AgentPublic/cnil huggingface dataset:
(…) ". A cet égard, le ministère a précisé que la direction générale des affaires scolaires (DGESCO) et la direction du numérique pour l’éducatif (DNE) étaient concernées par des données anonymisées à des fins de pilotage, et la direction de l'évaluation, de la prospective et de la performance (DEPP) pour les traitements à des fins statistiques. Compte-tenu de ce que les destinataires de données anonymisées n’ont pas vocation à figurer dans le projet de décret, la Commission estime que ce dernier devrait être modifié pour ne mentionner, s’agissant des destinataires de l’administration centrale, que les personnels habilités de la DEPP. Sous ces réserves, la liste des autres destinataires et celle des accédants n’appellent pas d’observation de la part de la Commission.
Sur les mesures de sécurité et la traçabilité
En premier lieu
, la Commission, qui constate que l’analyse d’impact relative à la protection des données (AIPD) transmise par le ministère n’est pas finalisée, rappelle que compte-tenu des caractéristiques du traitement cette AIPD devra être complétée et réalisée avant la mise en œuvre du traitement. La Commission qui a reçu l’AIPD non finalisée trop tardivement pour l’examiner rappelle également que cette AIPD devra notamment permettre au ministère de vérifier que les mesures de sécurité prévues sont conformes aux articles 5.1-f) et 32 du RGPD. A cet égard, la Commission prend acte du choix du ministère d’avoir recours à un hébergeur des données de santé agréé.
En deuxième lieu
, la Commission rappelle que des mesures de sécurité de niveau équivalent doivent également être mises en œuvre pour les extractions papier qui seraient faites à la demande des personnes concernées qui ne pourraient ou ne voudraient accéder au téléservice.
S’agissant en troisième lieu de la traçabilité des actions réalisées dans le traitement, la Commission relève que l’article 4 du projet de décret prévoit que " Les logs de connexion et l’historique des accès sont supprimés à l’expiration d’un délai de 12 mois ". La Commission rappelle que les mesures de traçabilité constituent l’une des garanties importantes permettant de limiter et de détecter les éventuels détournements d’un traitement, afin de réduire les risques pour les personnes concernées. Si la durée de conservation de ces données n’appelle pas de remarque particulière, la Commission invite le ministère à mettre en place des mécanismes d’analyse automatique des données de traçabilité afin de détecter au plus tôt d’éventuels détournement du traitement.
Sur la sous-traitance et l’hébergement des données
Le contrat de sous-traitance conclut entre le ministère et la caisse nationale de solidarité pour l’autonomie prévoit, à l’article 3.5, que " Les parties reconnaissent que l’exécution des prestations selon les modalités envisagées par la CNSA n’implique pas des transferts internationaux de données à caractère personnel " et que " tout transfert de données à caractère personnel en dehors de l’Union Européenne ne pourra avoir lieu qu’après autorisation écrite du ministère (…) et conformément aux dispositions des articles 44, 45 et 46 du RGPD ". Le ministère a à cet égard indiqué qu’il n’était pas prévu de transfert en dehors de l’Union européenne. Compte tenu des données traitées, de la minorité d’un grand nombre de personnes concernées par le traitement, du cadre dans lequel elles sont recueillies et du considérant 38 du RGPD qui indique que " Les enfants méritent une protection spécifique en ce qui concerne leurs données à caractère personnel parce qu'ils peuvent être moins conscients des risques, des conséquences et des garanties concernées et de leurs droits liés au traitement des données à caractère personnel ", la Commission considère que le contrat de sous-traitance devrait prévoir l’interdiction de transférer les données en dehors de l’Union européenne.
S’agissant de la sous-traitance ultérieure, au regard de la particulière sensibilité des données traitées via le LPI et du caractère vulnérable d’une grande partie des personnes concernées par le traitement, la Commission considère en outre que les données à caractère personnel devraient être confiées à un opérateur qui les entrepose sur le territoire de l’Union européenne et qui soit exclusivement soumis au droit européen.
 
