AgentPublic/cnil huggingface dataset:
en dernier lieu, " de remplir les formulaires déclaratifs obligatoires suite à la constatation d’un manquement à une obligation déclarative (MOD) ou de divulgation (MODiV) ou en cas de retenue temporaire d’argent liquide (RTAL) " (3°). Cet objectif apparait pertinent au regard des pouvoirs de contrôle de la DGDDI au titre des articles 5 et 6 du règlement 2018/1672 susmentionné (déclaration d’office établie par les autorités compétentes dans certains cas), des articles L. 152-4 et suivants du code monétaire et financier et des articles 67 ter B et suivants du code des douanes (retenue temporaire d’argent liquide).
 
Au regard de ces éléments, et dans la mesure où elles résultent de dispositions législatives ou européennes, les finalités de " DALIA 2 " sont déterminées, explicites et légitimes.
 
b) Le régime juridique applicable 
 
Le ministère estime que le régime juridique applicable au traitement " DALIA 2 " est celui du titre III de la loi " informatique et libertés ", découlant des dispositions de la directive 2016/680 du 27 avril 2016 (dite directive " police-justice ")
Si la CNIL considère généralement le RGPD applicable aux téléservices (v. par ex. CNIL, SP, avis, 14 décembre 2023, n° 2023-130, non-publié ; ou encore, CNIL, SP, avis, 4 avril 2024, traitement " GMBI ", n° 2024-037, non-publié), elle relève que le traitement " DALIA 2 " a pour finalité première la prévention, la recherche, la constatation et la poursuite d’infractions pénales par une autorité compétente, au sens des articles 31 et 87 de la loi " informatique et libertés " et de l’article 3 de la directive " police-justice " (v. par ex. CNIL, SP, avis, 4 avril 2024, traitement " plainte en ligne ", n° 2024-028, publié).
 
Dès lors que les traitements mis en œuvre pour répondre aux obligations posées par le règlement 2018/1672 ont pour finalités la prévention des activités criminelles et la lutte contre de telles activités, et que la DGDDI est une autorité compétente au sens de la directive " police-justice " lorsqu’elle poursuit ces finalités, le traitement " DALIA 2 " relève des dispositions du titre III de la loi " informatique et libertés ". 
 
c) Le périmètre du traitement
 
Deux applicatifs déployés par la DGDDI seront abondés par les données du traitement " DALIA 2 " :
d’une part, l’application " Recherche et orientation des contrôles " (dite " ROC "), permettant aux agents des douanes sur le terrain d’interroger les antécédents douaniers d’une personne physique pour vérifier si elle a effectivement réalisé la déclaration obligatoire à laquelle elle est soumise ;
d’autre part, l’un des modules (dit " DKS ") du traitement " CANOPEE " permettant de rechercher, de consulter et d’analyser les informations contenues dans les déclarations douanières à des fins d’analyse de risque et de gestion des déclarations (arrêté du 15 septembre 2016 portant création d'un traitement relatif à la recherche et à la consultation des déclarations déposées auprès de la DGDDI). Cette application permet par exemple de réaliser des requêtages ou de croiser des informations présentes dans plusieurs déclarations d’argent liquide (recherche de déclarations correspondant à certains critères préétablis, production et consultation de données agrégées statistiques etc.).
 
Le ministère précise que ces deux traitements participent à l’optimisation de la lutte contre les flux financiers illicites par le ciblage, l’analyse de risque et la consultation des données en cours de contrôle. Il indique également que :
l’applicatif " ROC " est l’un des modules du traitement " Système d’information de lutte contre la fraude ", dit " SI LCF ", ayant fait l’objet de plusieurs avis de la CNIL (v. notamment CNIL, SP, avis, 22 mai 2003, traitement " SI LCF ", n° 03-029, publié) et n’est qu’un outil de recherche, ne stockant aucune donnée à caractère personnel en propre ;
qu’aucun de ces traitements ne recourt, à ce stade, à de la valorisation de données par l’utilisation d’intelligence artificielle.
À
titre liminaire, la CNIL ne se prononce pas sur la conformité des traitements de données à caractère personnel " ROC " et " CANOPEE ", sur lesquels elle n’est pas saisie.
 
