AgentPublic/cnil huggingface dataset:
L'article 3 du projet d'arrêté prévoit la collecte des "objectifs" assignés aux agents participant aux missions de contrôle fiscal. L'article 5 du projet d'arrêté prévoit également que "les données relatives aux objectifs individuels des agents sont conservées 3 ans par rapport à l'année d'attribution de l'objectif.". Le ministère précise dans l'analyse d'impact relative à la protection des données (AIPD, pp. 190-191, annexe 5) qu'il s'agit, en particulier, des données relatives aux "aux objectifs assignés aux services en termes d'opération (nombre d'opération à engager sur l'année) et aux objectifs déclinés par les chefs de service au niveau des agents". Ces données seraient exclusivement réservées aux chefs de service, de direction et d'administration centrale afin de leur permettre le pilotage de l'activité des agents intervenant sur les affaires de contrôle fiscal, et ce, sans qu'elles ne soient visibles par les services en charge des ressources humaines.
La CNIL estime la conservation des données relatives aux agents de l'administration fiscale légitime jusqu'à la fermeture de l'affaire. Elle prend acte de l'engagement du ministère de ne traiter dans "PILOT CF" que les objectifs globaux des services concernés.
C. - Sur les interconnexions et les rapprochements
L'article 6 du projet d'arrêté prévoit la liste des traitements de la DGFiP ayant vocation à abonder en données le traitement "PILOT CF".
A titre liminaire, la CNIL rappelle qu'il convient de s'assurer que chacun des traitements alimentant le traitement "PILOT CF" fait l'objet, si cela est nécessaire au titre des articles 31 et 32 de la loi informatique et libertés, d'un acte réglementaire encadrant son fonctionnement.
Elle constate que le traitement "PILOT CF" repose sur un nombre important d'interconnexions, impliquant des opérations automatiques d'échanges de données entre ce traitement et d'autres, limitativement listés par le projet d'arrêté. La multiplication de ces interconnexions suppose une mise en cohérence des textes et de la documentation encadrant les traitements concernés par ce partage de données. En particulier, il convient de veiller à la compatibilité des finalités et à la symétrie des catégories d'accédants et de destinataires de chacun des traitements interconnectés (v. CNIL, SP, avis, 27 mai 2021, traitement "LRPGN", n° 2021-061, publié).
D. - Sur les durées de conservation
En premier lieu, l'article 5 du projet d'arrêté prévoit un délai de conservation de douze années à compter de :
- d'une part, pour les données relatives à la recherche et la programmation, "l'expiration du délai de reprise lorsqu'elles n'ont pas été utilisées dans le cadre d'une procédure de contrôle ou de sanction" (premier alinéa) ;
- d'autre part, pour les données utilisées dans le cadre d'une procédure de contrôle ou de sanction, soit "l'expiration des délais de réclamation prévus au livre des procédures fiscales ou de l'épuisement des voies de recours si ceux-ci ont été engagés", soit "l'expiration des délais de prescription de l'action pénale ou de l'épuisement des voies de recours si celle-ci a été engagée." (deuxième alinéa).
Concernant les données à caractère personnel utilisées seulement dans le cadre de la recherche et de la programmation, et sans que cela ne donne lieu à l'ouverture d'un contrôle, la CNIL estime qu'une conservation au-delà des délais de reprise des potentiels manquements et infractions recherchés est disproportionnée. En effet, ces informations seraient susceptibles de créer une présomption de culpabilité à l'égard de certains contribuables, sans qu'aucune procédure de contrôle n'ait pourtant été ouverte. Elle prend acte de l'engagement du ministère de détruire toutes les données relatives à la recherche et à la programmation à l'expiration du délai de prescription applicable, à l'exception des données strictement nécessaires au pilotage statistique de l'activité globale des services concernés.
