AgentPublic/cnil huggingface dataset:
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (ci-après loi informatique et libertés ), notamment son article 31 ;
Sur la proposition de M. Alain DRU, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte
L'article 51 de la loi du 10 février 2020 relative à la lutte contre le gaspillage et à l'économie circulaire (1) (dite loi Agec ) modifie le diagnostic préalable aux travaux de déconstruction, imposé depuis 2011 (2).
Renommé diagnostic produits, équipements matériaux et déchets (PEMD) avant démolition ou rénovation significative , il a pour objet de déterminer la nature, la quantité et la localisation des matériaux et produits de construction qui donneront lieu à des déchets à évacuer et éventuellement à recycler ou à réemployer. Le non-respect de l'obligation de réalisation du diagnostic est sanctionné pénalement (3).
Les maîtres d'ouvrage doivent ainsi transmettre au centre scientifique et technique du bâtiment (CSTB) (4) :
avant les travaux, le diagnostic PEMD contenant des recommandations notamment sur les filières de recyclage, les modalités de traçabilité et, le cas échéant, d'élimination des déchets ;
à l'issue des travaux, un formulaire de récolement sur la nature et la quantité des PEMD réellement générés ainsi que leur mode d'élimination.
B. - L'objet de la saisine
La CNIL a été saisie pour avis le 26 octobre 2022 par le ministère de la transition écologique et de la cohésion des territoires d'un projet d'arrêté portant autorisation d'un traitement de données à caractère personnel relatif à la gestion des produits, équipements, matériaux et déchets issus de la démolition ou de la rénovation significative de catégories de bâtiments dénommé plateforme PEMD .
La plateforme PEMD vise à permettre la saisie par les maîtres d'ouvrage ou les diagnostiqueurs des deux formulaires (diagnostic et récolement), ainsi que la manifestation d'intérêt des filières de réemploi et de recyclage du BTP pour les gisements enregistrés. Le CSTB est le responsable de ce traitement, qu'il met en œuvre sur la base de l'exécution d'une mission d'intérêt public.
La plateforme PEMD a pour finalités de :
collecter les informations permettant d'identifier des PEMD générés lors des travaux et potentiellement réemployables ou valorisables (réutilisable, recyclable, valorisable énergétiquement) ;
permettre la manifestation d'intérêt de tout acteur auprès de la maitrise d'ouvrage détentrice des PEMD, en vue de leur réemploi et/ou de leur valorisation ;
collecter les informations permettant d'identifier des PEMD qui ont été réemployés, valorisés ou éliminés ; et
réaliser des statistiques.
II. - L'avis de la CNIL
A. - Sur le régime juridique applicable
La CNIL a été saisie sur le fondement de l'article 31.I.2 de la loi informatique et libertés qui requiert son avis sur tout projet d'arrêté portant sur des traitements de données à caractère personnel mis en œuvre pour le compte de l'Etat et […] qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l'exécution des condamnations pénales ou des mesures de sûreté .
Le traitement étant susceptible de révéler ou d'écarter l'existence d'une éventuelle infraction pénale dans le cadre du non-respect de l'obligation de réalisation d'un diagnostic relatif à la gestion des PEMD, le ministère considère qu'il répond aux conditions de cet article.
La CNIL prend acte des arguments du ministère sur le fondement de la saisine.
La finalité principale poursuivie par le traitement étant de permettre le respect de l'obligation de réalisation et de transmission du diagnostic PEMD, et non la prévention et la détection des infractions pénales, la CNIL considère que le traitement relève du régime prévu par le RGPD.
B. - Sur les données collectées
L'article 2 de l'arrêté dispose que les données à caractère personnel collectées dans le traitement sont notamment :
Pour l'inscription au service numérique : les nom, prénom et adresse électronique ; et
les données à caractère personnel définies par les articles 3 et 4 de l'arrêté relatif au diagnostic portant sur la gestion des produits, équipements, matériaux et déchets issus de la démolition ou de la rénovation significative de catégories de bâtiments et abrogeant l'arrêté du 19 décembre 2011 relatif au diagnostic portant sur la gestion des déchets issus de la démolition de catégories de bâtiments.
