AgentPublic/cnil huggingface dataset:
Des statistiques d'utilisation globale du service (taux d'erreur, faux négatifs, comparaison avec la volumétrie globale des requêtes, etc.) permettrait une meilleure appréciation de la pertinence d'utilisation de ce service par les utilisateurs, notamment du cercle 2 . La CNIL invite le ministère à mettre en place des dispositifs permettant d'agréger de tels indicateurs et respectant la vie privée des personnes.
b. Sur l'accès à la fonctionnalité de vérification de la conformité du nom et du prénom par les utilisateurs du cercle 2 
Concernant les utilisateurs du cercle 2 , ceux-ci saisissent, par exemple, les nom et prénom inscrits sur le titre présenté (CNIe ou passeport) et DOCVERIF répond à la requête de concordance par la négative ou l'affirmative sans avoir besoin d'effectuer la comparaison avec les nom et prénom eux-mêmes (qui ne sont pas conservés dans la base de données du cercle 2 ) mais en s'appuyant sur un haché de ceux-ci. La CNIL considère que les données enregistrées dans la base de données des informations du cercle 2 sont donc minimisées, les noms et prénoms des personnes n'apparaissant pas en clair dans la base de données du cercle 2 et la vérification de conformité reposant sur la comparaison de hachés obtenus à partir du numéro du titre, du type de titre, du nom et du premier prénom figurant sur le titre après saisie complémentaire de la date de délivrance inscrite sur le titre.
La CNIL considère également que le risque de mauvaise saisie des nom et premier prénom des personnes concernées, pouvant entraîner une réponse signalant la non-conformité du document, a été pris en compte. En effet, les informations de l'état civil sont traitées sous une forme dite normalisée, c'est-à-dire une forme simplifiée pour éviter les erreurs (par exemple, les accents peuvent être automatiquement enlevés des lettres qui en comportent ou bien toutes les lettres transformées en minuscules). La comparaison des hachés issus de ces informations a donc moins de chances de signaler comme différentes ces informations alors que l'écart ne proviendrait que d'une différence de forme (par exemple l'accentuation ou la casse).
En revanche, l'AIPD indique que la vérification de conformité du nom et du premier prénom des personnes concernées est une fonctionnalité optionnelle. Or il ressort des précisions apportées par le ministère que cette fonctionnalité est en réalité disponible par défaut et qu'il revient aux utilisateurs du cercle 2 de l'activer ou non en fonction de leur besoin, du contexte d'usage et des capacités de leur propre système d'information. La CNIL encourage le ministère à revoir l'AIPD pour lever cette ambigüité.
D. - Sur les transferts
La CNIL relève que lors de la précédente saisine ayant donné lieu à la délibération n° 2022-041 (précitée), il a été constaté que la convention type d'utilisation de DOCVERIF ne comportait pas d'interdiction de tout transfert de données hors de l'Union européenne. Elle demandait notamment que la convention type soit modifiée pour que soit mentionnée explicitement l'interdiction des transferts de données vers des Etats n'appartenant pas à l'Union Européenne.
Dans l'avis du délégué ministériel à la protection des données personnelles, il est indiqué que les sous-traitants ultérieurs sont susceptibles de procéder à des transferts de données hors de l'Union Européenne, ou de recourir eux-mêmes à des sous-traitants soumis à un droit extraterritorial clair . Par ailleurs, ce même avis indique que le délégué ministériel à la protection des données personnelles n'a pas reçu ladite convention dans les documents fournis pour son analyse.
La CNIL rappelle que les transferts de données vers des Etats n'appartenant pas à l'Union européenne ne pourront être opérés que sous réserve du respect des conditions énoncées à l'article 112 de la loi informatique et libertés . Le cas échéant, il conviendra notamment que des garanties appropriées en matière de protection des données à caractère personnel soient fournies par un instrument juridiquement contraignant. En l'absence de décision d'adéquation adoptée par la Commission européenne ou de garanties équivalentes, et par dérogation à l'article 112 précité, de tels transferts ne pourront être réalisés que sous réserve de respecter les conditions énoncées à l'article 113 de la loi informatique et libertés .
La CNIL réitère sa demande au ministère de faire figurer dans la convention type une interdiction explicite des transferts de données et que cette convention soit soumise pour analyse au délégué ministériel à la protection des données personnelles. Ceci est particulièrement important dans le cadre d'un traitement régalien comportant les données d'identité de la quasi-totalité de la population française et des résidents titulaires d'un droit au séjour.
