AgentPublic/cnil huggingface dataset:
Ne sont pas éligibles à la certification, les traitements de données à caractère personnel mis en œuvre en qualité de sous-traitant au titre de l’article 28 du RGPD, en qualité de responsable conjoint du traitement au titre de l’article 26 du RGPD ou par un responsable de traitement établi hors de l’Union européenne et soumis au RGPD au titre de son article 3.2.
La certification ne fournit pas les garanties nécessaires dans le cadre d’un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale, telles que visées à l’article 46 du RGPD.
 
Décide : 
 
de l’approbation des critères de la certification nationale "Lexing certification RGPD" v.5, annexés à la délibération ;
que le Comité français d’accréditation (COFRAC), instance nationale d’accréditation, procèdera à l’agrément des organismes certificateurs, conformément à la convention de coopération conclue entre la CNIL et ce dernier ;
que les critères de la certification seront publiés par la CNIL et qu’ils seront transmis au CEPD afin d’être consignés dans le registre des mécanismes de certification et les labels en matière de protection des données, conformément à l’article 43.6 du RGPD ;
en cas de modification des critères, la CNIL, après en avoir été informée par le porteur, décidera si une nouvelle procédure d’approbation est nécessaire.
Cette décision sera publiée sur le site Légifrance.
 
La présidente,
 
 
M.-L. Denis
N° de demande d'avis : 25007060
			Thématiques : élargissement de l'accès au registre national d'immatriculation des copropriétés et ajout de nouvelles données
Organisme(s) à l'origine de la saisine : ministère de l'aménagement du territoire et de la décentralisation
			Fondement de la saisine : article L. 711-2 du code de la construction et de l'habitation
L'essentiel :
L'élargissement de l'accès aux notaires concerne notamment des informations hautement personnelles. La CNIL relève que le risque d'une réidentification des personnes par recoupement d'information existe notamment dans les petites copropriétés. Elle prend acte des engagements du ministère quant à l'ajout d'un article au projet de décret selon lequel le syndic ne transmet aucune donnée à caractère personnel relative aux personnes physiques concernées par ces dépôts de plainte et ces condamnations.
La CNIL prend également acte des garanties supplémentaires qui seront mises en œuvre à savoir :
- la mise en place d'un menu déroulant du niveau judiciaire en cours (p. ex. : dépôt de plainte en cours ; condamnation prononcée ; sanction exécutée) ;
- la sélection des différents cas d'usage (p.ex. : logement insalubre ; fuite dans les parties communes ; non-paiement des charges ; fissures sur la façade) ;
- la suppression des données dès lors que celles-ci ne sont plus nécessaires ;
- l'absence de collecte des documents juridiques pour ne pas permettre d'identifier les personnes liées à l'acte de justice que ce soit le locataire ou le propriétaire.
Elle estime par ailleurs que la diffusion au public de certaines données, notamment celles relatives à l'existence d'une procédure à l'encontre du syndicat est susceptible de porter atteinte au droit au respect de la vie privée des copropriétaires indirectement identifiables. Aussi, la CNIL invite le ministère à prévoir une agrégation des informations selon un seuil ne permettant pas une réidentification des personnes concernées par recoupement d'informations.
Enfin, elle rappelle que les mentions d'informations disponibles sur le site Web devront être mises à jour afin d'intégrer l'ensemble des modifications apportées par le projet de décret.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu le code de la construction et de l'habitation, notamment ses articles L. 711-2 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ) ;
Sur la proposition de M. Philippe Latombe, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte
Le registre national d'immatriculation des syndicats de copropriétaires, mis en place par la loi n° 2014-366 du 24 mars 2014 pour l'accès au logement et un urbanisme rénové (loi ALUR ), est un outil de connaissance de l'état des copropriétés. Ce registre, qui recense l'intégralité des copropriétés à usage d'habitation sur le territoire français, permet d'identifier les fragilités et ainsi prévenir les éventuels dysfonctionnements.
Le décret n° 2016-1167 du 26 août 2016 et l'arrêté du 10 octobre 2016, pris après avis de la CNIL (délibération n° 2016-064), encadrent les informations à déclarer, les conditions de consultation du registre et désignent l'Agence nationale de l'habitat (ci-après ANAH ) comme le teneur du registre.
