AgentPublic/cnil huggingface dataset:
A titre liminaire, la Commission rappelle qu’elle a toujours considéré que le traitement CFVR doit être entouré de garanties fortes de nature à assurer un niveau élevé de protection des données compte tenu des enjeux soulevés par le datamining , la combinaison et le croisement croissant de différents outils de détection et de lutte contre la fraude, l'ampleur des données traitées ainsi que le caractère innovant du dispositif.
En premier lieu, l’article 1 du projet d’arrêté prévoit l’ajout des données transmises par les opérateurs de plateformes collaboratives en application de l’article 242 bis du code général des impôts (CGI) au titre des Informations d’ordre économique et financier des personnes physiques .
La Commission relève que cet ajout vise à tenir compte des évolutions portées par la loi n° 2018-898 du 23 octobre 2018 relative à la lutte contre la fraude et, en particulier, par son article 10, qui a modifié les dispositions de l’article 242 bis du CGI en prévoyant l’obligation pour les opérateurs de plateforme d’économie collaborative d’adresser annuellement à l’administration fiscale un document récapitulant les opérations réalisées par les utilisateurs de ces sites.
Elle rappelle que les conditions de transmission de ces informations sont prévues par l’article 23 L octies de l’annexe IV au CGI dans sa rédaction issue de l’arrêté du 27 décembre 2018 pris pour l'application de l'article 242 bis du CGI. En pratique, la Commission relève que les opérateurs de plateforme d’économie collaborative doivent notamment fournir les noms (de famille ou d’usage), prénoms et date de naissance des personnes physiques ainsi que la raison sociale, la dénomination usuelle, le numéro SIREN, le numéro de TVA intracommunautaire ou le numéro d’enregistrement auprès de l’autorité fiscale étrangère des personnes morales. Ils doivent également transmettre à l’administration fiscale le montant brut total et le nombre de transactions réalisées par chaque utilisateur. Par ailleurs, lorsqu’elles sont connues de l’opérateur (notamment lorsque le paiement est réalisé sur la plateforme), les coordonnées bancaires du compte sur lequel tout ou partie des montants sont versés à l’utilisateur doivent être transmises. Il peut s’agir d’un compte domicilié en France ou dans un pays étranger.
La Commission prend acte des précisions apportées par le ministère selon lesquelles ces informations, compte tenu de leur masse, ne pourront être traitées manuellement et des garanties selon lesquelles ces données ne seront utilisées que pour :
la détection d’activités commerciales occultes ;
la recherche de dissimulations de chiffres d’affaires ou de recettes professionnelles pouvant avoir un impact en matière d’impôt sur les sociétés, de revenus professionnels soumis à l’impôt sur le revenu ou de TVA ;
la dissimulation des recettes de location de biens immobiliers par des particuliers ou des sociétés. 
La Commission prend acte de l’ajout de ce type de données eu égard à la modification de l’article 242 bis du CGI. Elle rappelle que, si des données sensibles au sens de l’article 6 de la loi du 6 janvier 1978 modifiée devaient être collectées, le traitement devrait être autorisé par un décret en Conseil d’Etat, conformément aux dispositions de l’article 31-1 de cette même loi.
En deuxième lieu, l’article 2 du projet d’arrêté vise à réduire la durée de conservation des traces à un an, ce qui n’appelle pas d’observation particulière.
En troisième lieu, l’article 3 du projet d’arrêté prévoit que les droits d’accès et de rectification s’exercent auprès du bureau CF1C (86-92 allée de Bercy 75574 PARIS cedex 12) sauf en ce qui concerne les données issues des applications de consultation de gestion et de contrôle fiscal de la direction générale des finances publiques pour lesquelles les droits d’accès et de rectification s’exercent auprès du centre des finances publiques dont relève le requérant (…) .
Ce même article prévoit que des restrictions peuvent être apportées à l’exercice de ces droits, en application des dispositions de l’article 107 de la loi du 6 janvier 1978 modifiée, ce qui n’appelle pas d’observation particulière compte tenu des caractéristiques du traitement CFVR.
