AgentPublic/cnil huggingface dataset:
Le traitement est justifié par l’objectif légitime de préserver la sincérité du débat démocratique et de lutter contre les atteintes aux intérêts fondamentaux de la Nation. La Commission estime néanmoins que la mise en œuvre d’un tel traitement n’est pas neutre sur l’exercice des libertés publiques compte tenu de l’économie générale du traitement et des conséquences que ce traitement est susceptible d’avoir sur certains droits et libertés fondamentaux, dont la liberté d’expression et la liberté d’opinion. En outre, la Commission relève que le traitement envisagé s’appuie sur une veille permanente et, parce qu’il peut concerner tous les champs du débat public, est susceptible de permettre à tout instant une collecte massive de données à tout instant. De telles atteintes ne peuvent être admises que si des garanties suffisantes sont prévues. La Commission considère qu’une attention particulière doit être accordée au principe de transparence à l’égard du grand public et aux principes de minimisation des données et de respect de la vie privée dès la conception, en limitant le traitement de données non pertinentes au regard des finalités poursuivies et en limitant les périodes au cours desquelles ce traitement peut être mis en œuvre.
Sur l’économie générale du traitement de données à caractère personnel envisagé
Le dispositif considéré se décomposera en plusieurs phases. Tout d’abord, une phase de veille et de détection doit permettre de suivre les informations pertinentes sur des thématiques d’actualité afin d’identifier les acteurs ou les évènements ayant un intérêt au regard des missions du service Viginum . A ce stade du traitement, le service Viginum s’attache à détecter un soupçon relatif à la diffusion d’allégations ou imputations de faits manifestement inexactes ou trompeuses avant d’initier l’opération de collecte. Cette phase conduira à la rédaction de fiches dites de traçabilité qui détermineront les éléments techniques (mots-clés, éléments sémantiques comme des mots-dièses, éléments chiffrés, rapprochement entre des profils ou groupe de profils d’intérêts, etc.) qui permettront, après une validation humaine, d’orienter l’opération de collecte par la sélection des contenus nécessaires à la mission de caractérisation. La collecte des données à caractère personnel est alors activée sur l’ensemble des plateformes identifiées comme pertinentes, notamment par des techniques d’extraction du contenu de sites, via des scripts ou des programmes automatisés ( webscraping ) ou l’utilisation d’interfaces de mise à disposition des données fournies par les plateformes (ou API, pour Application Programing Interface ), durant une période initiale de sept jours. Les données ainsi collectées font ensuite l’objet de traitements techniques automatisés afin de séparer les informations à
conserver (celles qui correspondent aux catégories de données formant le modèle de données préalablement défini) de celles qui doivent être immédiatement supprimées. Les données conservées à l’issue de cette opération seront ensuite exploitées et analysées, afin de confirmer, le cas échéant, la présence d’une opération d’ingérence numérique étrangères. Les données exploitées peuvent être extraites pour les besoins de l’élaboration de notes d’analyse qui pourront être transmises à différents services étatiques et administrations ainsi qu’à des homologues étrangers.
En premier lieu, la Commission relève que le traitement envisagé soulève des difficultés particulières en termes de proportionnalité.
Tout d’abord, il implique une collecte automatisée de données publiées sur diverses plateformes (notamment les réseaux sociaux), en très grande quantité et susceptible d’intervenir à tout moment. Ces informations sont susceptibles de révéler des informations sur un nombre important d’aspects de la vie privée des personnes concernées, y compris des informations sensibles, telles que les opinions politiques, les convictions religieuses ou philosophiques ainsi que l’état de santé ou l’orientation sexuelle, alors que de telles données bénéficient d’une protection particulière. Ainsi, le traitement envisagé conduit une autorité publique à collecter des données relatives à l’activité de personnes sur les plateformes en ligne où elles sont inscrites, disposant ainsi, potentiellement, d’une information particulièrement riche et précise sur elles, indépendamment de toute enquête pénale ou procédure judiciaire et en dehors du cadre prévu pour les techniques de renseignement.
Par ailleurs, la collecte automatisée d’un grand nombre de données à partir des plateformes concernées, selon certains paramètres déterminés par avance (au sein des fiches dites de traçabilité ), implique la collecte et le traitement de données non pertinentes au regard des finalités poursuivies.
En deuxième lieu, la Commission souligne, eu égard aux volumes de données potentiellement collectées, la nécessité d’assurer un contrôle externe, effectif et adapté aux caractéristiques propres au traitement envisagé, afin de garantir que celui-ci s’inscrive dans les limites et critères définis à l’article 1er du projet de décret et, dès lors, concerne bien la diffusion d’allégations ou imputations de faits manifestement inexactes ou trompeuses . Il pourrait notamment appartenir au comité éthique et scientifique, créé par le décret n° 2021-922 du 13 juillet 2021, de veiller effectivement à ce que les opérations de collecte ne soient déclenchées qu’au vu d’éléments les justifiant suffisamment, et pour un périmètre de données pertinent. Les moyens du comité devraient être proportionnés à ses missions, afin qu’il puisse réagir rapidement à toute fiche de traçabilité transmise.
 