Concernant les données à caractère personnel utilisées dans le cadre d'une procédure de contrôle ou de sanction, le ministère précise dans l'AIPD (pp. 14-16) que cette durée de conservation de douze années, à compter de l'expiration des délais de recours ou de l'épuisement des voies recours si ces derniers ont été engagés, se compose :
- d'une phase d'archivage "consultation" de six années, pour laquelle l'accès aux données est restreint, visant à :
- établir la récidive et le manquement délibéré, la conservation de telles données pouvant prouver que le contribuable ne pouvait méconnaître ses obligations fiscales, et donc le caractère délibéré de l'irrégularité nouvelle (article 1729 du code général des impôts) ;
- permettre la dénonciation au procureur de la République de contribuables réitérant des manquements à l'égard de leurs obligations fiscales (article L. 228 du livre des procédures fiscales) ;
- assurer la qualité et la continuité des services de la DGFiP vis-à-vis des contribuables (suivre l'historique des dossiers des contribuables) ;
- assurer les audits et les réponses aux corps de contrôle (production d'études ; réponses aux corps de contrôle pouvant, selon le ministère, nécessiter la conservation d'une grande antériorité des affaires etc.) ;
- d'une phase d'archivage "sauvegarde", de six années également, et pour laquelle l'accès aux données est très restreint, permettant d'accéder à certaines données, à titre exceptionnel, dans le cas d'affaires se poursuivant devant les tribunaux et dans lesquelles la DGFiP pourrait, le cas échéant, devoir apporter des éléments complémentaires.
La CNIL estime tout d'abord la durée de conservation de six années en archivage "consultation" comme proportionnée au regard des articles 1729 du code général des impôts et L. 228 du livre des procédures fiscales. Toutefois, elle considère que la nécessité d'un archivage "sauvegarde" n'est pas suffisamment étayée par le ministère. Elle prend acte de l'engagement du ministère d'écarter du projet d'arrêté la possibilité d'archivage "sauvegarde" des données à caractère personnel utilisées dans le cadre d'une procédure de contrôle ou de sanction.
En deuxième lieu, l'article 5 du projet d'arrêté prévoit également que "les données en lien avec une prise de position de l'administration fiscale sont conservées tant que cette prise de position n'est pas rapportée." Le ministère précise que les articles L. 80 A (garantie contre un changement d'interprétation formelle de dispositions fiscales par l'administration) et L. 80 B du livre des procédures fiscales (garantie contre un changement de position prise lors d'un contrôle par l'administration) instituent, au profit des contribuables, des garanties leur permettant de se prévaloir d'une prise de position antérieure de l'administration fiscale à leur égard. En application de ces articles, l'administration fiscale considère qu'elle se doit de garder trace de ses positions à l'égard des contribuables, et de ce qui les a motivées, jusqu'au 31 décembre de la troisième année suivant la cessation d'activité de l'entreprise ou le décès de la personne physique concernées.
A titre d'illustrations, peuvent constituer une prise de position un contrôle donnant lieu à une rectification, ou un contrôle sur place ne donnant lieu à aucune rectification (ce constat étant alors notifié au contribuable). A contrario, un contrôle sur pièces ne donnant lieu à aucune rectification ne constitue pas une prise de position de l'administration fiscale, le contribuable ne faisant l'objet d'aucune notification.
Tout d'abord, la CNIL relève que les durées de conservation, particulièrement longues, seraient la conséquence des dispositions législatives susmentionnées, et se feraient en faveur des contribuables.
Ensuite, la jurisprudence définit de manière suffisamment précise ce qui est susceptible de constituer une prise de position formelle de l'administration fiscale. A titre d'illustration, une telle position n'est pas constituée lorsque l'administration agit à titre gracieux (Conseil d'Etat, 14 janvier 2008, n° 297221). De même lorsque la position n'est pas suffisamment précise, explicite, ferme et non équivoque (Conseil d'Etat, 29 décembre 2004, n° 255831).
Elle prend acte, enfin, que le ministère s'est engagé à mettre en place plusieurs garanties en termes de protection des données, telles que décrites dans l'AIPD, à savoir :
- le ciblage strict des données pouvant faire l'objet d'une telle conservation (le résumé de l'affaire, le suivi des motifs de contrôle ayant donné lieu à la prise de position de l'administration, certaines pièces de procédure limitativement énumérées permettant de retracer la prise de position en question etc.). Elle considère, à cet égard, que seules les données à caractère personnel strictement nécessaires à la bonne mise en œuvre des garanties fiscales susmentionnées pourront faire l'objet d'une telle conservation ;
- le retrait ou la mise à jour des informations conservées lorsque la position est révoquée ou rapportée ;
- la limitation stricte de l'accès aux données aux seuls agents ayant besoin d'en connaître, et seulement au moment de l'enregistrement d'une nouvelle affaire concernant le même contribuable.