L'ensemble de la procédure d'immatriculation et, le cas échéant, de la mise à jour des données est réalisée par voie dématérialisée par le représentant légal de la copropriété ou par un notaire.
B. - L'objet de la saisine
L'article L. 711-2-IV du code de la construction et de l'habitation (ci-après CCH ) prévoit qu'un décret en Conseil d'Etat, pris après avis de la CNIL, précise les conditions de publicité des informations mentionnées aux II et III du présent article ainsi que les conditions de consultation du registre. C'est l'objet de la saisine.
II. - L'avis de la CNIL
A. - Sur l'élargissement de l'accès aux données
Les dispositions du CCH modifiées par les lois successives relatives au logement prévoient un élargissement de l'accès à certaines informations enregistrées au sein du registre au public (art. L. 711-2) et à l'ensemble de ces informations s'agissant des notaires (art. L. 711-3).
Le ministère précise que cet élargissement progressif de l'accès s'est fait au fil de la volonté du législateur de donner le plus possible d'informations aux futurs acquéreurs, et de façon générale à toutes les personnes intéressées, sur la situation réelle des copropriétés .
Sur l'élargissement aux notaires
Le projet de décret modifie l'article R. 711-16 afin de prévoir l'accès par les notaires aux informations mentionnées aux II et III de l'article L. 711-2 de l'ensemble des syndicats de copropriétaires pour lesquels ils peuvent être chargés d'effectuer l'immatriculation de la copropriété, de vérifier que celle-ci a bien été effectuée ou encore de faciliter l'information des acquéreurs de lots de copropriétés.
Cet élargissement concerne notamment l'accès à des informations hautement personnel, à savoir :
- l'existence d'une procédure prévue aux articles 29-1 A ou 29-1 de la loi n° 65-557 du 10 juillet 1965 fixant le statut de la copropriété des immeubles bâtis ou à l'article L. 615-6 du CCH à l'encontre du syndicat ;
- l'existence d'un dépôt de plainte, d'une condamnation au sein de la copropriété ou d'un refus d'autorisation préalable de mise en location d'un logement, si le syndic en a connaissance.
Si le ministère considère que ces éléments ne permettent pas d'identifier directement ou indirectement une personne physique, la CNIL relève que le risque d'une réidentification des personnes par recoupement d'informations existe notamment dans les petites copropriétés.
Dès lors, elle appelle l'attention du ministère sur la nécessité de prévoir des garanties particulières en raison de la sensibilité de ces données et notamment des mesures de sécurité renforcées. Elles devront de plus être mises à jour de manière régulière afin de prendre en compte, par exemple, un retrait de plaintes ou encore la fin d'une éventuelle procédure.
La CNIL prend acte à cet égard des engagements du ministère quant à l'ajout d'un article R. 711-15-2 au projet de décret lequel dispose qu' En application du 4° du III de l'article L. 711-2, le syndic déclare les dépôts de plainte et les condamnations dont il a connaissance, au moyen du formulaire mentionné au second alinéa de l'article R. 711-8. Dans le cadre de cette déclaration, le syndic ne transmet aucune donnée à caractère personnel relative aux personnes physiques concernées par ces dépôts de plainte et ces condamnations .
Elle prend acte par ailleurs des observations du ministère selon lesquelles des garanties particulières seront mises en œuvre pour limiter les risques sur les droits et libertés des personnes concernées et notamment :
- la mise en place d'un menu déroulant du niveau judiciaire en cours (p.ex. : dépôt de plainte en cours ; condamnation prononcée ; sanction exécutée) ;
- la sélection des différents cas d'usage (p. ex. : logement insalubre ; fuite dans les parties communes ; non-paiement des charges ; fissures sur la façade) ;
- la suppression des données dès lors que celles-ci ne sont plus nécessaires ;
- l'absence de collecte des documents juridiques pour ne pas permettre d'identifier les personnes liées à l'acte de justice que ce soit le locataire ou le propriétaire.
Sur l'élargissement au public
Le projet de décret prévoit l'accès au public aux informations prévues au II de l'article L. 711-2. Le ministère précise que l'objectif poursuivi par cet élargissement est une meilleure visibilité et reconnaissance de la personne morale du syndicat à l'égard des tiers qu'il s'agisse de futurs acquéreurs, d'un voisin pour faciliter une prise de contact dans le cadre de l'instruction d'un sinistre ou d'une banque pour s'assurer de l'existence et de la qualité de celui qui sollicite un prêt ou l'ouverture d'un compte au nom du syndicat .
