AgentPublic/cnil huggingface dataset:
L'article 1er du projet d'arrêté modifie les finalités du traitement qui viserait dorénavant à modéliser et [à] visualiser les anomalies fiscales afin de programmer des opérations de recherche, de constatation ou de poursuite de manquements fiscaux et d'amélioration du respect des obligations fiscales des usagers. . Cette finalité ne fait plus référence aux actions de prévention, de recherche, de constatation ou de poursuites d'infractions pénales , telles que l'article 2 de l'arrêté du 21 février 2014 le prévoit dans sa version actuelle.
Le ministère précise que cette modification n'est pas un changement de nature du traitement CFVR mais permet de mieux rendre compte de ses finalités. Cette clarification, ainsi que sa lecture des jurisprudences française et européenne, conduisent le ministère à substituer le régime du RGPD au titre III de la loi du 6 janvier 1978 modifiée, qui transpose la directive 2016/680 du 27 avril 2016 (dite Police-Justice ), jusqu'alors applicable à ce traitement.
Plusieurs jurisprudences européennes précisent le régime juridique applicable aux traitements mis en œuvre par l'administration fiscale au titre de ses missions :
- la Cour de justice de l'Union européenne (CJUE) indique que les exceptions au champ d'application du RGPD, telles que prévues au 2 de l'article 2 de ce dernier, doivent recevoir une interprétation stricte (CJUE, grande chambre, 16 juillet 2020, Facebook Ireland et Schrems, C-311/18, EU:C:2020:559, point 84) ;
- dans sa décision Puškár du 27 septembre 2017, la CJUE a estimé que lorsque des données sont collectées et utilisées aux fins de la perception de l'impôt et de la lutte contre la fraude fiscale , ces traitements relèvent de la directive 95/46/CE du 24 octobre 1995, texte de référence en termes de protection des données à caractère personnel jusqu'à l'entrée en vigueur du RGPD. Elle juge également que même s'il n'apparaît pas exclu que lesdites données puissent être utilisées dans le cadre de poursuites pénales qui pourraient être exercées, en cas d'infraction dans le domaine fiscal, contre certaines personnes dont les noms figurent sur la liste litigieuse, les données en cause au principal n'apparaissent pas avoir été collectées dans l'objectif spécifique de l'exercice de telles poursuites pénales ou dans le cadre des activités de l'Etat relatives à des domaines du droit pénal (CJUE, deuxième chambre, 27 septembre 2017, Puškár, C-73/16, EU:C:2017:725, points 40-44) ;
- la CJUE a confirmé cette jurisprudence, après l'entrée en vigueur du RGPD, dans sa décision Valsts ieņēmumu dienests du 24 février 2022. Elle a ajouté que la notion d' autorité compétente , telle que précisée aux considérants 10 et 11 de la nouvelle directive Police-Justice, doit être comprise en lien avec la protection des données à caractère personnel dans le domaine de la coopération judiciaire en matière pénale et de la coopération policière, compte tenu des aménagements qui peuvent s'avérer nécessaires, à cet égard, en raison de la nature spécifique de ces domaines (CJUE, cinquième chambre, 24 février 2022, Valsts ieņēmumu dienests, C-175/20 ; EU:C:2022:124, point 43).
Au niveau national, la Cour de cassation a, le 1er juin 2023, appliqué la jurisprudence européenne en indiquant qu'un traitement de données mis en œuvre par l'administration fiscale aux fins d'obtenir l'autorisation de procéder à des opérations de visite et saisies sur le fondement de l'article L. 16 B du livre des procédures fiscales, qui a pour finalité d'obtenir le droit de procéder à une mesure d'enquête pouvant donner lieu à la constatation d'une infraction ou d'un manquement à la législation fiscale, dans le but de percevoir l'impôt et de lutter contre la fraude fiscale, entre dans le champ d'application matériel du RGPD. (Cour de cassation, chambre commerciale, financière et économique, 1er juin 2023, pourvoi n° F 21-18.558, point 10).