En troisième lieu, la Commission souligne que certaines données à caractère personnel, présentes dans les notes d’analyse précédemment évoquées, seront adressées à de multiples services étatiques et administrations ainsi qu’à des homologues étrangers, dans les conditions détaillées ci-après.
Au regard de ces éléments, la Commission considère qu’il s’agit d’un traitement d’une extrême sensibilité, tant en raison du nombre de personnes concernées (potentiellement plusieurs centaines de milliers de personnes) et du volume de données dont la collecte peut être déclenchée à tout moment, que de l’absence de contrôle externe dans le projet dont elle a été saisie. Ce constat guide les observations que la Commission entend faire sur les garanties que le texte encadrant un tel dispositif devrait prévoir.
 
Sur la nature du texte autorisant la création du traitement
 
La Commission relève que la mise en œuvre d’un tel traitement interviendra de facto dans le champ des libertés publiques. En effet, l’existence de cette surveillance qui, à la différence de la procédure mise en place par la loi du 22 décembre 2018, n’est pas bornée dans sa durée, est susceptible d’avoir des conséquences sur l’exercice de la liberté d’opinion et d’expression des utilisateurs des plateformes concernées, dès lors que la collecte de l’ensemble des données publiquement accessibles sur les plateformes en ligne des opérateurs mentionnés au I de l’article L. 111-7 du code de la consommation est susceptible de modifier leur comportement. Certains d’entre eux pourraient, en effet, faire le choix de ne plus s’exprimer afin d’éviter une collecte des données qui les concernent.
Elle considère donc qu’une atteinte particulièrement importante au droit au respect de la vie privée et à la protection des données à caractère personnel est caractérisée. De telles atteintes ne peuvent être admises que si elles apparaissent strictement nécessaires au but poursuivi, et si des garanties suffisantes au regard du respect des principes fondamentaux du droit à la protection des données à caractère personnel sont prévues.
 
Or, la Commission appelle l’attention du Gouvernement sur le fait que le législateur a précédemment considéré qu’il lui appartenait de fixer les règles en matière de lutte contre la manipulation de l’information (loi n° 2018-1202 du 22 décembre 2018) et concernant les dispositifs de collecte de données accessibles sur les réseaux sociaux ayant vocation à être mis en œuvre, par exemple, par le pôle d'expertise de la régulation numérique (projet de loi relatif à la régulation et à la protection de l’accès aux œuvres culturelles à l’ère numérique), le Conseil supérieur de l'audiovisuel (article 42 de la loi n° 2021-1109 du 24 août 2021 confortant le respect des principes de la République), l'administration fiscale et l'administration des douanes et droits indirects (article 154 de la loi de finances pour 2020).
Compte tenu de ce qui précède, la Commission estime souhaitable de laisser la possibilité au législateur, au terme d’un débat démocratique, d’apprécier la proportionnalité d’un tel dispositif et de fixer les règles en encadrant et en limitant l’usage, ainsi que les modalités de son contrôle.
 
Par ailleurs, la Commission souhaite formuler les observations suivantes.
Les garanties à prévoir par le texte encadrant le traitement
 
A titre liminaire, la Commission rappelle que la légalité du dispositif pourra être contrôlée par la Commission dans le cadre des pouvoirs de contrôle prévus à l’article 19 de la loi du 6 janvier 1978 modifiée (ci-après la loi Informatique et Libertés ).
 