Le public aura accès :
- au nom du syndic ;
- au nombre de lots au sein de la copropriété ;
- à l'existence d'une procédure prévue aux articles 29-1 A ou 29-1 de la loi n° 65-557 du 10 juillet 1965 fixant le statut de la copropriété des immeubles bâtis ou à l'article L. 615-6 du CCH à l'encontre du syndicat ;
- à l'existence d'un arrêté à l'encontre du syndicat au titre de la sécurité et salubrité des immeubles.
La diffusion au public de certaines données, notamment celles relatives à l'existence d'une procédure à l'encontre du syndicat, sont susceptibles de porter atteinte au droit au respect de la vie privée des copropriétaires indirectement identifiables.
Aussi, comme précisé dans la délibération n° 2016-064, la CNIL invite le ministère à prévoir une agrégation des informations selon un seuil ne permettant pas une réidentification des personnes concernées par recoupement d'informations.
B. - Sur l'information et les droits des personnes concernées
La CNIL rappelle que les mentions d'informations disponibles sur le site Web devront être mises à jour afin d'intégrer l'ensemble des modifications apportées par le projet de décret.
Les autres dispositions du projet de décret n'appellent pas d'observations de la part de la CNIL.
La présidente,
M.-L. Denis
N° de demande d’avis : 2355059
Thématiques : Registre du commerce et des sociétés, Transparence de la vie économique
Organisme(s) à l’origine de la saisine : Ministère de la Justice
Fondement de la saisine : article 8.I.4.a de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés
L’essentiel :
La CNIL considère que les dispositions du projet de décret dont elle est saisie poursuivent un objectif conforme à la réglementation relative à la protection des données à caractère personnel. 
Elle recommande toutefois que le projet de décret soit complété afin de préciser que les personnes visées ont la possibilité de solliciter la confidentialité des informations relatives à leur domicile personnel à tout moment et indépendamment de motifs tirés de leur situation personnelle.
Si elle accueille favorablement les avancées sur le registre du commerce et des sociétés (RCS), la CNIL regrette plusieurs limitations dans le dispositif proposé. Elle invite le ministère, sous réserve de l’absence d’obstacle issu d’une disposition nationale ou européenne, à inclure l’hypothèse dans laquelle l’adresse du siège social et celle du domicile seraient confondues. Elle recommande, par ailleurs, de permettre à d’autres personnes physiques que celles visées à l’article R. 123-54 du code de commerce de solliciter la confidentialité des informations relatives à leur domicile personnel, s’il existe un risque que de telles informations figurent dans les pièces annexes publiées. Ces évolutions permettraient de ne pas priver le dispositif de sa portée et de son efficacité.
Enfin, la CNIL rappelle que la publication de certaines données à caractère personnel dans les différents registres (registre national des entreprises, le système national d’identification et du répertoire des entreprises et de leurs établissements, etc.) ainsi que leur republication par des réutilisateurs de données d’entreprise continuent de faire l’objet d’un nombre croissant de plaintes. Il conviendrait en conséquence, en cohérence avec l’objet même de ce projet de décret, de procéder rapidement à un travail structurel sur l’ensemble des fichiers concernés afin d’harmoniser leur régime et la divulgation des données à caractère personnel qu’ils contiennent.
______________________________________________
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ( règlement général sur la protection des données ou RGPD ) ;
Vu le code de commerce ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ( loi informatique et libertés ) ;
Après avoir entendu le rapport de M. Philippe-Pierre Cabourdin, commissaire, et les observations de M. Damien Milic, commissaire du gouvernement.
 
Adopte la délibération suivante :
I. La saisine
 A. Le contexte
Les articles L. 123-1 et suivants et R. 123-31 et suivants du code de commerce prévoient des obligations déclaratives mises à la charge des entreprises, telles que l’immatriculation au registre du commerce et des sociétés (RCS).
Dans ce cadre, un certain nombre d’informations doivent être fournies. Ces informations sont relatives à la société (article R. 123-53) et à un certain nombre de personnes qui entretiennent des liens avec cette société comme, par exemple, les associés tenus indéfiniment ou tenus indéfiniment et solidairement des dettes sociales de cette société, les gérants, présidents ou encore les directeurs généraux, etc. (article R. 123-54). Les dispositions de l’article R. 123-54 du code du commerce prévoient notamment que la société déclare le domicile personnel de ces personnes.
