AgentPublic/cnil huggingface dataset:
En dernier lieu, en ce qui concerne les informations économiques et financières et les données relatives à l’environnement de la personne, notamment aux personnes entretenant ou ayant entretenu des relations directes et non fortuites avec elle , la Commission relève qu’aucune précision n’a été apportée sur les données effectivement collectées à ce titre.
Sur la durée de conservation des données : 
A titre liminaire, la Commission rappelle que lorsqu’elle a examiné les conditions de mise en œuvre du traitement PERSETRAN, elle a estimé que la durée de conservation de dix ans prévue par l’acte réglementaire qui lui était soumis pour avis, était proportionnée au regard des finalités poursuivies par ce traitement.
Si le projet de décret encadrant la création du traitement DOREMI ne définit pas la durée de conservation des données enregistrées dans le traitement, le ministère a apporté des précisions sur ce point à la Commission. Il a ainsi indiqué que la durée de conservation retenue ne saurait se limiter à dix ans compte tenu de l’âge de certaines cibles de la DRM et de la durée de leur implication dans des activités mettant en jeu le renseignement d’intérêt militaire.
Dans ce contexte, si la Commission prend acte de ce que la mission de renseignement à titre préventif implique une permanence et un suivi qui rendent difficile de fixer a priori une date pour l’effacement des données, elle rappelle que conformément à l’article 6-5° de la loi du 6 janvier 1978 modifiée, les données collectées doivent être conservées sous une forme permettant l’identification des personnes concernées pendant une durée qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées .
Sans remettre en cause les nécessitées opérationnelles exprimées par le ministère afin de justifier de la conservation des données enregistrées dans le traitement pour une durée non déterminée, la Commission estime que la conservation à titre préventif de l’ensemble des données enregistrées dans le traitement alors même qu’aucun élément objectif ne permettrait de supposer l’existence d’une menace pour la sécurité ou la sûreté de l’Etat, ne permet pas de considérer qu’une durée de conservation des données figurant dans le traitement a effectivement été définie au regard des finalités pour lesquelles elles sont collectées et traitées.
Sur les destinataires :
L’article 3 du projet de décret prévoit que seuls les agents de la DRM individuellement désignés et spécialement habilités par le directeur du renseignement militaire sont autorisés, dans la limite du besoin d’en connaître, à accéder à l’ensemble des données enregistrées dans le traitement, ce qui n’appelle pas d’observation particulière de la part de la Commission au regard des missions que ces agents sont amenées à exercer. Elle souligne toutefois que le ministère n’a pas été en mesure de lui transmettre un nombre, même approximatif, d’agents de la DRM qui seraient alors autorisés à accéder au traitement dans les conditions précitées.
Ce même article précise que les personnels ou les agents suivants, individuellement désignés et spécialement habilités par l’autorité dont ils relèvent, peuvent être destinataires de tout ou partie des données enregistrées dans le traitement :
des états-majors, directions et services du ministère de la défense, dans la mesure exclusive où cette communication et rendue nécessaire pour répondre aux finalités du traitement ;
du secrétariat général de la défense et de la sécurité nationale ;
des services spécialisés de renseignement mentionnés à l’article R. 811-1 du CSI ;
des services placés sous l’autorité des ministères de l’intérieur, de la défense et de la justice, mentionnées à l’article R. 811-2 du même code.
Dans la mesure où la Commission n’a pas eu communication d’éléments permettant de justifier davantage de la communication de tout ou partie des données enregistrées dans le traitement aux destinataires précités, elle ne peut que souligner que la transmission des données biométriques à ces personnes est expressément exclue par le projet de décret.
Sur les droits des personnes concernées :
L’article 5 du projet de décret prévoit que l’obligation d’information prévue à l’article 32 de la loi du 6 janvier 1978 modifiée, de même que le droit d’opposition prévu à l’article 38 de la même loi, ne s’appliquent pas au traitement DOREMI, ce qui n’appelle pas d’observation de la Commission.