En premier lieu, la CNIL accueille favorablement la volonté de la DGDDI de moderniser et de rationaliser ses traitements de données dont, certains, souffrent de limitations techniques, notamment en ce qui concerne l’état de l’art en termes de sécurité informatique, et ne répondent plus efficacement aux missions de cette direction. Elle recommande d’effectuer ce travail en lien étroit avec le délégué à la protection des données du ministère et dans le respect du principe de conformité " dès la conception " des nouveaux traitements mis en œuvre. 
 
En second lieu, elle considère que la rédaction actuelle de l’arrêté du 15 septembre 2016 susmentionné ne permet pas, en l’état, l’alimentation du traitement " CANOPEE " à partir des données de " DALIA 2 ". Les finalités et la liste des personnes habilitées à accéder aux données, en particulier, devront faire l’objet de modifications pour maintenir les conditions de traitement des données issues du traitement " DALIA 2 " (v. CNIL, SP, avis, 27 mai 2021, traitement " LRPGN ", n° 2021-061, publié). Elle prend acte de l’engagement du ministère de modifier cet arrêté. 
 
Elle rappelle qu’aucun transfert de données de " DALIA 2 " vers " CANOPEE " ne devra être effectué avant l’entrée en vigueur de l’acte modifié. 
 
B. Sur les catégories de données
L’article 2 du projet d’arrêté liste des catégories de données pouvant être enregistrées dans le traitement.
 
Le numéro de sécurité sociale (dit " NIR ") pourra, " le cas échéant ", être enregistré dans " DALIA 2 ", et ce, sans que le règlement 2018/1672 susmentionné ne fasse référence à la collecte d’un tel numéro d’identification. Le ministère précise qu’il s’agit d’une possibilité pour l’usager, qui n’a nullement l’obligation de renseigner ce numéro. Par ailleurs, le 12° du D de l’article 2 du décret n° 2019-341 du 19 avril 2019, prévoyant que les agents des douanes " dûment habilités et dans la limite du droit d'en connaître " peuvent traiter le NIR pour " leurs missions de lutte contre fraude en
matières […] douanière ", est interprété par le ministère comme suffisamment précis pour autoriser un traitement du NIR dans " DALIA 2 ".
À cet égard, le règlement d’exécution 2021/776 du 11 mai 2021 prévoit bien la collecte, " le cas échéant ", d’un " numéro d’identification personnel (c’est-à-dire le numéro d’identification personnel unique en matière fiscale, de sécurité sociale ou similaire) ". Or, afin de respecter le principe d’étanchéité des numéros d’identification selon les différentes sphères de l’action publique, il semblerait pertinent de privilégier la collecte d’un numéro d’identification en matière fiscale pour les finalités poursuivies par le traitement " DALIA 2 ". La CNIL prend acte qu’une telle collecte n’est ni réclamée par les services des douanes, ni une obligation pour les usagers, et recommande de préciser dans le formulaire que le numéro d’identification personnel facultativement demandé soit prioritairement le numéro d’identification en matière fiscale. 
 
C. Sur les durées de conservation 
 
L’article 3 du projet d’arrêté prévoit une conservation des données de six ans " à compter de la validation de la déclaration ".
 
En premier lieu, le ministère précise que cette durée est fixée en application de l’article 351 du code des douanes prévoyant la prescription des délits douaniers.
L’article 13 du règlement 2018/1672 susmentionné prévoit que les autorités compétentes et les cellules nationales de renseignement financier conservent les données à caractère personnel pendant une durée de cinq ans à compter de la date à laquelle ces données ont été obtenues. La durée de conservation peut être prolongée une fois, après une évaluation approfondie et pour répondre à certains objectifs limitativement énumérés, par une période qui n’excède pas trois années supplémentaires.
 
Au regard de ces éléments, la CNIL considère que le projet d’arrêté devra prévoir une durée de conservation de cinq années, et ce, afin de s’aligner sur les dispositions de ce règlement. Lorsque le ministère procédera à l’évaluation approfondie de la nécessité et de la proportionnalité d’une prolongation, telle qu’elle est prévue à l’article 13 susmentionné, et dans la mesure où la prescription prévue par l’article 351 du code des douanes est de six années, il pourra exister une présomption de légitimité de prolongation d’un an.
En second lieu, la création d’un compte sur l’application " DALIA 2 " permettra à l’usager d’enregistrer des brouillons de déclarations et d’accéder à l’historique de toutes ses déclarations antérieures. En conséquence, l’arrêté devrait prévoir une durée de conservation plus réduite pour les données enregistrées à titre de brouillon (v. CNIL, SP, avis, 4 avril 2024, traitement " plainte en ligne ", n° 2024-028, publié).
 
