AgentPublic/cnil huggingface dataset:
Concernant le contrôle des accès logiques, des profils d'habilitation sont prévus par le ministère afin de gérer les accès aux données en tant que de besoin et les permissions d'accès sont supprimées pour tout utilisateur n'étant plus habilité. La Commission rappelle sur ce point l’importance d’une revue globale et régulière des habilitations attribuées. Elle note que des règles de gestions interdisant l’accès via internet des profils n’en ayant pas le besoin sont mises en place et que le ministère a mis en œuvre une politique de mot de passe pour les usagers et les agents conforme à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe. Enfin, une migration vers une authentification forte, via carte agent, est prévue. Compte tenu de la sensibilité de certaines données traitées dans AGDREF 2 , du nombre et de la diversité des destinataires du traitement, cette évolution vers un niveau d’authentification plus élevé est particulièrement pertinente.
Concernant la journalisation, la Commission note que le ministère a maintenu les mesures de traçabilité applicative des accès, créations, modifications et suppressions de ressources demandées par la Commission dans sa délibération n° 2011-036 du 10 février 2011 et que la durée de conservation de celle-ci, de 3 ans, conformément à la délibération précitée, n’est pas modifiée. La Commission rappelle à cet égard l’importance de garantir des modalités précises d’accès à ces données de journalisation, lequel doit être réservé aux personnels habilités à les exploiter ainsi que des modalités techniques visant à assurer la confidentialité de ces informations.
Au regard des risques accrus d’attaques informatiques s’agissant d’un site web accessible au public, la Commission rappelle qu’il est possible de compléter cette journalisation applicative par une journalisation système et un mécanisme d’alerte automatique en cas de détection d’incident. La durée de conservation recommandée de ces données de journalisation système serait alors de six mois maximum.
Pour conclure sur la journalisation, si la Commission regrette l’absence actuelle de dispositif d’analyse automatisé des traces, elle encourage le ministère dans son souhait de se doter d’un tel dispositif. En effet, de tels mécanismes proactifs contribuent à la détection rapide des incidents de sécurité en limitant ainsi leur gravité.
Concernant l’anonymisation de données, la Commission relève que le ministère indique prévoir la mise en place d’un module d’analyse de données travaillant sur des données à caractère non personnel pour une exploitation statistique. La Commission s’interroge toutefois sur le caractère effectif de l’anonymisation au regard des précisions apportées par le ministère. Elle rappelle dès lors l’importance de réaliser une revue du caractère anonyme des données, soit en effectuant une analyse permettant de démontrer que les processus d'anonymisation respectent les trois critères définis par l'avis du groupe de l'article 29 n°05/2014, soit si ces trois critères ne peuvent pas être réunis, en menant une étude des risques de ré-identification.
Enfin, sur l’évaluation des risques fournie dans l’AIPD, la Commission prend note de ce que le ministère considère que la gravité des risques liés à la modification non désirée ou à une perte de données est réduite car l’usager a la faculté d’avoir un accès direct à son dossier. En dépit de cette possibilité offerte aux usagers, la Commission souligne l’importance pour les usagers de pouvoir télécharger et conserver, en dehors de leur espace numérique, une copie des différents documents attestant de la demande en cours.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement apparaissent conformes à l’exigence de sécurité prévue par l’article 4-6 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour de l’AIPD et de ses mesures de sécurité au regard de la réévaluation régulière des risques.
