AgentPublic/cnil huggingface dataset:
autorisation du 29 novembre 2012.Il appartient à la Commission de se prononcer sur ce point au vu des circonstances de droit et de fait qui entourent cette demande.A cet égard, elle constate que la Commission européenne a adopté une décision d'exécution du 11 juin 2013 relative à l'adéquation des autorités compétentes des États-Unis d'Amérique conformément à la directive 2006/43/CE du Parlement européen et du Conseil. Cette décision, qui prend le relais de la précédente décision d'adéquation expirant le 31 juillet 2013, expirera elle-même au 31 juillet 2016.Cette décision d'exécution vise précisément à permettre que se prolongent de telles actions de coopération, afin que se créent les conditions d'une confiance réciproque entre autorités de supervision et que puisse être rendu effectif, à moyen terme, le système de reconnaissance mutuelle entre les deux systèmes de supervision visé par la Huitième Directive.Cette décision réaffirme en outre l'importance de l'objectif de reconnaissance de l'équivalence des systèmes de supervision de contrôle légal des comptes, et par conséquent le caractère transitoire de ces inspections conjointes avec les équipes du PCAOB.Concernant la protection des données à caractère personnel communiquées à l'autorité américaine, la Commission relève que la décision de la Commission européenne, comme précédemment, impose aux Etats membres de prévoir des garanties appropriées en matière de protection des données personnelles, notamment dans le cadre
d'accords contraignants conclus, conformément au chapitre IV de la directive 95/46/CE, entre leurs autorités compétentes et les autorités compétentes des États-Unis d'Amérique. Elle relève également que cette décision prévoit que les modalités de travail entre les deux autorités prévoient des garanties appropriées en ce qui concerne la protection, dans ces documents, des données à caractère personnel, autant que du secret professionnel et des informations commerciales sensibles des sociétés dont les états financiers sont contrôlés et des contrôleurs légaux des comptes de ces sociétés.Elle constate que les garanties figurant dans les deux protocoles d'accords en vigueur entre le H3C et le PCAOB demeureront intégralement applicables.Elle relève par ailleurs que ces garanties, notamment le principe d'anonymisation figurant à la clause II-1 du protocole d'accord relatif à la protection des données, ont été effectivement mises en œuvre à l'occasion du premier contrôle ayant été mené conjointement par les deux autorités. Il est satisfaisant, à cet égard, de constater que le H3C contrôle le déroulé des inspections conjointes, et maîtrise ainsi le périmètre des informations communiquées à son homologue. Au bénéfice des observations qui précèdent, la Commission constate donc que les transferts occasionnels de données à caractère personnel vers le PCAOB, dès lors qu'ils sont notamment nécessaires à l'exercice de contrôles conjoints menés à titre transitoire, sont légitimes. Elle
considère par ailleurs que ces transferts sont assortis de garanties suffisantes au regard de la vie privée et des libertés et droits fondamentaux des personnes concernées.Dans ces conditions, elle autorise le Haut Conseil du Commissariat aux Comptes à mettre en œuvre le transfert, vers son homologue américain, de données à caractère personnel contenues dans des informations et/ou des documents d'audit relatifs aux contrôleurs légaux des comptes qui relèvent de la compétence des deux autorités, ou collectées à l'occasion de contrôles conjoints dans une période se terminant au 31 juillet 2016.La présente délibération ne sera publiée que postérieurement à la signature des deux accords susvisés par le H3C et le PCAOB.
La Commission nationale de l'informatique et des libertés,Saisie par le ministre délégué auprès du ministre de l'économie et des finances chargé du budget d'une demande d'avis concernant un projet de décret relatif à l'application de l'article L. 107 B du livre des procédures fiscales et un projet d'arrêté portant création par la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel, dénommé  PATRIM  ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu le Livre des procédures fiscales, notamment son article L. 107 B ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II-4°) ;Vu l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administrative, notamment ses articles 9 et 10 portant création du  Référentiel général de sécurité  (RGS) ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Après avoir entendu M. Didier GASSE, commissaire, en son rapport,
et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations ;Émet l'avis suivant :
Dans le cadre de la loi de finances rectificative pour l'année 2011, a été créée la possibilité de délivrer par voie électronique, aux contribuables comme aux agents habilités de la direction générale des finances publiques (DGFiP), des informations sur les transactions immobilières détenues par l'administration fiscale. Aux fins de déterminer la valeur vénale réelle de biens immobiliers objets de transaction lors d'une transmission à titre gratuit ou à titre onéreux, d'une déclaration ou d'un redressement fiscal, un téléservice public de l'administration fiscale doit ainsi permettre de rechercher des données concernant les mutations de biens immobiliers analogues intervenues dans les neuf dernières années.