Sur les finalités du traitement
Le deuxième alinéa de l’article 1er du projet de décret prévoit que le traitement a pour finalité la collecte et l’exploitation des contenus publiquement accessibles sur les plateformes en ligne . La Commission rappelle que la collecte n’est qu’un moyen et que la finalité du traitement est décrite au premier alinéa de l’article 1er, à savoir la caractérisation des opérations impliquant, de manière directe ou indirecte, un Etat étranger ou une entité non étatique étrangère, et visant à la diffusion artificielle ou automatisée, massive et délibérée, par le biais d’un service de communication au public en ligne, d’allégations ou imputations de faits manifestement inexactes ou trompeuses de nature à porter atteinte aux intérêts fondamentaux de la Nation (troubles à l’ordre public, déstabilisation des élections, etc.). La Commission prend acte de l’engagement du Gouvernement de préciser la finalité dans le projet de texte encadrant le traitement.
 
Le traitement vise à répondre aux besoins de caractériser une stratégie hostile entendue comme :
une activité inauthentique (constituée par exemple de comportements techniques anormaux) ;
dévoilant une intention malveillante à l’encontre des intérêts fondamentaux de la Nation avec pour objectif central la déstabilisation ; et
rattachable à une origine étrangère supposée, étatique ou non étatique.
La Commission relève qu’il ressort de l’analyse d’impact sur la protection des données (AIPD) que chaque opération de collecte et d’analyse de données à caractère personnel sera encadrée par une fiche dite de traçabilité qui déterminera les indicateurs pertinents à suivre (mots-clés, éléments sémantiques comme des mots-dièses, éléments chiffrés, rapprochement entre des profils ou groupe de profils d’intérêts, etc.). Elle appelle l’attention du Gouvernement sur la nécessité de définir de manière plus précise les opérations de collecte dans les fiches de traçabilité. Elle relève que la conformité de ces fiches de traçabilité aux finalités définies à l’article 1er n’est soumise à aucun contrôle externe.
 
Compte tenu de ce qui précède, la Commission considère que la finalité de détection et de caractérisation d’une opération d’ingérence numérique étrangère est déterminée, explicite et légitime, conformément au 2° de l’article 4 de la loi Informatique et Libertés .
 
Sur les différentes phases du traitement
La Commission relève que le projet de décret n’encadre le traitement qu’à compter de la phase de caractérisation. Or, comme détaillé précédemment, la phase de caractérisation est précédée d’une phase de veille et de détection, réalisée via des moyens automatisés ou humains, qui implique un traitement de données à caractère personnel. Au surplus, il apparaît essentiel que le décret prévoie cette opération, qui vise à garantir qu’une opération de collecte de données n’est déclenchée que lorsqu’il existe un soupçon suffisamment étayé de diffusion d’allégations ou imputations de faits manifestement inexactes ou trompeuses .
 
Sur les catégories de données à caractère personnel
S’agissant de la notion de contenus publiquement accessibles et les plateformes visées
L’article 1er du projet de décret limite la collecte de données aux  contenus publiquement accessibles  sur les plateformes en ligne des opérateurs concernés. L’article 3 du projet autorise la création de comptes dédiés sur les plateformes concernées ainsi que des comptes destinés à être utilisés par l’intermédiaire d’API.
La Commission prend acte de ce que la référence aux contenus publiquement accessibles dans le projet de décret exclut les contenus faisant l’objet d’un accès restreint, notamment lorsqu’ils nécessitent une demande d’accès préalable ou une étape de validation de connexion (par exemple, un groupe fermé sur un réseau social ou un service de messageries en ligne).
Toutefois, elle relève que le champ des plateformes concernées par le projet d’article est particulièrement étendu. En l’état des justifications fournies, elle s’interroge sur la nécessité de viser l’ensemble des plateformes mentionnées au I de l’article L. 111-7 du code de la consommation, dont certaines ne paraissent pas pertinentes au regard de l’objectif poursuivi (par exemple, s’agissant des plateformes en ligne de mise en relation de plusieurs parties en vue de la vente d'un bien, de la fourniture d'un service). En tout état de cause, la Commission considère que le choix des plateformes visées devra être documenté et justifié au regard notamment de leur caractère systémique et du nombre d’abonnés. A cet égard, elle prend acte de la précision du Gouvernement selon laquelle les plateformes concernées sont uniquement celles dépassant un seuil de connexion de 5 millions de visiteurs uniques par mois et par plateforme.
S’agissant des modalités de collecte des données
A titre liminaire, et afin d’éviter toute confusion sur le terme de collecte, la Commission appelle l’attention du SGDSN sur la nécessité de différencier, dans le texte qui autorisera le traitement, les notions de collecte et de conservation, qui recouvrent des acceptions différentes dans le projet de décret. En effet, les catégories de données visées à l’article 4 du projet de décret ne concernent que celles ayant vocation à être conservées, et non l’ensemble des données susceptibles d’être collectées. La Commission prend acte de l’engagement du Gouvernement de modifier sur ce point le projet de texte encadrant le traitement.
Le projet de décret prévoit que l’opération de collecte déclenchée à partir de la fiche de traçabilité pourra en pratique conduire à copier des données excédant les catégories visées à l’article 4 du projet de décret, dès lors qu’elles sont en lien avec les indicateurs préalablement définis dans le cadre de ces fiches. Ces données extraites seront immédiatement et automatiquement retraitées pour supprimer celles qui excèdent les catégories de l’article 4. En raison de ces modalités techniques de collecte qui résulteraient de contraintes opérationnelles et qui conduisent à traiter des données non pertinentes au regard des finalités poursuivies, qui ne seront finalement pas conservées, la Commission appelle l’attention du Gouvernement sur la nécessité de mettre en place des garanties appropriées afin de s’assurer du respect des principes de minimisation des données et de protection des données dès la conception.
 