Si elle estime, en conséquence, cette durée de conservation proportionnée et légitime, elle :
- recommande au ministère de ne pas utiliser la formulation "dossier permanent", celle-ci laissant entendre qu'aucune durée de conservation n'a été prévue à l'égard des données conservées. Elle prend acte de l'engagement du ministère de renommer ce dossier "historique du dossier du contribuable" ;
- considère, qu'une purge annuelle des données conservées, dans le cadre d'un contrôle interne à intervalle fixe, devra être effectuée afin d'assurer la bonne prise en compte de la fin des garanties fiscales, quelle qu'en soit la cause (caducité de la position de l'administration fiscale, position rapportée etc.). Elle prend acte de l'engagement du ministère de mettre en œuvre une telle purge annuelle ;
- estime que ces durées de conservation ne pourront être appliquées qu'une fois que les développements informatiques permettront d'assurer l'ensemble des garanties susmentionnées (soit, lors de la livraison du "lot 5").
E. - Sur les droits des personnes concernées
L'article 7 prévoit les modalités d'exercice des droits des personnes concernées. En particulier, son deuxième alinéa aménage la possibilité, pour la DGFiP, de restreindre les droits d'accès et de rectification qui, le cas échéant, s'exercent indirectement auprès de la CNIL en application des articles 52 et 118 de la loi informatique et libertés.
En premier lieu, si la CNIL ne remet pas en cause les modalités d'exercice des droits d'accès et de rectification, ainsi que leurs potentielles limitations, elle considère que le projet de texte devra citer le e du I de l'article 23 du RGPD fondant une telle limitation de ces droits.
En second lieu, elle prend acte de l'engagement du ministère, pris dans l'AIPD (p. 117), de fournir aux personnes concernées une liste des données pour lesquelles elles sont en droit d'obtenir communication. Elle recommande également de consigner les motifs de fait ou de droit sur lesquels se fonde la décision de limitation des droits, et de mettre ces informations à sa disposition. Elle prend acte de l'engagement du ministère de poursuivre sa réflexion sur les modalités d'exercice des droits pour ce traitement et, plus précisément, sur le suivi des décisions de limitation afférentes.
Aucune dérogation au droit à l'information des administrés concernés n'est prévue. Si le ministère met en œuvre une politique d'information sur son site web, la CNIL rappelle, qu'en application des articles 12 et suivants du RGPD, ces informations doivent être aisément accessibles pour toute personne, rédigées de manière intelligible, pédagogique et spécifique au traitement concerné.
S'agissant de la finalité spécifique de la lutte contre la fraude, elle rappelle qu'elle admet que l'information de la personne dont les données sont traitées puisse, dans certains cas, nuire aux finalités de détection et de redressement des cas de fraude. Elle estime cependant nécessaire de conjuguer l'information des personnes et l'efficacité de la lutte contre la fraude (v. notamment CNIL, SP, avis, 14 décembre 2023, traitement "CFVR", n° 2023-150, non-publié). A cette fin, elle demande à ce que le projet d'arrêté soit modifié afin de prévoir, a minima, une politique d'information en trois temps distincts :
- dans un premier temps, une information générale de l'ensemble des personnes concernées sur la possibilité d'utilisation de leurs données à des fins de lutte contre la fraude ;
- dans un deuxième temps, une information individuelle lors des campagnes annuelles de déclaration des revenus ;
- dans un troisième temps, une information des personnes effectivement contrôlées dès lors que cette information n'est plus susceptible de nuire à l'efficacité du contrôle, c'est-à-dire au plus tard lorsqu'en application des droits de la défense, il est procédé à un échange contradictoire avec la personne soupçonnée de fraude.
