AgentPublic/cnil huggingface dataset:
Aux termes de ces dispositions, les conditions de cette communication doivent être précisées par voie de convention, prise après avis de la Commission d'accès aux documents administratifs et de la Commission nationale de l'informatique et des libertés.
C’est dès lors sur le fondement de cet article qu’un projet de convention entre l’Association France Bois Forêts (FBF) et la Direction générale des finances publiques (DGFiP), permettant la transmission de données cadastrales, est soumis pour avis à la Commission.
 
La Commission relève que la transmission par la DGFiP des données cadastrales projetée dans la convention a d’ores et déjà fait l’objet d’une déclaration normale (n° 2103627).
Sur l’objet de la convention et la nature des données transmises 
L’association FBF est l’interprofession nationale représentant la filière Forêt-Bois, créée sous l’égide du ministère de l’Agriculture, de l’agroalimentaire et de la forêt, pour réaliser des actions collectives de promotion et de développement prévues dans le cadre de l’article L. 632 du CRPM.
A ce titre, elle a pour mission d’établir et de collecter la " cotisation volontaire obligatoire mentionnée " (CVO) comme le prévoit l’accord interprofessionnel du 9 juin 2016 conclu dans le cadre de l’Association France Bois Forêt et mentionné dans l’arrêté 20 décembre 2016 portant extension d'un accord interprofessionnel conclu dans le cadre de l'association France Bois Forêt pour la période 2017-2019. A cette fin, l’association FBF a sollicité la DGFiP pour obtenir la communication de certaines données cadastrales relatives à l’exploitation forestière.
L’article 1 de la convention précise son objet, à savoir la nature et les modalités de mise à disposition des données par la DGFiP à l’association FBF, les modalités financières et les règles de sécurité à respecter. 
L’article 2 indique les catégories de données transmises, il s’agit des informations cadastrales, en situation au 1er janvier de l’année, suivantes :
- les références cadastrales, adresses, surfaces, des parcelles classées pour quatre hectares et plus dans les sous-groupes de nature de culture bois et landes boisées,
- pour ces terrains : le numéro de propriétaire, le numéro de compte communal, les nom et prénoms, dénomination, code de droit, code de démembrement de la propriété et l’adresse du destinataire de l’avis d’imposition à la taxe foncière sur les propriétés non bâties.
Il est précisé que la demande de l’association FBF, doit obligatoirement faire mention du territoire communal, départemental régional ou national sur lequel porte les données sollicitées.
Il est mentionné à l’article 3 que les données sont délivrées par la DGFiP au tarif fixé par l’article 6 de l’arrêté ministériel du 16 mai 2011 relatif aux conditions de rémunération des prestations cadastrales rendues par la DGFiP.
La Commission prend acte que l’association FBF effectue des demandes à la DGFiP sur des parcelles cadastrales ciblées. Elle considère dès lors que les données sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont traitées conformément à l’article 6-3° de la loi du 6 janvier 1978 modifiée.
L’article 4 indique les obligations incombant à l’association FBF :
Une obligation de conformité à la loi informatique et libertés du 6 janvier 1978 modifiée, dans ce cadre la Commission observe que FBF s’engage à respecter l’ensemble des dispositions relatives à la loi précitée et notamment l’accomplissement des formalités préalables nécessaires.
Une obligation de discrétion et de sécurité, à cet égard il est rappelé que les données transmises sont couvertes par le secret professionnel et revêtent donc un caractère confidentiel au sens de l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission prend acte que l’association FBF s’engage à ne pas communiquer, à ne pas céder, à ne pas laisser consulter les données transmises à des personnes non habilitées, à ne pas utiliser les données à d’autres fins que celles prévues dans la convention et à prendre toutes les mesures de sécurité pour assurer la conservation des données, éviter leur perte et prévenir leur vol.
Il est prévu dans la convention la possibilité pour l’association FBF de faire appel à un prestataire de services pour la réalisation d’études et de travaux, la Commission rappelle à cet égard, qu’un contrat devra être conclu entre les parties afin de définir les informations fournies et les opérations autorisées à partir de celles-ci. En tout état de cause, la Commission constate que les données ne pourront pas être utilisées à d’autres fins que celles prévues initialement dans la présente convention et que le prestataire sera tenu contractuellement d’apporter des garanties appropriées en matière de sécurité.
La Commission estime dès lors que les exigences en matière de sécurité décrites dans la convention sont conformes à l’article 34 de la loi du 6 janvier 1978 modifiée.
Enfin, la Commission prend acte que la convention est conclue pour une durée d’un an tacitement renouvelable jusqu’au 31 décembre 2019, conformément à l’arrêté du 20 septembre 2016.
 