En premier lieu
, la Commission considère que la phase de veille et de détection, qui permettra de déterminer, au sein de fiches dites de traçabilité , les éléments de la collecte (mots-clés, éléments de sémantiques comme des hashtags, éléments chiffrés, rapprochement entre des profils ou groupe de profils d’intérêts, etc.), doit permettre de s’assurer que seules les informations en lien avec les thématiques et acteurs présumés étrangers d’intérêt soient collectées. Ce traitement en deux temps doit permettre de s’assurer que l’intégralité des données à caractère personnel publiquement accessibles sur les plateformes en ligne ne soit pas collectée.
En deuxième lieu, elle souligne la nécessité de s’assurer de l’effectivité des mesures permettant, à l’issue de leur collecte, de procéder à la suppression immédiate des données considérées comme non pertinentes pour la phase d’exploitation, à défaut de procédés techniques permettant d’opérer, en amont de la collecte, une distinction quant à la nature des données collectées.
En troisième lieu, elle considère que des mesures techniques contraignantes doivent être prévues afin de garantir que personne n’accèdera à celles des données collectées qui seront identifiées comme devant être immédiatement et automatiquement supprimées. Elle relève toutefois, que certains administrateurs individuellement habilités pourront avoir accès à l’outil de suppression des données. A cet égard, elle recommande que les actions d’activation, de modification et d’accès sur ce procédé automatisé ne soient pas techniquement possibles pour les agents du service Viginum et que ces accès fassent l’objet des mesures de journalisation permettant de garantir la fiabilité des traces associées, ainsi que leur analyse régulière afin de détecter les accès non autorisés.
En outre, l’article 5 du projet de décret prévoit que les données non pertinentes sont immédiatement détruites . La Commission considère que cette formulation omet d’indiquer l’étape précédant la destruction des données. Elle invite le Gouvernement à préciser, dans le texte encadrant le traitement, que les données non pertinentes doivent être détruites immédiatement après l’opération de collecte, garantissant ainsi que l’accès par les opérateurs humains ne sera possible que pour les seules données visées à l’article 4 du projet de décret.
En dernier lieu, il ressort du projet de décret que seules les données publiquement accessibles sur les plateformes en ligne peuvent être collectées. Le décret prévoit que le service Viginum pourra recourir à des sous-traitants : les données ainsi collectées le seront sur instruction et sous la responsabilité de Viginum . La Commission souligne par ailleurs que, si des données complémentaires devaient pouvoir être obtenues auprès de tiers, il serait souhaitable que cette modalité de collecte soit mentionnée dans le décret. Les données ainsi obtenues devraient alors correspondre aux sources et catégories de données prévues par le décret, avoir été rassemblées par ces tiers dans des conditions respectant la réglementation européenne et française protégeant les données à caractère personnel, et être traitées pour les finalités prévues par le décret et dans le respect de ses dispositions.
S’agissant de la définition des catégories de données conservées
Les catégories mentionnées à l’article 4 du projet de décret appellent les observations suivantes.
En premier lieu, la Commission considère que la notion de données de caractérisation de l’activité et de l’audience des comptes ne permet pas de comprendre de manière précise le périmètre de cette catégorie de données. Elle comprend des échanges avec le Gouvernement que la caractérisation de l’activité  peut inclure la collecte de données versées ou relayées par l’utilisateur, et non de simples informations décrivant l’intensité ou certaines modalités d’utilisation du compte. Elle lui demande de préciser sur ce point le texte encadrant le traitement.
 