F. - Sur les mesures de sécurité
Le II de l'article 3 détaille les modalités de journalisation du dispositif et, en particulier, limite la durée de conservation des journaux d'accès en base active à une année, conformément aux recommandations de la CNIL en la matière. Cet article prévoit toutefois un maintien en base d'archivage de ces données de journalisation pour trois années supplémentaires, étendant de fait la durée de conservation à quatre ans. Si la CNIL accueille favorablement le passage des données en archivage intermédiaire au bout d'une année, elle :
- considère qu'un tri devrait être effectué à l'occasion de ce transfert afin de discriminer les données dont la conservation est nécessaire. En particulier, elle recommande qu'aucune donnée relative aux usagers ne soit conservée en archive intermédiaire (v. AIPD et tableau des durées de conservation fournis) ;
- estime qu'une durée de conservation de deux ans en archivage intermédiaire est proportionnée, étendant la durée de conservation globale des journaux à trois ans au maximum (v. notamment CNIL, SP, avis, 17 février 2022, traitement "GALAXIE", n° 2022-025, publié), et prend acte de l'engagement du ministère de réduire ainsi la durée de conservation initialement prévue ;
- appelle enfin le ministère à informer les utilisateurs habilités de la mise en place du dispositif de journalisation, de la nature des données collectées et de la durée de conservation de ces dernières.
Dans le cadre de la modernisation des outils métiers et des migrations de données susceptibles d'advenir, elle attire l'attention de la DGFiP sur l'importance de la prise en compte des enjeux de qualité des données et plus largement de respect de l'intégrité de celles-ci dans le cadre de ce projet. En effet, la modification non désirée des données traitées et la perte d'intégrité de celles-ci, quelle qu'en soit la cause, aurait non seulement un impact préjudiciable au fonctionnement du traitement projeté, mais également des conséquences significatives sur les personnes concernées.
G. - Sur la documentation de conformité
La CNIL accueille favorablement la transmission, accompagnant le projet de texte, de l'AIPD.
Afin d'assurer la bonne qualité de cette documentation de conformité, elle :
- rappelle qu'elle doit régulièrement être mise à jour pour tenir compte de l'évolution du dispositif, d'autant qu'un déploiement progressif du traitement "PILOT CF" est envisagé par le ministère ;
- recommande, dans le cadre de la prochaine actualisation de l'AIPD, d'étoffer l'évaluation des risques identifiés pour les personnes concernées. Il peut s'agir, par exemple, de risques financiers en cas d'accès aux données bancaires ou encore, d'un risque de chantage ou d'atteinte réputationnelle en cas de divulgation d'informations relatifs à un contrôle fiscal ;
- recommande, enfin, l'établissement d'une matrice d'évaluation des risques plus complète. En pratique, il s'agirait, d'une part, d'améliorer la définition des niveaux de gravité et de vraisemblance d'un risque, en tenant compte des potentiels impacts pour la personne concernée et, d'autre part, de mieux justifier l'absence ou les conséquences limitées pour les personnes concernées de certains risques identifiés (tels que le risque de disparition de données).
Les autres dispositions du projet d'arrêté n'appellent pas d'observations.
La présidente,
M.-L. Denis
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 janvier 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Remarques liminaires
La présente étude sera réalisée dans plusieurs pays (Allemagne, Autriche, Belgique, Danemark, Irlande, Pays-Bas, Suède, Pologne, Espagne, Royaume-Uni, Canada, Etats-Unis, Inde, Italie, Suisse et France).
Avis des comités
La présente étude a notamment fait l’objet :
d’un avis favorable du Comité de protection des personnes Ouest V du 22 avril 2024,
d’un avis favorable de l’Institutional Review Board (IRB) Advarra du 22 avril 2024.
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des destinataires des données, s’agissant des modalités du contrôle qualité par une société de recherche contractuelle pour le volet de l’étude réalisée aux Etats-Unis.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Modalités de contrôle qualité pour le volet de l’étude réalisée aux Etats-Unis
Deux centres investigateurs situés aux Etats-Unis interviennent en qualité de sous-traitants pour les données collectées en leur sein auprès des participants américains inclus dans l’étude :
le MD Anderson Children’s Hospital
le Stanford Cancer Institute.