Pour La Présidente,
Le Vice-Président délégué,
 
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l’économie, des finances et de la relance d’une demande d’avis sur un projet de décret complétant le répertoire national mentionné à l’article R. 123‑220 du code de commerce dans le cadre de la mise en place d’une identité numérique des entreprises ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a) ;
Sur la proposition de M. Philippe-Pierre CABOURDIN, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
 
Emet l’avis suivant :
 
La Commission a été saisie, le 6 octobre 2020, sur le fondement de l’article 8‑I‑4°-a) de la loi du 6 janvier 1978 modifiée, du projet de décret en Conseil d’Etat complétant le répertoire national mentionné à l’article R. 123-220 du code de commerce dans le cadre de la mise en place d’une identité numérique des entreprises.
Le répertoire mentionné à l’article R. 123-220 du code de commerce est le répertoire national d’identification des entreprises et des établissements. Institué par les articles R. 123-220 à R. 123-234 du code de commerce, le répertoire national d’identification des entreprises et des établissements concerne plus précisément les personnes physiques exerçant de manière indépendante une profession non salariée, les personnes morales de droit public ou de droit privé, les institutions et services de l'Etat et les collectivités territoriales, ainsi que leurs établissements, lorsqu'ils relèvent du registre du commerce et des sociétés, du répertoire des métiers ou qu'ils emploient du personnel salarié, sont soumis à des obligations fiscales ou bénéficient de transferts financiers publics.
 
La gestion de ce répertoire est confiée à et est effectuée à travers le Système Informatique pour le Répertoire des ENtreprises et des Etablissements (SIRENE). Ce répertoire est plus communément nommé " répertoire SIRENE ".
Le traitement SIRENE est régi par différentes dispositions se trouvant à différents niveaux de normes. En l’espèce, la Commission relève qu’elle est saisie d’un projet de décret en Conseil d’Etat complétant le répertoire SIRENE dans le cadre de la mise en place d’une identité numérique des entreprises. Elle constate qu’elle est saisie pour la première fois d’un décret modifiant ce traitement depuis l’entrée en application du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel (RGPD). Elle considère que le projet de décret devrait dès lors avoir notamment pour objectif de mettre en conformité ce traitement avec la nouvelle réglementation pour ce qui relève de son champ et que les dispositions en A. 123-81 à A. 123-96 du code de commerce devront également être mises à jour en conséquence.
La Commission prend acte de ce qu’il est prévu par le projet de décret de créer un article R. 123-235 du code de commerce prévoyant que l’INSEE est autorisé à utiliser le répertoire national d’identification des personnes physiques (RNIPP) en vue de vérifier l’état civil des dirigeants personnes physiques des personnes morales inscrites au répertoire SIRENE. Une telle modification n’appelle pas d’observation de la part de la Commission dans la mesure où il est actuellement prévu, au 2° du F de l’article 2 du décret n° 2019‑341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l’usage du numéro d’inscription au RNIPP ou nécessitant la consultation de ce répertoire, que l’INSEE peut avoir accès au RNIPP pour la gestion du répertoire SIRENE.
 