Dans ce contexte, la Commission est saisie pour avis de deux projets : un projet de décret en Conseil d'État, pris après avis de la Commission, créant un nouvel article R*107 B - 1 au Livre des Procédures Fiscales (LPF), en application de l'article L. 107 B dudit code ; et un projet d'arrêté portant création du téléservice  PATRIM , en application des dispositions de l'article 27-II-4°) de la loi du 6 janvier 1978 modifiée.
Le projet de décret détermine les modalités de mise en œuvre du téléservice destiné aux administrés et le projet d'arrête autorise ce téléservice, en tant que traitement de données personnelles dénommé PATRIM, accessible par voie électronique pour les usagers et pour les agents habilités. La présente délibération porte donc sur ces deux projets, présentés ensemble et étroitement liés, les modalités de mise en œuvre du téléservice relevant à la fois de ces deux textes.
Sur les finalités du traitement
Le téléservice  PATRIM  met en place deux systèmes de consultation par voie électronique pour les contribuables, d'une part, et les agents de la DGFiP, d'autre part.
En premier lieu, la consultation par les contribuables est destinée à leur apporter des éléments de comparaison nécessaires pour leur permettre d'appréhender la valeur vénale de biens immobiliers dans le cadre réglementaire d'un contrôle fiscal, d'une expropriation, d'une déclaration d'ISF ou de succession, ou d'un acte de donation, tout en maintenant exceptionnelle la levée du secret fiscal.
Jusqu'à présent, en application des dispositions du code général des impôts, la valeur vénale réelle d'un immeuble correspond au prix obtenu par le jeu de l'offre et de la demande sur un marché réel, ce qui nécessite de procéder par comparaison avec des cessions en nombre suffisant sur des immeubles similaires.
Actuellement, le fichier des actes de mutations (la  Base nationale des données patrimoniales  [BNDP]) détenu par la DGFiP est la seule source exhaustive en mesure d'offrir une information fiable au niveau national. Cependant, ces données sont accessibles par les usagers de l'administration fiscale, par copie payante demandée ponctuellement auprès des conservateurs des hypothèques. L'usager peut également recourir aux services de notaire ou d'agence immobilières, mais pour des données moins exhaustives et, qui plus est, monnayant paiement de cette prestation de service.
Désormais, les contribuables pourront accéder, gratuitement par voie électronique, au service  Rechercher des valeurs immobilières , dénommé  PATRIM Usagers . 
Selon la notice de présentation du décret, cette nouvelle offre de service, qui répond à un objectif de transparence, vise à encourager le civisme fiscal.
En second lieu, la consultation par l'administration fiscale permet aux agents habilités d'accéder aux informations concernant la vente de biens immobiliers pour les besoins d'évaluation des biens, de termes de comparaison et d'études de marché. Les agents habilités de la DGFiP disposeront en effet d'un outil similaire à celui des contribuables, mais dans une version enrichie, notamment s'agissant de l'attache géographique des informations et de l'identité des propriétaires concernés.
Dès lors, les traitements de données afférents, notamment les informations confiées par un contribuable utilisateur de PATRIM, ne sont pas constitués aux fins de définir un ordre de priorité parmi les administrés devant faire l'objet de procédure de contrôle. Ce service d'informations fiscales offert gracieusement aux administrés ne doit en aucun cas être l'opportunité d'alimenter les sources d'informations utilisées par les agents fiscaux afin d'ouvrir un dossier d'enquête pour rectification.
