AgentPublic/cnil huggingface dataset:
Le ministère précise qu’à ce stade quatre traitements sont envisagés. Le premier concerne la collecte des déclarations déposées par les plateformes. Le deuxième, le regroupement et l’envoi des données aux États ou territoires destinataires. Le troisième, l’identification et la transmission au contribuable des montants des sommes perçues et la plateforme les ayant déclarés. Le quatrième concerne enfin l’exploitation des données dans le cadre du contrôle fiscal et de la déclaration préremplie de revenus.
Le ministère indique que les premières déclarations pourront être déposées par les plateformes à compter de janvier 2024 et porteront sur l’activité réalisée en 2023. Il précise en outre attendre la publication de l’ensemble des textes réglementaires transposant ce dispositif harmonisé, avant d’initier des réflexions quant aux conditions de mise en œuvre des traitements envisagés ainsi que de leur conformité à la réglementation en matière de données à caractère personnel.
Si le ministère a d’ores et déjà annoncé la rédaction d’Analyses d’Impact pour la Protection des Données (AIPD) pour les traitements qui relèveront de sa responsabilité, la Commission rappelle qu’il appartiendra aux plateformes et à la direction générale des finances publiques (DGFiP) de s’assurer de la conformité de chacun des traitements projetés à la réglementation relative à la protection des données à caractère personnel.
A cet égard, la Commission rappelle qu’elle pourra être saisie pour avis quant aux modalités précises de mise en œuvre de ces traitements.
Sur les finalités du traitement
Les données collectées par l’administration fiscale seront exploitées pour trois finalités. D’abord, elles permettront le respect des engagements de la France en matière de coopération fiscale, issus de la Directive 2021/514 du 22 mars 2021. Cette dernière organise notamment l’échange d’informations entre administrations fiscales pour contrebalancer la dimension transfrontière des plateformes et le manque d’effectivité des règles fiscales qui peut en découler. Ensuite, elles permettront pour le vendeur ou le prestataire concerné de faciliter sa déclaration fiscale en pré-affichant sur leurs déclarations de revenus, les informations transmises par les plateformes. Enfin, les données collectées seront recoupées avec les éléments déclarés dans le cadre de la programmation du contrôle fiscal.
La Commission prend acte de ce que l’analyse de ces données ne donnera pas lieu à des décisions individuelles automatisées en matière de contrôle.
Sur les catégories de données
Le projet de décret énumère les catégories de données contenues dans les déclarations transmises par les plateformes à l’administration fiscale. Outre les éléments d’identification propre à la plateforme, il s’agit des données relatives aux prestataires ou vendeurs personne-physique suivantes :
nom et prénom ;
date de naissance ;
adresse de résidence principale ;
numéro d’identification fiscale ou lieu de naissance ;
le cas échéant, numéro d’identification à la taxe sur la valeur ajoutée ;
État ou territoire de résidence fiscale ;
en matière de location de biens immobiliers : adresse, nombre de jours et, le cas échéant, numéro d'enregistrement foncier de chaque lot ;
montant total de la contrepartie perçue au cours de chaque trimestre ;
nombre d’opérations pour lesquelles la contrepartie totale a été perçue ;
tous les frais, commissions ou taxes retenus ou prélevés par l'opérateur de plateforme au cours de chaque trimestre ;
identifiant du compte financier sur lequel la contrepartie est versée. 
Dans l’hypothèse où le titulaire du compte financier n’est pas le vendeur ou le prestataire, le nom et le prénom du titulaire ainsi que toute autre information d’identification financière le concernant  sont renseignés. Le ministère précise qu’en pratique lors d’une inscription le prestataire ou vendeur communique le nom et le prénom du bénéficiaire ainsi qu’un numéro IBAN. La communication desdites informations sont indispensables à l’identification par l’administration fiscale de la personne qui doit être effectivement imposée.