S’agissant du droit à l’information des personnes concernées, elle prend acte des précisions apportées par le ministère selon lesquelles l’information des personnes concernées doit se réaliser via la publication de l’acte réglementaire ainsi que sur le site web impots.gouv.fr .
En ce qui concerne le droit d’opposition, l’article 3 du projet d’arrêté précise que celui-ci n’a pas vocation à s’appliquer au présent traitement en application de l’article 110 de la loi du 6 janvier 1978 modifiée, ce qui n’appelle pas d’observation particulière.
En outre, si la Commission relève que le projet d’arrêté ne mentionne pas les conditions d’information et d’exercice des droits à l’effacement et à la limitation du traitement, elle rappelle que ceux-ci sont prévus à l’article 104 de la loi du 6 janvier 1978 modifiée.
En dernier lieu, la Commission relève que les modalités de collecte, de conservation et de traitement, notamment s’agissant des règles d’accès, ont été adaptées au traitement projeté.
Elle relève que le ministère entend faire application de l’article 63 de la directive (UE) 2016/680 du 27 avril 2016 qui prévoit la possibilité de reporter au 6 mai 2023 l’application de l’obligation relative au dispositif de journalisation, prévue à l’article 25 de la directive précitée. Toutefois, elle rappelle que l’article 37 de la loi n° 2018-493 du 20 juin 2018 prévoit la possibilité d’un tel report lorsqu'une telle obligation exigerait des efforts disproportionnés et souligne que le ministère ne justifie en rien des éléments qui lui permettraient de se prévaloir de cette dérogation, ayant pour conséquence de reporter l’application des obligations prévues à l’article 101 de la loi du 6 janvier 1978 modifiée.
En tout état de cause, elle prend acte qu’une traçabilité effective (la date et l’identité de la personne ayant réalisé et lancé les scripts) est mise en œuvre sur les traitements ainsi que les requêtes réalisées par l’ensemble des agents, ou des prestataires sur les travaux effectués dans le cadre de cette expérimentation.
Sous réserve des précédentes observations, la Commission estime que les mesures de sécurité telles que décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue à l’article 101 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour de l’AIPD et de ses mesures de sécurité au regard de la réévaluation régulière des risques.
La Présidente
 
 
M.-L. DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’action et des comptes publics d’une demande d’avis concernant un projet d’arrêté modifiant l’arrêté du 21 février 2014 portant création par la direction générale des finances publiques d’un traitement automatisé de lutte contre la fraude dénommé ciblage de la fraude et valorisation des requêtes (CFVR) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;
Vu le code général des impôts, notamment son article 242 bis ;
Vu le livre des procédures fiscales, notamment ses articles L. 10, L. 81 et L. 229 à
L. 231 ;
Vu le code pénal, notamment ses articles 313-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 31-I-2° et 33 ;
Vu la loi n° 2018-727 du 10 août 2018 pour un Etat au service d’une société de confiance ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 21 février 2014 portant création par la direction générale des finances publiques d’un traitement automatisé de lutte contre la fraude dénommé ciblage de la fraude et valorisation des requêtes ;
Vu la délibération n° 2014-045 du 30 janvier 2014 portant avis sur un projet d’arrêté portant création par la direction générale des finances publiques d’un traitement
automatisé de lutte contre la fraude dénommé ciblage de la fraude et valorisation des requêtes (CFVR) ;
Vu la délibération n° 2017-226 du 20 juillet 2017 portant avis sur un projet d’arrêté modifiant l’arrêté du 21 février 2014 portant création par la direction générale des finances publiques d’un traitement automatisé de lutte contre la fraude dénommé ciblage de la fraude et valorisation des requêtes ;
Après avoir entendu M. Philippe-Pierre CABOURDIN, commissaire en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie par le ministre de l’action et des comptes publics d’une demande d’avis concernant un projet d’arrêté modifiant l’arrêté du 21 février 2014 portant création par la direction générale des finances publiques (DGFiP) d’un traitement automatisé de lutte contre la fraude dénommé Ciblage de la fraude et valorisation des requêtes (CFVR).