D. Sur le droit à l’information
Le ministère précise qu’une politique d’information sera menée, en application de l’article 104 de la loi " informatique et libertés ", et sera mise en œuvre par le biais de plusieurs canaux : la publication de l’acte réglementaire de création du traitement, notamment, mais aussi une information individuelle à travers les conditions générales d’utilisation du traitement, présentées via un pop-up avant la validation de la déclaration. Aucune restriction du droit à l’information des personnes concernées n’est prévue au titre du 1° du II de l’article 107 de la loi informatique et libertés.
 
En premier lieu, la CNIL accueille favorablement la mise en œuvre d’une politique d’information pédagogique intégrée directement à l’interface de navigation des usagers utilisant le traitement " DALIA 2 ". Elle encourage le ministère à approfondir ce travail en intégrant, au sein de l’interface, des rappels de la politique d’information tout au long du parcours des usagers.
 
En second lieu, l’information de la personne dont les données sont traitées peut, dans certains cas, nuire aux finalités de détection des cas de fraude. La CNIL estime nécessaire de conjuguer l’information des personnes et l’efficacité de la lutte contre la fraude (v. CNIL, SP, avis, 14 décembre 2023, traitement " CFRV ", n° 2023-150, non-publié). À cette fin, elle recommande que la politique d’information soit mise en œuvre, a minima, en deux temps distincts :
dans un premier temps, une information générale de l’ensemble des personnes concernées sur la possibilité d’utilisation de leurs données à des fins de lutte contre la fraude en matière douanière ;
dans un second temps, une information spécifique des personnes effectivement contrôlées dès lors que cette information n’est plus susceptible de nuire à l’efficacité du contrôle, c’est-à-dire au plus tard lorsqu’en application des droits de la défense, il est procédé à un échange contradictoire avec la personne soupçonnée de fraude.
 
E. Sur les mesures de journalisation 
 
L’article 5 du projet d’arrêté prévoit que les opérations de collecte, de consultation, de modification, de communication et d’effacement des données et informations du traitement font l’objet d’un enregistrement comprenant l’identification de l’auteur, la date, l’heure et la nature de l’opération effectuée. Cette journalisation est conservée pour une durée d’un an.
En premier lieu, il ressort de l’analyse d’impact relative à la protection des données (AIPD) que les traces fonctionnelles ainsi que les journaux techniques sont actuellement conservés pour une durée de 5 mois. La CNIL prend acte de ce que les développements permettant l’augmentation de cette durée sont en cours afin de la porter à un an. Elle rappelle avoir considéré, dans sa délibération n° 2021-122 du 14 octobre 2021 portant adoption d'une recommandation relative à la journalisation, qu’une durée de conservation comprise entre six mois et un an est correcte.
 
En second lieu, en application des articles 99 et 101 de la loi informatique et libertés, un mécanisme proactif de contrôle automatique des données de journalisation devra être mis en œuvre, contribuant à assurer la sécurité du traitement par la génération automatique d’alertes. Certaines catégories de données devraient apparaître dans les journaux des opérations de traitement (l’identifiant de la personne consultant ou communiquant les données, les éventuels destinataires, le motif, la date et l’heure), celles-ci étant de nature à améliorer la recherche de potentielles anomalies dans l’utilisation des données par les agents des douanes.
 
F. Sur la sécurité du traitement
L’article 12 du règlement 2018/1672 du 23 octobre 2018 prévoit l’obligation pour les autorités compétentes de veiller à la sécurité des données traitées sur le fondement de ce règlement. Toutes les informations obtenues par les autorités compétentes sont couvertes par l’obligation de secret professionnel.
 
Elle prend acte de ce qu’une homologation de sécurité du traitement " DALIA 2 " est prévue pour le 4e trimestre 2024. Elle invite le ministère à l’informer du résultat de cette procédure, s’agissant notamment de l’attribution de l’homologation, sans réserve pour une durée de trois ans ou avec réserve pour une durée plus courte d’un an.
 
Des mesures de chiffrement des échanges seront assurées concomitamment à la mise en œuvre du traitement, qu’il s’agisse des flux sur internet pour les utilisateurs déclarants ou encore des flux internes sur le réseau de la DGDDI. Elle rappelle qu’il est indispensable de mettre en œuvre les version TLS les plus récentes.
 
