AgentPublic/cnil huggingface dataset:
Ainsi, la CNIL invite le ministère à modifier la portée du dispositif afin d’inclure explicitement l’hypothèse dans laquelle l’adresse du siège so-cial et celle du domicile seraient confondues sous réserve de l’absence d’obstacle issu d’une disposition nationale ou européenne qu’il appar-tient au ministère de vérifier. En effet, dans l’hypothèse contraire, le pro-jet de décret risquerait de créer des situations déséquilibrées à l’égard de certaines personnes et de priver ainsi significativement le dispositif de sa portée et de son efficacité.
En troisième lieu, le projet de décret prévoit que la demande peut être formulée par les personnes inscrites au RCS mentionnées à l’article R. 123-54 du code de commerce.
La CNIL s’interroge sur la possibilité que l’adresse personnelle d’autres personnes physiques que celles les dirigeants et associés puisse apparaître dans les pièces an-nexes publiées.
Le cas échéant, la CNIL recommande au ministère de permettre égale-ment à ces personnes de solliciter la confidentialité des informations re-latives à leur domicile personnel et de les informer, compte tenu des risques qui peuvent également peser sur elles.
 B. Sur les conditions nécessaires pour obtenir la confidentialité des informations relatives au domicile personnel
Le deuxième alinéa du projet d’article R. 123-54-1 du code de commerce prévoit que la possibilité de solliciter la confidentialité des informations est établie "selon les modalités prévues par l’article R. 123-3" du même code. Son troisième alinéa énonce que le greffier traite la demande dans un délai de cinq jours ouvrables à compter de sa réception. Dans l’hypothèse où ce délai ne serait pas respecté, la per-sonne concernée dispose de la possibilité d’engager un recours auprès du juge commis à la surveillance du registre.
En premier lieu, le ministère a confirmé que les demandes peuvent être effec-tuées à tout moment et pas uniquement au moment de la déclaration de création, de la modification de la situation ou de la cessation de ses activités. La CNIL in-vite le ministère à le préciser explicitement dans le projet de décret.
En second lieu, s’agissant des délais d’instruction de la demande, le ministère a précisé que les délais devraient être, dans une grande majorité des hypothèses, très courts et ce, compte tenu de la nécessité, pour les greffiers, de donner la priorité à ces demandes. Elle rappelle que la possibilité offerte par le projet de décret, comme le droit à l’effacement prévu par l’article 17 du RGPD, doit s’exercer gratuitement. Elle invite le ministère à être attentif au respect de ces délais et à prendre toute mesure nécessaire s’il identifiait un dépassement de ce délai dans la gestion des demandes (par exemple, un grand nombre de recours auprès du juge commis à la surveillance du registre). Cela est d’autant plus important que, dans certaines con-ditions, l’exercice du recours auprès du juge commis à la surveillance du registre fait l’objet de frais.
Enfin, la CNIL recommande d’indiquer explicitement dans le projet de décret que le délai de cinq jours, applicable au traitement d’une de-mande par le tribunal de commerce, ne s’applique qu’aux hypothèses dans lesquelles la demande intervient a posteriori, sur des informations déjà publiées. En effet, il ne semble pas pertinent d’appliquer ce délai aux de-mandes qui interviennent notamment dans le cadre de formalités déclaratives de création de l’entreprise.
 C. Sur les conditions d’occultation des informations relatives au do-micile personnel sur des documents publics
Le dernier alinéa du projet d’article R. 123-54-1 du code de commerce prévoit la possibilité, pour les personnes concernées, de fournir des copies de l’acte ou de la pièce au sein desquels leur adresse personnelle serait occultée. Cette copie serait ensuite publiée par le greffier aux lieu et place du document original, conservé à titre de pièce justificative.
Le projet de décret est ainsi cohérent avec le dernier état de la jurisprudence de la Cour de justice de l’Union Européenne (CJUE, n° C-200/23 Arrêt de la Cour, Agentsia po vpisvaniyata contre OL, 4 octobre 2024) et n’est pas contradictoire avec les impératifs qui justifient la publication d’informations dans les registres évoqués précédemment. En effet, l’obligation de rendre publics certains documents n’impose pas automatiquement l’obligation de publier l’intégralité des données à caractère personnel qu’ils contiennent.
