AgentPublic/cnil huggingface dataset:
La Commission n’a pas d’objection à cette extension, pour cette finalité, dès lors qu’elle participe au respect du principe de minimisation des données. La possibilité de mettre en place des interfaces standardisées de programmation (API) permettant l’échange des données, pour les finalités et aux conditions prévues par la loi, doit se lire en combinaison avec le fait que l’article L. 114-9 du même code prévoit que les échanges de données sont interdits pour certains types de données, notamment de santé.
En deuxième lieu, le 2° de l’article 40 du projet de loi 4D prévoit d’abroger l’article L. 113-13 du CRPA. Cette abrogation a pour conséquence de supprimer l’obligation, pour la personne ou son représentant, d’attester sur l’honneur de l’exactitude des informations déclarées et lui permettant également de demander l’utilisation du dispositif DLNUF en substitution.
En troisième lieu, le 3° de l’article 40 du projet de loi 4D prévoit de modifier l’article L. 114-8 du CRPA en y ajoutant une nouvelle finalité qui est d’autoriser l’échange de données à des fins d’information de l’usager concernant ses droits, ou de lui octroyer des prestations ou avantages.
La Commission observe que ces modifications conduisent à une évolution des caractéristiques essentielles du dispositif DLNUF. Elle relève en effet en particulier que, dans ce cas, l’intervention a priori de l’usager ne serait plus requise pour initier l’échange de données entre administrations.
La Commission prend acte de ce que cette évolution vise à accélérer l’échange de données entre administrations au profit de l’usager et à lutter contre le phénomène de non recours aux droits, notamment en matière d’avantages sociaux. En particulier, elle prend acte de ce que cette nouvelle finalité vise à permettre à une administration d’informer, de manière proactive, un usager.
Sans remettre en cause les objectifs poursuivis, la Commission estime qu’il importe de s’assurer qu’un tel dispositif soit précisément circonscrit à un tel usage, à l’exclusion de tout autre, et ne permette pas, notamment de détecter d’éventuels cas de fraude au moyen de croisement d’informations. Elle estime que les dispositions envisagées devraient le préciser explicitement.
Dans la mesure où le partage de données mis en œuvre, indépendamment de toute demande de l’usager peut présenter certains dangers, la Commission estime qu’il doit être entouré de garanties.
Au titre des garanties à mettre en œuvre, la Commission estime en outre qu’une réflexion devra impérativement être menée s’agissant des durées de conservation des données relatives aux potentiels droits, prestations ou avantages des usagers, par les administrations participant à cette information proactive afin que celles-ci soient précisément encadrées par voie réglementaire. Il convient de déterminer un équilibre entre la nécessité de conserver l’information que le bénéfice d’un droit a été proposé à une personne et qu’elle l’a, le cas échéant, refusé, sans la resolliciter de façon excessive, tout en ne constituant pas, à côté du fichier des bénéficiaires de ce droit, une liste pérenne des personnes en remplissant les conditions d’octroi mais n’ayant pas souhaité y recourir.
Au demeurant, la Commission rappelle que tout usager concerné pourra s’opposer, à tout moment, au traitement de ces données dans ce cadre, dans les conditions prévues par l’article 21 du RGPD.
En quatrième lieu, le 4° de l’article 40 du projet de loi 4D supprime les dispositions des 1° et 2° et modifie l’actuel 3° de l’article L. 114-9 du CRPA en remplaçant la formule actuelle les critères de sécurité et de confidentialité par les conditions de mise en œuvre des échanges et notamment les critères de sécurité, de traçabilité et de confidentialité .
Cette suppression implique que les domaines et les procédures concernés par les échanges de données entre administrations, et la liste des administrations auprès desquelles la demande de communication s’effectue en fonction du type de données, ne seront plus déterminés par décret en Conseil d’État pris après avis de la Commission. A cet égard, elle prend acte des précisions apportées par le ministère selon lesquelles  dans l’esprit de la responsabilisation des responsables de traitement de données promu par le règlement général sur la protection des données, il est proposé d’abandonner la logique de liste limitative et fixée a priori de données pouvant être partagées entre administrations .