Ce traitement, sur lequel elle a eu à se prononcer six fois depuis 2014, doit permettre la modélisation ainsi que la visualisation des comportements frauduleux afin de mener des actions de prévention, de recherche, de constatation ou de poursuites d’infractions pénales ainsi que des opérations de recherches, de constatation ou de poursuite de manquements fiscaux.
La Commission relève par ailleurs que le projet d’arrêté lui a été soumis sur le fondement des dispositions de l’article 31-I-2° de la loi du 6 janvier 1978 modifiée qui prévoit qu’un arrêté, pris après avis motivé et publié de la Commission, autorise les traitements de données à caractère personnel mis en œuvre pour le compte de l’Etat et qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ou des mesures de sûreté.
Dans la mesure où le traitement CFVR présente, d’une part, la particularité de viser expressément la modélisation des comportements frauduleux afin de prévenir ou de constater la commission d’infractions pénales au titre de la finalité poursuivie et que, d’autre part, les éléments portés à sa connaissance laissent apparaître que le dispositif doit permettre de mieux identifier les situations potentiellement frauduleuses en mettant en évidence des incohérences ou des défaillances déclaratives dans les dossiers des contribuables, améliorant ainsi le ciblage des contrôles réalisés auprès des personnes concernées, la Commission estime que la finalité répressive poursuivie peut, dans les circonstances de l’espèce, être considérée comme prépondérante. Il résulte de ce qui précède que la Commission considère que, tant au regard de l’objet principal du traitement que de la finalité poursuivie, le traitement CFVR relève par principe du champ d’application de la directive 2016/680 du 27 avril 2016 susvisée telle que transposée aux articles 87 et suivants de la loi du 6 janvier 1978 modifiée.
Dans la mesure où le traitement CFVR est susceptible d’engendrer un risque élevé pour les droits et les libertés des personnes physiques, le ministère de l’action et des comptes publics a réalisé une analyse d’impact relative à la protection des données à caractère personnel (AIPD), qui a été adressée à la Commission avec la demande d’avis conformément à l’article 90 de la loi du 6 janvier 1978 modifiée.
Ces éléments de contexte rappelés, la Commission relève que le projet d’arrêté a pour objet, d’une part, de pérenniser le traitement CFVR pour les fraudes relatives aux particuliers et, d’autre part, de modifier la liste des traitements de la DGFiP dont sont issues les données traitées dans CFVR.
Sur la pérennisation du traitement CFVR pour les fraudes relatives aux particuliers 
La Commission rappelle que le traitement CFVR, basé sur des techniques de datamining ou exploration de données , a plusieurs fonctionnalités : la modélisation prédictive, la requête d’analyse de risques, la recherche d’atypies ou d’incohérences et la recherche de liens entre les différentes personnes ou avec des entités professionnelles.
Initialement mis en œuvre en 2014 à titre d’expérimentation, dans le cadre de fraudes réalisées par les contribuables professionnels, le champ du traitement CFVR a été pérennisé en 2015 et étendu concomitamment à titre d’expérimentation aux personnes physiques impliquées dans le fonctionnement des entités professionnelles. Cette extension, pérennisée en 2016, a précédé une extension du traitement CFVR aux particuliers. Une expérimentation s’est ainsi déroulée entre 2017 et 2019. Parallèlement, les fonctionnalités de ce traitement ont été étendues afin de permettre la détection de façon anticipée des entreprises en difficulté ainsi que l’envoi automatique de demandes de renseignements aux contribuables suite à un rapprochement des informations décelant des incohérences dans les déclarations fiscales. Les données transmises par les opérateurs de plateformes collaboratives ont également été ajoutées au titre des données traitées dans le traitement CFVR conformément à l’article 242 bis du code général des impôts issu de l’article 10 de la loi n° 2018-898 du 23 octobre 2018 relative à la lutte contre la fraude. L’ensemble de ces modifications a fait l’objet d’avis de la Commission.
Il est désormais prévu de pérenniser l’extension du traitement CFVR pour les fraudes fiscales réalisées par les particuliers non professionnels.