Selon les éléments fournis par le ministère, le traitement CFVR n'a qu'à titre accessoire pour objet de détecter des manquements fiscaux susceptibles de donner lieu à une transmission au parquet en vue d'une poursuite pénale. Selon le ministère, moins de 700 infractions liées à la fraude fiscale seraient constatées par le juge chaque année, soit moins de 1 % des contrôles réalisés. La finalité principale du traitement est la constatation des manquements fiscaux dans le cadre de la lutte contre la fraude fiscale opérée par l'administration. En outre, le ministère souligne que l'extension régulière du champ du traitement CFVR, dans une période de facilitation de la correction des erreurs commises par les contribuables de bonne foi ouverte par la loi du 10 août 2018 pour un Etat au service d'une société de confiance (dite loi ESSOC ), le conduit également à considérer que la régularisation de la situation fiscale des redevables est une finalité importante du traitement.
Au regard de la jurisprudence européenne mentionnée ci-dessus, d'une part, l'administration fiscale ne semble pas constituer en l'espèce une autorité compétente , au sens de la directive Police-Justice, lorsqu'elle agit au titre de ses missions de contrôle fiscal ; d'autre part, les finalités de régularisation ou de lutte contre la fraude fiscale relèvent d'après la CJUE du RGPD, sans qu'y fasse obstacle le fait que, dans certains cas, il y ait transmission au parquet.
Au vu de ces éléments, et plus particulièrement de l'évolution de la jurisprudence en la matière, la CNIL estime que le traitement CFVR est soumis au RGPD. Elle souligne qu'il en résulte que les droits des personnes ne doivent pas faire l'objet des restrictions prévues par la directive Police-justice et ne peuvent être aménagé que lorsque cela pourrait nuire à l'objectif de lutte contre la fraude fiscale, en application des dispositions permettant des dérogations ou dans le cadre restreint de l'article 23 du RGPD. La CNIL sera attentive au respect des droits des personnes s'agissant notamment du recours à ces dérogations.
Dès lors que le traitement peut donner lieu à la saisine du parquet, et que cette transmission ne s'effectue pas dans des conditions de droit commun mais en fonction d'un choix propre de l'administration fiscale en application de l'article L. 228 du livre des procédures fiscales, la CNIL recommande, à titre de mesure de transparence, que cette finalité accessoire demeure mentionnée dans l'arrêté et invite le ministère à reformuler les finalités du traitement rédigées à l'article 1er du projet d'arrêté.
Enfin, la CNIL relève que, dans la mesure où le traitement CFVR comporte un objet pénal au sens du 2° du I de l'article 31 de la loi du 6 janvier 1978 modifiée, elle continuera d'être saisie par le ministère des futures modifications de ce traitement. La CNIL considère également que la transmission, à l'occasion de ces saisines, de l'AIPD afférente à ce traitement est une bonne pratique à laquelle elle est favorable.
B. - Sur les catégories d'accédants et de destinataires
L'article 3 du projet d'arrêté précise que seuls les agents territorialement compétents chargés de la gestion, de la programmation et du contrôle des dossiers des professionnels et des particuliers seront rendus destinataires des données personnelles strictement utiles à leur mission .
En premier lieu, la CNIL remarque que l'AIPD fournie par le ministère procède à une distinction stricte du régime d'accès suivant, d'une part, la phase de développement des modèles algorithmiques et, d'autre part, la phase d'exploitation des résultats du traitement. Afin de garantir une plus grande lisibilité des principes régissant l'accès aux données du traitement CFVR, la CNIL considère que cette distinction, qu'elle accueille favorablement depuis le début de la mise en œuvre du traitement, pourrait expressément apparaître dans le projet d'arrêté.
En second lieu, elle remarque que, en y incluant la gestion des dossiers des particuliers, le ministère élargit significativement le nombre de services accédant aux dossiers ayant été ciblés par le traitement CFVR. Le ministère précise, dans la documentation fournie, qu'il s'agit notamment de prévoir l'accès des agents en charge du recouvrement et de ceux en charge du contentieux à certains éléments de ces dossiers. Le ministère indique également que les agents en charge du recouvrement et du contentieux n'auront pas accès à aux fiches produites par le service SJCF-1D, accompagnant les dossiers ciblés par le traitement CFVR.