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de la cohésion des territoires et des relations avec les collectivités locales d’une demande d’avis sur un projet de décret portant dispositions statutaires relatives à la fonction publique territoriale en vue de limiter l’inscription d’un candidat à un concours permettant l’accès à un emploi du même grade organisé simultanément par plusieurs centres de gestion ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 84-53 du 26 janvier 1984 portant dispositions statutaires relatives à la fonction publique territoriale, notamment son article 36 ;
Vu le décret n° 2013-593 du 5 juillet 2013 relatif aux conditions générales de recrutement et d’avancement de grade et portant dispositions statutaires diverses applicables aux fonctionnaires de la fonction publique territoriale, notamment ses articles 5 et suivants ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
 
 
Emet l’avis suivant :
La Commission nationale de l’informatique et des libertés (ci-après la " Commission ") a été saisie par le ministre de la cohésion des territoires et des relations avec les collectivités locales, sur le fondement de l’article 8-1-4°-a) de la loi n° 78-17 du 6 janvier 1978 modifiée, d’une demande d’avis sur un projet de décret portant dispositions statutaires relatives à la fonction publique territoriale en vue de limiter l’inscription d’un candidat à un concours permettant l’accès à un emploi du même grade organisé simultanément par plusieurs centres de gestion.
 
L’article 36 de la loi n° 84-53 du 26 janvier 1984 portant dispositions statutaires relatives à la fonction publique territoriale prévoit que lorsque plusieurs centres de gestion organisent un concours permettant l'accès à un emploi d'un même grade dont les épreuves ont lieu simultanément, les candidats ne peuvent pas figurer sur plusieurs listes des admis à participer, les modalités d’application de cet article étant renvoyées à un décret.
 
C’est l’objet du projet de décret soumis à l’avis de la Commission qui prévoit la création et les modalités de fonctionnement d’une application nationale unique dénommée " Concours-Territorial " et d’une base de données dénommée " Concours-FPT ", destinées à limiter les inscriptions multiples aux concours organisés simultanément par plusieurs centres de gestion.
 
Sur le fonctionnement du dispositif
Le dispositif, géré et mis en œuvre par le groupement d’intérêt public informatique des centres de gestion, comporte deux phases. La première correspond à la collecte des données auprès des candidats par l’intermédiaire du site " Concours-Territorial " et la seconde correspond au traitement de ces données au sein de la base de données " Concours-FPT ".
 
Interrogé sur les modalités de collecte des données, le ministère a indiqué qu’elles pouvaient l’être au travers de deux canaux distincts :
le candidat à un concours renseigne lui-même ses informations lors de la création d’un compte utilisateur sur le site " Concours-Territorial " ;
lorsque le candidat à un concours effectue son inscription par écrit, les données sont renseignées dans la base de données " Concours-FPT " par le centre de gestion organisateur du concours au plus tard huit jours après la date de clôture des inscriptions.
 
A cet égard, la Commission invite le ministère à préciser que le site " Concours-territorial.fr " constitue un point d’entrée pour les inscriptions dématérialisées aux concours et que les candidats ont la possibilité d’y créer un compte utilisateur.
 
La Commission prend acte de ce que les traitements mis en œuvre ont pour finalité d’identifier les candidats inscrits à plusieurs concours permettant l’accès à un même grade de l’un des cadres d’emplois de la fonction publique territoriale, organisés simultanément par plusieurs centres de gestion.
Ainsi, lorsque la base de données " Concours-FPT " identifie un candidat déjà inscrit à un autre concours pour l’accès à un même grade de l’un des cadres d’emplois de la fonction publique territoriale et dont les épreuves ont lieu simultanément, l’inscription antérieure est automatiquement supprimée.
 
Le candidat et le centre de gestion concerné reçoivent alors notification de la suppression des inscriptions antérieures au profit de la dernière inscription, qui est la seule prise en compte dans la base de données.
 
 
Sur les données traitées
 
L’article 2 du projet de décret énumère les données collectées et traitées par le groupement d’intérêt public informatique des centres de gestion dans la base de données " Concours –FPT ". Cette liste contient essentiellement des données relatives à l’identité du candidat et des données administratives qui n’appellent pas d’observations particulières de la part de la Commission.
 