La Présidente
M.-L. DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par la mission interministérielle relative à la simplification et à la modernisation des formalités des entreprises d'une demande d'avis concernant un projet de décret en Conseil d'Etat relatif à l'application de l'article 1er de la loi n° 2019-486 du 22 mai 2019 relative à la croissance et la transformation des entreprises et adaptation de plusieurs textes règlementaires comportant des dispositions relatives aux déclarations des entreprises auprès de l'organisme unique ayant vocation à remplacer les centres de formalités des entreprises ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la directive 2006/123/CE du Parlement européen et du Conseil du 12 décembre 2006 relative aux services dans le marché intérieur ;
Vu le code de commerce, notamment ses articles R. 123-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-I-4°-a) et 30 ;
Vu la loi n° 2019-486 du 22 mai 2019 relative à la croissance et la transformation des entreprises ;
Vu le décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l'usage du numéro d'inscription au répertoire national d'identification des personnes physiques ou nécessitant la consultation de ce répertoire ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2020-946 du 30 juillet 2020 relatif à la désignation de l'Institut national de la propriété industrielle en tant qu'organisme unique mentionné à l'article 1er de la loi n° 2019-486 du 22 mai 2019 relative à la croissance et la transformation des entreprises ;
Sur la proposition de M. Philippe-Pierre CABOURDIN, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie, le 5 novembre 2020 sur le fondement des articles 8-I-4°-a) et 30 de la loi du 6 janvier 1978 modifiée, d’une demande d’avis relative à un projet de décret en Conseil d’Etat portant application de l’article 1er de la loi n° 2019-486 du 22 mai 2019 relative à la croissance et la transformation des entreprises (ci-après loi Pacte ).
Elaborée dans le but de favoriser la croissance des entreprises, la loi Pacte comporte plusieurs dispositions visant notamment à simplifier le processus entrepreneurial en modifiant en particulier de nombreuses dispositions du code de commerce. L’article 1er a ainsi pour objet de substituer aux différents réseaux de centres de formalités des entreprises (CFE) un guichet unique électronique tenu par un seul opérateur. Ce guichet collectera l’ensemble des informations et pièces nécessaires à la confection d’un seul dossier de formalités. Il constituera également, à terme, l’interface directe entre les organismes destinataires et les entreprises, quels que soient l’activité, le lieu d’implantation et la forme juridique de ces dernières et alimentera le registre général dématérialisé tel que prévu par l’article 2 de cette même loi.
A titre liminaire, la Commission relève que l’Institut national de la propriété industrielle (ci-après INPI ) a été désigné comme opérateur du guichet unique électronique par décret du 30 juillet 2020 susvisé.
Dans ce contexte, le présent projet de décret vise notamment à définir les conditions de dépôt du dossier ainsi que les modalités d'accompagnement et d'assistance des entreprises par les organismes consulaires et par l’INPI, à préciser les modalités de vérification du dossier déposé ou encore à décrire les conditions de transmission des informations collectées par l’INPI aux administrations, aux personnes ou aux organismes mentionnés à l'article L. 123-32 du code de commerce. Il précise également les conditions dans lesquelles l'usager créant son entreprise par l'intermédiaire de l’INPI peut se voir proposer de façon facultative des outils permettant de le renseigner sur les détails et les enjeux de la vie d'une entreprise.
Sur le contexte de création du guichet unique électronique et ses conditions d’accessibilité
La Commission rappelle qu’à ce jour, les CFE permettent aux entreprises, conformément aux dispositions de l’article R. 123-1 du code de commerce, de souscrire en un même lieu l'ensemble des formalités et procédures nécessaires à l'accès et à l'exercice de leur activité. Ils jouent par ailleurs un rôle de centralisation des déclarations, de contrôle formel des documents présentés, de transmission de l'ensemble des pièces aux organismes destinataires qui s'assurent de leur régularité et de leur validité ainsi que, depuis la transposition de la directive du 12 décembre 2006 susvisée dite services , un rôle dans le cadre des demandes d’autorisations administratives nécessaires à l’exercice des activités réglementées.
Elle rappelle également que la répartition des demandes s’effectue entre les six réseaux de CFE (les chambres de commerce et d'industrie, les chambres de métiers et de l'artisanat, les greffes des tribunaux de commerce ou des tribunaux judiciaires, les chambres d'agriculture, les centres des impôts, les URSSAF) selon le critère de compétence matérielle précisée par l’article R. 123-3 du code de commerce puis au sein de chaque réseau, selon un critère géographique.
La Commission relève que le guichet unique tel que prévu par l’article 1er de la loi Pacte vise à se substituer aux différents réseaux de centres de formalités des entreprises et ce, afin de simplifier en France l’établissement de prestataires qui souhaitent y offrir leurs biens et services.