Si l’édiction par décret de la liste des administrations bénéficiant de l’échange de données (destinataires) pour le traitement des demandes les concernant constitue une garantie, la Commission prend acte de ce que sa suppression constitue la conséquence logique de la généralisation du principe. Cette généralisation doit s’accompagner de garanties appropriées, qui sont de deux ordres.
En premier lieu, elle estime nécessaire de maintenir, comme le fait le projet, un acte réglementaire fixant la liste des administrations communiquant chaque type de donnée aux autres. A cet égard, le d) du 4° de l’article 40 du projet de loi 4D prévoit d’ajouter un alinéa à l’article L. 114-9 du CRPA prévoyant qu’un arrêté du Premier ministre détermine, pour chaque type d'informations ou de données, la liste des administrations responsables de leur mise à disposition des autres administrations. Elle constate que cette liste permettra d’établir des administrations de référence pour la mise à disposition de chaque donnée recherchée par une administration tierce, permettant ainsi de s’assurer que la donnée est bien collectée directement auprès de l’administration détentrice de la donnée d’origine, fiable et unique, et non auprès de tout autre administration qui en disposerait également. Elle estime que cette mesure est de nature à éviter des erreurs dans les données échangées et la propagation de données inexactes ou non actualisées auprès des administrations.
En second lieu, la Commission estime essentiel qu’une traçabilité précise des échanges soit assurée, permettant l’exercice du droit d’accès sur les données décrivant quels échanges ont eu lieu, entre quelles administrations, à quel moment. A cet égard, elle recommande, d’une part, l’usage d’API pour procéder à ces échanges afin de garantir la nécessaire minimisation des données échangées et la traçabilité de ces échanges et, d’autre part, la mise en place d’une traçabilité étendue, appelée par la modification du 3° de l’article L. 114-9 du CRPA, et permettant à chaque usager de prendre connaissance, de manière simple et consolidée, de l’ensemble des échanges de données le concernant.
Enfin, la Commission, qui se montrera particulièrement attentive aux conditions de mise en œuvre effectives relatives à de tels mécanismes d’échanges de données à caractère personnel, rappelle également l’importance de s’assurer de la bonne articulation des modifications envisagées du CRPA avec l’expérimentation, toujours en cours, prévue par l’article 40 de la loi n° 2018-727 du 10 août 2018 pour un Etat au service d'une société de confiance ( loi ESSOC ).
En cinquième lieu, le 3° de l’article 40 du projet de loi 4D modifie l’article L. 114-8 du CRPA en y ajoutant un alinéa prévoyant que La liste des administrations qui se procurent directement des données auprès d'autres administrations françaises dans le cadre du présent article, des données ainsi échangées et le fondement juridique sur lesquels repose le traitement des procédures mentionnées au premier alinéa, fait l’objet d’une diffusion publique dans les conditions prévues par l’article L. 312-1-1 .
La Commission estime que cette information est importante et contribue à l’équilibre du dispositif, puisqu’elle permettra d’avoir une vision exhaustive des systèmes d’échanges mis en place, qui ne seront plus listés par décret. Elle considère que la mise en place de circuits simplifiés de partage de données devrait reposer sur une infrastructure standardisée d’échanges de données dont la maintenance et le pilotage sont coordonnés au niveau interministériel reposant, notamment, sur une grande transparence concernant les mécanismes utilisés pour ces échanges et recommande, à ce titre, une diffusion en temps réel de ces informations.
Sur l’article 41 relatif aux modifications apportées aux dispositions de la loi du 6 janvier 1978 modifiée
L’article 41 du projet de loi vise à simplifier et compléter les procédures relatives au prononcé, par la CNIL, des mesures correctrices prévues par le RGPD et la loi Informatique et Libertés en cas de manquement à ces dispositions. Plus précisément, le projet de loi a pour objet d’aménager le pouvoir de police du président de la Commission, qui peut prononcer des mesures correctrices alternatives aux sanctions en cas de violation des règles relatives à la protection des données à caractère personnel. Il vise également à compléter la procédure applicable en matière de sanctions, en dotant le président de la formation restreinte de la CNIL de nouvelles attributions dont l’exercice ne nécessite pas l’intervention de l’ensemble de cette formation et en créant une procédure simplifiée pour le prononcé de sanctions financières d’un montant limité, applicable aux seules affaires simples et de faible gravité.