La Commission considère que le projet de décret devrait intégrer la précision apportée par le ministère que seul l’IBAN serait collecté dans le cas visé afin d’identifier précisément les informations financières d’identification collectées à ce titre.
Sur les droits des personnes
L’information des personnes sera en premier lieu assurée par les plateformes qui indiquent aux personnes concernées les informations transmises à l’administration fiscale les concernant. En second lieu, le ministère précise qu’une information sera mise à disposition des usagers sur le site internet impots.gouv.fr, sans que le contenu de cette information soit précisé à ce stade. Le ministère renvoie à la définition ultérieure des caractéristiques des traitements dont la création n’entre pas dans le cadre du présent projet de décret.
La Commission appelle en tout état de cause à une vigilance particulière quant aux modalités d’exercice des droits des personnes concernées qui devront être définies dans le cadre de la mise en œuvre des traitements projetés.
 
Sur la durée de conservation
Les plateformes conservent les données pour une durée de 10 ans, conformément à l’article 1649 ter D-I-2° alinéa 5 du CGI. Le projet de décret précise le point de départ de cette période. Cette durée, qui est fixée par la loi, n’appelle pas d’observation particulière.
Le ministère prévoit néanmoins que pour les traitements qu’il mettra en œuvre sur le fondement du projet de décret, ces derniers pourront prévoir une conservation des données de dix ans. Il précise à cet égard que cette durée correspond au droit de reprise dont dispose l’administration en cas d’activités occultes qui peut s'exercer jusqu'à la fin de la dixième année suivant celle au titre de laquelle l'imposition est due, conformément à l’article L. 169 du livre des procédures fiscales.
Compte tenu du périmètre large des traitements qui seront mis en œuvre sur le fondement de ce texte ainsi que de leurs finalités variées, la Commission considère que la durée de conservation de ces données devra être proportionnée aux finalités de chaque traitement et ne jamais excéder la durée maximale de 10 ans prévue par le droit de reprise en cas d’activités occultes apparaît insuffisamment justifiée dès lors qu’elle conduirait à les conserver par principe pour une durée particulièrement longue et en l’absence de nécessité démontrée.
Sur les interconnexions
Le ministère précise que certains des traitements ayant vocation à être mis en œuvre sur le fondement du projet de décret pourront être interconnectés avec le traitement ciblage de la fraude et valorisation des requêtes (CFVR) pour les données relatives aux résidents fiscaux français. L’arrêté du 21 février 2014 portant création par la direction générale des finances publiques du traitement CFVR prévoit que sont traitées les données transmises par les opérateurs de plateformes collaboratives en application de l'article 242 bis du code général des impôts .
Dans la mesure où le nouveau dispositif encadré par le projet de décret a vocation à se substituer à celui prévu par l’article 242 bis précité, la Commission estime cette interconnexion légitime en son principe. Elle appelle néanmoins l’attention du ministère sur les conditions réelles de mise en œuvre de cette possibilité et notamment à s’assurer que l’opération de mise en relation soit notamment conforme aux catégories de données et aux accédants ou destinataires fixés par les actes réglementaires concernés. En effet, pour être licite, le transfert de données d’une base vers une autre doit s’inscrire ou concourir aux finalités poursuivies par la base d’origine ou à celles associées aux transmissions à des destinataires, les données transférées doivent être autorisées à figurer dans la base de destination et au moins une personne habilitée à alimenter la base de destination doit constituer un accédant ou un destinataire de la base d’origine (CNIL, SP, 27 mai 2021, Avis sur projet de décret, LRPGN, n° 2021-061, publié).
En outre, la Commission prend acte de ce que l’interconnexion au bénéfice de l’URSSAF - Caisse nationale prévue par le dispositif actuel, sera maintenue par le nouveau dispositif sous réserve de la modification de l’article L.114-19-1 du code de la sécurité sociale (CSS). Ce dernier prévoit en effet la transmission par l’administration fiscale de certaines des données récoltées auprès des plateformes afin de permettre le contrôle et la lutte contre le travail dissimulé par les agents l’URSSAF - Caisse nationale.