La CNIL rappelle, par ailleurs, que l’autorité en charge de la tenue du registre du commerce et de la publication des données issues du registre ne peut refuser de faire droit à une demande d’effacement de données, au sens de l’article 17 du RGPD, au seul motif que le déclarant n’a pas lui-même communiqué un document occultant les données qui ne sont pas tenues d’être publiées au titre de la loi, comme rappelé par la CJUE.
 D. Sur la nécessité d’engager des travaux structurels pour une harmo-nisation de l’ensemble des registres d’entreprises
Si la CNIL accueille favorablement, sous les réserves exposées ci-dessus, le disposi-tif prévu par le projet de décret, elle s’interroge sur les raisons qui justifient de li-miter cette mesure au RCS sans l’étendre, a minima, au RNE : restreindre le dispo-sitif au RCS risque, d’une part, de ne pas systématiquement impacter les données publiées dans le RNE et, d’autre part, de créer une différence de traitement entre les dirigeants et associés d’entités immatriculées au RCS et les dirigeants et asso-ciés d’autres entités immatriculées dans d’autres registres professionnels.
Sur ce point le ministère a mis en avant l’urgence et la nécessité d’agir rapidement compte tenu de l’actualité. Il a précisé avoir donné la priorité au RCS en raison du fait que, conformément aux dispositions du deuxième alinéa de l’article L. 123-52 du code de commerce, seule la commune de résidence fait l’objet d’une publication au titre des informations inscrites dans le RNE alors que le RCS implique la publi-cation de l’intégralité des informations relatives au domicile personnel.
Comme indiqué précédemment, la CNIL reçoit un important volume de plaintes (plus de trois cent plaintes) concernant la publication, par des réutilisateurs, de données à caractère personnel issues du RNE et du RCS, susceptibles de porter une atteinte excessive à la vie privée des dirigeants et entrepreneurs concernés.
Elle regrette que les saisines successives (délibérations n° 2021-098 du 2 sep-tembre 2021, n° 2022-013 du 10 février 2022, n° 2022-116 du 8 décembre 2022, n° 2023-091 du 21 septembre 2023, n° 2025-027 du 10 avril 2025 et n° 2025-042 du 5 juin 2025) et les échanges avec le ministère de la justice et le ministère chargé de l’économie et des finances n'aient pas abouti à une solution cohérente pour l’ensemble des registres, en lieu et place d’une approche "au cas par cas" condui-sant à traiter chacun des fichiers successivement et non l’ensemble du problème dans une perspective globale. Dans ce contexte, elle appelle à d’autres évolutions réglementaires rapides afin de corriger ces difficultés pourtant identifiées de longue date.
Pour donner tout son sens à la portée de ce projet de texte, il est néces-saire de réaliser un travail structurel d’harmonisation des régimes juri-diques applicables à la publication des données à caractère personnel issues de l’ensemble des registres d’entreprises (RBE, RNE, RCS, SIRENE, etc.) ou des obligations relatives à la publication des annonces légales dans les supports habilités à les recevoir. La CNIL prend acte de l’engagement du ministère sur ce point.
Enfin, la CNIL rappelle que les réutilisateurs de données exercent une activité qui s’inscrit dans le cadre d’un contrat qui prévoit que les données doivent être mises à jour. Le respect de cette obligation contractuelle leur permet, d’ailleurs, de se con-former au principe d’exactitude des données, posé par l’article 5.1.d du RGPD.
Par conséquent, la CNIL rappelle l’importance de respecter les obliga-tions de mise à jour des informations et invite le ministère à prendre les mesures correctrices nécessaires en cas de non-respect par les réutilisa-teurs de leurs obligations.
Les autres dispositions du projet de décret n’appellent pas d’observations.
