AgentPublic/cnil huggingface dataset:
La Commission prend acte de la mise en place d’une journalisation applicatives et système. Elle rappelle que le traitement de ces données a en principe pour seule finalité la détection et la prévention d'opérations illégitimes sur les données principales. Le ministère distingue la durée de conservation de ses journaux techniques de celle de ses journaux applicatifs. La durée de conservation des journaux techniques, d’un an, est conforme aux préconisations de la Commission. La Commission recommande une durée de conservation des journaux de six mois au minimum si les données concernées sont conservées au moins six mois. Ainsi, la durée de conservation, de moins de six mois, des journaux applicatifs n'est pas conforme aux préconisations de la Commission en ce qui concerne ce type de traitement.
 
La solution choisie liant la personne servant de contact sur ces aspects à un moyen d’authentification personnel, la Commission souligne l’importance de s’assurer que le processus de modification de celui-ci soit le plus fluide possible, afin de limiter les risques relatifs au départ de l’organisation de la personne contact.
 
La Commission rappelle que, compte tenu de la nature des données traitées et des risques pour les personnes en cas d'atteinte à l'intégrité ou à la disponibilité des données, des mesures de sauvegarde doivent impérativement être mises en place et testées régulièrement.
Enfin, les données concernant de nombreuses personnes et étant conservées pour une durée très longue, une attention particulière devra être apportée à la réévaluation régulière des mesures relatives à la confidentialité de celles-ci.
 
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement semblent conformes à l’exigence de sécurité prévue par les dispositions du f) du 1 de l’article 5 et de l’article 32 du RGPD.
 
La Commission rappelle toutefois que cette obligation nécessite la mise à jour de l’AIPD et des mesures de sécurité au regard de la réévaluation régulière des risques.
 
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’action et des comptes publics d’une demande d’avis concernant un projet de décret en Conseil d’Etat relatif à l’application de l’article L. 112 A du livre des procédures fiscales ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le livre des procédures fiscales, notamment son article L. 112 A ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-I-4-a;
Vu la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Philippe LEMOINE, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie, par le ministre de l’action et des comptes publics, d’un projet de décret en Conseil d’Etat relatif à l’application de l’article L. 112 A du livre des procédures fiscales (LPF).
Cet article, créé par la loi n° 2018-727 du 10 août 2018 pour un État au service d’une société de confiance (dite " loi ESSOC "), prévoit que " l'administration fiscale rend librement accessibles au public, sous forme électronique, les éléments d'information qu'elle détient au sujet des valeurs foncières déclarées à l'occasion des mutations intervenues au cours des cinq dernières années " cela " afin de concourir à la transparence des marchés fonciers et immobiliers ".
Le présent projet de décret a pour objet de préciser les conditions de cette mise à disposition gratuite ainsi que les informations rendues accessibles, parmi lesquelles figurent des données à caractère personnel. La Commission relève dès lors que cette mise à disposition constitue un traitement de données à caractère personnel au sens de l’article 4-2 du règlement (UE) 2016/679 du 27 avril 2016 susvisé (RGPD).
A titre liminaire, la Commission rappelle, qu’antérieurement à l’application de la loi ESSOC, il existait déjà plusieurs dispositifs publics, notamment visés aux articles L. 135 B et L. 107 B du LPF, prévoyant l’accessibilité, pour certaines personnes s’étant préalablement authentifiées (notamment les collectivités territoriales, les services de l’Etat, les chercheurs, les professionnels de l’immobilier, les agences d’urbanisme, les particuliers, etc.), aux données relatives aux valeurs foncières déclarées à l’occasion des mutations.
La Commission souligne que le projet de décret s’inscrit dans le contexte du renforcement de l’ouverture en ligne des données détenues par les administrations (" open data "). De manière générale, elle rappelle que la diffusion sur internet des données des administrations publiques dans un standard ouvert, aisément réutilisable et exploitable par un système de traitement automatisé, est de nature à concourir à la transparence administrative tout en permettant de susciter l’innovation économique par la création de nouveaux services en offrant une grande liberté quant aux possibilités de réexploitation de ces données.
Dans ce contexte, elle rappelle que la publication massive de données en ligne a naturellement pour effet d’augmenter les risques potentiels pour les personnes concernées, lesquels peuvent être amplifiés lorsque les données sont indexées par des moteurs de recherche externes. En effet, il ne peut être exclu que la publication d’informations publiques puissent, sans même contenir initialement de données directement identifiantes, permettre, par recoupement avec d’autres informations publiques mises à disposition et plus généralement avec d’autres données disponibles sur internet, l’identification ou la ré-identification de personnes physiques.
 