La CNIL prend acte de ce que les données citées au 1 concernent les maîtres d'ouvrage soumis aux dispositions des articles L. 126-34 et L. 126-35 du CCH, les diagnostiqueurs, les filières de réemploi et de recyclage du BTP et les pouvoirs publics qui s'inscriront au service numérique.
La Commission relève que les données visées au 2 correspondent aux éléments des formulaires diagnostic et récolement . Elle prend également acte de ce que l'arrêté cité sera publié en même temps que l'arrêté examiné en l'espèce.
C. - Sur l'information des personnes
Le maître d'ouvrage reçoit une notification qui l'informe lorsque des acteurs intéressés se positionnent sur un ou plusieurs lots de PEMD d'une opération de déconstruction. Leur courriel est alors mis à disposition du maître d'ouvrage pour la suite des négociations.
La CNIL rappelle que les personnes concernées devront être informées de la possible transmission de leur courriel. Elle recommande d'effectuer cette information au moment de leur inscription sur le service et lors de leur manifestation d'intérêt.
D. - Sur le droit d'opposition
Le ministère a précisé que le droit d'opposition est exclu pour ce traitement, sur le fondement de l'article 23.1.e du RGPD afin de garantir des objectifs importants d'intérêt public général de l'Union ou d'un Etat membre , notamment la protection de l'environnement.
La CNIL appelle l'attention du ministère sur le nécessaire respect des dispositions de l'article 23.2 du RGPD qui impose de prévoir certaines garanties complémentaires dans l'acte dès lors que le paragraphe 23.1 est mobilisé, notamment le droit des personnes concernées d'être informées de la limitation.
Les autres dispositions du projet d'arrêté n'appellent pas d'observations de la part de la CNIL.
La présidente,
M.-L. Denis
(1) Loi n° 2020-105 du 10 février 2020 relative à la lutte contre le gaspillage et à l'économie circulaire.
(2) Décret n° 2011-610 du 31 mai 2011 relatif au diagnostic portant sur la gestion des déchets issus de la démolition de catégories de bâtiments.
(3) Article L. 183-4 du code de la construction et de l'habitation (CCH).
(4) Article R. 126-14-1 du CCH.
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Alexandre LINDEN, président, M. Philippe-Pierre CABOURDIN, vice-président, Mmes Anne DEBET et Christine MAUGÜÉ, MM. Alain DRU et Bertrand du MARAIS, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° SAN-2022-019 du 17 octobre 2022 adoptée par la formation restreinte à l’encontre de la société X ;
Vu la délibération n° SAN-2023-001 du 9 février 2023 adoptée par la formation restreinte à l’encontre de la société X ;
Après en avoir délibéré, a adopté la décision suivante :
I. FAITS ET PROCÉDURE
1. X (ci-après " la société ") est une entreprise établie aux États-Unis qui a pour activité le développement d’un logiciel de reconnaissance faciale, dont la base de données repose sur l’aspiration d’images publiquement accessibles sur Internet, qui permet d’identifier une personne à partir d’une photographie la représentant.
2. La Commission nationale de l’informatique et des libertés (ci-après " la CNIL ") a été saisie entre les mois de mai et de décembre 2020 de plusieurs réclamations relatives aux difficultés rencontrées par les plaignants pour exercer leurs droits d’accès et d’effacement auprès de la société.
3. L’organisme X a saisi la CNIL d’une plainte le 27 mai 2021.
4. Par décision du 17 octobre 2022, notifiée le 18 octobre 2022, la formation restreinte a adopté des mesures correctrices dans les termes suivants :
" - prononcer à l’encontre de la société X une amende administrative d’un montant de 20 000 000 (vingt millions) euros ;
- prononcer à l’encontre de la société X une injonction de ne pas procéder sans base légale à la collecte et au traitement de données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire français dans le cadre du fonctionnement du logiciel de reconnaissance faciale qu’elle commercialise, et supprimer l’ensemble des données à caractère personnel de ces personnes, notamment les données de la plaignante en cause ayant sollicité l’effacement (plainte n° X ), après avoir répondu aux demandes d’accès déjà formulées par les personnes le cas échéant ;
- assortir l’injonction d’une astreinte de cent mille euros (100 000 euros ) par jour de retard à l’issue d’un délai de deux mois suivant la notification de la présente délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai ".