La Commission prend donc acte du fait que les conditions générales d'utilisation du service seront complétées afin de préciser que les données de recherche et de consultation des utilisateurs de PATRIM ne peuvent être utilisées à d'autres fins que celle de s'assurer de la bonne utilisation du téléservice PATRIM. Une telle utilisation par l'administration fiscale constituerait en effet un détournement de finalité du traitement mis en œuvre.
Sur les modalités de fonctionnement de l'application PATRIM
Les projets de décret et d'arrêté renvoient aux conditions générales d'utilisation du téléservice, expressément prévues par l'article L. 107 B du LPF. La Commission, qui en a pris connaissance, estime qu'elles permettent d'informer les utilisateurs de façon satisfaisante.
Pour comparer des biens vendus dans  un périmètre et pendant une période déterminés , le contribuable se connecte via  la procédure sécurisée d'authentification , accepte les conditions générales d'utilisation du téléservice PATRIM, et formule sa demande en indiquant  le type et la superficie du bien immobilier à évaluer, ainsi que le périmètre géographique et la période de recherche  (cf. projet d'article R* 107 B-1-IV du LPF). Formaliser cette demande permet d'interroger la base de données informationnelles de  PATRIM  alimentée par la  Base nationale des données patrimoniales  [BNDP]. La restitution par voie électronique se fait sous forme de tableau comportant les  caractéristiques des biens  comparés, qui sont des  informations communicables  précisément définies par l'article 3 du projet d'arrêté. Comme le précise l'article L. 107 B du LPF, la communication par voie électronique concerne des éléments  utiles à la seule appréciation de la valeur vénale du bien concerné .
Sur les personnes concernées
Les usagers du téléservice  PATRIM  sont les personnes physiques rencontrant une des situations listées par l'article L. 107 B du LPF. Les projets de décret et d'arrêté rappellent ces restrictions en ces termes : toute personne faisant l'objet d'une procédure d'expropriation ; toute personne faisant l'objet d'une procédure de contrôle portant sur la valeur d'un bien immobilier ; toute personne faisant état de la nécessité d'évaluer la valeur vénale d'un bien immobilier pour déterminer l'assiette de l'impôt de solidarité sur la fortune ou des droits de mutation à titre gratuit (succession, donation). Le projet de décret indique à titre liminaire que  Le demandeur doit justifier de sa qualité . L'article 7-V du projet d'arrêté précise que cette justification est déclarative : le contribuable renseigne  le ou les motif(s) de sa visite .
Afin d'éviter une utilisation excessive ou détournée de PATRIM, les consultations de chaque utilisateur sont limitées, de façon automatique et par défaut, à 50 par période de 3 mois. Avant l'interdiction d'accès au service pendant 6 mois (période reconductible), l'utilisateur est informé par un message d'alerte précisant le nombre de consultations restantes avant la suspension.
Les responsabilités pénale et civile de l'utilisateur peuvent être engagées, notamment en application de l'article L. 226-21 du code pénal ou de l'article 18 de la loi n° 78-753 dite loi  Cada , qui prévoient des amendes en cas de réutilisation des informations publiques à des fins commerciales.
La Commission prend acte de cette accessibilité restreinte à certaines qualités de contribuable, à 50 consultations et à un usage non public des informations obtenues, ce qui tend à privilégier les personnes les plus exposées aux enjeux de la valeur vénale réelle d'un bien tout en évitant les risques d'atteinte au secret fiscal et d'utilisation par des professionnels de l'immobilier.
Sur la collecte et la nature des données traitées
L'article 5 du projet d'arrêté prévoit que les données traitées sont issues :- du traitement BNDP pour les données d'enregistrement de la mutation ;- du traitement Service de Consultation du Plan Cadastral (SCPC) et de l'Institut national géographique pour les données parcellaires utilisées par l'outil de géocodage ;- et de l'annuaire de la DGFiP pour les données d'authentification des usagers et des agents.
L'article 3-I du projet d'arrêté liste les catégories de données qui seront traitées :- les données relatives au contribuable ou à l'agent habilité de la DGFiP ;- les données détaillant les caractéristiques des biens comparés, utiles pour apprécier la valeur vénale réelle du bien à évaluer.