Le RCS fait partie des nombreux registres qui recensent certaines données relatives à des entreprises. La loi n° 2019-486 du 22 mai 2019 relative à la croissance et à la transformation des entreprises, dite loi "PACTE", a conduit à la fusion d’un certain nombre d’entre eux au sein d’un unique registre national des entreprises (RNE). Le RNE regroupe aujourd’hui le répertoire des métiers, le registre des actifs agricoles et le registre national du commerce et des sociétés (RNCS) qui contient les différents RCS. D’autres registres demeurent exploités en parallèle du RNE, tels que par exemple le système national d’identification et du répertoire des entreprises et de leurs établissements (répertoire SIRENE) ou encore le bulletin officiel des annonces civiles et commerciales (BODACC). Par ailleurs, le code de commerce (article R. 210-3 du code du commerce et suivants) impose également qu’un avis, qui peut notamment contenir l’adresse du domicile personnel, soit inséré dans un support habilité à recevoir les annonces légales dans le département du siège social une fois les formalités de constitution de la société ont été accomplies.
En pratique, l’immatriculation s’effectue via le Guichet unique mis en œuvre par l’INPI. Le déclarant y dépose les pièces nécessaires, qui sont notamment trans-mises aux greffiers des tribunaux de commerce, compétents à des fins de vérifica-tion et de validation. Une fois le dossier validé, l’entreprise est immatriculée au RCS et également immatriculée au RNE. Malgré la centralisation opérée par le RNE, les registres locaux RCS continuent d’exister.
Le contenu de ces deux registres (le RNE et le RCS) fait par ailleurs l’objet d’une mise à disposition du public au titre des articles L. 123-1 et L. 123-52 du code de commerce à des fins de consultation ou de réutilisation. Les entreprises qui réuti-lisent les données d’entreprises inscrites dans ces registres (ci-après, "les réutilisa-teur") les republient et les indexent dans les moteurs de recherche, ce qui accroît la visibilité des données publiées.
Depuis quelques années, l’essor des plateformes en ligne qui réutilisent les don-nées issues des registres du RNE et du RCS rend accessibles, en quelques clics, de nombreux documents et donc, par voie de conséquence, de nombreuses informa-tions personnelles de dirigeants, associés, etc. Une telle publicité suscite de fortes interrogations en raison des risques qu’elle peut faire peser sur la sécurité des per-sonnes concernées (enlèvements et tentatives d’enlèvements, envoi de courriers malveillants, harcèlement, etc.). La CNIL a été saisie, depuis plusieurs années, d'un volume important, et qui ne faiblit pas, de plaintes d'entrepreneurs individuels, d'associés et de dirigeants. Celles-ci concernent la diffusion de leurs données à ca-ractère personnel, notamment leur adresse postale, soit directement au sein des registres au titre des informations inscrites, soit à travers la publication des pièces annexes transmises à l'appui des formalités de création, de modification ou de ra-diation de leur entreprise.
Une proposition de loi visant à protéger les données personnelles des entrepre-neurs (n° 1621, déposée auprès de la Présidence de l’Assemblée Nationale) propose d’imposer aux opérateurs de l’ensemble des bases de données dématérialisées pu-bliant des données à caractère personnel de ne fournir aux réutilisateurs que des documents dans lesquels les adresses personnelles des dirigeants seraient mas-quées. En ce qui concerne les documents que ces réutilisateurs auraient déjà en leur possession, elle propose de faire peser sur eux l’obligation d’en supprimer les mentions en question.
 B. L’objet de la saisine
Compte tenu de récents événements, notamment des tentatives d’enlèvement de dirigeants ou membres de la famille de dirigeants de sociétés françaises, la CNIL a été saisie pour avis, en urgence, par le ministère de la justice, d’un projet de décret relatif à la protection des informations personnelles des personnes physiques dirigeantes et associés indéfiniment responsables de personnes morales figurant au RCS.
