AgentPublic/cnil huggingface dataset:
N° de demande d’avis : 25016459
Thématiques : règlement sur les données, autorité compétente, coopération, ARCEP
Organisme(s) à l’origine de la saisine : ministère de l’Économie, des Finances et de la Souveraineté industrielle et numérique
Fondement de la saisine : article 8, I, 2°, e) de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
L’essentiel :
1. L’article 34 du projet de loi portant diverses dispositions d’adaptation au droit du l’Union européenne en matière économique, financière, énergétique, de consommation désigne l’ARCEP comme autorité compétente au titre de l’article 37 du règlement sur les données et définit ses pouvoirs et missions.
 
2. Le paragraphe V de cet article 34 mentionne la coopération entre l’ARCEP et la CNIL pour l’exercice des missions et pouvoirs qui leur sont conférés au titre du règlement sur les données. La CNIL et l’ARCEP pourront donc établir conjointement les modalités pratiques de leur coopération afin d’assurer une coordination efficace de leurs actions.
3. Le paragraphe V prévoit également l’inapplicabilité des articles L. 311-5 et L. 311-6 du CRPA à la communication de documents administratifs entre la CNIL et l’ARCEP dans le cadre de leur coopération au titre du règlement sur les données. La CNIL considère que cette disposition est pertinente afin de ne pas faire obstacle à la bonne coopération des autorités. Les autorités veilleront, au cas par cas, à ce que la communication d’informations sensibles soit limitée aux hypothèses dans lesquelles elle est réellement nécessaire. 
 
­­­­­­­­­­­­­­­­­­­­­­­­­­­­___________________
 
 
La Commission nationale de l'informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
 
Vu le règlement (UE) 2023/2854 du Parlement européen et du Conseil du 13 décembre 2023 concernant des règles harmonisées portant sur l'équité de l’accès aux données et de l’utilisation des données et modifiant le règlement (UE) 2017/2394 et la directive (UE) 2020/1828 (règlement sur les données) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi informatique et libertés) ;
Sur la proposition de M. Bertrand Du Marais, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
 
Adopte la délibération suivante :
 
I. La saisine
 
A. Le contexte
 
Le règlement (UE) 2023/2854 du Parlement européen et du Conseil du 13 décembre 2023 concernant des règles harmonisées portant sur l'équité de l’accès aux données et de l’utilisation des données, dit règlement sur les données, est entré en vigueur le 12 septembre 2025. 
 
Ce règlement établit des règles horizontales relatives à l’accès, l’utilisation et le partage des données liées à l’utilisation d’objets connectés, entre les détenteurs des données et les utilisateurs de ces objets. Il vient ainsi compléter le règlement sur la gouvernance des données (Data Governance Act ou DGA) qui a instauré des processus et des structures destinés à faciliter le partage des données, tels que les prestataires de services d’intermédiation ou encore les organisations altruistes en matière de données.
 
L’article 37 du règlement prévoit que les Etats membres doivent désigner une ou plusieurs autorités compétentes chargées de son application et de son exécution.
 
B. L’objet de la saisine
La CNIL a été saisie par le ministère de l’Économie, des Finances et de la Souveraineté industrielle et numérique de l’article 34 d’un projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne en matière économique, financière, énergétique, de consommation (DDADUE). Il désigne l’Autorité de régulation des communications électroniques des postes et de la distribution de la presse (ARCEP) comme autorité compétente au titre de l’article 37 du règlement sur les données, à l’exception du chapitre VII. 
 
L’article 34 du projet de loi DDADUE fixe également les missions et pouvoirs de l’ARCEP, y compris de sanction, permettant d’assurer l’exécution du règlement sur les données. 
 
Son paragraphe V précise que les dispositions des articles L. 311-5 et L. 311-6 du code des relations entre le public et l'administration (CRPA) ne peuvent faire obstacle à la communication de documents administratifs entre la CNIL et l’ARCEP dans le cadre de leur coopération pour l’exercice des missions et pouvoirs qui leur sont conférés au titre du règlement sur les données.
II. L’avis de la CNIL
 
A. Sur le principe de coopération
Conformément au g) du paragraphe 5 de l’article 37 du règlement sur les données, les Etats membres doivent veiller à ce que les missions et pouvoirs des autorités compétentes soient clairement définis et incluent, notamment, la coopération avec l'autorité de contrôle chargée de surveiller l'application du RGPD afin de veiller à ce que le règlement sur les données soit appliqué de manière cohérente par rapport aux autres dispositions du droit de l'Union et du droit national.
 