La liste de ces données n'appelle pas d'observation particulière de la part de la Commission.
Sur la durée de conservation des données
L'article 4 du projet d'arrêté prévoit que :- la base de données informationnelle, utilisées pour estimer le prix réel du bien à comparer, comporte un historique de neuf années à compter de 2005 ; - les données de consultation par les agents sont conservées pendant trois années à compter de la date de consultation ; - les données de consultation des contribuables ne sont conservées qu'une année.
Le ministère justifie cette durée de conservation par la nécessité de ne pas préjudicier aux éventuelles procédures de redressement que l'administration fiscale est habilitée à diligenter, dans le respect des procédures contradictoires de rectification fiscale prévues par l'article L. 55 du LPF. Le contribuable peut donc présenter les arguments utiles à sa défense.
Conformément aux dispositions de l'article 6-5° de la loi du 6 janvier 1978 modifiée, ces durées n'excèdent pas la durée nécessaire aux finalités pour lesquelles les données sont collectées. 
Sur les destinataires des données
L'article 6 du projet d'arrêté prévoit qu'à raison de leurs attributions, et pour le strict accomplissement du service rendu par le téléservice  PATRIM , les agents habilités par la DGFiP seront destinataires en tout ou partie des données communiquées par le contribuable souhaitant faire estimer un bien.
Cette liste de destinataires n'appelle pas d'observation particulière.
Sur les droits d'accès, de rectification et d'opposition des utilisateurs du téléservice
Les droits d'accès et de rectification s'exercent directement auprès du bureau Copernic B de la DGFiP. 
Le droit d'opposition à ce que les données de consultation de chaque usager soient traitées ne s'applique pas au traitement projeté, comme le prévoit l'article L. 107 B du LPF. La Commission relève néanmoins que le téléservice  PATRIM  n'est pas exclusif des procédures traditionnelles.
Sur la sécurité des données et la traçabilité des actions
Les personnes physiques susceptibles d'accéder à  PATRIM Usagers  peuvent choisir deux procédures d'authentification en se connectant soit sur le site  www.Mon.Service-Public.fr , soit sur le site  www.impots.gouv.fr . 
Après avoir préalablement créé une liaison avec le portail  impots.gouv.fr  en autorisant la plateforme  Mon.Service-Public.fr  à fédérer ses identités sans aboutir à un identifiant unique, le contribuable pourra utiliser la première procédure en renseignant ses identifiants et mot de passe  Mon.Service-Public.fr .
La seconde est la procédure d'authentification sécurisée pour déclarer l'impôt sur le revenu en ligne en recourant aux  trois secrets  communiqués par la DGFiP, à savoir : le numéro fiscal (numéro du contribuable dit  SPI  mentionné sur l'avis d'imposition) ; le revenu fiscal de référence (ressources annuelles imposables mentionnées sur l'avis d'imposition) ; le numéro annuel de télédéclarant (mis à jour chaque année et précisé sur la déclaration de revenus papier pré-imprimée n°2042 reçue par l'usager ou sur la lettre spécifique qui remplace le pré-imprimé).
Les profils d'habilitation des agents sont strictement définis, leur authentification s'appuie sur un annuaire Lightweight Directory Access Protocol (LDAP) centralisé qui offre de bonnes garanties de sécurité. Il conviendrait cependant que le ministère s'assure d'une architecture suffisante des mots de passe et du suivi de leur renouvellement.
Enfin, le traitement met en œuvre une journalisation des accès aux données à caractère personnel. Les données de consultation des utilisateurs de PATRIM, comportant notamment l'identifiant du contribuable et ses logs, n'ont cependant pas vocation à être exploitées de façon systématique. Conservées une année au maximum, ces traces seront accessibles au seul Bureau Copernic B, sur requête et suite à une contestation d'un propriétaire ou en cas d'utilisation excessive. La Commission relève que la mémorisation des données de consultation n'a pour finalité que de garantir le respect des conditions générales d'utilisation de PATRIM, aux termes de l'article 7-V du projet d'arrêté.