A titre général, la Commission accueille très favorablement le projet du Gouvernement, qui permettra de simplifier et d’enrichir les procédures dont dispose la CNIL pour prononcer les mesures correctrices en cas de manquement aux dispositions du RGPD et de la loi Informatique et Libertés . Une telle adaptation est en effet nécessaire pour permettre une instruction satisfaisante et conforme à ces dispositions des réclamations reçues par la CNIL, dans un contexte d’augmentation constante et substantielle du volume de plaintes qui lui sont adressées, et participe dès lors d’une meilleure garantie des droits des personnes concernées à l’égard du traitement de données à caractère personnel. En outre, la Commission estime que les dispositions projetées sont entourées des garanties nécessaires pour les mis en cause dans les procédures de sanctions prononcées par la CNIL.
L’article 41 du projet de loi appelle en outre les observations complémentaires suivantes de la part de la Commission.
En premier lieu, le 1° du I dudit article prévoit la possibilité, pour le président de la Commission, de rappeler à ses obligations légales un responsable de traitement ou un sous-traitant ne respectant pas le cadre juridique en matière de protection des données à caractère personnel. La Commission observe que cette mesure, qui s’apparente au rappel à l’ordre prévu par l’article 58.2.b) du RGPD et que le Conseil d’Etat a déjà validée au bénéfice de la CNIL (CE, 21 juin 2018, n° 414139), ne présente pas dans ce cadre un caractère répressif et peut donc être prise par le président de la Commission. Elle estime en outre qu’elle permettra, pour des manquements mineurs qui ne justifient pas le prononcé de mesures publiques ou de sanctions financières de favoriser la mise en conformité des responsables de traitement et sous-traitants ayant méconnu les obligations légales qui s’imposent à eux.
En deuxième lieu, le 2° du I de l’article 41 du projet de loi vise à clarifier et alléger la procédure de clôture des mises en demeure adoptées par le président de la Commission en cas de méconnaissance des obligations découlant du RGPD ou de la loi du 6 janvier 1978 modifiée. Les dispositions projetées prévoient que le président de la Commission peut, dans le cadre d’une décision de mise en demeure, demander au responsable de traitement ou au sous-traitant de justifier de sa mise en conformité, sans que cette demande soit pour autant systématique, et que c’est uniquement dans l’hypothèse d’une telle demande que le président est tenu de clôturer la mise en demeure si la mise en conformité est constatée. La Commission estime que ces dispositions permettront ainsi d’assouplir la procédure de mise en demeure. Il convient en effet de souligner que l’instruction de la clôture des mises en demeure est particulièrement lourde et chronophage, alors que cet instrument est souvent particulièrement approprié pour obtenir une mise en conformité rapide.
En troisième lieu, le II de l’article 41 du projet de loi a pour objet de confier de nouvelles prérogatives au président de la formation restreinte de la CNIL, organe compétent pour prononcer les sanctions, et notamment les amendes administratives, en cas de manquement aux règles relatives à la protection des données à caractère personnel. Il est ainsi prévu, dans un nouvel article 20-1 de la loi du 6 janvier 1978 modifiée, que le président de cette formation restreinte puisse prononcer seul des injonctions de produire, assorties le cas échéant d’une astreinte ne pouvant excéder 100 euros par jour de retard, en cas d’absence de réponse à une précédente mise en demeure de transmission des documents nécessaires à l’instruction du dossier, ainsi que des non-lieux dans le cas d’une transmission de documents à la suite d’injonctions antérieures. La Commission considère que ces décisions de faible portée, très fréquemment attribuées à un juge statuant seul en matière administrative ou judiciaire, ne nécessitent pas l’intervention de l’ensemble de la formation restreinte et permettront de fluidifier et de simplifier l’action répressive de la Commission lorsque celle-ci se justifie.
En quatrième lieu, le III de l’article 41 du projet de loi vise à créer une procédure particulière et simplifiée de sanctions, applicable aux dossiers simples et de faible gravité. Ces dispositions prévoient ainsi la création d’un nouvel article 22-1 de la loi Informatique et Libertés , en vertu duquel les rappels à l’ordre, injonctions assorties d’astreintes et amendes administratives, de montants maximaux faibles et qui ne pourront pas être rendus publics, peuvent être prononcés par le seul président de la formation restreinte ou un membre de cette formation désigné par lui, sur la base d’un rapport établi par un agent de la Commission, et que le mis en cause peut demander à présenter des observations orales dans le cadre de cette procédure.