E. - Sur la sécurité
a. Sur le renouvellement des clefs de chiffrement
La CNIL relève que, lors de la précédente saisine, le plan d'action pour améliorer le service DOCVERIF évoquait l'exploration de la possibilité de procéder au renouvellement des clefs de chiffrement utilisées dans l'infrastructure.
Le plan d'action disponible dans la présente AIPD indique un abandon de cette amélioration. Le ministère a précisé que les coûts que représenterait une implémentation de mise à jour des clefs de chiffrement dans l'infrastructure de DOCVERIF, associés aux risques de dysfonctionnement que cela pourrait occasionner lors d'une telle opération, ont été jugés, en lien avec les responsables de la sécurité des systèmes d'information de France Titres, trop élevés au regard des bénéfices attendus. La CNIL invite le ministère à documenter cette décision dans l'AIPD pour sa bonne traçabilité.
La CNIL comprend les enjeux financiers d'une telle mise à jour, mais encourage le ministère à s'aligner sur le Référentiel Général de Sécurité version 2.0 maintenu par l'ANSSI, et en particulier ses annexes B1 et B2. En effet, le référentiel couvre la problématique de la durée de vie maximale de clefs de chiffrement (crypto-période) et, de fait, la mise en place d'un système de renouvellement des clefs de chiffrement est encouragée, particulièrement dans un contexte où les durées de vie des clefs s'amenuisent avec le temps.
b. Sur le contrôle des accès logiques
Le ministère indique que le système d'authentification au service DOCVERIF pour les utilisateurs ne disposant pas de carte agent est mis en œuvre par les utilisateurs dont ils dépendent, en particulier pour le cercle 2 .
Si ce choix est compréhensible, la CNIL encourage le ministère, en tant que responsable du traitement, à systématiser l'accompagnement dans l'intégration du service DOCVERIF aux systèmes d'information des utilisateurs en étant particulièrement vigilant sur le fait qu'une authentification multifacteur pour accéder au service doit être encouragée, ainsi qu'une gestion stricte des habilitations au sein de l'organisme utilisateur couplée à une traçabilité individuelle des accès conforme aux recommandations de la CNIL sur ce sujet (délibération n° 2021-122 du 14 octobre 2021 portant adoption d'une recommandation relative à la journalisation).
c. Sur le chiffrement des flux réseau
La CNIL prend acte de l'engagement du ministère d'intégrer dans son plan d'action un passage à la version TLS 1.3, a minima au niveau des interfaces à destination des utilisateurs du cercle 2 accessibles depuis un réseau externe à celui géré par le ministère - la version 1.2 étant sujette à des vulnérabilités. Dans l'attente de cette mise en œuvre, la CNIL attire l'attention du ministère sur l'importance d'assurer le respect des conditions précisées dans les recommandations de sécurité relatives à TLS (version 1.2 du 26 mars 2020) de l'ANSSI pour permettre de considérer l'usage de TLS 1.2 comme sûr ou de mettre en place des contre-mesures adéquates en les documentant dans l'AIPD.
d. Sur le résultat des audits techniques
La CNIL observe que des audits ont été effectués dans le cadre de l'homologation du dispositif, qui est requise tous les trois ans ou lors d'une évolution majeure par la politique de sécurité des systèmes d'information du ministère. Le ministère souligne que la correction des principaux écarts a été effectuée mais il n'a pour l'heure pas communiqué la liste des évolutions effectuées.
La mise en œuvre des corrections nécessaires pour pallier tout écart au moins important est considérée comme indispensable par la CNIL.
F. - Sur l'analyse d'impact relative à la protection des données
La CNIL observe que l'AIPD et notamment la section 3, qui propose une synthèse des sections précédentes (1 et 2), présente des incohérences au niveau des évaluations (code couleur) comme de leurs descriptions détaillées telles que décrites dans les sections 1 et 2 du document.
Par ailleurs, la CNIL observe des évolutions dans le tableau de description et évaluation des mesures contribuant à traiter les risques liés à la sécurité des données n'ayant pas été documentées ou justifiées, en particulier les items chiffrement et cloisonnement des données passés du statut de améliorable à acceptable .
Enfin, les durées de conservation des données de titres devraient être corrigées pour les titres de séjour Brexit dont la durée de conservation est indiquée comme étant de 1 à 5 ans ou permanente (la CNIL n'ayant pas connaissance de tels titres ayant une durée de validité permanente).