Il existe un cloisonnement physique au niveau du réseau qui garantit l'étanchéité entre la partie web (dédiée aux usagers) et la partie interne de l'application (dédiée aux agents habilités).
La Commission estime suffisantes les mesures de sécurité du traitement au regard de la finalité.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'économie et des finances d'une demande d'avis concernant un projet de décret en Conseil d'État autorisant la création, par le service des retraites de l'État, d'un traitement de données à caractère personnel ayant pour finalité le contrôle, la liquidation, l'attribution et le service des pensions et des accessoires de pensions prévus par le code des pensions militaires d'invalidité et des victimes de la guerre ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code des pensions militaires d'invalidité et des victimes de la guerre ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n°2009-1052 du 26 août 2009 portant création du service des retraites de l'État ;
Sur la proposition de Madame Laurence DUMONT, commissaire, et après avoir entendu les observations de Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement ;
Emet l'avis suivant :
La Commission est saisie pour avis par le ministère de l'économie et des finances, sur le fondement de l'article 27-I-1° de la loi du 6 janvier 1978 modifiée, d'un projet de décret en Conseil d'État portant création d'un traitement automatisé de données à caractère personnel, dénommé  j-PMI , impliquant notamment le traitement du numéro d'inscription des personnes au répertoire national d'identification des personnes physiques.
Sur la finalité du traitement 
Aux termes de l'article 1er du décret n°2009-1052 du 26 août 2009, portant création du service des retraites de l'État, ce dernier est chargé de la mise en œuvre de la gestion administrative et financière du régime de retraite et d'invalidité des fonctionnaires civils et militaires de l'Etat, d'une part, et représente le régime de retraite de l'Etat auprès des organismes de retraite et des instances de gouvernance des régimes de retraite, d'autre part.
Le service des retraites de l'État est ainsi responsable du processus de gestion des pensions de retraite et d'invalidité des fonctionnaires civils et militaires de l'Etat. À ce titre, il :- tient les comptes individuels de retraite, enregistre et contrôle les droits à pension et assure l'information des ressortissants du régime de retraite des fonctionnaires civils et militaires de l'Etat ;- liquide et concède les pensions et allocations de retraite et d'invalidité ;- paie les allocations et pensions, ainsi que les prestations de retraite additionnelle de la fonction publique pour les pensionnés de l'Etat, les retraites du combattant, les rentes viagères et pensions de régimes spécifiques, les soldes de réserve des officiers généraux de la deuxième section, les traitements de la médaille militaire et de la Légion d'honneur ;- tient la comptabilité des dépenses en veillant à la sincérité des enregistrements comptables et au respect des procédures comptables de l'Etat ;- assure la gestion des comptes des retraités de l'Etat dont il est l'interlocuteur ;- assure une expertise juridique, statistique et financière en matière de pensions de l'Etat et traite les contentieux en cette matière ;- assure la maîtrise d'ouvrage des systèmes d'information relatifs au  compte individuel de retraite , à la liquidation, à la gestion et au paiement des pensions.
L'article 2ème du décret précité mentionne que le service des retraites de l'État est également chargé :- d'étudier et de mettre en œuvre les procédures et l'organisation permettant de renforcer la qualité et l'efficience de la production des pensions, retraites et émoluments relevant de sa compétence ;- de concevoir et de déployer le système d'information relatif à la gestion des pensions de retraite ;- de concevoir et de maintenir, en collaboration avec l'opérateur national de paye, le référentiel de données et de contrôles permettant l'alimentation des comptes individuels de retraite par les systèmes d'information des ressources humaines de l'Etat ; - de développer les procédures et les outils permettant d'accroître la qualité du service aux usagers.
L'article 1er du projet de décret en Conseil d'État dont est saisie la Commission pour avis mentionne que le traitement  j-PMI  a pour finalité le contrôle, la liquidation, l'attribution et le service des pensions et accessoires de pensions prévus par le code des pensions militaires d'invalidité et des victimes de la guerre dont le Service des retraites de l'État est l'ordonnateur.