Au regard de ces éléments, la Commission entend porter une attention particulière aux conditions dans lesquelles les données relatives aux valeurs foncières feront l’objet d’une diffusion. Elle rappelle en outre que dès lors que le ministère considérerait que le traitement projeté est susceptible d’engendrer un risque élevé pour les droits et les libertés des personnes physiques, il lui incombe d’effectuer une analyse d’impact relative à la protection des données à caractère personnel (AIPD) avant la mise en œuvre de ce traitement, conformément aux dispositions de l’article 35 du RGPD.
 
Sur la finalité et la base légale du traitement
En ce qui concerne la finalité poursuivie par le traitement, le projet d’article R. 112 A-1 du LPF prévoit qu’ " en application de l’article L. 112 A du livre des procédures fiscales, l’administration fiscale met à disposition du public les informations relatives aux ventes, adjudications, expropriations et aux échanges de biens immobiliers publiés au fichier immobilier au cours des cinq dernières années ".
La Commission prend acte que la mise à disposition de ces informations, prévue par le législateur, est justifiée par un motif d’intérêt général tenant à la connaissance des prix de l’immobilier par toute personne intéressée par ce marché et notamment les collectivités territoriales, les professionnels de l’immobilier, de l’urbanisme, les services de l’Etat ou encore les chercheurs. Elle relève que cette mise à disposition doit permettre d’améliorer la transparence des marchés immobiliers et fonciers.
La Commission relève par ailleurs que cette mise à disposition est assortie de garanties permettant de réduire les risques d’atteinte à la vie privée. En particulier, la Commission prend acte de l’absence de diffusion de données directement identifiantes, de la diffusion des données sur le site internet " www.data.gouv.fr ", de l’interdiction d’indexer les données diffusées par des moteurs de recherche externes, et enfin, des conditions générales d’utilisation qui accompagneront la mise à disposition des données, lesquelles délivrent une information sur les conditions de réutilisation de celles-ci et les droits des personnes.
Elle relève également que la mise à disposition sera strictement limitée aux mutations dites " à titre onéreux " (ventes, adjudications, expropriations et échanges de biens immobiliers) et non à l’ensemble des mutations susceptibles d’intervenir, ce dont la Commission prend acte.
En revanche, la Commission estime que le projet de décret n’est pas suffisamment explicite quant à l’origine des données faisant l’objet d’une publication. Elle relève en effet que le projet qui lui est soumis fait référence aux données relatives aux mutations à titre onéreux " publié[e]s au fichier immobilier " alors qu’il résulte des précisions apportées par le ministère que ces données seraient issues du fichier " Demande de valeurs foncières " (également dénommé " PATRIM Colloc ") mis en œuvre par la Direction générale des finances publiques (DGFiP). A cet égard, la Commission prend acte que le projet de décret sera modifié aux fins de préciser que les données sont issues du fichier " Demande de valeurs foncières ".
La Commission considère que la finalité poursuivie par le traitement projeté est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b du RGPD.
En ce qui concerne la base légale relative au traitement projeté, la Commission relève que le ministère entend se prévaloir de l’obligation légale visée à l’article 6-1-c du RGPD, d’une part, et de l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable de traitement de l’article 6-1-f du RGPD, d’autre part.
Si elle relève que chacune des bases légales précitées pourrait être effectivement invoquée pour fonder juridiquement le traitement, la Commission estime, de manière générale et compte tenu des effets attachés à chacune de ces deux bases notamment sur les droits des personnes concernées, qu’il revient au responsable de traitement de déterminer celle dont il entend, en l’espèce, se prévaloir. La Commission considère qu’il résulte notamment de l’examen des dispositions de l’article L. 112-A du LPF que l’obligation légale apparait comme étant plus appropriée pour fonder juridiquement le traitement.
 
Sur les données traitées et la fréquence de mise à jour
Le projet d’article R. 112 A-1-I du LPF prévoit la mise à disposition du public des informations relatives aux ventes, adjudications, expropriations et aux échanges de biens immobiliers publiés au fichier immobilier au cours des cinq dernières années, conformément aux dispositions du L. 112 A du LPF.
L’article R. 112 A-1 II du LPF énumère, pour chaque mutation, les éléments mis à disposition, à savoir : la date et la nature de la mutation, le prix, l’adresse (numéro de voie, indice de répétition, type, code et libellé de la voie, code postal et libellé de la commune), les références cadastrales (code de la commune et du département, préfixe et code de la section cadastrale, numéro de plan du lieu de situation des biens, le numéro de volume ainsi que, si le bien objet de la mutation fait partie d’une copropriété, le nombre de lots et le numéro de lot dans la limite de cinq lots par mutation) et le descriptif du bien dès lors qu’il a été déclaré à l’administration (surface loi Carrez, surface utile, code type de local, type de local, nombre de pièces principales, surface du terrain, et, pour les terrains non bâtis, nature de culture et culture spéciale). A ce titre, elle prend acte qu’aucune donnée relative à l’identité du propriétaire ne sera diffusée.
La Commission estime que l’ensemble des données préalablement énumérées, lesquelles sont relatives à la mutation elle-même, à la localisation et aux caractéristiques du bien, sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité pour laquelle elles sont traitées, conformément aux dispositions de l’article 5-1-c du RGPD.
En outre, l’article R. 112-A-2 II du projet de décret prévoit une mise à jour semestrielle des informations. Si la Commission prend acte des difficultés techniques ne permettant pas de procéder à une purge automatisée des données à leur date d’échéance légale de diffusion, elle observe néanmoins que certaines données seront de ce fait diffusées, alors même que leur diffusion excède la durée de cinq ans fixée par le législateur.
 