La présidente,
M.-L. Denis
N° de demande d'avis : 24011552
			Thématiques : PEReN, loi visant à sécuriser et à réguler l'espace numérique ( loi SREN ), recherche publique, données publiquement accessibles, moissonnage, web scrapping
Organisme(s) à l'origine de la saisine : le ministère de l'économie, des finances et de la souveraineté industrielle et numérique
			Fondement de la saisine : article 36 de la loi n° 2021-1382 du 25 octobre 2021 relative à la régulation et à la protection de l'accès aux œuvres culturelles à l'ère numérique
L'essentiel :
- le projet de décret vise à transposer au niveau règlementaire les évolutions issues de l'article 36 de la loi n° 2021-1382, notamment en élargissant aux activités de recherche publique les pouvoirs de collecte automatisée de données publiquement accessibles du PEReN ;
- le projet de décret étend l'ensemble des garanties prévues par le décret n° 2022-603 pour les activités d'expérimentation à l'activité de recherche du PEReN.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ) ;
Vu la loi n° 2021-1382 du 25 octobre 2021 relative à la régulation et à la protection de l'accès aux œuvres culturelles à l'ère numérique modifiée, notamment son article 36 ;
Sur la proposition de M. Bertrand du Marais, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte
Le PEReN est un service à compétence nationale créé par le décret n° 2020-1102 du 31 août 2020 et placé sous l'autorité conjointe des ministres chargés de l'économie, de la culture et du numérique.
Le PEReN a pour mission d'appuyer les services de l'Etat intervenant dans la régulation des plateformes numériques, dans leurs travaux de conception, de mise en œuvre et d'évaluation de cette régulation. A cette fin, le PEReN peut mener plusieurs types d'activités :
- il fournit un appui aux autorités administratives indépendantes et aux autorités publiques indépendantes intervenant dans la régulation des plateformes numériques qui le souhaitent et qui concluent alors une convention avec ce service.
- il mène des activités d'expérimentation visant à utiliser, concevoir ou évaluer des outils techniques destinés à aider les autorités publiques dans leur mission de régulation des opérateurs de plateformes en ligne ;
- il conduit, à son initiative, des activités de recherche publique, au sens de l'article 112-1 du code de la recherche, pour développer une capacité d'expertise en appui aux politiques publiques et contribuer à la diffusion des connaissances scientifiques.
Le PEReN a rapidement fait valoir des difficultés liées au cadre de collecte des données publiquement accessibles utiles à ses travaux et au refus de certaines plateformes numériques de coopérer avec lui. En conséquence, le législateur a autorisé ce service à mettre en œuvre des méthodes de collecte automatisée de données publiquement accessibles en ligne dans le cadre de ses activités d'expérimentation (article 36 de la loi n° 2021-1382 du 25 octobre 2021). Il prévoit que les opérateurs des plateformes ne puissent pas lui opposer un refus d'accès aux services existants de mise à disposition de ces données ou une interdiction de collecte automatisée au travers des conditions générales d'utilisations (CGU).
Le décret n° 2022-603, pris pour l'application de ces dispositions, est venu préciser les méthodes de collecte automatisée de données publiquement accessibles que le PEReN était autorisé à mettre en œuvre dans le cadre de ces expérimentations. La CNIL a rendu un avis dans le cadre de sa délibération n° 2022-030 du 10 mars 2022.
Le directeur du PEReN a complété ce texte par une décision du 1er juillet 2022 portant création d'un traitement automatisé de données à caractère personnel mis en œuvre dans le cadre des activités d'expérimentation de ce service.
B. - L'objet de la saisine
La loi SREN est venue modifier l'article 36 de la loi n° 2021-1382 à plusieurs égards. La CNIL a rendu un avis sur une partie de ces modifications dans le cadre de sa délibération n° 2023-036 du 20 avril 2023.