Le déclarant aura accès à l’application " DALIA 2 " par le biais d’un site internet public. Une fois sur le site, il devra s’authentifier afin de réaliser ses démarches. Pour ce faire, deux possibilités lui sont proposées :
se connecter en utilisant " France Connect " ;
créer un compte directement sur " DALIA 2 ".
La CNIL ne dispose pas d’informations sur les mesures de sécurité mises en œuvre afin de sécuriser le compte utilisateur créé directement sur l’application " DALIA 2 ". S’agissant de l’authentification par l’utilisation d’un identifiant et d’un mot de passe, elle rappelle que tout responsable de traitement utilisant des mots de passe doit garantir un niveau minimal de sécurité reposant, en particulier, sur une longueur et une complexité suffisantes, conformément à sa recommandation sur les mots de passe (v. CNIL, SP, avis, 21 juillet 2022, recommandation relative aux mots de passe, n°2022-100, publié).
 
Les autres dispositions du projet d’arrêté n’appellent pas d’observations.
 
 
La présidente,
 
 
 
 
 
M.-L. Denis
N° de demande d'avis : 24014780.
			Thématiques : applicatif métier ; contrôle fiscal.
			Organisme à l'origine de la saisine : ministère en charge de l'économie et des finances.
			Fondement de la saisine : 2° du I de l'article 31 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés.
L'essentiel :
Le traitement "PILOT CF", mis en œuvre par la direction générale des finances publiques, a vocation à moderniser les applications métiers utilisées dans le cadre du contrôle fiscal, en permettant une gestion complète des affaires (de la programmation aux potentiels contentieux) ainsi qu'un meilleur pilotage de l'activité des services concernés.
Le traitement au sein de "PILOT CF" des objectifs individuels des agents n'est pas nécessaire. Le projet d'arrêté devra écarter cette possibilité.
Certaines durées de conservation jugées disproportionnées devront être significativement réduites.
Plusieurs recommandations portant sur la politique d'information mise en œuvre, les mesures de sécurité ainsi que la documentation de conformité produite sont proposées.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ("loi informatique et libertés"), notamment son article 31 ;
Sur la proposition de M. Philippe-Pierre Cabourdin, commissaire, et après avoir entendu les observations de Mme Céline Boyer, adjointe au commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte
La direction générale des finances publiques (DGFiP) du ministère en charge de l'économie et des finances, a lancé un important projet de modernisation des outils métiers de ses agents, appelé "pilotage et analyse du contrôle" (dit "PILAT"). Ce projet, dont l'accomplissement facilitera la communication d'informations entre les services intervenant dans la chaîne du contrôle fiscal, vise à :
- valoriser l'importante masse de données collectées par la DGFiP dans le cadre des travaux, menés dès 2013, en faveur d'une stratégie de "datamining" ;
- réduire significativement les ruptures applicatives, facilitant ainsi le travail des agents et faisant gagner en efficience l'ensemble des services concernés. A titre d'illustration, le cloisonnement des applicatifs métiers entraîne l'impossibilité de faire le lien direct entre la programmation et les résultats des opérations de contrôle ;
- améliorer le pilotage de l'activité des services concernés (attribution des affaires aux agents, éventuel accompagnement etc.) par une gestion fluide de l'intégralité des dossiers ainsi que par la production d'indicateurs de suivi.
La CNIL s'est déjà prononcée sur certains anciens outils métiers de la DGFiP, comme le traitement "ALPAGE" (première déclaration à la CNIL en date du 9 décembre 2010, n° 103649), visant à suivre le déroulement des programmes annuels de contrôle fiscal et l'activité des services en charge d'une action de contrôle, et plus récemment sur les premières briques applicatives du projet "PILAT", à l'image du traitement "GALAXIE" permettant notamment la visualisation des liens existants entre des entités professionnelles (CNIL, SP, avis, 17 février 2022, traitement "GALAXIE", n° 2022-025, publié). Dans son dernier avis portant sur le traitement "CFVR", également mis en œuvre par la DGFiP à des fins de ciblage des personnes se trouvant en potentielle situation de manquement ou de fraude, la CNIL a rappelé "l'importance de la protection de la vie privée dès la conception et par défaut qui devra guider le développement de ces nouveaux outils." (CNIL, SP, avis, 14 décembre 2023, traitement "CFVR", n° 2023-150, publié).