Cette substitution devant s’opérer de manière progressive, la Commission relève que le présent projet de décret comporte, outre des dispositions pérennes relatives au fonctionnement de ce guichet unique (article 8), des dispositions particulières permettant la mise en œuvre d’un dispositif transitoire à compter du 1er janvier 2021 (article 145) au travers de la mise en place d’un guichet électronique des formalités des entreprises .
La Commission prend ainsi acte que le guichet électronique des formalités des entreprises et les CFE assureront leurs missions respectives de manière parallèle durant la période transitoire et ce, jusqu’au 31 décembre 2022. Elle relève dès lors qu’un déclarant bénéficiera, durant cette période, de plusieurs choix pour réaliser ses formalités (dépôt physique du dossier, transmission par voie postale ou saisine par voie électronique). A compter du 1er janvier 2023, le guichet unique se substituera au dispositif transitoire (le guichet électronique des formalités des entreprises) ainsi qu’à l’activité des CFE.
La Commission relève à cet égard qu’il est prévu que l’accès au guichet unique s’effectue à partir d’un portail web dédié proposant à un utilisateur dûment authentifié d’agir en qualité de déclarant pour une entreprise ou via des API informatiques permettant de transférer depuis le système d’une entreprise ou d’un mandataire dûment identifiés un flux de données contenant l’ensemble de informations liées à la réalisation d’une formalité. Compte tenu des modalités d’accès au service proposé, elle rappelle d’emblée l’importance de s’assurer que des mesures de sécurité particulièrement robustes, de nature notamment à assurer l’intégrité et la confidentialité des données transmises sont mises en œuvre.
Elle relève qu’il résulte des modifications envisagées qu’à partir du 1er janvier 2023, les formalités de création, de modification de la situation et de cessation d’activité des entreprises s’accompliront, à compter de cette date, exclusivement par voie électronique. A cet égard, la Commission relève que, pour pallier les difficultés auxquelles certaines entreprises pourraient être confrontées dans le cadre de la dématérialisation des déclarations auprès d’un guichet unique, un dispositif d’assistance à la réalisation des formalités est prévu (nouvel article R. 123-14 du code de commerce).
Ces éléments rappelés et sans préjudice des conditions de mise en œuvre effective des traitements mis en œuvre par l’INPI qui devront, en tout état de cause, respecter la réglementation applicable en matière de protection des données en assurant notamment l’effectivité de l’exercice des droits des personnes, le projet de décret appelle les observations suivantes.
Sur les conditions de fonctionnement du dispositif envisagé et ses conditions de mise en œuvre
A titre liminaire, la Commission relève que le dispositif pérenne tel que présenté à l’article 8 du projet de décret et le dispositif transitoire tel que décrit à l’article 145 présentent des fonctionnalités identiques décrites respectivement aux futurs articles R. 123-6 et R. 123-7 du code de commerce pour l’organisme unique et aux futurs articles R. 123-30-17 et R. 123-30-18 du même code. Elle prend acte qu’entre le 1er janvier 2021 et 2023, seul le périmètre des formalités traitées sera différent en fonction des entreprises concernées.
La Commission relève tout d’abord que dans sa phase pérenne, le périmètre des formalités prises en charge par l’INPI est identique à celui des CFE actuels, à savoir les formalités et procédures nécessaires à la création, aux modifications de la situation et à la cessation d'activité d'une entreprise, ainsi qu'à l'accès à une activité réglementée de service et à son exercice (demandes d’autorisation pour les activités dans le champ de la directive relative aux services).
Dans ce cadre, l’article 8 du projet de décret énumère également les éléments contenus dans le dossier qui sera transmis à l’INPI conformément aux dispositions du nouvel article L. 123-33 du code de commerce tel qu’issu de la loi Pacte. La Commission relève que des données à caractère personnel sont susceptibles de figurer au sein de ces éléments sans qu’à ce stade, elles soient énumérées de manière exhaustive dans le projet de décret, comme l’illustre la rédaction envisagée de l’article R. 123-4 du code de commerce ( Parmi celles-ci figurent, sans préjudice des dispositions spécifiques […] ).