Pour ces deux centres, les opérations de contrôle qualité seront réalisées à distance par un attaché de recherche clinique (ARC) intervenant également en qualité de sous-traitant. Le traitement des
données mis en œuvre par chacun de ces sous-traitants devra être régi par un contrat ou un acte juridique conformément à l’article 28 du RGPD.
 
Les participants seront informés de la mise en œuvre de ce contrôle
qualité à distance.
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique au traitement envisagé.
 
Il s’est notamment assuré que le système informatique supportant
les opérations de contrôle qualité pour les deux centres investigateurs situés aux Etats-Unis :
est en conformité avec la règlementation locale applicable, notamment la norme "21 CFR Part 11" ;
a fait l’objet d’une certification par un audit indépendant de la conformité des mesures de sécurité.
 
Le responsable de traitement devra s’assurer du respect des exigences de sécurité à toutes les étapes du traitement opérées par les différents organismes participants.
La CNIL rappelle par ailleurs que les mesures de sécurité prévues doivent répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD. A cet égard ces obligations imposent une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Par ailleurs, le responsable de traitement reste pleinement responsable du niveau de sécurité effectif du traitement mis en œuvre et les textes applicables lui imposent d’être en mesure de justifier de sa conformité à tout moment.
Information et droits des personnes
Tous les participants à l’étude recevront une note d’information individuelle.
Les deux titulaires de l’exercice de l’autorité parentale recevront également une note d’information individuelle en vue de la participation de leur enfant mineur à l’étude.
Durées de conservation des données
Les échantillons biologiques seront conservés pendant quinze ans à compter de la fin de l’étude puis seront supprimés.
 
Autres données
 : 
Base active : sept ans et six mois
Archivage : vingt-cinq ans.
Transfert de données en dehors de l’UE
Le responsable de traitement prévoit de transférer certaines données à caractère personnel des participants à l’étude au Royaume-Uni, en Suisse et au Japon, pays dont la législation a été reconnue comme offrant un niveau de protection adéquat conformément aux dispositions de l’article 45 du RGPD.
 
S’agissant des autres transferts de données pseudonymisées, prenant en considération l'arrêt C-311/18 rendu par la Cour de justice de l’Union européenne le 16 juillet 2020, la CNIL rappelle que tout transfert de données en dehors de l’Union européenne doit être réalisé selon les conditions prévues au Chapitre V du RGPD.
Lorsque ce transfert s'effectue à destination d'un pays n’assurant pas un niveau de protection suffisant, celui doit être réalisé moyennant des garanties appropriées (clauses contractuelles types, règles d'entreprise contraignantes, code de conduite, mécanisme de certification)En l’espèce, le responsable de traitement envisage d’encadrer les transferts de données vers le Canada, l’Inde et les Etats-Unis par la conclusion de clauses contractuelles types telles que prévues par la décision 2021/914 de la Commission européenne du 4 juin 2021.
La CNIL attire l’attention du responsable de traitement sur le fait qu'il lui incombe d'évaluer si le niveau de protection requis par le droit de l'UE est respecté en Inde, au Canada et aux Etats-Unis afin que les garanties fournies par les clauses contractuelles types puissent être respectées. Le cas échéant, ces clauses contractuelles ne pourront constituer des garanties appropriées au sens du chapitre V du RGPD qu’à la condition d’avoir été complétées par des mesures supplémentaires afin de garantir un niveau de protection essentiellement équivalent à celui prévu dans l'Espace économique européen.
Les responsables de traitement sont également tenus de s'assurer que la législation du pays tiers n'empiétera pas sur ces mesures supplémentaires de manière à les priver d'effectivité.
Sur la réutilisation des données et des échantillons biologiques
Toute nouvelle étude qui serait mise en œuvre à partir des échantillons et des données recueillies devra faire l’objet de formalités auprès de la CNIL.
 
AUTORISE LA SOCIETE IPSEN INNOVATION à mettre en œuvre le traitement décrit ci-dessus.
 
Le Directeur de l’accompagnement juridique
 
Thomas DAUTIEU