5. En application de l’article 44 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi du 6 janvier 1978 modifiée "), la formation restreinte a, par une délibération du 9 février 2023, notifiée le 13 mars suivant, porté à la connaissance de la société que, compte tenu de l’absence de production de justificatifs de mise en conformité dans le délai imparti par l’injonction, elle envisageait de liquider l’astreinte pour un montant de cinq millions deux cent mille euros (5 200 000 euros) au titre de la période du 19 décembre 2022 au 9 février 2023, , et de rendre publique la délibération prononçant la liquidation de l’astreinte. Elle a indiqué à la société qu’elle disposait d’un délai de quinze jours à compter de la notification des motifs de la liquidation et de son montant pour transmettre ses observations écrites.
6. La société n’a formulé aucune observation écrite.
II. MOTIFS DE LA LIQUIDATION ET MONTANT
7. Aux termes de l’article 44 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi du 6 janvier 1978 modifiée " Lorsque la formation restreinte décide d'assortir d'une astreinte sa décision d'injonction de mise en conformité […], elle peut le faire par la même décision. Le responsable de traitement […] transmet à la formation restreinte, au plus tard à la date fixée dans la décision de cette dernière, les éléments attestant qu'il s'est conformé à l'injonction prononcée à son encontre ".
8. L’article 44, paragraphe 3, du décret précité prévoit que " En cas d'inexécution totale ou partielle ou d'exécution tardive, la formation restreinte procède à la liquidation de l'astreinte qu'elle avait prononcée " et que " Le montant de l'astreinte est liquidé en tenant compte des éléments transmis, le cas échéant, par le responsable de traitement ou le sous-traitant, de son comportement et des difficultés d'exécution qu'il a rencontrées, notamment s'il est établi que l'inexécution ou le retard dans l'exécution provient, en tout ou partie, d'une cause étrangère aux capacités de mise en conformité ".
9. Enfin, selon le paragraphe 4 de l’article précité, " la décision prononçant la liquidation de l’astreinte est précédée d’une procédure écrite au cours de laquelle la formation restreinte porte à la connaissance du responsable de traitement ou du sous-traitant les motifs de la liquidation envisagée et son montant. Le responsable du traitement ou le sous-traitant dispose d'un délai de quinze jours à compter de la date de notification des motifs de la liquidation et de son montant pour transmettre à la formation restreinte ses observations écrites ".
A. Sur les motifs de la liquidation
10. La formation restreinte constate que la société ne lui a transmis aucun élément permettant d’attester de sa mise en conformité à l’injonction prononcée à son encontre.
11. Par conséquent, la formation restreinte considère que la société n’a pas satisfait à l’injonction prononcée par la délibération n° 2022-019 du 17 octobre 2022.
B. Sur le montant de l’astreinte à liquider
12. Compte tenu de ce que la société s’est abstenue d’adresser le moindre élément de réponse, la formation restreinte considère que le comportement de la société justifie que l’astreinte soit liquidée à hauteur de cinq millions deux cent mille euros au titre de la période du 19 décembre 2022 au 9 février 2023.
C. Sur la publicité
13. Il convient de rendre publique la présente délibération, comme l’était la décision de sanction n° 2022-019 du 17 octobre 2022. Il apparaît en effet opportun que les nombreuses personnes concernées par le traitement visé dans la décision puissent être avisées des suites données au prononcé de l’injonction.
 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
- procéder à la liquidation de l’astreinte prononcée à l’encontre de la société X pour un montant de cinq millions deux cent mille euros (5 200 000 euros) au titre de la période du 19 décembre 2022 au 9 février 2023 ;
- rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans, le point de départ étant la publication de la délibération n° SAN-2022- 019 du 17 octobre 2022.