La CNIL demande au ministère de mettre à jour l'AIPD en conséquence.
La présidente,
M.-L. Denis
N° de demande d'avis : 24014572.
Thématiques : lutte contre les fraudes fiscale et douanière, collecte et exploitation de contenus sur les plateformes et réseaux sociaux, traitements automatisés, intelligence artificielle.
Organisme(s) à l'origine de la saisine : ministère de l'économie, des finances et de l'industrie.
Fondement de la saisine : 
article 154 de la loi n° 2019-1479 du 28 décembre 2019 de finances pour 2020.
L'essentiel :
1. Le projet de décret encadre l'élargissement de l'expérimentation prévue par l'article 154 modifié de la loi n° 2019-1479 du 28 décembre 2019 de finances pour 2020, permettant aux administrations fiscales et des douanes et droits indirects de collecter et exploiter les contenus rendus publics sur les plateformes et réseaux sociaux.
2. La CNIL estime que les garanties prévues sont satisfaisantes.
3. A ce stade de l'expérimentation, les données apparaissent adéquates, pertinentes et limitées à ce qui est strictement nécessaire au regard des finalités pour lesquelles elles sont traitées.
4. Néanmoins, la CNIL regrette que le bilan transmis ne soit pas suffisamment étayé pour lui permettre d'apprécier la proportionnalité et l'efficience du dispositif.
5. La CNIL émet des recommandations sur :
- les mesures à prendre pour encadrer la collecte des contenus publiquement accessibles (doctrine d'emploi explicitant la teneur des limitations prévues par le décret, notamment) ;
- l'information du public, qui devra être facilement accessible et suffisamment complète.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ), notamment son article 31 ;
Après avoir entendu le rapport de M. Philippe-Pierre Cabourdin, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte
L'article 154 de la loi n° 2019-1479 du 28 décembre 2019 de finances pour 2020 a autorisé, à titre expérimental pour une durée de trois ans, les administrations fiscale et douanière à collecter et exploiter les contenus librement accessibles et manifestement rendus publics par les utilisateurs sur les sites web de certains opérateurs de plateforme en ligne. Cette collecte doit permettre de rechercher des indices relatifs à la commission de certaines infractions limitativement énumérées par la loi.
L'article 122 de la loi de finances pour 2024 a prolongé pour une durée de deux ans et étendu le périmètre de cette expérimentation.
La CNIL s'est prononcée sur le principe de cette expérimentation (CNIL, SP, 12 septembre 2019, avis sur projet de loi, n° 2019-114, publié ; CNIL, SP, 21 septembre 2023, avis sur projet de loi, n° 2023-090, publié), ainsi que sur la mise en œuvre des traitements afférents encadrés par le décret n° 2021-148 du 11 février 2021 (CNIL, SP, 10 décembre 2020, avis sur projet de décret, n° 2020-124, publié). Elle a rappelé que ce type de traitements, qui reposent sur une vaste collecte préalable de données en vue du ciblage des actions ultérieures de contrôle, et qui concernent l'ensemble des personnes rendant accessibles des contenus sur les plateformes, nécessitent des mesures pour compenser les atteintes potentielles portées à la vie privée des utilisateurs.
Cette expérimentation repose sur la mise en œuvre, par la direction générale des finances publiques et la direction générale des douanes et droits indirects, de traitements de données à caractère personnel qui comprennent :
- d'une part, une phase d'apprentissage et de conception (développement des outils de collecte, de nettoyage et d'analyse des données pour identifier les titulaires des comptes et pages internet ; modélisation et identification des agissements susceptibles de révéler la commission des infractions et manquements prévus à l'article 154 précité) ;
- d'autre part, une phase d'exploitation (déploiement des outils conçus lors de la première phase, afin de recueillir des données pertinentes destinées à être exploitées par les services compétents pour la recherche des infractions et manquements prévus).
Cette première expérimentation a fait l'objet d'un bilan intermédiaire et d'un bilan définitif, dont la CNIL a été rendue destinataire. Il en ressort une faible efficacité du dispositif initial du fait de son périmètre limité (au regard, notamment, de l'exclusion des plateformes requérant un compte pour y accéder), restreignant les capacités de collecte de données. Le législateur a fait le choix, le 29 décembre 2023, d'étendre le périmètre des données accessibles dans le cadre de l'expérimentation.