Il en est de même des dispositions prévues à l’article 6 du projet de décret relatives à l’exercice des droits d’accès et de rectification qui s’exercent de manière indirecte auprès de la Commission nationale de l’informatique et des libertés, dans les conditions prévues à l’article 41 de la loi du 6 janvier 1978 précitée.
Sur les mesures de sécurité :
L’article 4 du projet de décret prévoit que toute opération relative au traitement automatisé autorisé par le présent décret fait l’objet d’un enregistrement comprenant l’identification de l’utilisateur, la date, l’heure et la nature de l’intervention dans ce traitement . Cet article prévoit également que ces informations sont conservées pendant une durée d’un an. Compte tenu de la sensibilité de ce traitement, la Commission estime que la durée de conservation de ces traces devrait être plus importante et qu’une procédure automatique d’exploitation de ces traces devrait être mise en œuvre par le ministère afin de détecter tout détournement de finalité. 
En dehors de cette observation, compte tenu de l’absence d’informations sur les mesures mises en œuvre par le ministère pour assurer la sécurité du système, la Commission n’est pas en mesure d’apprécier le respect de l’exigence de sécurité prévue à l’article 34 de la loi du 6 janvier 1978 modifiée. Elle observe à cet égard que si le ministère n’était effectivement pas obligatoirement tenu de lui transmettre ces informations, il aurait néanmoins été opportun pour la Commission d’avoir connaissance des mesures de sécurité envisagées, en particulier dans la mesure où le traitement projeté permet la collecte de données biométriques et que le ministère entend écarter l’exercice de son contrôle a posteriori.
Au regard de l’ensemble de ces éléments, le sens de l’avis de la Commission qui devra être publié en même temps que le décret autorisant la dispense de publication de l’acte réglementaire autorisant la mise en œuvre du traitement DOREMI et modifiant le décret du 15 mai 2017 susvisé devra donc porter la mention : favorable avec réserve .
 
La Présidente
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'économie et des finances d'une demande d'avis concernant un projet d'arrêté modifiant l'arrêté du 21 février 2014 portant création par la direction générale des finances publiques d'un traitement automatisé de lutte contre la fraude dénommé ciblage de la fraude et valorisation des requêtes ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code général des impôts ;
Vu le livre des procédures fiscales, notamment ses articles L. 10, L. 81, L. 229 à L. 231 ;
Vu le code pénal, notamment ses articles 313-1 et suivants ;
Vu le code des relations entre le public et l'administration ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-1-2° et 30 ;
Vu la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 3 avril 2008 modifié portant organisation de la direction générale des finances publiques ;
Vu l'arrêté du 21 février 2014 portant création par la direction générale des finances publiques d'un traitement automatisé de lutte contre la fraude dénommé ciblage de la fraude et valorisation des requêtes ;
Vu l'arrêté du 1er septembre 2016 portant création par la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel de gestion du fichier des contrats de capitalisation et d'assurance vie dénommé Ficovie ;
Vu la délibération n° 2014-045 du 30 janvier 2014 modifié portant avis sur un projet d'arrêté portant création par la direction générale des finances publiques d'un traitement automatisé de lutte contre la fraude dénommé ciblage de la fraude et valorisation des requêtes ;
Vu la délibération n° 2015-186 du 25 juin 2015 portant avis sur un projet d'arrêté modifiant l'arrêté du 21 février 2014 portant création par la direction générale des finances publiques d'un outil de lutte contre la fraude dénommé ciblage de la fraude et valorisation des requêtes (CFVR) ;
Vu la délibération n° 2016-286 du 20 septembre 2016 portant avis sur un projet d'arrêté modifiant l'arrêté du 21 février 2014 portant création par la direction générale des finances publiques d'un outil de lutte contre la fraude dénommé ciblage de la fraude et valorisation des requêtes (CFVR) ;
Après avoir entendu M. Jean-Luc VIVET, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie par le ministre de l’économie et des finances d’une demande d’avis sur un projet d’arrêté modifiant l’arrêté du 21 février 2014 portant création par la direction générale des finances publiques d’un traitement automatisé de lutte contre la fraude dénommé ciblage de la fraude et valorisation des requêtes (CFVR).