Elle constate que les finalités du traitement, selon la nouvelle formulation du projet de texte, sont la modélisation et la visualisation des anomalies fiscales afin de programmer des opérations de recherche, de constatation ou de poursuite de manquements fiscaux et l'amélioration du respect des obligations fiscales des usagers. . Compte tenu de ces finalités, la CNIL estime que seuls les agents en charge de la programmation et du contrôle devraient pouvoir avoir accès aux fiches afférentes au traitement CFVR produites par le service SJCF-1D. En conséquence, elle demande au ministère de modifier le projet d'arrêté afin de détailler les services pouvant avoir accès : aux différentes bases de données dans le cadre du développement des traitements algorithmiques de CFVR ; aux fiches produites par le service SJCF-1D ; ou seulement à certains éléments des dossiers ciblés par ce traitement, voire au dossier dans son ensemble.
C. - Sur les mises en relation
L'article 3 du projet d'arrêté prévoit également, dans le cadre du projet pilotage et analyse du contrôle (PILAT) visant à moderniser et à simplifier le travail des agents de l'administration fiscale par le développement de nouveaux outils métiers, l'alimentation de deux nouvelles applications grâce aux résultats du traitement CFVR :
- l'application GALAXIE , ayant déjà fait l'objet d'un avis de la CNIL (CNIL, SP, 17 février 2022, traitement GALAXIE , n° 2022-025, publié), permettant de connaître les liens d'associés, d'actionnaires et de dirigeants entre, d'une part, des personnes physiques ou morales et, d'autre part, des sociétés (v. arrêté du 11 mars 2022 portant autorisation par la direction générale des finances publiques du traitement de données à caractère personnel dénommé GALAXIE). Le ministère précise que les liens identifiés entre des personnes morales ou physiques, par l'application CFVR, seront transmis à l'application GALAXIE afin d'être consultables par les agents chargés des opérations de validation et de contrôle ;
- l'application PILOT CF ayant pour objet le suivi de l'ensemble du processus de contrôle fiscal, le pilotage des services et le suivi d'activité pour les agents concernés et, enfin, le suivi statistique du contrôle. Le ministère précise que le bureau SJCF-1D intégrera, trimestriellement ou mensuellement, des listes de dossiers de contribuables professionnels et particuliers présentant des risques fiscaux détectés par le traitement CFVR.
Le ministère précise que la nouvelle application métier VUE 360 sera également alimentée par les résultats du traitement CFVR. Cette dernière application permet aux agents chargés du contrôle, afin d'appréhender les situations fiscales dans leur globalité, d'accéder à une vue d'ensemble des bases de données de la DGFiP dans lesquelles l'entreprise ou la personne physique en cause est présente. Le ministère précise que des limitations, quant aux données visualisables et aux agents ayant accès à ces données, seront étudiées lors du développement de cet outil. Dans la mesure où cette application a, en l'état, pour seule fonctionnalité la visualisation des informations contenues dans les bases de données y étant adossées, sans stockage ni modification de ces informations, la CNIL constate qu'aucun traitement distinct n'est mis en œuvre.
En premier lieu, le traitement CFVR contient un grand nombre de données à caractère personnel. Dans le cadre de la refonte des applications métiers du ministère, la CNIL rappelle l'importance de la protection de la vie privée dès la conception et par défaut qui devra guider le développement de ces nouveaux outils. Elle accueille favorablement les mécanismes d'habilitation stricts mis en œuvre dans l'application PILOT CF , permettant de dissocier les envois des listes de programmation en fonction des missions des agents, et appelle le ministère à mettre en place des méthodes équivalentes pour les autres applications métiers.
En deuxième lieu, concernant les formalités relatives aux outils métiers développés par le ministère, la CNIL prend acte de ce qu'une AIPD est en cours de rédaction concernant l'application PILOT CF . En application du 2° du I de l'article 31 de la loi du 6 janvier 1978 modifiée, il revient également au ministère de prendre l'arrêté d'autorisation de ce traitement de données à caractère personnel après avis motivé et publié de la CNIL.