B. - L'objet de la saisine
La CNIL a été saisie, par le ministère de l'économie, des finances et de la souveraineté industrielle et numérique, d'un projet de décret modifiant le décret n° 2021-148 du 11 février 2021. Ce décret modifie les modalités de mise en œuvre, par la direction générale des finances publiques et la direction générale des douanes et droits indirects, de traitements permettant la collecte et l'exploitation de données rendues publiques sur les sites web des opérateurs de plateforme en ligne.
Il prévoit, notamment pour prendre en compte l'évolution de l'article 154 de la loi :
- l'extension de la possibilité de collecter et exploiter des contenus accessibles sur les plateformes en ligne à celles dont l'accès (…) requiert une inscription à un compte ;
- l'extension du périmètre de l'expérimentation à la recherche des manquements et infractions découlant d'une minoration ou d'une dissimulation de recettes ;
- la transmission régulière, à la CNIL, d'informations sur ces opérations ;
- la collecte des métadonnées, notamment les informations relatives aux dates, heures et géolocalisation des contenus collectés ;
- les conditions d'information du public.
II. - L'avis de la CNIL
A. - Sur l'extension des conditions de collecte
Dans sa version initiale, l'article 154 ne permettait que la collecte de contenus librement accessibles et manifestement rendus publics . Le Conseil constitutionnel avait précisé qu'étaient exclues la collecte et l'exploitation des contenus accessibles seulement après saisie d'un mot de passe ou après inscription sur le site en cause (CC, 27 décembre 2019, 2019-796 DC, point 87). Au vu du bilan intermédiaire de l'expérimentation, l'article 154 a été modifié afin d'étendre ce dispositif aux plateformes dont l'accès requiert la création d'un compte.
Il est désormais permis aux administrations concernées de collecter et d'exploiter des contenus, y compris lorsque l'accès à ces plateformes requiert une inscription à un compte . La CNIL, dans son avis du 21 septembre 2023, avait relevé que cette évolution conduirait à une collecte beaucoup plus large de données et que, par conséquent, l'atteinte portée à la vie privée des utilisateurs serait beaucoup plus importante que dans le cadre de la version initiale de l'expérimentation.
La CNIL avait souhaité disposer d'un bilan étayé avant d'avoir à se prononcer sur toute prolongation ou pérennisation du dispositif. En l'espèce, dans le bilan transmis, la nécessité d'étendre et de prolonger l'expérimentation n'est justifiée que par l'existence de conditions initiales trop restrictives. La CNIL regrette que le bilan ne comporte pas d'éléments d'analyse qui auraient permis d'apprécier l'efficience du dispositif, ainsi que la proportionnalité entre l'objectif poursuivi (le renforcement de l'efficacité dans la lutte contre la fraude) et l'atteinte aux libertés individuelles.
En premier lieu, le projet de décret prévoit des mesures compensatoires qui encadrent la mise en œuvre de cette collecte étendue, en précisant que les agents des administrations concernées ne sont pas autorisés à entrer en relation avec d'autres détenteurs de compte ou à diffuser des contenus. Ils ne sont autorisés qu'à procéder à la collecte et l'exploitation de contenus.
Ces limitations ne permettent donc pas d'accéder à des données qui ne seraient pas rendues disponibles à l'ensemble des utilisateurs de la plateforme ou du réseau social (par exemple, le suivi d'une personne ou d'un compte) ni de rejoindre une conversation de groupe, même sans prendre la parole.
Par ailleurs, il ressort des précisions apportées par le ministère que la création de ces comptes ne permettra pas d'utiliser des identités d'emprunt et laissera apparaitre, en clair, qu'il s'agit d'un compte de l'administration fiscale ou des douanes.
Serait enfin exclu, pour ces administrations, l'usage d'interfaces de mise à disposition des données des sites (API) proposées par les plateformes ou les réseaux sociaux pour collecter des données, dans l'hypothèse où elles permettraient d'obtenir des informations supplémentaires à celles accessibles à partir d'un compte avec le niveau de permission minimum.
La CNIL prend acte de ces garanties, qui reprennent partiellement celles qu'elle avait proposées dans son avis sur la modification législative.
Il conviendra que le ministère s'assure de la bonne diffusion des pratiques qui découlent de ces dispositions et qui permettront de garantir l'effectivité de ces limitations : une doctrine d'emploi à destination des agents concernés pourrait expliciter la teneur ainsi que les impacts pratiques de ces restrictions.
En deuxième lieu, la CNIL prend acte que le projet de décret prévoit que la liste des opérations de collecte transmise à la CNIL (telle que prévue à l'article 154 de la loi de finances pour 2020) mentionne, pour chacune des collectes mises en œuvre, les objectifs poursuivis ainsi que les plateformes en ligne concernées.