A titre liminaire, si la Commission relève qu’un bilan a été réalisé à l’issue de chacune des expérimentations menées par le ministère, elle observe que ce dernier a systématiquement demandé la pérennisation des projets engagés conduisant à une complexification certaine des conditions de mise en œuvre du traitement CFVR sans qu’il ne soit, s’agissant de la présente saisine, précisément justifié des apports de l’expérimentation réalisée. 
C’est dans ce contexte que l’article 1er du projet d’arrêté vise à pérenniser l’ensemble des conditions de mise en œuvre du traitement CFVR en supprimant toute notion d’expérimentation concernant les fraudes relatives aux particuliers. Le traitement CFVR pourra désormais utiliser, à titre pérenne, les données des particuliers sans lien avec une entreprise, y compris afin de procéder à l’envoi automatique de demandes de renseignement aux contribuables suite à un rapprochement des informations décelant des incohérences dans les déclarations fiscales.
Sans remettre en cause les justifications opérationnelles avancées relatives d’une part, à l’amélioration de la programmation des actions de lutte contre la fraude fiscale, des vérifications et des contrôles diligentés auprès des particuliers et, d’autre part, à l’amélioration du ciblage des fraudes réalisées par les entreprises, la Commission rappelle, de manière générale, qu’elle a toujours considéré que le traitement CFVR devait être entouré de garanties fortes de nature à assurer un niveau élevé de protection des données à caractère personnel. Elle estime en effet que ce traitement présente, depuis sa création, des enjeux particuliers au regard du caractère innovant du dispositif, de la combinaison de données réalisées et de l’ampleur de ces dernières ainsi que du croisement croissant de différents outils de détection et de lutte contre la fraude.
La Commission considère par ailleurs que l’extension du traitement CFVR aux particuliers induit un changement d’échelle significatif, dans la mesure où l’ensemble des contribuables français sera potentiellement concerné. Si la lutte contre la fraude fiscale est un objectif à valeur constitutionnelle, elle rappelle toutefois, au regard du nombre de personnes concernées et des techniques mises en œuvre, que des garanties appropriées doivent être prévues.
A cet égard, la Commission prend acte que les données modélisées par le traitement CFVR ne conduiront en aucun cas à une programmation automatique de contrôles fiscaux, ni a fortiori à des décisions directement opposables aux contribuables. Le traitement CFVR ne constitue donc qu’un outil d’aide et d’orientation des travaux des agents et non pas un outil de profilage destiné à identifier directement des fraudeurs potentiels.
Elle relève en outre que les données des personnes physiques contenues dans le traitement CFVR ne seront utilisées que pour :
la recherche d’anomalies et d’incohérences déclaratives ;
les travaux d’analyse risque consistant à identifier des évènements ou des occurrences déclaratives qui caractérisent des anomalies potentielles prédéfinies, puis à sélectionner les dossiers dans lesquels ces éléments sont constatés ;
l’identification des contribuables dont le comportement d’achat semble incohérent ;
l’identification d’indicateurs de fraude par analyse des contrôles antérieurs.
La Commission prend par ailleurs acte que le nombre de personnes au sein du bureau en charge de la programmation et de l'analyse des données ayant accès aux données des particuliers est extrêmement restreint (moins d’une dizaine de personnes). Elle rappelle, à cet égard, l’importance de s’assurer que seules les personnes dûment habilitées au regard de leurs missions et du besoin d’en connaître accèdent aux données concernées.
Elle relève également que les travaux réalisés dans le cadre de l’expérimentation ont visé uniquement les personnes pour lesquels les enjeux financiers potentiels sont considérés, par la DGFiP, comme les plus importants ou les anomalies les plus fragrantes.
Si la Commission relève que la réduction du champ matériel du traitement est de nature à constituer une garantie supplémentaire, elle regrette que le bilan de l’expérimentation ne contienne pas la liste précise des critères caractéristiques du risque de fraude.