Le paragraphe V de l’article 34 du projet de loi DDADUE mentionne cette coopération entre l’ARCEP et la CNIL pour l’exercice des missions et pouvoirs qui leur sont conférés au titre du règlement sur les données. 
 
La CNIL et l’ARCEP pourront donc établir conjointement, sur le fondement de cette disposition, les modalités pratiques de leur coopération afin d’assurer une coordination efficace de leurs actions, complémentaires, dans la mise en œuvre des exigences du règlement sur les données. 
 
B. Sur la communication de documents administratifs 
 
Le paragraphe V de l’article 34 du projet de loi DDADUE prévoit, par dérogation au premier alinéa de l’article 1er de la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique, l’inapplicabilité des articles L. 311-5 et L. 311-6 du CRPA à la communication de documents administratifs entre la CNIL et l’ARCEP dans le cadre de leur coopération pour l’exercice des missions et pouvoirs qui leurs sont conférés au titre du règlement sur les données.
La CNIL considère que cette disposition est pertinente afin de ne pas faire obstacle à la bonne coopération des autorités. 
 
Il leur appartiendra de veiller, au cas par cas, à ce que la communication d’informations sensibles, protégées par les articles L. 311-5 et L. 311-6 du CRPA, soit limitée aux hypothèses dans lesquelles elle est effectivement nécessaire pour leur coopération au titre du règlement sur les données.
 
La présidente,
 
 
 M.-L. Denis
N° de demande d’avis : 25012336
Thématiques : LCB-FT, registre des bénéficiaires effectifs
Organisme(s) à l’origine de la saisine : Ministère de l’économie, des finances et de la souveraineté industrielle et numérique
Fondement de la saisine : article 8.I.4.a de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés 
L’essentiel :
La CNIL considère que les dispositions du projet de loi, qui transposent la directive 2024/1640 sont conformes aux principes inscrits dans le RGPD et la loi "informatique et libertés" puisqu’elles permettent, dans certaines conditions, de limiter le nombre de personnes ayant accès aux informations qui concernent les bénéficiaires effectifs. 
Elle considère, par ailleurs, que les personnes concernées devraient être préalablement informées de toute décision tendant à mettre fin à la confidentialité de leurs informations afin notamment de leur permettre de contester une telle décision, compte tenu de la possibilité pour le greffe compétent et l’administration fiscale d’y mettre fin dans certaines conditions. Elle invite le ministère à préciser le projet de loi sur ce point.
­­­­­­­­­­­­­­­­­­­­­­­­­­­­___________________
 
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ("règlement général sur la protection des données" ou "RGPD" ;
 
Vu le règlement 2024/1624 du Parlement européen et du Conseil du 31 mai 2024 relatif à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme ("le règlement 2024/1624").
 
Vu la directive (UE) 2024/1640 du Parlement européen et du Conseil du 31 mai 2024, relative aux mécanismes à mettre en place par les Etats membres pour prévenir l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme, modifiant la directive (UE) 2019/1937, et modifiant et abrogeant la directive (UE) 2015/849 ("la directive 2024/1640") ; 
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ("loi informatique et libertés") ;
 
Sur proposition de M. Philippe-Pierre Cabourdin, commissaire, et les observations de M. Damien Milic, commissaire du gouvernement.
 
Adopte la délibération suivante :
 
I. La saisine
 
A. Le contexte
Le règlement 2024/1624 définit les bénéficiaires effectifs comme toute personne qui, en dernier ressort, possède ou contrôle une entité juridique, un trust exprès ou une construction juridique similaire. En droit national, un bénéficiaire effectif est une personne physique qui détient directement ou indirectement plus de 25% des droits de vote ou du capital d’une société ou qui exerce, par tout autre moyen, un pouvoir de contrôle sur les organes de gestion, d’administration ou sur l’assemblée générale des associés (articles L. 233-3 du code de commerce et R. 561-1 du code monétaire et financier). Il est donc possible d’être qualifié de bénéficiaire effectif d’une société commerciale, d’une fiducie ou d’un trust. 
 
