidentialité spécifique par exemple ne suffit pas à caractériser qu’une personne a délibérément divulgué un contenu.
Compte tenu de ce qui précède, la Commission demande que les commentaires des tiers ne soient pas collectés dans le cadre du dispositif envisagé. Elle insiste également pour que le décret ne soit pris que lorsque le ministère aura identifié des moyens techniques permettant de limiter sa collecte aux seules données se rapportant à la personne concernée et à elle seule, délibérément divulguées pour les rendre manifestement publiques au sens des dispositions applicables.
En ce qui concerne les données collectées lors des phases d’apprentissage, de conception et d’exploitation, elle relève de manière générale que des garanties ont été mises en place. En particulier, il est prévu que les indicateurs devant permettre de caractériser une probabilité de fraude, qui seront d’abord élaborés automatiquement par des algorithmes, fassent ensuite l’objet d’une analyse humaine afin d’écarter ceux qui impliqueraient la collecte de données sensibles qui malgré les filtres prévus auraient été collectées ou le développement d’outils techniques permettant la suppression automatique de telles données. De la même manière, le recours à un système de reconnaissance faciale visant à identifier des personnes à partir des photographies mises en ligne est exclu par le décret. Si des précisions ont été apportées par le ministère sur ce que recoupe la catégorie des données relative aux contenus de toute nature, y compris diffusés en temps réel , qui indique que cela recouvre principalement les hastag et l’ensemble des publications quel que soit leur format informatique (par exemple des codes chiffrés, des algorithmes, …) dès lors qu’ils sont librement accessibles et manifestement rendus publics par l’utilisateur de la plateforme, elle estime toutefois que cette formulation mériterait d’être précisée dans le projet de décret. 
Sur les données collectées durant la phase d’apprentissage et de conception