La Commission relève cependant que, bien qu’elle n’ait pas vocation à intégrer la base " Concours-FPT ", le site Internet " Concours Territorial " prévoit la collecte de l’adresse électronique du candidat lors de la création d’un compte utilisateur. La Commission invite par conséquent le ministère à préciser à l’article 2 du projet de décret que l’adresse électronique du candidat est collectée par le site " Concours Territorial ".
 
Sur l’information des personnes concernées
Interrogé sur ce point, le ministère a précisé que les mentions relatives à l’information des candidats seront indiquées sur la page de création des comptes utilisateurs ainsi que sur la page relative à la protection des données à caractère personnel, accessible par un lien systématiquement présent sur l’ensemble des pages du site.
 
La Commission rappelle que l’information des personnes concernées doit être réalisée au moment de la collecte des données par le responsable de traitement selon les modalités définies à l’article 12 du RGPD, et doit comporter l’ensemble des mentions prévues par l’article 13 de ce texte. Elle invite par conséquent le ministère à s’assurer que cette information soit délivrée quel que soit le canal utilisé par les candidats pour s’inscrire aux concours.
A cet égard, si la Commission partage la position du G29 (devenu comité européen à la protection des données) présentée dans les lignes directrices sur la transparence au sens du RGPD, adoptées dans leur version révisée le 11 avril 2018, qui reconnaît, dans un univers numérique, la possibilité d’informer au travers de plusieurs niveaux, elle rappelle que certains éléments essentiels (tels que l’identité du responsable de traitement, les finalités du traitement et les modalités d’exercice des droits des personnes) doivent immédiatement être portés à la connaissance des personnes concernées. Une mention d’information contenant ces éléments essentiels devra donc être directement portée à la connaissance des candidats lors de leur inscription.
 
Sur l’exercice des droits des personnes concernées
 
L’article 6 du projet de décret prévoit que les candidats concernés disposent d’un droit d’accès, de rectification et d’effacement de leurs données à caractère personnel.
S’agissant du droit à l’effacement, l’article 6 du projet de décret précise que " les candidats peuvent demander que leurs données à caractère personnel soient effacées lorsque leur traitement est illicite ". A cet égard, la Commission rappelle que si l’article 17 du RGPD précise que les personnes concernées ont le droit d’obtenir du responsable de traitement l’effacement de leurs données lorsqu’elles ont fait l'objet d'un traitement illicite, les personnes concernées peuvent également en faire la demande dans d’autres circonstances et notamment " lorsque les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d'une autre manière " et " lorsque les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis ". La Commission prend acte de ce que le ministère s'engage à modifier le projet de décret en ce sens.
 
En, outre, la Commission rappelle que les mentions d’information devront préciser les modalités d’exercice de ces droits prévus aux articles 15 à 18 du RGPD et indiquer auprès de qui ils pourront être exercés.
La Commission prend acte de ce que le droit d'opposition est exclu, dans la mesure où le traitement répond à une obligation légale et que le droit à la limitation est également exclu en application de l’article 23 du RGPD, plus particulièrement dans un intérêt budgétaire.
 
Sur les destinataires
 
L’article 4 du projet de décret prévoit que seules les personnes individuellement désignées par le groupement d’intérêt public informatique des centres de gestion auront accès, à raison de leurs attributions et dans la limite du besoin d’en connaître, aux données à caractère personnel enregistrées dans la base de données " Concours – FPT ".
 
Interrogé sur ce point, le ministère a précisé que seuls les gestionnaires des concours des centres organisateurs chargés de vérifier l’admissibilité à concourir des candidats auront accès à ces données. La Commission considère que ces précisions pourraient utilement figurer dans le projet de décret.
 
La Commission estime que ces destinataires présentent un intérêt légitime à connaître de ces données.
 
Sur la réalisation d’une analyse d’impact
Dans la mesure où le traitement mis en œuvre est réalisé à large échelle et est susceptible d’aboutir à des prises de décisions automatiques ayant pour effet d’annuler l’inscription d’un candidat à un concours de la fonction publique, la Commission rappelle qu’une analyse d’impact devra être mise en œuvre. Celle-ci devra être communiquée à la Commission en application de l’article 36 du RGPD, dans le cas où un risque résiduel élevé pour les personnes serait identifié à l’issue de l’analyse d’impact.
 