Il n’existe pas, en France, de registre centralisé des données des bénéficiaires effectifs des sociétés commerciales. Les données issues des procédures de formalités d’entreprises sont renseignées auprès de l’INPI par le biais du guichet unique. Les données déclarées sont ensuite remontées aux greffiers des tribunaux de commerce, autorités compétentes chargées de leur validation, avant d’être intégrées dans le registre national des entreprises (RNE).
Deux niveaux d’accès aux informations relatives aux bénéficiaires effectifs peuvent être identifiés : les autorités administratives et judiciaires visées au 3° de l’article L. 561-46 du CMF ainsi que les entités assujetties dans le cadre d’une mesure de vigilance disposent d’un accès intégral et gratuit à ces informations. En revanche, conformément aux dispositions du I de l’article L. 561-46-2 du CMF, une partie seulement de ces informations est mise à disposition de personnes qui justifient d’un intérêt légitime pour la prévention ou la lutte contre le blanchiment de capitaux, ses infractions sous-jacentes ou le financement du terrorisme. L’accès à ces informations s’exerce auprès de l’INPI ou auprès des greffes des tribunaux de commerce. Cette situation résulte de la transposition des dispositions issues du droit européen sur laquelle la CNIL a rendu un avis (délibération n° 2024-051 du 20 juin 2024) et de la jurisprudence de la Cour de justice de l’Union européenne (CJUE, arrêt de grande chambre du 22 novembre 2022, affaires C-37/20 et C-601/20, WM et Sovim SA c. Luxembourg Business Registers).
La fiducie est définie à l’article 2011 du code civil comme une opération par laquelle un ou plusieurs constituants transfèrent des biens, droits ou sûretés ou un ensemble de biens, droits et sûretés, à un ou plusieurs fiduciaires qui, les tenant séparés de leur patrimoine propre, agissent dans un but déterminé au profit d’un ou plusieurs bénéficiaires. Les fiducies ne sont donc pas inscrites au RCS ou au RNE car elles sont généralement le résultat d’actes juridiques et correspondent à des activités et non à un statut ou une forme juridique. La notion de trust est quant à elle définie dans l’article 792-0bis du code général des impôts et désigne également avant tout une relation juridique. Si les notions de fiducie et de trust sont fréquemment considérées comme équivalentes bien qu’elles ne se recoupent pas totalement, l’accès aux informations relatives à leur bénéficiaires effectifs s’exerce selon les mêmes conditions.
 
Le décret n° 2010-219 du 2 mars 2010 relatif au traitement automatisé de données à caractère personnel dénommé registre national des fiducies, a créé un registre qui centralise les informations relatives à ces dernières. L’accès au registre est limité aux entités mentionnées à l’article L. 167 du Livre des procédures fiscales (LPF). Il nécessite d’avoir accès à une plateforme dédiée, mise à disposition par la Direction Générale des Finances Publiques. 
 
B. L’objet de la saisine
Par une saisine rectificative en date du 1er août 2025, la CNIL a été saisie pour avis par le ministère de l’économie, des finances et de la souveraineté industrielle et numérique, des dispositions du projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne qui visent à transposer les articles 11 à 15 de la directive 2024/1640.
 
Ces dispositions ont pour but, d’une part, d’introduire un article L. 561-46-3 dans le CMF et, d’autre part, de modifier l’article L. 167 du LPF. 
 
Le projet d’article L. 561-46-3 CMF, qui transpose l’article 15 de la directive, prévoit que le bénéficiaire effectif peut limiter l’accès aux informations qui le concernent par les personnes qui doivent justifier d’un intérêt légitime pour y accéder ainsi qu’aux entités assujetties à la lutte contre le blanchiment de capitaux et le financement du terrorisme. 
 
Les modifications apportées à l’article L. 167 du LPF ont pour objet d’aligner le régime applicable aux informations qui concernent les bénéficiaires effectifs de trust et fiducies avec celui des bénéficiaires effectifs de sociétés commerciales, tant en ce qui concerne leur consultation qu’en ce qui concerne le dispositif de confidentialité décrit précédemment.
 