Le traitement CFVR a pour finalité de modéliser et de visualiser les comportements frauduleux afin de mener des actions de prévention, de recherche, de constatation ou de poursuites d'infractions pénales ainsi que des opérations de recherche, de constatation ou de poursuites de manquements fiscaux. Il relève à ce titre des dispositions de l’article 26-I-2° de la loi du 6 janvier 1978 modifiée. En application de ces dispositions et de celles prévues à l’article 30 de la même loi, les modifications apportées à l’arrêté en portant création doivent être autorisées par arrêté ministériel pris après avis motivé et publié de la Commission.
Sur le service chargé de mettre en œuvre le traitement
La mission Requêtes et Valorisation , chargée depuis sa création en juillet 2013 du développement du traitement CFVR, a été remplacée par le bureau de la programmation et des échanges internationaux. Ce dernier est, en application de l'arrêté du 3 avril 2008 susvisé, responsable de l'administration et de la mise en œuvre du traitement CFVR, et plus particulièrement la section programmation des contrôles et analyses des données au sein de ce bureau.
Le projet d’arrêté vise dès lors à modifier les articles 1er, 3 et 4 afin de ne plus faire référence à la mission mais à ce nouveau bureau, ce qui n’appelle pas d’observation de la part de la Commission.
Sur l’expérimentation de CFVR pour les fraudes relatives aux particuliers
Le traitement CFVR est basé sur des techniques de data mining, notamment de modalisation prédictive, de requête d’analyses risques, de recherches d’atypies ou d’incohérences et de recherche de liens entre les différentes personnes ou avec des entités professionnelles.
Initialement mis en œuvre pour les fraudes réalisées par les contribuables professionnels, le champ de CFVR a ensuite étendu aux personnes physiques impliquées dans le fonctionnement des entités professionnelles (dirigeants, associés). Ces modifications ont fait l’objet des avis susvisés de la Commission.
Il est désormais prévu de permettre, à titre expérimental, l’utilisation de ce traitement pour les fraudes fiscales réalisées par les contribuables particuliers. Cette expérimentation, menée pendant deux ans, nécessite de modifier les dispositions de l’arrêté du 21 février 2014 précité relatives au périmètre du traitement, aux données collectées et aux destinataires.
En premier lieu, l’article 2 du projet d’arrêté vise à ajouter le caractère expérimental du traitement CFVR pour la recherche des fraudes relatives aux particuliers et à mentionner expressément la durée de l’expérimentation.
Le ministère justifie cette extension du traitement par l’importance des omissions fiscales réalisées par les particuliers, qui, à titre d’exemple, étaient en 2015 plus importantes que celles relatives à la TVA. Ainsi, pour le ministère, le renforcement de l’efficacité de la détection des fraudes réalisées par les particuliers s’avère nécessaire, compte tenu notamment de l’importance des prélèvements sur les particuliers dans le système fiscal français, les réformes en cours et la complexité des nouveaux procédés de fraudes aux impositions personnes ou patrimoniales.
La Commission relève qu’il s’agit d’une extension significative du traitement, dans la mesure où l’ensemble des contribuables français seront concernés. Si la lutte contre la fraude fiscale est un objectif à valeur constitutionnelle, la Commission estime toutefois, au regard du nombre de personnes concernées et des techniques mises en œuvre, que des garanties appropriées doivent être prévues.
A ce titre, le caractère expérimental de cette extension constitue une première garantie, dans la mesure où cela permettra au ministère de déterminer l’opportunité d’un tel dispositif ou les éventuelles améliorations à y apporter. La Commission rappelle néanmoins qu’un rapport circonstancié devra être établi et lui être communiqué.
En outre, elle prend acte que, tout comme pour les professionnels, les travaux menés grâce aux différentes fonctionnalités du traitement CFVR n’entraîneront pas automatiquement et systématiquement des décisions administratives impactant un contribuable (engagement d'un contrôle ou envoi d'une proposition de rectification par exemple) sans qu'une analyse ne soit menée au préalable par un agent, conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée. Le traitement CFVR ne constitue donc qu'un outil d'aide et d'orientation des travaux des agents et non pas un outil de profiling destiné à identifier directement des fraudeurs potentiels.