A cet égard, la Commission estime tout d’abord que la procédure de sanction actuelle n’est pas adaptée au traitement du volume de réclamations reçues, qui atteint actuellement 14 000 par an, et rappelle que, en l’état des textes, une seule procédure s’applique pour tous les dossiers indépendamment de leur complexité ou de leur gravité. La création d’une procédure simplifiée applicable aux dossiers qui justifient une faible sanction financière et qui présentent une grande simplicité des questions de fait ou de droit posées apparaît dès lors indispensable pour que la CNIL puisse mener à bien sa mission d’instruction de l’ensemble des plaintes et leur apporter, à chaque fois, la réponse appropriée.
Elle relève en outre que de telles procédures existent déjà en matière de sanctions administratives comme en matière juridictionnelle et que la mise en œuvre d’une procédure simplifiée ne contrevient pas aux dispositions du RGPD relatives au prononcé de sanctions. La Commission estime qu’aucun principe ne s’oppose à la mise en œuvre d’une telle procédure reposant sur un membre statuant seul, dès lors qu’elle est mise en œuvre dans des conditions conformes aux principes applicables au prononcé de sanctions par une autorité administrative indépendante.
En ce qui concerne ces garanties, la Commission observe que des critères sont fixés pour l’engagement des poursuites selon une telle procédure. Il s’agit des seuls dossiers se caractérisant, d’une part, par un faible niveau de gravité, le montant maximal des sanctions financières étant peu élevé, et, d’autre part, par l’absence de difficultés particulières, notamment eu égard aux décisions précédemment rendues par la formation restreinte ou à la simplicité des questions de fait ou de droit qu’ils soulèvent. Les mesures pouvant être prononcées dans le cadre de cette procédure simplifiée sont limitées au rappel à l’ordre, à une amende administrative au plus égale à 20 000 euros et aux injonctions de mise en conformité assorties d’une astreinte (dont le montant ne peut excéder 100 euros par jour de retard). Les autres mesures correctrices relevant de la compétence de la formation restreinte sont donc exclues de cette procédure, de même que les violations justifiant la mobilisation de la procédure d’urgence. Il est également prévu que les sanctions prononcées ne puissent pas être rendues publiques, contrairement aux sanctions pouvant être prononcées par la formation restreinte de la CNIL.
S’agissant du déroulement de cette procédure, il est notamment prévu que la présentation d’observations orales devant le président de la formation restreinte ou le membre désigné par lui ne soit pas systématique mais que la possibilité d’être entendu soit toujours proposée au mis en cause, conformément au droit commun en matière de sanctions administratives. Le président de la formation restreinte disposera en tout état de cause de la faculté de renvoyer le dossier, par exemple s’il estime que les critères d’engagement de la procédure simplifiée ne sont pas satisfaits, vers la procédure prévue à l’article 22 de la loi Informatique et Libertés . Dans ce cas, un rapporteur sera désigné parmi les membres de la commission, qui pourra s’appuyer sur le dossier déjà constitué mais rendra ses conclusions en toute indépendance.
Compte tenu de l’ensemble de ces éléments, la Commission estime que le projet de loi comporte les garanties législatives suffisantes pour autoriser la mise en œuvre d’une procédure simplifiée de prononcé de sanctions.
Elle rappelle enfin que l’ensemble des dispositions législatives projetées devra faire l’objet de dispositions réglementaires d’application, en particulier en ce qui concerne la procédure simplifiée qui doit être complétée de garanties relevant du niveau réglementaire.
Sur l’article 42 relatif aux modifications apportées aux dispositions de l’article L. 2121-30 du code général des collectivités territoriales
L’article 42 du projet de loi 4D modifie l’actuel article L. 2121-30 du code général des collectivités territoriales en donnant compétence au conseil municipal pour dénommer les voies et en prévoyant également que la commune garantit l'accès aux informations concernant la dénomination des voies et de numérotation des maisons dans les conditions prévues par un décret.