II. L’avis de la CNIL
 
A. Sur le renforcement de la confidentialité des informations relatives à l’ensemble des bénéficiaires effectifs
L’article 15 de la directive 2024/1640 prévoit explicitement, sous conditions, la possibilité de déroger aux règles qui permettent d’accéder à tout ou partie des informations personnelles sur le bénéficiaire effectif
 
Le projet d’article L. 561-46-3 du CMF ainsi que les modifications qu’il est envisagé d’apporter à l’article L. 167 du LPF, qui transposent l’article 15 de la directive, prévoient trois cas de dérogations au droit d’accès aux informations relatives aux bénéficiaires effectifs : 
 
Lorsqu’eut égard à des circonstances exceptionnelles précisées par décret en Conseil d’Etat, le bénéficiaire serait exposé à un risque disproportionné de fraude, d’enlèvement, de chantage, d’extorsion, de harcèlement, de violence ou d’intimidation ;
Le bénéficiaire effectif est un mineur ;
Le bénéficiaire effectif est autrement frappé d’incapacité
 
La CNIL considère que les dispositions du projet d’article L. 561-46-3 du CMF et les modifications qu’il est envisagé d’apporter à l’article L. 167 du LPF sont conformes aux principes inscrits dans le RGPD et la loi "informatique et libertés". En effet, elles permettent de limiter le nombre de personnes ayant accès aux informations qui concernent les bénéficiaires effectifs lorsque la diffusion de ces informations exposerait la personne concernée à un risque, du fait d’une situation de vulnérabilité (minorité et incapacité) ou de l’existence d’une menace pesant sur sa personne.
B. Sur le régime applicable aux informations relatives à l’ensemble des bénéficiaires effectifs 
 
Le dernier alinéa du projet d’article L. 561-46-3 du CMF prévoit que le greffier peut mettre fin à la confidentialité sur demande de toute autre personne justifiant y avoir un intérêt, en plus des personnes assujetties à la lutte contre le blanchiment et le financement du terrorisme et de celles ayant un intérêt légitime pour la prévention ou la lutte contre le blanchiment de capitaux, ses infractions sous-jacentes ou le financement du terrorisme. Le projet d’article L. 167 du LPF prévoit également que l’administration fiscale puisse y mettre fin, d’office ou sur demande d’une personne assujettie à la lutte contre le blanchiment et le financement du terrorisme et de celles ayant un intérêt légitime pour la prévention ou la lutte contre le blanchiment de capitaux, ses infractions sous-jacentes ou le financement du terrorisme.
En premier lieu, la mention "toute autre personne justifiant y avoir un intérêt" est imprécise et ce d’autant plus que le texte ne précise ni le type d’intérêt envisagé, ni les critères d’examen appliqués à ce type de demande. Cette imprécision interroge d’autant plus que les articles L. 561-46 et L. 561-46-2 du CMF prévoient déjà un nombre significatif de personnes et situations susceptibles de conduire à une divulgation des données relatives aux bénéficiaires effectifs des sociétés commerciales. Par ailleurs, les modifications envisagées à l’article L. 167 du LPF prévoient un mécanisme similaire pour les informations relatives aux bénéficiaires effectifs de trust et fiducies sans, toutefois, que celui-ci ne soit ouvert à "toute personne justifiant y avoir un intérêt". 
 
Le ministère a précisé que cette "mention" avait été retenue en parallélisme avec l’article L. 561-48 du CMF. Elle s’inspire d’un principe général en matière de tenue des registres de publicité légale visant à permettre à toute personne justifiant y avoir intérêt à établir ou rétablir la transparence. Il relève toutefois que les personnes qui seraient amenées à contester une telle dérogation seront celles qui auront pu constater l’existence d’une dérogation et donc les personnes qui auraient obtenu un droit d’accès aux données, à savoir les personnes mentionnées aux articles L. 561-46 et L. 561-46-2 du CMF. Le ministère s’engage donc à échanger sur ce point avec l’ensemble des administrations concernées.
En second lieu, la CNIL considère que les personnes concernées devraient, le cas échéant, préalablement en être informées, notamment afin d’avoir l’opportunité de contester une telle décision. Elle invite le ministère à préciser le projet de loi sur ce point. 
La présidente,
 
M.-L. Denis
N° de demande d’avis : 24006740
Thématiques : systèmes d’information européens, données biométriques, contrôles d’identité, contrôles aux frontières, contrôles du droit au séjour
Organisme(s) à l’origine de la saisine : ministère de l’intérieur
Fondement de la saisine : Article 8, I, 4°, a) de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
L’essentiel :
La CNIL a été saisie, par le ministère de l’intérieur, des dispositions d’un projet de loi portant diverses adaptations au droit de l’Union européenne qui concernent les systèmes d’information européens mis en œuvre pour lutter contre la criminalité et sécuriser les frontières. 
Les modifications portées par le projet de loi visent à permettre la collecte des empreintes digitales et de la photographie lors de contrôles et vérifications d’identité, de contrôles aux frontières et de contrôles du droit au séjour. Cette collecte est prévue aux seules fins d’interrogation de certains systèmes d’information de l’Union européenne (SIS, CIR, VIS, EES).
 