En dernier lieu, le ministère précise que les dossiers des personnes physiques ou morales présentant des risques fiscaux identifiés par le traitement CFVR seront, eu égard aux enjeux et aux seuils préalablement fixés, intégrés dans l'outil PILOT CF par le bureau SJCF-1D. La CNIL appelle à une grande prudence dans la conception et l'utilisation de ce type d'algorithmes, eu égard aux risques qu'ils comportent et aux biais qu'ils peuvent présenter (v. CNIL, SP, 16 novembre 2023, traitement dispositif ressources mensuelles , n° 2023-120). L'exemple du traitement algorithmique déployé aux Pays-Bas pour détecter des situations de fraude à certaines prestations sociales a montré que la confiance accordée par une administration à un traitement algorithmique de détection de la fraude, sans précautions et contrôles humains suffisants, pouvait avoir des conséquences graves pour les personnes. Ces risques, notamment de discriminations, sont régulièrement rappelés par le Défenseur des droits (v. notamment le rapport Algorithmes : prévenir l'automatisation des discriminations , 31 mai 2020). Elle rappelle, qu'en application des articles 22 du RGPD et 47 de la loi du 6 janvier 1978 modifiée, aucune décision produisant des effets juridiques à l'égard d'une personne ou l'affectant de manière significative ne peut être prise sur le seul fondement d'un traitement automatisé de données à caractère personnel, y compris le profilage.
La CNIL estime que le déploiement de tels algorithmes devrait s'accompagner :
- d'une part, de formations spécifiques permettant aux agents en charge de la programmation et des contrôles de maîtriser les principes des algorithmes utilisés ;
- d'autre part, d'une documentation couvrant également le risque de biais algorithmiques prohibés pouvant entraîner des discriminations. Pour ce faire, il revient au ministère de mettre en place un ensemble de mesures et de tests afin d'avoir un suivi continu des performances et des évolutions des algorithmes à des fins d'analyse proactive permettant de mettre à jour l'émergence de tels biais.
En outre, la CNIL estime que les dossiers considérés comme à risque par le traitement CFVR, mais par la suite écartés par les services de la programmation et des contrôles :
- ne devraient plus apparaitre, pour les mêmes raisons, dans les applications de ciblage de la fraude. Il revient à l'administration d'améliorer en continue les performances des traitements algorithmes de détection de la fraude afin de réduire le risque de faux positifs ;
- ne doivent pas comporter une mention selon laquelle ces dossiers ont déjà fait l'objet, par le passé, d'un ciblage par les algorithmes du traitement CFVR. D'une manière générale, le fait de déjà avoir été ciblé à tort par les algorithmes ne devrait pas constituer un indice augmentant la probabilité d'être une nouvelle fois considéré comme un dossier à risque par le traitement CFVR.
D. - Sur les droits des personnes concernées
L'article 4 du projet d'arrêté prévoit de modifier le fondement légal sur lesquels reposent les droits des personnes concernées, et ce, afin de prendre en compte le changement de régime juridique souhaité par le ministère.
En premier lieu, la CNIL remarque que, dans la mesure où le ministère n'est pas une juridiction financière, il ne peut se fonder sur le dernier alinéa de l'article 52 de la loi du 6 janvier 1978 modifiée pour restreindre les droits d'accès et de rectification. Elle prend acte de l'intention du ministère de corriger la base légale sur laquelle il se fonde pour restreindre les droits d'accès et de rectification.
En second lieu, la CNIL constate que l'arrêté ne contient aucune dérogation ou aménagement au droit à l'information. Si le ministère met en œuvre une politique d'information sur son site web, elle rappelle, qu'en application des articles 12 et suivants du RGPD, ces informations doivent être aisément accessibles pour toute personne, rédigées de manière intelligible, pédagogique et spécifique au traitement concerné. En conséquence, et compte tenu des enjeux importants du traitement CFVR en termes de protection des données à caractère personnel, la CNIL estime que la politique d'information du ministère pour ce traitement devra être complétée et être plus facilement accessible au grand public.