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'économie, des finances et de la relance d'une demande d'avis concernant un projet d'arrêté portant création par la direction générale des finances publiques du traitement de données à caractère personnel dénommé GALAXIE ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 31-I, 33 et 89-I ;
Vu le code général des impôts, notamment ses articles 1741 et 1743 ;
Vu le livre des procédures fiscales, notamment ses articles L. 10, L. 81, L. 229 à L. 231 ;
Vu le code pénal, notamment ses articles 313-1 et suivants ;
Sur la proposition de M. Philippe-Pierre CABOURDIN, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission a été saisie, sur le fondement du I de l'article 31 de la loi du 6 janvier 1978 modifiée, d'une demande d'avis relative à un projet d'arrêté portant création par la direction générale des finances publiques (DGFiP) du traitement de données à caractère personnel dénommé GALAXIE.
Le traitement GALAXIE s'inscrit dans le cadre du projet PILAT (Pilotage et Analyse du conTrôle) de refonte du système d'information du contrôle fiscal. Ce projet inclut la mise en place de nouvelles applications et la réécriture d'outils existants, tel GALAXIE qui se substitue au traitement Transparence des structures écrans - TSE , sur lequel la CNIL a été amenée à se prononcer dans sa délibération n° 03-048 du 30 octobre 2009.
Sur les finalités et le régime juridique applicable au traitement
En premier lieu, s'agissant des finalités du traitement projeté, l'article 2 du projet d'arrêté prévoit qu'il est consulté par les agents habilités, aux fins d'amélioration du respect des obligations fiscales des usagers, pour mener des opérations de recherche, d'enquête, de programmation, de contrôle et de recouvrement de manquements fiscaux . Il ressort de l'énoncé de cet article que la finalité poursuivie par le traitement est de mener des opérations de recherche, d'enquête, de programmation, de contrôle et de recouvrement.
Toutefois, l'analyse d'impact relative à la protection des données (AIPD) transmise indique que le traitement améliore les moyens de contrôle dans le cadre d'une part, de la régularisation de l'erreur commise par le contribuable de bonne foi, et d'autre part, de la lutte contre l'évasion et la fraude fiscales (par la facilitation de la détection des schémas de fraude fiscale dans le cadre des missions fiscales relevant tant de la DGFiP que de la direction générale des douanes et droits indirects (DGDDI) et l'aide à la détermination des coresponsabilités dans l'organisation de la fraude).
Au regard de ces éléments, la Commission considère que l'article 2 du projet d'arrêté devrait être complété afin de faire apparaître la finalité relative à la régularisation de l'erreur commise par le contribuable de bonne foi et de préciser la finalité relative à la lutte contre l'évasion fiscale, mentionnées dans l'AIPD.
En second lieu, s'agissant du régime juridique applicable au traitement, la Commission relève que le ministère considère que le traitement projeté relève intégralement du RGPD. A cet égard, le ministère a indiqué que le traitement GALAXIE a pour finalité principale l'amélioration du respect des manquements fiscaux susceptibles de constituer des infractions pénales. Le ministère a par ailleurs précisé que le traitement vise en premier lieu à s'assurer du respect des obligations fiscales des contribuables et de prendre, le cas échéant, des sanctions administratives.
Il ressort toutefois du projet d'arrêté que le traitement poursuit deux finalités, toutes deux relatives à l'amélioration des moyens de contrôle.
La première finalité, marginale, est l'amélioration des moyens de contrôle dans le cadre de la régularisation de l'erreur commise par le contribuable de bonne foi. Elle relève incontestablement du RGPD.
Cependant, la Commission relève que la seconde finalité, principale, est relative à l'amélioration des moyens de contrôle dans le cadre de la lutte contre l'évasion et la fraude fiscales. Le ministère a indiqué que les opérations de recouvrement peuvent déboucher sur des pénalités fiscales et des poursuites pénales. La Commission rappelle, par ailleurs, qu'elle avait estimé dans sa délibération n° 2020-124 du 10 décembre 2020 que la finalité de recherche d'infractions fiscales et douanières relevait bien de la directive.