Cette disposition n’appelle pas d’observations de la part de la Commission.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'économie, des finances et de la relance,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu le code général des impôts, notamment son article 1649 ter ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 31-I ;
Après avoir entendu M. Philippe-Pierre CABOURDIN, commissaire, en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement en ses observations,
Emet l'avis suivant :
La Commission a été saisie sur le fondement du I de l’article 31 de la loi du 6 janvier 1978 modifiée, d’une demande d’avis relative à un projet d’arrêté modifiant l’arrêté du 1er septembre 2016 portant création par la direction générale des finances publiques (DGFiP) d’un traitement automatisé de données à caractère personnel de gestion du fichier des contrats de capitalisation et d’assurance vie dénommé Ficovie.
Le projet d’arrêté poursuit plusieurs objectifs. Il intègre la gestion des tiers autorisés aux finalités poursuivies par Ficovie, élargit les personnes pouvant accéder à ce traitement et modifie les dispositions relatives à l’exercice des droits des personnes concernées au regard des évolutions de la réglementation relative à la protection des données à caractère personnel opérée par l’entrée en application du paquet européen de la protection des données en 2018.
La Commission relève que, s’agissant des évolutions apportées aux catégories de personnels pouvant accéder à Ficovie, celles-ci visent à tirer les conséquences des modifications apportées par le législateur à plusieurs articles du livre des procédures fiscales, du code des douanes ainsi que du code du travail, principalement dans le cadre de la loi du 23 octobre 2018 relative à la lutte contre la fraude. Elle rappelle qu’elle s’est prononcée dans sa délibération n° 2019-080 du 20 juin 2019 portant avis sur un projet de décret relatif aux modalités d’habilitation et de désignation des agents de plusieurs organismes et administrations à accéder aux informations issues des traitements automatisés dénommés Patrim, FICOBA, FICOVIE et BNDP, sur les modalités d’habilitation et de désignation de ceux-ci. Dans ces conditions, elle estime que ces modifications n’appellent pas d’observation. La Commission rappelle toutefois qu’il convient d’en tirer les conséquences nécessaires en actualisant les mesures de sécurité du traitement à mettre en œuvre.
Sur le régime juridique applicable et les droits des personnes concernées 
Le ministère considère que le traitement FICOVIE a pour finalité, dans le domaine fiscal, la prévention, la détection et la poursuite des infractions pénales par une autorité publique compétente, entrant ainsi dans le champ d’application de l’article 87 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés .
La Commission rappelle que pour qu'un traitement puisse entrer, partiellement ou totalement, dans le champ d'application de la directive (UE) 2016/680 du 27 avril 2016, dite directive Police-Justice , telle que transposée au titre III de la loi n°78-17 du 6 janvier modifiée, un traitement de données doit répondre à deux conditions cumulatives. Il doit d'une part poursuivre l'une des finalités mentionnées à son article 1er relatives à la prévention et la détection des infractions pénales, ainsi que les enquêtes et les poursuites en la matière, et d'autre part, être mis en œuvre par une autorité compétente au sens de cette directive.
S'agissant du critère de finalité poursuivie par le traitement, la Commission relève que l’article 2 de l’arrêté du 1er septembre 2016 portant création par la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel de gestion du fichier des contrats de capitalisation et d'assurance vie dénommé Ficovie prévoit Le traitement a pour finalité de recenser, sur support informatique, les déclarations des contrats et placements prévues aux I et II de l'article 1649 ter du code général des impôts (…) .
Or s'agissant du régime juridique applicable, le Conseil d'Etat a considéré dans sa décision n° 424216 du 19 juillet 2019 qu'un traitement de données à caractère personnel relève, selon sa finalité, du champ d'application du règlement du 27 avril 2016 ou de celui de la directive du même jour : Alors même qu'ainsi qu'il a été dit au point 8, le traitement litigieux a plusieurs objets, au nombre desquels figurent la prévention, la détection et la répression des infractions pénales, sa finalité est de permettre, en luttant contre la fraude et l'évasion fiscales, l'amélioration du respect de leurs obligations fiscales par les contribuables français et américains . Il s'ensuit qu'il relève du champ d'application du règlement du 27 avril 2016 et non de celui de la directive du même jour . Il en résulte que le seul fait qu’un traitement, qui a été créé pour d’autres finalités, serve également à détecter d’éventuelles infractions, ne suffit pas à le faire relever de la directive police-justice .