 Le président
 
Alexandre LINDEN
Conformément à l’article R.421-7 du code de justice administrative, cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’Etat dans un délai de quatre mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Saisie par la direction interministérielle du numérique (DINUM) d’un projet de décret en Conseil d’Etat relatif aux échanges d'informations et de données entre administrations pris en application de l’article 162 de la loi n°2022-217 du 21 février 2022 relative à la différenciation, la décentralisation, la déconcentration et portant diverses mesures de simplification de l'action publique locale ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu l’article L. 114-8 du code des relations entre le public et l'administration (CRPA), notamment le troisième paragraphe du II. ;
Après avoir entendu le rapport de M. Claude CASTELLUCCIA, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Émet l’avis suivant :
Le présent projet de décret porte sur l’organisation des échanges d’informations entre administrations nécessaires pour informer les personnes sur leur droit au bénéfice éventuel d'une prestation ou d'un avantage prévus par des dispositions législatives ou des actes réglementaires, et pour leur attribuer éventuellement lesdits prestations ou avantages. Ce projet est pris en application de l’article 162 de la loi relative à la différenciation, la décentralisation, la déconcentration et portant diverses mesures de simplification de l'action publique locale, sur laquelle la Commission s’était prononcée (délibération n° 2021-035 du 25 mars 2021), codifié au II de l’article L. 114-8 du CRPA.
 
Selon la DINUM, ce dispositif a pour objectif de généraliser l'approche proactive des administrations afin de lutter contre le non-recours au droit aux prestations et avantages auxquels les usagers pourraient prétendre.
La Commission suit depuis longtemps, et avec une attention particulière, l’évolution de la dématérialisation d’une partie des échanges de données entre administrations, qui constituent des traitements de données à caractère personnel. Ces échanges participent à la simplification des formalités administratives des usagers lorsqu’ils ont pour finalité de dispenser les usagers, personnes physiques ou morales, de fournir les mêmes justificatifs plusieurs fois.
La lutte contre le non-recours ne doit pas se heurter au droit de l’usager à renoncer aux prestations et avantages pour lesquels il est éligible.
Si la simplification des démarches administratives et l’amélioration des relations entre le public et les administrations constituent des objectifs légitimes, ces échanges doivent être limités aux données strictement nécessaires et garantir le respect des droits des personnes, ainsi que la sécurité et la confidentialité des données. La Commission considère qu’il faut distinguer, d’une part, les échanges de données réalisés aux fins de répondre aux demandes de l’usager, qui ne posent pas de difficulté de principe dès lors que l’atteinte à la vie privée apparaît faible, et, d’autre part, ceux réalisés à des fins de police administrative, de surveillance ou de détection des fraudes, pour lesquels il convient d’avoir une vigilance particulière.
A cet égard, la
 Commission 
accueille très favorablement l’ajout des mentions indiquant que les données collectées ne seront pas utilisées ou réutilisées à des fins de "détection ou pour la sanction d’une fraude" à l’article L. 114-8 du CRPA, tel qu’elle l’avait jugé nécessaire dans sa délibération n° 2021-035 du 25 mars 2021 précitée.
Sur la responsabilité de traitement
Le projet de décret laisse aux administrations une marge de manœuvre importante quant au choix de mettre en œuvre les traitements ayant pour finalité l’information proactive ainsi que, le cas échéant, leurs modalités. Dès lors, les administrations concernées doivent être considérées comme responsables de traitement au sens de la réglementation en matière de protection des données à caractère personnel.
A ce titre, elles sont soumises aux dispositions du RGPD et de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés.
La Commission prend acte qu’il n’est pas prévu que les administrations la saisissent ultérieurement pour avis, lorsqu’elles mettront en place les traitements relatifs à la démarche proactive. 
Dans le cadre de la démarche proactive, les principes de minimisation et de proportionnalité des données impliquent que la collecte de celles-ci par les administrations doit être limitée à ce qui est nécessaire.
Sur l’information des personnes
L’information des usagers doit être conforme aux exigences posées par le RGPD et adaptée au public visé.