Le projet de décret propose d’introduire au sein de la partie réglementaire du code du commerce :
un nouvel article R. 123-54-1 qui permet aux personnes physiques mentionnées à l’article R. 123-54 de ce code de solliciter la confidentialité des informations relatives à leur domicile personnel, que ce soit dans le registre ou dans les pièces qui y sont annexées ;
un article R. 123-54-2 qui précise la liste des autorités, administrations, personnes morales et professions qui continuent à avoir accès à l’intégralité des informations, actes ou pièces faisant l’objet de la demande d’occultation, ainsi que les organes de la société et les créanciers pouvant se voir délivrer l’adresse personnelle des personnes concernées.
II. L’avis de la CNIL
 A. Sur le renforcement de la confidentialité des informations relatives au domicile personnel inscrites dans le RCS
Le projet d’article R. 123-54-1 du code de commerce prévoit d’introduire, au béné-fice des personnes mentionnées à l’article R. 123-54, la possibilité de solliciter la confidentialité des informations relatives à leur domicile personnel dans le RCS.
En premier lieu, le ministère a précisé que les demandes de confidentialité ne font pas l’objet d’une appréciation en opportunité de la part des greffiers chargés de les traiter et que seule la vérification de l’identité du demandeur sera nécessaire.
La CNIL considère que l’objectif poursuivi par ces dispositions est con-forme aux principes inscrits dans la règlementation relative à la protec-tion des données à caractère personnel puisqu’il revient à limiter stric-tement la liste des destinataires de l’adresse personnelle des personnes mentionnées à l’article R. 123-54 du code de commerce à celles ayant be-soin d’en connaître et énumérées par le décret. Elle invite le ministère à compléter le projet de décret pour préciser explicitement que les deman-deurs n’ont pas à justifier leur demande.
En second lieu, le projet fait référence aux informations relatives au domicile personnel des personnes physiques concernées. Sur ce point, la CNIL rappelle que l’adresse du siège social d’une entreprise, qui figure parmi les informations ins-crites dans le registre (article R. 123-53 du code de commerce) et ses pièces an-nexes, peut être la même que celle du domicile personnel, notamment dans les hy-pothèses de structures de taille réduite (entreprise individuelle, micro-entreprises, etc.).
Le ministère a précisé que le projet de décret ne permet pas de solliciter la confi-dentialité de l’adresse du siège social lorsque celle-ci révèle le domicile personnel des personnes concernées pour les raisons suivantes.
Tout d’abord, le ministère considère que la situation où le siège social révèle l’adresse du domicile personnel est limitée compte tenu des professionnels concer-nés par l’obligation d’immatriculation au RCS. Selon le ministère, cette situation ne concerne que les entrepreneurs individuels et les sociétés par actions simplifiées (SAS). Or, selon le ministère :
Les entrepreneurs individuels s’inscrivent majoritairement au RNE. La CNIL rappelle toutefois que l'entreprise individuelle est bien ins-crite au RCS lorsqu’elle a une activité commerciale. Par ailleurs, les dispositions de l’article L. 123-10 du code du commerce prévoient, plus largement, la possibilité pour les personnes physiques de-mandant leur immatriculation au RCS de domicilier leur entre-prise dans leur local d’habitation, sous certaines conditions.
La publicité et l’accès à l’information sur le siège social constituent une obli-gation du droit de l’Union européenne, notamment pour les SAS. Le minis-tère rappelle que la directive 2017/1132 les soumet à l’obligation de publier :
	
Les statuts (et statuts modifiés).
Le transfert du siège social.
Le ministère précise que les Etats-membres doivent veiller à ce que l’information sur le siège social de la société soit disponible gratuitement via le registre des sociétés. Enfin, le ministère souligne que l’article 1835 du code civil, de portée générale, prévoit que les statuts déterminent le siège so-cial. Le défaut d’une énonciation légale, telle que celle du siège social, ouvre une action en régularisation aux tiers intéressés (article 1839 du code civil).
Sur ce point, la CNIL s’interroge sur le fait que ces dispositions interdisent aux Etats membres de prévoir, au niveau national, la confidentialité des seules infor-mations relatives au siège social de l’entreprise lorsque celui-ci se confond avec le domicile personnel, au regard des risques que la publication de ces informations est susceptible de faire peser. La CNIL rappelle, par ailleurs, que cette confidentiali-té ne joue pas à l’égard des entités, publiques et privées, mentionnées par le présent projet de décret, en raison de leur intérêt particulier à disposer de l’intégralité des informations figurant sur ce registre.