Le IV de l'article 62 élargit le périmètre des opérateurs objets des activités du PEReN, tant en matière d'expertise et d'appui technique aux autorités administratives indépendantes et autorités publiques indépendantes qu'en matière d'expérimentation ou de recherche publique. Initialement limités aux opérateurs de plateformes numériques, tels que définis à l'article L. 111-7-I du code de la consommation (désormais abrogé), ce périmètre est désormais étendu aux opérateurs de services de plateforme essentiels, tels que définis à l'article 2 du règlement (UE) 2022/1925 relatif aux marchés contestables et équitables dans le secteur numérique (ci-après le règlement européen sur les marchés numériques ) et aux opérateurs de services de communication au public en ligne reposant sur le traitement de contenus, de biens ou de services, au moyen d'algorithmes informatiques.
L'article 42 précise, par ailleurs que les activités de recherche du PEReN peuvent contribuer à la détection, à la détermination et à la compréhension des risques systémiques dans l'Union européenne, au sens du paragraphe 1 de l'article 34 du règlement (UE) 2022/2065 relatif à un marché unique des services numériques.
Ensuite, ce même article 42 étend aux activités de recherche les pouvoirs, initialement limités à la seule activité d'expérimentation, permettant la collecte automatisée de données publiquement accessibles du PEReN, notamment dans des conditions dérogatoires, aux conditions générales d'utilisation ou les licences des services des opérateurs.
Enfin, il fixe la durée maximale de conservation des données à cinq ans, pour les données collectées par ce service au titre de ses activités de recherche publique à comparer à 9 mois pour son activité d'expérimentation.
Le ministère de l'économie, des finances et de la relance a saisi la CNIL d'une demande d'avis relative à un projet de décret modifiant le décret n° 2022-603 afin de tenir compte de ces évolutions au niveau règlementaire.
Le projet de décret modificatif appelle les observations suivantes de la CNIL.
II. - L'avis de la CNIL
A. - Sur les garanties mises en œuvre
Le projet de décret étend l'ensemble des garanties prévues par le décret n° 2022-603 pour les activités d'expérimentation à l'activité de recherche du PEReN. Ainsi, seules les données publiquement accessibles sur les services des opérateurs concernés pourront être collectées. Par ailleurs, le recours à un système de reconnaissance faciale ou d'identification vocale est exclu. En outre, si la création de comptes dédiés sur les services des opérateurs concernées est autorisée, ces derniers ne pourront pas être utilisés par les agents du PEReN pour entrer en relation avec les personnes concernées. De plus, afin d'assurer la proportionnalité de la collecte, la sélection des contenus à collecter sur les services s'opère par application de critères techniques déterminés, dans la limite de la constitution d'échantillons de données statistiquement représentatifs de faible amplitude. Enfin, les données collectées qui ne sont pas nécessaires aux finalités poursuivies -tant d'expérimentation que dorénavant de recherche- ainsi que les données sensibles, au sens de l'article 6 de la loi informatique et libertés quelle que soit la finalité mise en œuvre, sont détruites immédiatement après leur collecte, selon un procédé automatisé. La CNIL approuve l'extension de ces garanties qui est indispensable compte de l'élargissement des pouvoirs de collecte automatisée de données publiquement accessibles du PEReN en matière de recherche publique.
Par ailleurs, le directeur du PEReN a adopté une décision du 1er juillet 2022 portant création d'un traitement automatisé de données à caractère personnel mis en œuvre dans le cadre de ses activités d'expérimentation. Cette décision a permis au PEReN de préciser l'encadrement des traitements de données ayant vocation à être mis en œuvre en prenant en compte les principales recommandations que la CNIL avait formulé dans sa délibération n° 2022-030 du 10 mars 2022 sur les caractéristiques essentielles de ces traitements. Elle prévoit notamment la réalisation d'analyse d'impact sur la protection des données (AIPD), les obligations en matière de journalisation des accès aux données à caractère personnel ainsi que les modalités d'information et d'exercice des droits des personnes concernées. Elle interdit toute réutilisation des données à d'autres fins que celles prévues dans le cadre de l'expérimentation ayant justifié la collecte et exclut la transmission des données à des tiers autre qu'un sous-traitant du service. Enfin, elle vient préciser le contenu du rapport annuel qui devra être transmis au Parlement et à la CNIL afin d'assurer une transparence sur les traitements de données.