 
Sur les transferts 
Le dispositif permet l’échange entre autorités fiscales des différents Etats membres de l’Union européenne (UE). Ces échanges pourraient également concerner les Etats ou territoires avec lesquels la France a conclu un accord permettant l’échange d’informations automatique et obligatoire dans le cadre de la directive 2011/16/UE modifiée relative à la coopération administrative dans le domaine fiscal. L’article 2 du projet de décret prévoit la fixation par arrêté de la liste de l’ensemble des États ou territoires partenaires.
La Commission prend acte de ce que la France n’a signé à ce jour aucune convention permettant un échange à destination d’un pays tiers à l’UE. Elle rappelle que dans cette hypothèse, le responsable de traitement devra s’assurer de l’adéquation du niveau de protection des données offert par le pays de destination, conformément à la règlementation relative à la protection des données à caractère personnel.
Sur les mesures de sécurité
En l’absence de connaissance des caractéristiques des traitements futurs ayant vocation à être mis en œuvre sur la base du projet de texte, la Commission ne peut se prononcer et invite à une particulière vigilance sur les modalités techniques et organisationnelles qui seront retenues afin d’assurer la sécurité des traitements.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par la société APM International d’une demande d’autorisation de traitements automatisés à de fins de recherche, d’étude et d’évaluation dans le domaine de la santé nécessitant un accès aux données nationales du programme de médicalisation des systèmes d’information ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu l’avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 15 décembre 2022 ;
Vu la délibération n° 2019-142 du 5 décembre 2019 portant décision unique et autorisant la société APM International à mettre en œuvre des traitements automatisés à des fins de recherche, d’étude et d’évaluation nécessitant un accès aux données nationales du programme de médicalisation des systèmes d’information (PMSI) (demande d’autorisation n° 919393) ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Responsable du traitement
La société APM est une agence de presse spécialisée dans le secteur de la santé. Elle dispose de plusieurs services en ligne tels qu’APM News, un service d’information qui offre l’accès à des articles ou à des rapports, et APM Intelligence, qui permet la consultation structurée d’informations et de données par établissement de santé ou groupe d’établissements.
Dans le cadre de son activité d’information des professionnels de santé, elle traite des sujets en lien avec la politique de santé, les établissements publics et privés, l’actualité scientifique et la vie des industries de santé. Son projet éditorial prévoit, en sus du traitement des actualités du secteur de la santé, l’analyse du paysage hospitalier et la réalisation d’analyses ciblées à des niveaux nationaux ou régionaux des politiques de santé, notamment à partir de données disponibles de façon ouverte ( open data ).
Sur l’opportunité du renouvellement de la décision unique précédemment délivrée par la Commission
Le 5 décembre 2019, la société APM a été autorisée par la Commission à mettre en œuvre pendant trois ans des traitements de données à caractère personnel à partir des données du programme de médicalisation des systèmes d’information (PMSI). Il ressort du bilan transmis à la Commission que six traitements ont été mis en œuvre suivant, pour chacun d’eux, un protocole scientifique précis. Cinq traitements font l’objet d’une mise à jour annuelle. Le responsable de traitement a, par ailleurs, respecté ses engagements concernant la mise en œuvre du portail de transparence.
La société APM sollicite un renouvellement de l’autorisation précédemment délivrée par la Commission afin d’accéder aux données du PMSI pour notamment continuer à mettre en œuvre annuellement ces traitements pendant trois ans.
Ces traitements répondent à une même finalité, la réalisation d’études destinées à la construction d’indicateurs d’activités pour les établissements, groupes d’établissements ou groupements hospitaliers, portent sur des catégories de données identiques – en l’espèce, les données du PMSI – et dont les catégories de destinataires sont identiques – les personnes habilitées par la société APM.