Sur les droits des personnes concernées 
La Commission relève que l’information des personnes ne pourra, en l’espèce, être délivrée de manière individualisée en raison de la difficulté pour les services de l’administration fiscale chargés de la mise en ligne de ces données de contacter directement les personnes concernées, parties aux actes de mutation. Dans ce contexte, elle prend acte que l’information sera rendue publiquement accessible conformément aux dispositions de l’article 14-5-b du RGPD. En particulier, la Commission relève que l’information des personnes relative à la mise à disposition du public des données relatives aux valeurs foncières sera délivrée sur le site internet "www.data.gouv.fr " ainsi que sur le site internet " www.impots.gouv.fr ".
Compte tenu de l’objet du traitement, elle souligne l’importance qu’une telle information soit effectivement délivrée de façon concise, transparente, compréhensible et aisément accessible conformément à l’article 12 du RGPD.
La Commission rappelle en outre que les personnes concernées pourront exercer leurs droits d’accès, de rectification et de limitation respectivement prévus aux articles 15, 16 et 18 du RGPD directement auprès de la DGFiP s’agissant du fichier " Demande de valeurs foncières ", à partir duquel sont issues les données mises à disposition du public.
Sur les modalités de diffusion 
et de réutilisation des données 
La Commission relève que le I de l’article R. 112 A-2 projeté encadre les modalités de diffusion en précisant que " les informations sont mises à disposition du public sous forme d’un fichier dans un format standard, pouvant faire l’objet d’un téléchargement ", ce qui n’appelle pas d’observation particulière.
La Commission rappelle par ailleurs que, dans un contexte d’ouverture des données publiques, l’indexation des données doit exclusivement avoir pour objet de faciliter le travail de recherche des internautes depuis les portails de diffusion. Ainsi, l’indexation des données sur les moteurs de recherche externe devrait être proscrite afin 
d’éviter qu’une recherche internet à partir de l’adresse d’un bien permette d’obtenir des informations relatives aux valeurs foncières de ce bien.
A cet égard, si elle prend acte que la diffusion du fichier des valeurs foncières sur le site " www.data.gouv.fr " ne permettra pas, en l’état, l’indexation des données à caractère personnel sur les moteurs de recherche externes, elle souligne néanmoins que ce site internet constitue un vecteur de diffusion dont le paramétrage par défaut pourrait évoluer. La Commission prend acte que le projet de décret sera dès lors modifié pour interdire expressément l’indexation des données sur les moteurs de recherche externes.
La Commission relève en outre que l’article R. 112 A-3 du LPF projeté prévoit que les traitements portant sur la réutilisation des informations publiées " ne doivent avoir ni pour objet ni pour effet de permettre la ré identification des personnes concernées ".
Elle prend acte que ces dispositions inscrivent ainsi dans le projet de décret ses propres recommandations en matière de réutilisation.
Si la Commission observe par ailleurs que le projet de décret a pour objet d’encadrer les conditions de la mise à disposition des informations relatives aux valeurs foncières, elle rappelle néanmoins que, la réutilisation de ces informations devrait faire l’objet d’une attention particulière au stade de leur diffusion.
A cet égard, la Commission prend acte que la diffusion des jeux de données sera accompagnée de conditions générales d’utilisation afin d’informer les réutilisateurs des obligations qui leur incombent concernant les droits des personnes et de la durée de conservation des données. Elle prend acte que ces conditions générales d’utilisation prévoient également de proscrire l’indexation des données par les moteurs de recherche externes lorsque celles-ci seront diffusées en ligne par les réutilisateurs.
La Présidente
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’action et des comptes publics d’une demande d’avis concernant la modification de l’arrêté du 25 septembre 2008 relatif à la mise en service à la direction générale des finances publiques, à la Caisse nationale des allocations familiales (CNAF) et à la Caisse centrale de mutualité sociale agricole d'une procédure automatisée de transfert des données fiscales ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le livre des procédures fiscales, notamment son article L. 152 ;
Vu le code de sécurité sociale ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 2018-1203 du 22 décembre 2018 de financement de la sécurité sociale pour 2019 (LFSS 2019), notamment son article 78 ;