La CNIL invite le PEReN à s'assurer que, par cohérence, l'ensemble de ces garanties s'appliquent également aux activités de recherche soit en modifiant la décision du 1er juillet 2022 pour l'élargir aux activités de recherche soit en adoptant une nouvelle décision.
Enfin, la CNIL réitère les recommandations qu'elle a formulées au titre de sa délibération n° 2022-030 du 10 mars 2022, notamment s'agissant du droit d'opposition et invite le PEReN à clarifier la portée du droit d'opposition, notamment dans sa décision du 1er juillet 2022. A cet égard, elle prend acte de l'engagement du gouvernement de préciser dans sa décision la durée de conservation des informations strictement nécessaires pour assurer le respect du droit d'opposition. La CNIL invite également le PEReN à prévoir, dans sa décision, que le droit d'opposition puisse concerner l'ensemble des activités de recherche ou d'expérimentations ayant vocation à être mises en œuvre sans qu'il soit nécessaire, pour les personnes concernées, de renouveler l'exercice de leur droit pour chaque traitement de données à caractère personnel réalisé dans le cadre de l'une de ces activités.
B. - Sur la notion de données publiquement accessibles
L'article 36 la loi n° 2021-1382 prévoit que les méthodes de collecte automatisée des données publiquement accessibles peuvent être notamment mises en œuvre auprès des fournisseurs de systèmes d'intelligence artificielle.
Le ministère a précisé que cette extension du périmètre permet la collecte de données générées, en réponse à une requête du PEReN, par des services commerciaux d'intelligence artificielle ou par une fonctionnalité d'intelligence artificielle générative intégrée dans un service de plateforme numérique.
En principe, la notion de données publiquement accessibles ne vise pas des données produites suite à des requêtes auprès des services des opérateurs lorsque ces requêtes impliquent une opération autre que la simple communication des informations. La CNIL souligne cet élargissement de la notion de données publiquement accessible qui est justifié en l'espèce :
- par les activités spécifiques du PEReN ;
- par les dispositions de la loi qui visent spécifiquement la collecte automatisée de données publiquement accessibles auprès des fournisseurs de systèmes d'intelligence artificielle ;
- par le caractère strictement nécessaire et proportionné de cette collecte dont il conviendra de s'assurer, en pratique, au cas par cas compte tenu des finalités des traitements envisagés.
C. - Sur les durées de conservation
L'article 36 la loi n° 2021-1382 prévoit que les données collectées dans le cadre des activités de recherche publique sont détruites à l'issue des travaux, et, dorénavant au plus tard cinq ans après leur collecte.
La durée de cinq ans, prévue par la loi, est une durée maximale : le PEReN devra déterminer, pour chaque projet de recherche, la durée de conservation des données à caractère personnel strictement appropriée en fonction de la finalité poursuivie, conformément au principe de limitation de la conservation prévu à l'article 5.1.e du RGPD.
La présidente,
M.-L. Denis
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS et Didier KLING, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;
Vu le code des postes et des communications électroniques ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2025-1154 du 8 août 2025 du Conseil Constitutionnel relative à la conformité aux droits et libertés garantis par la Constitution de l’article 22 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.
Vu la décision n° 2022-175C du 29 septembre 2022 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements de données à caractère personnel relatifs à la mise en œuvre et l’utilisation du service de messagerie électronique " Gmail " et tout traitement, y compris publicitaire, lié auprès de tout organisme susceptible d’être concerné par leur mise en œuvre ;
Vu la décision n° 2023-103C du 19 avril 2023 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements relatifs aux traceurs lus et déposés sur le terminal des personnes connectées à un compte Google lors de leur navigation auprès de tout organisme susceptible d’être concerné par leur mise en œuvre ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés du 30 avril 2024 portant désignation d’un rapporteur devant la formation restreinte ;
Vu le rapport de Mme Anne DEBET, commissaire rapporteure, signifié aux sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED le 25 juillet 2024 ;
Vu les observations écrites versées par le Conseil des sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED le 4 octobre 2024 ;
Vu la réponse de la rapporteure à ces observations, signifiée aux sociétés le 25 novembre 2024 ;