Les traitements décrits relevant du régime prévu par les dispositions des articles 66 et 72 et suivants de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après loi informatique et libertés ), la Commission estime opportun, au vu des éléments présentés dans le dossier de demande, de faire application des dispositions de l’article 66 IV, qui lui permettent, par décision unique, de délivrer à un même demandeur une autorisation pour des traitements répondant à une même finalité, portant sur des catégories de données identiques et ayant des catégories de destinataires identiques.
Sur l’application des dispositions liées au SNDS
Les données du PMSI étant une composante du SNDS, la Commission rappelle que l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce, et notamment l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code de la santé publique (CSP).
Sur la finalité des traitements et leur caractère d’intérêt public
Les traitements nécessitant un accès aux données du PMSI ont pour finalité l’analyse de l’évolution du paysage hospitalier avec la construction d’indicateurs d’activité liés aux soins par établissement, groupe d’établissements, catégories d’établissements ou par région, au regard des politiques publiques mises en place.
Ces indicateurs, dont les méthodes de calcul ont été précisément décrites dans le dossier de demande, serviront notamment à :
illustrer l’évolution de l’activité hospitalière ;
évaluer l’impact des politiques mises en place ;
analyser l’évolution de la prise en charge de certaines pathologies à l’hôpital ;
analyser l’évolution de la consommation de soins.
La Commission prend acte de ce qu’une gouvernance spécifique est prévue pour l’évaluation de chaque analyse nécessitant un traitement de données :
dans un premier temps, est interrogée la pertinence et la faisabilité du recours aux données du PMSI ;
dans un second temps, dans le cas où l’utilisation de la base de données du PMSI serait nécessaire, un comité de validation de la société APM interviendra afin de vérifier que l’analyse envisagée s’inscrit bien dans les finalités prévues par l’autorisation de la Commission. Dans le cas où ces conditions ne seraient pas réunies, l’étude ne pourra être mise en œuvre.
La Commission considère, d’une part, que la finalité des traitements est déterminée, explicite et légitime, conformément à l’article 5.1.b du RGPD et, d’autre part, qu’elle présente un intérêt public, conformément à l’article 66 I de la loi informatique et libertés .
Enfin, la Commission prend acte de ce que :
les indicateurs calculés à partir des données du PMSI ne peuvent être exportés ;
les utilisateurs de l’outil APM Intelligence s’engagent, via les conditions générales d’utilisation, à ne pas poursuivre de finalités interdites à partir des indicateurs agrégés de données du PMSI mis à leur disposition.
Sur les catégories de données traitées
Le responsable de traitement ne doit traiter, pour chacun des traitements mis en œuvre dans le cadre de la présente décision unique, que les données strictement nécessaires et pertinentes au regard des objectifs des traitements.
Sous réserve que ces fichiers soient diffusables par l’Agence technique de l’information sur l’hospitalisation (ATIH), outre le fichier spécifique permettant de relier toutes les données du PMSI concernant un même patient (fichier ANO ), les données concernant les activités suivantes sont nécessaires à la réalisation de ces études :
médecine, chirurgie, obstétrique et odontologie (MCO) ;
hospitalisation à domicile (HAD) ;
fichier complémentaire (FICHCOMP).
Les traitements inclus dans le cadre de la décision unique portent sur les données nationales du PMSI des années 2017 à 2024 en fenêtre roulante, sous réserve qu’elles soient diffusables par l’ATIH.
Seules les données strictement nécessaires et pertinentes devront être mises à disposition du responsable de traitement.
Conformément à l'article 30 du RGPD, celui-ci devra tenir à jour, au sein de son registre des activités de traitement, la liste des traitements mis en œuvre dans le cadre de la présente décision unique.
Par ailleurs, le caractère adéquat, pertinent et limité à ce qui est nécessaire au regard des finalités pour lesquelles les données sont traitées, la zone géographique concernée et la profondeur historique des données consultées devront être justifiés dans ce registre pour chaque traitement mis en œuvre dans le cadre cette décision unique.