Vu le décret n° 99-1047 du 14 décembre 1999 pris pour l'application de l'article 107 de la loi de finances pour 1999 (n° 98-1266 du 30 décembre 1998) relatif à l'utilisation du numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) par la direction générale des impôts, la direction générale de la comptabilité publique et la direction générale des douanes et droits indirects ;
Vu le décret n° 2002-771 du 3 mai 2002 portant création d'une procédure de transfert des données fiscales ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l'usage du numéro d'inscription au répertoire national d'identification des personnes physiques ou nécessitant la consultation de ce répertoire ;
Vu l’arrêté du 25 septembre 2008 modifié relatif à la mise en service à la direction générale des finances publiques, à la Caisse nationale des allocations familiales (CNAF) et à la Caisse centrale de mutualité sociale agricole (CCMSA) d'une procédure automatisée de transfert des données fiscales ;
Vu la délibération n° 99-033 du 24 juin 1999 portant avis sur un premier projet de décret en Conseil d’Etat pris pour l’application de l’article 107 de la loi du 30 décembre 1998 ;
Vu la délibération n° 01-055 du 25 octobre 2001 relative à la création d’une procédure de transfert de données fiscales pour le compte de l’Etat et des organismes de protection sociale visés à l’article L. 152 du livre des procédures fiscales ;
Sur la proposition de M. Philippe GOSSELIN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie pour avis par le ministre de l’action et des comptes publics, en application de l’article 2 du décret n° 99-1047 du 14 décembre 1999 pris pour l'application de l'article 107 de la loi de finances pour 1999 (n° 98-1266 du 30 décembre 1998) relatif à l'utilisation du numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) par la direction générale des impôts, la direction générale de la comptabilité publique et la direction générale des douanes et droits indirects, d’un projet de modification de l’arrêté du 25 septembre 2008 relatif à la mise en service à la direction générale des finances publiques, à la CNAF et à la CCCMSA d'une procédure automatisée de transfert des données.
Dans le même temps, elle a été saisie d’une autre demande d’avis relative à la modification de ce même décret n° 99-1047 aux fins précisément de supprimer l’obligation de saisine de la CNIL pour avis lors des modifications du traitement " TDF ", aux fins de mettre en cohérence les mécanismes de saisine de la Commission avec la modification de la loi " Informatique et Libertés " du 20 juin 2018 et les allègements de formalités qu’elle emporte.
La version initiale du décret étant toutefois toujours en vigueur, c’est sur le fondement de ce texte que la Commission rend le présent avis.
Cette saisine intervient dans le cadre d’un projet de réforme du système des prestations sociales.
Pour rappel, la réforme aura notamment pour conséquence la création de trois nouveaux traitements (" base DSN individus ", " base PASRAU individus " et " service de restitution ") permettant aux organismes chargés de la gestion des prestations sociales, d’avoir accès aux données générées par les flux " déclaration sociale nominative " (DSN) et " Prélèvement A la Source – Revenus AUtres " (PASRAU).
Ces traitements auront notamment pour finalité de permettre aux Caisses d’allocations familiales (CAF) et aux caisses de mutualité sociale agricole (MSA) d’apprécier les montants des ressources des demandeurs et des bénéficiaires d’une aide au logement, en vue de se prononcer sur l’ouverture ou le maintien des droits correspondants, ainsi que sur le calcul des quantums de ces derniers.
Dans le cadre de la réforme, l’appréciation des droits s’effectuera sur la base des ressources perçues par les personnes concernées pendant les douze mois précédant la date de l’examen des droits.
Or, les flux DSN et PASRAU, mis en place récemment et de manière progressive, n’ont pas à ce jour la profondeur historique suffisante pour répondre à un tel besoin.
Partant, le législateur a introduit dans la loi n° 2018-1203 du 22 décembre 2018 de financement de la sécurité sociale pour 2019, un article 78.VI.C selon lequel " au cours de l'année 2019, pour les revenus de l'année 2018, l'administration fiscale communique à la caisse nationale des allocations familiales et à la caisse centrale de la mutualité sociale agricole, selon les modalités prévues pour l'application de l'article L. 152 du livre des procédures fiscales, les informations nominatives nécessaires pour déterminer, parmi les allocataires de ces caisses, ceux pouvant bénéficier des aides au logement ".
L’arrêté projeté vise à mettre en application ces dispositions. A cette fin, il prévoit une modification temporaire de la procédure de transfert de données fiscales (" TDF ").