Le traitement "PILOT CF" constituera le nouvel outil unique de gestion et de suivi des activités liées au contrôle fiscal, remplaçant plusieurs traitements préexistants comme le traitement "ALPAGE" susmentionné, et sera mis en œuvre progressivement afin de couvrir l'entièreté de la chaîne du contrôle fiscal. Ce nouvel outil métier permettra le suivi du dossier d'une personne physique ou morale (appelé "affaire") de bout en bout, par la communication d'informations entre les différents services concernés (ciblage, gestion, contrôle, recouvrement et contentieux) sans rupture applicative. Ce traitement dispose, d'une part, d'un module de gestion des documents (écriture, stockage, consultation, suivi, pour chaque affaire) et, d'autre part, d'un module de gestion des "motifs de contrôle" regroupant l'ensemble des opérations de suivi des affaires, dès la phase de programmation d'un contrôle (axes d'investigation, notamment), jusqu'aux devenirs du dit contrôle et des éventuels contentieux consécutifs. Ce dernier module sera également utilisé d'après l'AIPD pour le suivi de l'activité des services et des actions menées par chaque agent, dans les affaires sur lesquelles il intervient.
Ce traitement s'inscrit dans la stratégie de lutte contre la fraude fiscale telle que décrite dans le document de politique transversale correspondant annexé au projet de loi de finances pour 2025, dans laquelle l'importance du développement d'un "outil informatique plus intégré et facilitant davantage le travail et les échanges des acteurs du contrôle" est soulignée.
B. - L'objet de la saisine
La CNIL a été saisie pour avis, sur le fondement du 2° du I de l'article 31 de la loi du 6 janvier 1978 modifiée, par le ministère en charge de l'économie et des finances, d'un projet d'arrêté autorisant la mise en œuvre par la direction générale des finances publiques du traitement de données à caractère personnel dénommé "PILOT CF". Ce traitement, mis en œuvre par la DGFiP, permettra notamment d'assurer la gestion des affaires suivies par les services en charge du contrôle fiscal, ainsi que le pilotage de l'activité des agents de ces services.
Le projet d'arrêté :
- crée le traitement "PILOT CF" et en décrit les finalités ;
- détaille les données traitées ou susceptibles de l'être, ainsi que les durées de conservation correspondantes ;
- habilite certains agents à accéder aux données nécessaires à la mise en œuvre de leurs missions ;
- liste les autres traitements abondant en données "PILOT CF" ;
- prévoit les modalités de mise en œuvre des droits des personnes concernées.
II. - L'avis de la CNIL
A titre liminaire, la CNIL :
- relève l'effort du ministère à respecter dès la conception et par défaut les principes de la protection des données, tel que cela est prévu par l'article 25 du RGPD ;
- accueille favorablement le maintien de la finalité, accessoire, "de recherche, de constatation ou de poursuite des infractions pénales en matière fiscale." (dernier alinéa du projet d'article 2), du fait d'une possible transmission de certaines affaires au parquet résultant d'un choix propre de l'administration fiscale en application du II de l'article L. 228 du livre des procédures fiscales, tel que la CNIL l'a demandé à l'occasion de son avis du 14 décembre 2023 portant sur le traitement "CFVR" (v. paragraphe 15 de l'avis n° 2023-150, non-publié).
A. - Sur les accédants et destinataires
L'article 4 du projet d'arrêté décrit les agents susceptibles d'être rendus destinataires des données présentes dans "PILOT CF".
En premier lieu, la CNIL relève les mécanismes d'habilitations mis en œuvre dans l'application "PILOT CF", et ce, grâce à la définition d'un certain nombre de variables (distinction de 17 profils dont les missions respectives justifient l'accès à certaines données ; nature de l'implication de l'agent dans l'affaire ; compétence géographique ; type de personnes visées par le contrôle ; circonstances particulières de l'affaire etc. - v. tableau des habilitations transmis).
En deuxième lieu, elle prend acte de l'engagement du ministère d'opérer une distinction, dans l'article 4 du projet d'arrêté, entre :
- d'une part, les accédants qui participent directement aux opérations du traitement "PILOT CF", au sein ou sous la supervision du responsable de traitement. Les accédants traitent les données de "PILOT CF" dans la stricte limite de leur besoin d'en connaître ;
- d'autre part, les destinataires, en l'occurrence les seuls agents de TRACFIN, qui peuvent recevoir communication des données, qu'il s'agisse ou non de tiers, mais n'interviennent en aucun cas dans la détermination des finalités ou des moyens du traitement "PILOT CF".
B. - Sur les données collectées