La Commission considère que les données dont le traitement est envisagé sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5.1.c) du RGPD.
Sur la durée de conservation des données
Les données à caractère personnel du PMSI ne peuvent faire l’objet d’une conservation par le responsable de traitement en dehors de la plateforme du Centre d'accès sécurisé aux données (CASD), leur exportation étant interdite.
La durée d’accès aux données dans la plateforme sécurisée doit être limitée à la durée nécessaire à la mise en œuvre des traitements, qui ne saurait être supérieure à trois ans, à compter de la date d’accès effectif aux données.
La Commission considère que cette durée de conservation des données n’excède pas les durées nécessaires aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e) du RGPD.
Sur la publication des résultats
Lorsque le résultat du traitement de données est rendu public, l’identification directe ou indirecte des personnes concernées doit être impossible, conformément à l’article 68 de la loi informatique et libertés .
Les résultats des études réalisées dans le cadre de la présente décision unique pourront être adressés aux utilisateurs des services de la société APM, notamment APM News et APM Intelligence.
Sur les catégories de destinataires des données
Seul le responsable du traitement et les personnes habilitées par lui ont accès aux données dans le cadre de la présente décision unique. Le responsable de traitement tient à jour des documents indiquant la ou les personnes compétentes en son sein pour délivrer l'habilitation à accéder aux données, la liste des personnes habilitées, leurs profils d'accès respectifs et les modalités d'attribution, de gestion et de contrôle des habilitations.
Ces catégories de personnes sont soumises au secret professionnel dans les conditions définies par les articles 226-13 et 226-14 du code pénal.
La qualification des personnes habilitées et leurs droits d'accès doivent être régulièrement réévalués, conformément aux modalités décrites dans la procédure d’habilitation établie par le responsable de traitement.
Sur l’information et les droits des personnes
Les personnes concernées sont informées de la mise en œuvre du SNDS et de la réutilisation possible des données de santé à caractère personnel les concernant selon des modalités définies par l'article R. 1461-9 du CSP.
Les dispositions de l’article 69 de la loi informatique et libertés sont applicables à tous les traitements réalisés à partir de données du SNDS. Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il est fait exception au principe d'information individuelle des personnes et des mesures appropriées sont prises par le responsable de traitement afin de rendre l’information publiquement disponible concernant la mise en œuvre de ces traitements.
Enfin, la Commission prend acte de :
la mise en accès libre de toutes les dépêches et de tous les rapports issus d’analyses réalisées à partir des données du PMSI, une fois passé le délai d’un mois suivant la publication de l’article, correspondant à la période pendant laquelle l’accès est réservé uniquement aux abonnés ;
l’alimentation d’un portail de transparence consacré aux traitements de données du PMSI, sur lequel seront listés l’ensemble des traitements réalisés par la société APM, les liens vers les publications issues de l’analyse des résultats des traitements effectués ainsi qu’un lien vers la fiche descriptive de l’outil déployé dans le cadre du service APM Intelligence.
Sur la sécurité des données et la traçabilité des actions
La mise en œuvre de traitements de données à caractère personnel intervenant dans le cadre de l’étude s'effectue sous la responsabilité du responsable de traitement, y compris chez des tiers agissant pour son compte, dans le respect des dispositions des articles 24, 25, 28, 32 à 35 du RGPD ainsi que de l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au SNDS.
Les données seront mises à disposition auprès du responsable de traitement par l’intermédiaire du prestataire d’accès sécurisé désigné par l’ATIH, à savoir le CASD.
Seules des données issues de processus d’anonymisation, de telle sorte que l’identification, directe ou indirecte, des personnes est impossible, peuvent faire l’objet d’une extraction. Pour se prévaloir de l’anonymat d’un jeu de données, le responsable de traitement doit réaliser une analyse permettant de démontrer que ses processus d’anonymisation respectent les trois critères définis par l’avis n°05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014.