Si la Commission prend acte des précisions apportées, à savoir que la liste figurant à cet article constitue un socle minimal de données collectées par le guichet et qu’il importe de prendre en compte la situation juridique de chaque entreprise et des exigences correspondantes propre à chaque organisme destinataire, elle relève qu’une liste plus précise a pu être transmise dans le cadre de l’instruction de cette saisine. Dans ces conditions, elle estime que le nouvel article R. 123-4 du code de commerce pourrait être complété sur ce point, y compris en mentionnant explicitement les dispositions spécifiques visées.
En tout état de cause, elle rappelle que seules les données strictement nécessaires à la réalisation des formalités accomplies devront être collectées et transmises aux organismes destinataires et autorités compétentes et ce, tant dans le cadre de la phase transitoire du dispositif que dans sa phase pérenne.
Elle relève également que le guichet unique électronique , comme c’est le cas des actuels CFE, n’a pas vocation à se substituer aux organismes destinataires des formalités ainsi qu’aux autorités compétentes qui sont actuellement énumérés à l’annexe 1-1 à la partie réglementaire du code de commerce (tels que le service des impôts, les caisses générales de sécurité sociale ou les chambres des métiers et de l’artisanat) et dont la liste limitative sera désormais établie par voie d’arrêté. La Commission rappelle que ces organismes et autorités restent seuls compétents pour apprécier la régularité des dossiers reçus, la création d’un guichet unique électronique ayant principalement vocation à simplifier la réalisation de formalités administratives présentées comme particulièrement complexes en créant une interface unique entre les déclarants et les organismes destinataires.
La Commission relève que, tant dans la phase transitoire que pérenne, il est prévu que les chambres de commerce et d’industrie bénéficient d’un accès aux informations collectées auprès des seules entreprises ayant une activité commerciale (articles 75 et 159 du projet de décret). Elle relève que cet accès vise à tirer les conséquences de la disparition progressive de leur rôle en tant que CFE et sera strictement délimité dans son périmètre à l’activité commerciale ce qui n’appelle, dès lors, pas d’observation particulière.
La Commission relève enfin que les informations collectées par l’INPI dans le cadre du guichet unique ne pourront être conservées au-delà des délais nécessaires à la transmission réalisée auprès des organismes destinataires et ce, sans préjudice des éléments qui doivent être conservés aux fins d’inscription sur un registre de publicité légale. Elle observe que les durées ainsi définies, qui s’appliqueront également durant la phase transitoire, reprennent celles fixées par l’article R. 123-19 du code de commerce actuellement en vigueur.
La Commission relève toutefois qu’il a été précisé qu’en pratique, la suppression des données n’interviendra qu’à l’issue de l’émission par l’organisme destinataire de la validation ou du rejet de la formalité accomplie. Si une telle modalité ne soulève pas de difficulté particulière au regard de la réglementation applicable en matière de protection des données, elle observe que la rédaction du projet de décret sur ce point ne reflète pas cette possibilité. La Commission demande que l’article 8 soit précisé en ce sens.
Dans la mesure où la réalisation des formalités accomplies vise à être entièrement dématérialisée, la Commission prend par ailleurs acte des précisions apportées s’agissant de la durée de conservation des données liées à la création du compte utilisateur du déclarant. Elle relève qu’il est ainsi envisagé que ces données soient effacées au bout d’une période d’inactivité de trois ans du compte après intervention des notifications auprès du titulaire dudit compte. La Commission prend acte que cette durée a été établie au regard du rythme moyen constaté de réalisation des formalités par les chefs d’entreprise.
Elle relève également que les déclarants auront, en tout état de cause, la possibilité de recourir à un service de conservation provisoire des données et pièces relatives aux déclarations engagées mais non finalisées, leur permettant de reprendre ultérieurement la formalité engagée (futur article R. 123-9 du code de commerce).