S'agissant de la finalité spécifique de la lutte contre la fraude, la CNIL rappelle qu'elle admet que l'information de la personne dont les données sont traitées puisse, dans certains cas, nuire aux finalités de détection et de redressement des cas de fraude. Elle estime cependant nécessaire de conjuguer l'information des personnes et l'efficacité de la lutte contre la fraude. A cette fin, elle recommande que la politique d'information soit mise en œuvre, a minima, en deux temps distincts :
- dans un premier temps, une information générale de l'ensemble des personnes concernées sur la possibilité d'utilisation de leurs données à des fins de lutte contre la fraude ;
- dans un second temps, une information spécifique des personnes effectivement contrôlées dès lors que cette information n'est plus susceptible de nuire à l'efficacité du contrôle, c'est-à-dire au plus tard lorsqu'en application des droits de la défense, il est procédé à un échange contradictoire avec la personne soupçonnée de fraude.
Elle invite donc le ministère à compléter le projet d'arrêté en ce sens.
E. - Sur la sécurité et la tenue d'un journal des opérations
En premier lieu, la CNIL prend acte de la mise en place d'une journalisation. Elle rappelle que le traitement de ces données a pour seule finalité la détection et la prévention d'opérations illégitimes sur les données du traitement. Si la mise en place de ces journaux et leur conservation sur trois années peuvent constituer des garanties fortes contre le détournement de finalités pour les personnes concernées par le traitement, la mise en œuvre d'un mécanisme proactif de contrôle automatique des données de journalisation, incluant la génération automatique d'alertes, est indispensable pour atteindre ce but.
En second lieu, la CNIL prend note que les modalités d'alimentation des applications GALAXIE et PILOT-CF sont satisfaisantes, les données étant mises à disposition sous forme de fichiers chiffrés avec des algorithmes et des procédures de gestion de clés, conformes à l'annexe B1 du référentiel général de sécurité (RGS), étant mises en œuvre.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie le 2 août 2024 par la société HEVA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé "FREiA" ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie Zins, commissaire, et après avoir entendu les observations de Mme Céline Boyer, adjointe au commissaire du Gouvernement,
Formule les observations suivantes :
 
Responsable du traitement
Créée en 2005, la société Heva est un bureau d’études qui réalise des recherches dans le domaine de la santé notamment à partir des données du Système national des données de santé (SNDS), pour son propre compte ou celui de ses clients.
Sur les sous-traitants
L’entrepôt "FREiA" sera hébergé par la société Docaposte, qui agira comme sous-traitant, en reprenant l’architecture ainsi que les processus d’exploitation et d’administration développés pour l’entrepôt "Plateforme AGORiA santé" (délibération n° 2022-063). Le traitement des données par Docaposte devra être régi par un contrat ou un acte juridique, conformément à l’article 28 du RGPD.
Sur les points de non-conformité au référentiel concerné
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel "entrepôt de données dans le domaine de la santé", à l’exception :
de la base légale du traitement ;
de la nature des données traitées (données du système national des données de santé – SNDS – exclusivement) ;
de la gouvernance de l’entrepôt ;
des modalités d’information des personnes concernées.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel "entrepôt de données dans le domaine de la santé".
Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé
Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel, dénommé "FREiA".
 
Les recherches, études et évaluations dans le domaine de la santé susceptibles d’être mises en œuvre à partir des données de cet entrepôt devront :
d’une part, être uniquement diligentées par une entreprise produisant ou commercialisant des produits de santé, industriel de santé, tels que mentionnés au II de l'article L. 5311-1 du code de santé publique dans le cadre de la constitution d’un dossier à destination d’une autorité de santé (Haute autorité de santé (HAS), Agence nationale de sécurité du médicament et des produits de santé (ANSM), Agence européenne du médicament (EMA)) ;
d’autre part, poursuivre l’une des finalités suivantes :
décrire, lorsque cela est pertinent à partir des données du SNDS, la population cible, l’incidence et la prévalence des patients susceptibles de recevoir un traitement médicamenteux ou un dispositif médical ;
décrire les conditions d’utilisation des produits de santé en pratique courante dans le cadre du parcours de soins ;
mesurer l’efficacité et les risques liés à l’utilisation d’une thérapeutique (médicament, dispositif médical, solution digitale, etc.).
L’entrepôt "FREiA" entend permettre la réalisation de ces études dans des délais compatibles avec les calendriers de mise sur le marché des médicaments.