De la même manière, à défaut d’éléments lui permettant de se prononcer pleinement sur la pérennisation, à l’égard des particuliers non professionnels, de l’utilisation de la fonctionnalité relative à l’envoi automatique de demandes de renseignement aux contribuables suite à un rapprochement des informations décelant des incohérences dans les déclarations fiscales, la Commission prend acte que cette démarche s’inscrit dans l’esprit de la loi du 10 août 2018 susvisée et que ces demandes non contraignantes permettront aux contribuables de bonne foi de régulariser leur situation sans subir de procédure de contrôle sur ce point.
Enfin, compte tenu du caractère nécessairement évolutif des hypothèses de fraude et des modalités de fonctionnement du traitement, la Commission prend acte de l’engagement du ministère de lui communiquer régulièrement des bilans sur les conditions d’utilisation et d’exploitation de ce traitement et sur les coûts afférents. Elle considère en effet qu’une telle transmission, par exemple annuelle, lui permettra de s’assurer, indépendamment de l’exercice de ses prérogatives de contrôle, de la stricte proportionnalité du dispositif mis en œuvre.
Sur les modifications apportées aux conditions de mise en œuvre 
L’article 2 du projet d’arrêté complète la liste des applications de la DGFiP dont les données traitées sont issues.
Ces nouvelles applications de la DGFiP sont les suivantes :
le traitement de données d’acquisition des déclarations sociales nominatives et d’échanges avec les tiers collecteurs du prélèvement à la source de l’impôt sur le revenu (DSN) ;
le traitement de données de gestion du prélèvement à la source mis en œuvre par les collecteurs versant des revenus de remplacement et transitoirement par les organismes versant des traitements et salaires non encore entrés en déclaration sociale nominative (PASRAU) ;
le traitement de calcul de l’impôt sur la fortune immobilière (IFI) ;
le fichier national des données professionnelles (FNDP) ;
le traitement de remboursement des crédits de taxe sur la valeur ajoutée non imputables (REBECA) ;
le traitement de suivi et d’aide au pilotage des activités des services des impôts des entreprises (SIE Pilotage).
L’ensemble des données enregistrées dans les traitements de données à caractère personnel mentionnés ci-dessus seront transmises au traitement CFVR. Ces transmissions de données doivent permettre d’enrichir les données concernant les professionnels et celles concernant les particuliers et dirigeants ou associés.
Au regard des précisions apportées par le ministère, la Commission estime que le traitement ultérieur des données enregistrées dans les traitements précités n’est pas incompatible avec les finalités poursuivies par le traitement CFVR. Elle rappelle néanmoins qu’il reviendra au ministère de procéder, le cas échéant, à la mise à jour des actes réglementaires afférents aux traitements précités.
La Commission prend acte, en tout état de cause, que les autres conditions de mise en œuvre du traitement CFVR demeurent inchangées.
Sur les mesures de sécurité 
La Commission estime que l’ampleur du dispositif, la nature des données traitées, ainsi que la volonté d’automatiser la détection de la fraude sont de nature à accroître les risques en termes d’atteinte à la vie privée des personnes concernées. Elle rappelle qu’il convient dès lors de faire preuve d’une vigilance particulièrement importante s’agissant des mesures de sécurité et de confidentialité mises en œuvre et procéder à une réévaluation régulière des risques.
A cet égard, elle relève que des solutions de chiffrement adéquates permettent d’assurer la confidentialité des échanges de données.
La Commission note en outre que les données du traitement CFVR sont stockées dans des serveurs dédiés et dupliqués.
Elle relève par ailleurs que des solutions de traçabilité sont mises en œuvre pour assurer la journalisation des opérations de consultation, création, mise à jour et suppression. La Commission rappelle néanmoins que pour être efficace, la journalisation doit permettre un suivi régulier des évènements ainsi tracés et intégrer une gestion d’alerte avec des niveaux pouvant permettre une réaction rapide en cas d’incident.
Enfin, la Commission relève qu’une gestion des habilitations, ainsi qu’un contrôle des accès logiques sont mis en œuvre pour limiter les accès aux données aux personnes dûment habilitées. Elle rappelle néanmoins la nécessité d’utiliser des mots de passe dont la complexité est conforme aux recommandations de la Commission.
La Présidente
 
 
M.-L. DENIS