En outre, la Commission rappelle que le traitement de ciblage de la fraude et valorisation des requêtes (CFVR) - qui alimente exclusivement le traitement GALAXIE et dont ce dernier ne fait qu'afficher les liens d'un contribuable donné afin d'en faciliter l'appréhension par un service de recherche ou de contrôle - a pour finalités de modéliser et de visualiser les comportements frauduleux afin de mener des actions de prévention, de recherche, de constatation ou de poursuites d'infractions pénales ainsi que des opérations de recherche, de constatation ou de poursuite de manquements fiscaux . La Commission avait, à cet égard, estimé dans sa délibération n° 2020-123 du 10 décembre 2020 portant sur le traitement CFVR que la finalité de ce traitement relève par principe de la directive police-justice .
Au regard de l'ensemble de ces éléments, la Commission appelle l'attention du gouvernement sur le fait qu'il est probable que le traitement GALAXIE relève d'un régime mixte. Le traitement relèverait, d'une part, du RGPD pour la finalité relative à l'amélioration des moyens de contrôle dans le cadre de la régularisation de l'erreur commise par le contribuable de bonne foi, et, d'autre part, du titre III de la loi du 6 janvier 1978 pour la finalité relative à l'amélioration des moyens de contrôle et à la répression en matière de fraudes fiscales. En effet, d'une part, les services autorisés à mettre en œuvre le traitement - les services de la DGFiP chargés d'une mission de contrôle des impôts, droits et taxes prévus par le code général des impôts et des services et les services de la DGDDI chargés du contrôle et des enquêtes ainsi que du recouvrement - semblent être des autorités compétentes au sens de l'article 87 de la loi informatique et libertés . D'autre part, la possibilité de poursuivre des manquements par des pénalités fiscales ou en saisissant le parquet semble attraire le traitement au moins en partie dans le champ de la directive police-justice , eu égard à la notion d'infraction pénale au sens du droit européen.
Elle appelle le Gouvernement à clarifier la question du régime juridique et estime dès lors que, si le traitement relève d'un régime mixte (RGPD et directive police-justice ), le projet d'arrêté devrait le faire apparaître et le traitement projeté devrait être mis en conformité avec la réglementation afférente à chacun de ces régimes. A cet égard, pour la partie du traitement qui relèverait de la directive police-justice , la Commission prend notamment acte que de ce que le ministère a bien transmis une AIPD avec la demande d'avis conformément à l'article 90 de la loi du 6 janvier 1978 modifiée.
Sur les catégories de données traitées
L'article 3 du projet d'arrêté dresse la liste des catégories de données collectées dans le traitement projeté.
L'article 6 du projet d'arrêté prévoit que les données traitées sont issues du traitement CFVR. La Commission relève qu'elle s'est déjà prononcée à plusieurs reprises sur ce traitement. Elle prend acte des précisions apportées par le ministère selon lesquelles l'arrêté portant création du traitement CFVR sera prochainement modifié afin de prévoir la mise en relation avec le traitement GALAXIE.
La Commission relève que certaines des données traitées dans GALAXIE ne figurent pas à l'article 3 de l'arrêté du 21 février 2014 portant création du traitement CFVR, et notamment les données de contexte. Dès lors, et dans la mesure où le traitement CFVR constitue la seule source de données pour le traitement GALAXIE, les données non prévues dans le traitement CFVR ne pourront être présentes dans GALAXIE en l'absence de modification de l'arrêté portant création de ce premier traitement qui devra être soumis à l'avis de la CNIL.
La Commission prend acte des précisions apportées par le ministère selon lesquelles que dans un contexte de modernisation des méthodes de visualisation des informations d'environnement d'un contribuable, nécessaires à l'instruction d'un dossier, les données consultables dans GALAXIE sont majoritairement publiques ou déjà accessibles par l'ensemble des agents de la DGFiP dans ses applications. Elle relève notamment que les liens d'associés et de dirigeants, mentionnés à l'article 2 du projet d'arrêté, sont des données déjà publiées sur des bases publiques ou privées (telles qu'Infogreffe ou société.com par exemple). S'agissant des données professionnelles, elles correspondent aux informations relatives aux précédents contrôles pour lesquels tout chef de service dispose déjà d'une habilitation nationale.
Sur les destinataires