S'agissant du périmètre des plateformes concernées, la CNIL prend acte des précisions apportées, selon lesquelles aucune collecte ne sera réalisée sur des plateformes sensibles au sens de l'article 9 du RGPD (à l'instar d'applications de rencontres ou de santé).
En dernier lieu, le projet de décret prévoit que les habilitations délivrées aux agents réalisant les traitements peuvent être accordées par les chefs de service des administrations concernées. Or, l'article 154 prévoit que ces habilitations doivent être accordées par les directeurs de ces administrations. La CNIL prend acte de l'engagement du ministère de revenir à la rédaction du décret actuellement en vigueur.
B. - Sur l'extension du champ infractionnel
La collecte et l'exploitation des données sont possibles pour la recherche d'une activité occulte et des inexactitudes ou omissions découlant d'un manquement aux règles de la domiciliation fiscale (fixées à l'article 4 B du code général des impôts). Le projet de décret encadre l'extension du champ infractionnel des traitements en ajoutant, conformément à ce que la loi a prévu, la minoration ou la dissimulation de recettes afin de détecter les entreprises dont l'activité est manifeste sur les réseaux sociaux mais qui déclarent un statut incohérent ou de très faibles recettes.
Une telle évolution conduira à la collecte de données dont le ciblage se limitera à certains critères objectifs (par exemple, les auto-entrepreneurs avec un chiffre d'affaires déclaré nul). Au regard de cette limitation, la CNIL estime la collecte légitime.
C. - Sur l'extension du périmètre de données accessibles
L'extension de l'expérimentation aux données manifestement rendues publiques et publiquement accessibles, lorsqu'un compte est requis pour accéder à la plateforme ou au réseau social, implique la collecte d'un plus grand nombre de données.
En premier lieu, il est prévu l'ajout (que ce soit pour la recherche d'activités occultes, de manquements aux règles de domiciliation ou de minoration ou dissimulation de recettes) de la collecte de métadonnées liées aux données précédemment collectées, incluant notamment les informations relatives aux dates, heures et géolocalisation de leur création . Il ressort des précisions apportées que seules les données de géolocalisation ont vocation à être exploitées. Les autres métadonnées seront supprimées dans un délai de cinq jours. La CNIL prend acte de l'engagement du ministère de modifier le décret pour prévoir, tant pour les phases d'apprentissage et de conception que d'exploitation, la suppression de ces données sous ce délai maximal.
Au-delà de la rédaction du décret, la distinction entre des contenus manifestement rendus publics ou non, peut être délicate en certaines circonstances, notamment lorsque qu'il n'est pas clair que l'utilisateur ait eu conscience d'avoir publié certaines données, lorsque celles-ci sont automatiquement incluses dans le contenu publié sous forme de métadonnées. Par exemple, des métadonnées relatives à la géolocalisation peuvent être incluses dans le fichier photographique lors de la prise d'une photo depuis un téléphone mobile sans que l'utilisateur en ait conscience. Dès lors, la mise à disposition du fichier par le réseau social lors de sa publication par l'utilisateur permet la collecte de cette donnée.
Par ailleurs, la collecte étant limitée aux contenus se rapportant à la personne les ayant délibérément divulgués, tout traitement d'information fournie par un tiers (par exemple lorsqu'une photo est taguée par ce tiers) est exclu.
En deuxième lieu, s'agissant des contenus relatifs à l'activité professionnelle ou illicite des personnes, le projet de décret prévoit la collecte de QR-codes, ceux-ci pouvant être utilisés au sein des plateformes pour partager des données de diverse nature, dont notamment des liens vers des contenus ou des profils, comme précisé par le ministère.
D'une part, le terme de QR-code désigne une technologie spécifique de code barre bidimensionnel permettant de partager des données. La CNIL invite le ministère à modifier le projet de décret en ce sens.
D'autre part, la CNIL rappelle que les liens obtenus via ces codes-barres ne devraient pas être appelés s'ils donnent à l'utilisateur qui scanne le code barre un accès à des données non disponibles par défaut à l'ensemble des utilisateurs de la plateforme ou du réseau social (par exemple en provoquant automatiquement le suivi d'une personne, ou l'inscription à un groupe de discussion ; à ce propos, v. supra, point 13). Sous réserve de ce qui précède, la collecte de QR-code apparait proportionnée.