En deuxième lieu, la Commission invite le Gouvernement à préciser, dans le projet de texte encadrant le traitement, que les données d’identification déclarées par les titulaires de comptes ouverts sur les plateformes en ligne  concernent les données déclaratives qui apparaissent sur le compte, afin d’éviter toute confusion avec les données d’identification définies par la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique. La Commission prend acte de l’engagement du Gouvernement de compléter le projet de texte encadrant le traitement sur ce point.
En troisième lieu, la Commission estime que la collecte des publications diffusées au moyen des comptes et les indicateurs d’audience associés est susceptible de révéler des pans importants de la vie privée des internautes. Il sera donc particulièrement important que les données qui se révéleraient inutiles pour la détection d’une manipulation d’information d’origine étrangère soient détruites le plus tôt possible, avant même la durée maximale d’exploitation de quatre mois fixée par l’article 9 du projet de décret.
 
En dernier lieu, la Commission rappelle que toute évolution des catégories de données devra entraîner une modification du texte.
 
S’agissant du traitement de catégories particulières de données à caractère personnel
L’article 6 du projet de décret précise que les informations collectées peuvent contenir des données sensibles, au sens de l’article 6 de la loi Informatique et Libertés .
 
La Commission prend acte de ce que la collecte de telles données est inhérente à l’activité du service Viginum . Les garanties soulignées par la Commission (suppression immédiate et automatisée des données non pertinentes, transparence, etc.) doivent être appliquées avec d’autant plus de rigueur dans l’exploitation et la conservation de ces données.
Par ailleurs, elle considère que certaines catégories de données sont susceptibles de soulever des difficultés particulières comme, par exemple, les photographies. Si elle prend acte des précisions apportées, selon lesquelles aucun dispositif de reconnaissance faciale ne sera mis en œuvre, elle demande néanmoins que le texte encadrant le traitement exclue expressément la possibilité d’y recourir, ce à quoi le Gouvernement s’est engagé.
S’agissant des périodes de collecte et de la profondeur historique des données collectées
 
La période au cours de laquelle les données peuvent être collectées, à l’issue de la phase de veille et détection, est limitée à sept jours et peut être reconduite à la suite d’un contrôle et d’une validation humaine. La Commission considère que le texte encadrant le traitement devra préciser la durée de la collecte et invite le SGDSN à documenter, dans le cadre des fiches de traçabilité, les raisons des éventuelles reconductions. La Commission prend acte de l’engagement du Gouvernement de compléter le projet de texte encadrant le traitement en précisant la période de collecte.
Enfin, la profondeur historique de récupération des données pourra concerner aussi bien plusieurs années que seulement quelques jours en fonction du sujet étudié et de l’antériorité nécessaire pour comprendre la situation (par exemple, l’identification de périodes dites de réveils pour des évènements particuliers pourra justifier une période de récupération longue). La période de récupération des données ne saurait ainsi être uniforme et prédéterminée. La Commission invite donc le Gouvernement à définir au cas par cas la période de récupération des données, qui devra être documentée dans le cadre des fiches de traçabilité.
 
Sur la durée de conservation des données à caractère personnel conservées
L’article 9 du projet de décret prévoit que les données collectées sont détruites à l’issue de leur exploitation et, au plus tard, au terme d’un délai de quatre mois à compter de la date de leur collecte.
 
La Commission prend acte de la durée de conservation retenue par le SGDSN et rappelle qu’il s’agit d’une durée maximale : les données considérées comme non pertinentes pour la phase d’exploitation devront être immédiatement supprimées, sans attendre l’expiration du délai de quatre mois.
 
Sur la production de notes d’analyse
S’agissant de l’élaboration des notes d’analyse
L’article 10 du projet de décret prévoit que les données exploitées sont extraites pour les besoins de l’élaboration de notes d’analyse.