Au regard du volume très important de données qui seront exploitées, de l'ampleur des personnes concernées et des modalités d'exploitation des données, la Commission estime que d’autres garanties doivent être prévues par le ministère, notamment une réduction du champ matériel ou géographique du traitement, ces restrictions n’ayant pas nécessairement vocation à apparaître dans l’arrêté du 21 février 2014 précité.
Si la définition a priori de certaines restrictions, telle qu’une limitation du traitement aux fraudes les plus substantielles (montant minimal, rappels importants, manquements délibérés, etc.), à certaines catégories de contribuables ou à certains départements ou régions peut soulever des difficultés, la Commission estime qu’il appartient au ministère de prévoir, dans le cadre des travaux pratiques à venir, de telles limitations.
La Commission rappelle en tout état de cause que le rapport qui sera établi après l’expérimentation devra faire état des types d’impositions et d’infractions qui ont fait l’objet à titre principal des travaux.
En outre, la Commission relève que le traitement CFVR repose sur la mise en œuvre d'algorithmes, dont l’encadrement a été précisé par la loi du 7 octobre 2016 susvisée afin notamment de renforcer leur transparence et leur loyauté.
La Commission estime, au regard de l’ampleur du traitement CFVR et de ses caractéristiques techniques, notamment l’utilisation d’algorithmes pour parvenir à de la modélisation prédictive, qu’un haut niveau de transparence doit effectivement être recherché par le ministère à l’égard des personnes concernées.
Elle prend acte à cet égard que le site internet de la DGFiP mentionne, dans la rubrique dédiée au contrôle fiscal des particuliers, que les dossiers à contrôler sont sélectionnés au moyen d’outils d’analyse-risque issus des systèmes experts et que l'administration procède à un examen critique et à un contrôle de cohérence des déclarations à partir des informations détenues dans le dossier fiscal largement dématérialisé . Elle prend acte que, à sa demande, une mention d'information sur l'utilisation des informations figurant sur la déclaration des revenus à des fins de lutte contre la fraude fiscale sera insérée dans la notice de la déclaration des revenus, dans les versions papier et dématérialisée.
Elle regrette par ailleurs que l’arrêté du 21 février 2014 modifié précité prévoie que les droits d’accès et de rectification s’exercent de manière indirecte. La Commission avait d’ailleurs déjà estimé, lors de son précédent avis sur le traitement CFVR, qu’au regard de l’ampleur du dispositif et de son caractère innovant, le ministère devrait prévoir un droit d’accès direct par les personnes concernées aux données.
La Commission prend acte de l’engagement du ministère de prévoir un droit d’accès mixte. Ainsi, les droits d’accès et de rectification s’exerceront de manière directe, auprès du centre des finances publiques dont la personne concernée relève, pour les données issues des applications de consultation, de gestion et de contrôle fiscal de l'administration (par ex., Adonis, Sirius-Part, ...) qui enrichissent la base de données du traitement CFVR. S’agissant des autres données, notamment les données relatives aux traitements algorithmiques (degré et le mode de contribution du traitement algorithmique à la prise de décision, etc.) et les données issues des sources externes, les droits d’accès et de rectification s’exerceront de manière indirecte auprès de la CNIL.
La Commission regrette ces modalités d’exercice des droits d’accès et de rectification, qui limitent nécessairement la transparence. Elle sera particulièrement vigilante sur ce point en cas de généralisation du traitement CFVR.
En deuxième lieu, l’article 3 de l’arrêté du 21 février 2014 liste les données collectées. La Commission prend acte que, dans le cadre de la nouvelle expérimentation, les travaux s’appuieront sur des données déjà enregistrées dans l’entrepôt de données mais dont l’utilisation était jusque-là limitée aux seules données relatives à des entreprises ou à des personnes ayant un lien de direction ou d’association avec une entreprise. Il s’agit de données provenant principalement des applications dénommées BNDP , Sirius Part , EAI et Ficoba , régulièrement mis en œuvre par le ministère. L’expérimentation du traitement CFVR aux contribuables particuliers nécessite dès lors des ajustements rédactionnels de cet article 3, tels que la suppression de toute référence au lien spécifique avec une entreprise . Ces modifications n’appellent, sous réserve des précédentes remarques, pas d’observation particulière de la part de la Commission.