La Commission relève qu’une telle possibilité est déjà prévue, dans les mêmes conditions par l’article R. 123-27 du code de commerce. Elle prend par ailleurs acte qu’un déclarant pourra à tout moment modifier ou supprimer les données relatives aux formalités entamées mais inachevées ainsi que les informations relatives à son compte utilisateur et que, seules les données de connexion feront l’objet d’une conservation pour une durée de trois mois et aux fins de traiter les éventuelles réclamations.
Sur les mesures de sécurité et la nécessité de réaliser une analyse d’impact relative à la protection des données
Dans la mesure où le dispositif envisagé reposera notamment sur la collecte du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) du déclarant personne physique ou nécessitera une consultation de ce répertoire (voir infra), il concernera un très grand nombre de personnes physiques. La Commission estime donc nécessaire la réalisation d’une analyse d’impact relative à la protection des données. Elle prend acte qu’une telle analyse est en cours de réalisation par l’INPI.
Plus spécifiquement, la Commission rappelle que des mesures de sécurité à l’état de l’art, telles que le chiffrement des données, devront nécessairement être mises en œuvre afin d’assurer la confidentialité des données échangées sur des réseaux de télécommunication publics. Elle rappelle aussi que les modalités d’authentification, tant des personnes concernées que des personnes habilitées à accéder au traitement, devront être suffisamment robustes et conformes à sa délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe.
Par ailleurs, la Commission rappelle que des mesures de traçabilité devront être mises en place et concerner l’ensemble des opérations réalisées, tant par les personnes concernées que les personnes habilitées, afin d’assurer la sécurité du traitement. Les données de traçabilité ainsi collectées devraient être conservées pendant une durée de six mois (et non trois comme cela est actuellement envisagé), et faire l’objet de mesures d’analyse automatique afin de garantir la détection d’éventuelles opérations non autorisées.
Enfin, de manière plus générale, la Commission rappelle la nécessité de prévoir, en amont de la mise en œuvre du dispositif, un hébergement dans des conditions parfaitement conformes à la réglementation applicable. Si des transferts de données hors de l’Union européenne étaient envisagés, elle rappelle qu’ils devraient faire l’objet d’un encadrement conforme aux textes et à la jurisprudence récente en la matière.
Sur la modification du décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l’usage du numéro d’inscription au répertoire national d’identification des personnes physiques ou nécessitant la consultation de ce répertoire
L’article 8 du projet de décret prévoit que les déclarations adressées dans le cadre d’une création d’entreprises pourront comporter le NIR du déclarant personne physique (nouvel article R. 123-4 du code de commerce). Ce même article prévoit que l’organisme unique [l’INPI]  interroge le répertoire national d’identification des personnes physiques aux fins de confirmer, pour les personnes physiques inscrites, le caractère identique des éléments déclarés à ceux figurant dans ce répertoire . La Commission relève qu’une telle interrogation sera également possible durant la phase transitoire de mise en œuvre du dispositif, si les conditions techniques le permettent (article 145 du projet de décret).
La Commission prend acte que la consultation réalisée vise uniquement à comparer les données d’identités renseignées par le déclarant (nom, prénom, date de naissance) avec celles figurant au répertoire national d’identification des personnes physiques (RNIPP). La seule information relative au caractère identique ou non des informations ainsi comparées sera transmise au guichet unique ainsi qu’au déclarant afin de l’inviter à procéder, s’il le souhaite, à une modification et aux organismes sociaux afin de les inviter, dans le cadre de leur mission d’affiliation au régime des travailleurs non salariés, à renforcer leur contrôle sur l’identité renseignée en cas de divergence.
Dans ce contexte, l’article 195 du projet de décret vise à modifier le décret du 19 avril 2019 susvisé afin de permettre l’utilisation du NIR ou la consultation du RNIPP 6° Pour la vérification de l'identité des chefs d’entreprise, de leurs conjoints et de l’ensemble des personnes physiques composant la gérance de l’entreprise, ainsi que pour la transmission aux organismes sociaux visés à l’annexe 1-1 du livre Ier du code de commerce des déclarations prévues à l’annexe 1-2 du même code : le service informatique mentionné à l’article R. 123-30-14 du code de commerce .