En premier lieu, le paragraphe 2 du point II. de l’article L. 114-8 du CRPA prévoit que l'usager est avisé de ses droits d'accès et de rectification ainsi que, le cas échéant, de son droit de s'opposer à la poursuite du traitement des données, "au plus tard au moment de la première communication individuelle" réalisée par l’administration.
La Commission préconise que les administrations informent les usagers en amont de toute prise de contact au regard de la mention "au plus tard au moment de la première communication individuelle" précitée. Cette information préalable pourrait être délivrée, notamment, via le site web de l’administration concernée.
Une information individuelle pourrait également être délivrée au travers des différents portails proposés aux usagers tels que "mesdroitssociaux.gouv.fr" ou "impots.gouv.fr".
En tout état de cause, une alternative à destination des personnes utilisant peu, ou pas, les services numériques, ainsi que pour celles n’y ayant pas accès, devrait toujours être prévue.
En second lieu, la Commission rappelle les dispositions du dernier alinéa de l’article L. 114-8 du CRPA qui prévoient une information en ligne des usagers sur la liste des administrations ainsi que des avantages ou prestations qui sont, ou seront, concernés par les transmissions de données.
Sur l’exercice des droits des personnes
La DINUM prévoit de laisser les administrations déterminer les modalités d’exercice des droits des personnes concernées, et notamment les droits d’accès, de rectification et d’opposition.
Afin de garantir une expérience de l’usager optimale, la Commission préconise que les administrations mettent en place des modalités similaires afin que tous les usagers puissent exercer facilement leurs droits.
Par ailleurs, la Commission s’interroge sur la possibilité de mettre en place un portail unique et centralisé, destiné aux usagers, afin qu’ils puissent aisément et directement exercer leurs droits auprès de toutes les administrations concernées. Toutefois, la mise en place d’un tel dispositif ne devrait pas pour autant conduire à créer un fichier national unique recensant toutes les informations relatives aux usagers sollicités qui serait accessible à toutes les administrations concernées.
En premier lieu, les droits des usagers, en particulier le droit d’accès et le droit de rectification, devraient pouvoir être exercés auprès de toutes les administrations concernées, qu’il s’agisse de celle ayant collecté les données de l’usager ou celles réalisant l’information proactive.
A cet égard, l’article 19 du RGPD prévoit que "le responsable du traitement notifie à chaque destinataire auquel les données à caractère personnel ont été communiquées toute rectification ou tout effacement de données à caractère personnel ou toute limitation du traitement effectué". En tant que responsables de traitement, les administrations concernées mettant en œuvre des traitements à des fins d’information proactive devraient respecter cette obligation de notification et permettre une mise à jour uniforme des données relatives à l’usager.
En second lieu, le Gouvernement a indiqué à la Commission vouloir exclure expressément, dans le décret, la possibilité pour une personne de s’opposer à ce que ses données soient transmises à une ou plusieurs administrations à des fins de démarche proactive. Par conséquent, l’exercice du droit d’opposition préalablement à une première sollicitation par l’administration ne sera pas possible.
L’exclusion de ce droit d’opposition peut être considérée comme s’inscrivant dans la logique de la lutte contre le non-recours aux prestations. Toutefois, elle devra satisfaire les conditions posées à l’article 23 du RGPD.
En tout état de cause, la Commission rappelle que l’exercice du droit d’opposition à la poursuite du traitement ne prive pas l’usager des avantages ou prestations en question. Il devra toujours pouvoir en bénéficier par une autre voie que celle de la démarche proactive initiée par les administrations.
En troisième lieu, la Commission prend acte de ce que l’exercice du droit d’opposition auprès des administrations sollicitant les personnes entraînera la destruction totale des données de la personne concernée au sein du traitement concerné.
Afin d’éviter la multiplication des sollicitations des administrations, dans le cadre de leurs démarches d’information proactive, et d’assurer l’effectivité du droit d’opposition, la DINUM précise que les informations relatives à la demande et l’exercice de ce droit seront conservées.