Par ailleurs, elle prend acte que des données relatives aux entreprises sont également susceptibles d’être utilisées dans ce cadre, un particulier pouvant être relié à une société, en tant que salarié par exemple.
En dernier lieu, l’article 4 du projet d’arrêté vise à permettre aux agents territorialement compétents de la programmation et du contrôle des dossiers des particuliers d’être rendus destinataires des données enregistrées dans le traitement, ce qui n’appelle pas d’observation particulière.
En tout état de cause, la Commission rappelle que, préalablement à toute généralisation de CFVR aux fraudes réalisées par les contribuables particuliers, elle devra être saisie pour avis. Sur la base du bilan de cette expérimentation, qui devra lui être transmis, la Commission sera particulièrement attentive à l’opportunité de faire évoluer les modalités de mise en œuvre des droits d’accès et de rectification et au périmètre des investigations retenu.
Sur les autres modifications apportées au traitement 
Il est prévu d’enregistrer dans ce traitement de nouvelles données, provenant d’une part, d’administrations étrangères et, d’autre part, du traitement FICOVIE, dont les modalités de mise en œuvre sont prévues par l’arrêté du 1er septembre 2016 susvisé.
Actuellement, des informations limitées provenant d’administrations étrangères alimentent le traitement CFVR, par l’intermédiaire de l’application EAI , qui permet l’échange d’informations de nature fiscale avec les autorités compétentes des
Etats-Unis et des Etats membres de l’Union européenne. Seules les données relatives à certains revenus de sources communautaires perçus par des résidents français et les données relatives aux comptes détenus aux Etats-Unis par des résidents français sont ainsi transmises à CFVR.
Le ministère a précisé dans le cadre de la présente saisine que, désormais, l’ensemble des données relevant du dispositif EAI alimentera le traitement CFVR, ce dont il est pris acte par la Commission. De même, l’ensemble des données enregistrées dans Ficovie seront transmises au traitement CFVR. Ces transmission de données, qui s’inscrivent notamment dans le cadre de l’extension du traitement à la détection des fraudes réalisées par les particuliers, doit permettre d’enrichir les informations concernant le patrimoine et les revenus des personnes physiques et d’établir ainsi des liens jusque-là inconnus de la DGFiP.
La Commission relève en outre que les traitements EAI et FICOVIE ont notamment pour objectifs de prévenir l'évasion et la fraude fiscale. Dans la mesure où le traitement CFVR a également pour finalité la lutte contre la fraude fiscale, ce traitement ultérieur des données enregistrées dans ces deux traitements n’est pas incompatible avec les finalités poursuivies par CFVR.
En ce qui concerne les mesures de sécurité, la transmission de données entre FICOVIE et CFVR interviendra selon une périodicité trimestrielle et sera réalisée dans l’environnement sécurisé de la DGFiP, à l’aide d’outils permettant d’assurer la confidentialité et l’intégrité des données lors de leur transfert.
La Commission rappelle que l'exigence prévue par l'article 34 de la loi du 6 janvier 1978 modifiée constitue une caractéristique fondamentale. A cet égard, elle prend acte des modifications apportées aux mesures de traçabilité et aux modalités de transfert des fichiers, qui permettront d’empêcher toute copie directe de données. Elle rappelle toutefois que cette obligation de sécurité nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
 
Pour la Présidente
Le Vice-Président Délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par la direction de l'animation de la recherche, des études et des statistiques d'une demande d'avis sur un projet d'arrêté concernant un traitement automatisé de données à caractère personnel dénommé TRAJAM ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la recommandation n° 2013/C120/01 du Conseil du 22 avril 2013 sur l'établissement d'une garantie pour la jeunesse ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II (2°) ;
Vu la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique, notamment son article 34 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;