La CNIL estime ces évolutions légitimes et de nature à réduire le risque d’erreur en cas d’homonymie. Elle souligne néanmoins que le projet de loi devrait davantage préciser les fondements, les objectifs et les conditions de collecte de données biométriques.
 
___________________
 
 
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
 
Après avoir entendu le rapport de Mme Sophie Lambremon, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
 
Adopte la délibération suivante :
 
I. La saisine
 
Le ministère de l’intérieur a saisi la CNIL des dispositions du projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne qui concernent les systèmes d’information de l’Union européenne (UE) mis en œuvre pour lutter contre la criminalité et sécuriser les frontières.
 
En effet, le droit de l’Union européenne permet l’interrogation, à partir de données biométriques, des systèmes d’information européens suivants :
le système d’information Schengen (SIS), qui permet d’émettre et de consulter des signalements concernant des personnes et des objets, pour la gestion des frontières et la sécurité ;
le système d’information sur les visas (VIS), qui permet de centraliser et de faciliter le partage d’informations relatives aux demandes de visas de court séjour ;
le système d’entrée / de sortie (EES), qui contiendra les données relatives aux entrées, sorties et refus d’entrée des ressortissants de pays tiers admis pour un court séjour ou pour lesquels l’entrée a été refusée ;
le répertoire commun de données d’identité (CIR), qui contiendra un dossier individuel pour chaque personne enregistrée dans les systèmes d’information européens afin de faciliter leur identification.
 
En conséquence, le projet de loi modifie les dispositions du code de procédure pénale (CPP) et du code de l'entrée et du séjour des étrangers et du droit d'asile (CESEDA) pour permettre la consultation de ces systèmes à partir de données biométriques. Il autorise, à cette fin, la collecte des empreintes digitales et de la photographie lors de contrôles d’identité, de contrôles aux frontières et de contrôles du droit au séjour.
 
II. L’avis de la CNIL
 
A. La nécessité de la collecte de données biométriques
 
Le projet de loi autorise la collecte d’empreintes digitales et de photographies lors de contrôles et vérifications d’identité, de contrôles aux frontières, et de contrôles du droit au séjour. Cette collecte est prévue aux seules fins d’interrogation du SIS, du CIR, du VIS, et/ou de l’EES à partir de données biométriques. Selon les précisions apportées, elle ne pourra donner lieu à un enregistrement des données dans des fichiers.
Certains cas de consultation prévus par le projet de loi découlent d’obligations contenues dans les règlements encadrant les systèmes d’information européens (par exemple, la consultation biométrique du SIS pour confirmer un résultat positif obtenu à la suite d’une recherche alphanumérique), tandis que d’autres constituent des marges de manœuvre ouvertes aux Etats membres par ces mêmes règlements (la consultation biométrique du CIR, par exemple).
 
Le ministère souhaite autoriser les opérations de consultation rendues facultatives par le droit de l’UE pour améliorer les contrôles en cause et réduire le risque d’homonymie.
 
La CNIL : 
recommande, notamment à des fins de transparence des traitements, que le projet de loi précise les dispositions des règlements européens dont il est fait application ;
souligne, à cet égard, que
les évolutions portées par le projet de loi ne devront pas conduire à une collecte systématique de données biométriques, notamment lorsqu’une consultation des fichiers à partir de données alphanumériques apparait suffisante pour atteindre l’objectif poursuivi ;
rappelle que l’interrogation des systèmes d’information européens devra être réalisée dans le respect des dispositions encadrant les fichiers nationaux qui permettraient, le cas échéant, cette consultation, et notamment celles qui concernent le fichier des personnes recherchées (FPR), qui n’autorisent pas en l’état le traitement de données biométriques ;