La Commission relève que la notice du projet de décret indique que les modifications envisagées du répertoire SIRENE permettraient d’assurer, entre autres, la mise en place de l’identité numérique des entreprises par le biais de " ProConnect ", présenté comme un dispositif analogue au téléservice " FranceConnect ", pour les entreprises. A cet égard, la Commission prend acte de ce que le projet de décret ne prévoit aucune disposition à cet effet et qu’elle n’est pas saisie du téléservice " ProConnect ".
Enfin, la Commission estime que le document intitulé " Dossier d’analyse de la conformité relative à la protection des données à caractère personnel – traitement SIRENE " qui lui a été transmis constitue une analyse d’impact relative à la protection des données (AIPD) au sens de l’article 35 du RGPD.
 
La Commission relève enfin que, selon le ministère, le seul fait que le traitement soit opéré à grande échelle ne justifierait pas de réaliser une AIPD. Elle observe toutefois que le traitement SIRENE est notamment susceptible de contenir des données à caractère hautement personnel. Dans ces conditions, la Commission estime qu’une AIPD devrait lui être transmise dans le cas où celle-ci ferait apparaître des risques résiduels élevés.
 
Dans ce contexte, le projet de décret appelle les observations suivantes.
 
Sur la licéité et les nouvelles finalités du traitement SIRENE
A titre liminaire, en ce qui concerne la base légale relative au traitement SIRENE tel qu’il est prévu d’être modifié, la Commission relève que le ministère entend se prévaloir de l’obligation légale visée au c) du 1 de l’article 6 du RGPD. Elle estime, de manière générale et compte tenu des effets attachés à la base légale prévue par ces dispositions, notamment sur les droits des personnes concernées, qu’il revient au responsable de traitement de déterminer celle dont il entend, en l’espèce, se prévaloir. La Commission considère qu’il résulte notamment de l’examen des dispositions des articles R. 123-220 à R. 123-334 du code de commerce que l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable de traitement apparaît comme étant plus appropriée pour fonder juridiquement le traitement.
La Commission relève que le traitement SIRENE est créé par l’article R. 123‑220 du code de commerce et que ses objets sont précisés à l’article A. 
123-87 du même code.
La Commission observe que l’article 1er du projet de décret prévoit de modifier le premier alinéa de l’article R. 123-220 du code de commerce afin d’ajouter à la liste des personnes devant être inscrites au répertoire SIRENE " les personnes physiques ayant des obligations fiscales spécifiques ". Elle prend acte des précisions apportées par le ministère selon lesquelles cette catégorie de personnes vise les particuliers employeurs collecteurs de prélèvement à la source et les loueurs de meublés non professionnels. La Commission estime que cette nouvelle finalité n’est pas suffisamment précise au regard des dispositions du b) du 1 de l’article 5 du RGPD. Elle estime dès lors que le projet de décret doit être complété, en mentionnant explicitement "
les particuliers employeurs collecteurs de prélèvement à la source et les loueurs de meublés non professionnels
" aux finalités du traitement. Elle rappelle que les dispositions afférentes de l’article A. 123-87 du code de commerce devront également être modifiées en conséquence.
 
Sur les données collectées
 
L’actuel article R. 123-222 du code de commerce prévoit notamment que seules les données à caractère personnel relatives aux nom, nom d'usage, prénoms, adresse légale, date et lieu de naissance, date de l’éventuelle cessation d’activité des personnes physiques inscrites au répertoire SIRENE sont collectées.
Le projet de décret envisage de modifier cet article afin de prévoir, la collecte des données à caractère personnel suivantes :
pour les personnes physiques exerçant de manière indépendante une profession non salariée et les personnes physiques ayant des obligations fiscales spécifiques : les nom, nom d’usage le cas échéant, pseudonyme le cas échéant, prénoms, adresse légale, sexe, nationalité, date et lieu de naissance, date de leur éventuel décès, date de leur éventuelle cessation d’activité, adresse électronique et éventuellement numéro de téléphone mobile ;
pour les représentants légaux des personnes morales de droit privé : les nom, nom d’usage le cas échéant, pseudonyme le cas échéant, prénoms, adresse, sexe, nationalité, date et lieu de naissance, la désignation de la ou des personnes de contact avec l’administration parmi les représentants légaux ainsi que leur adresse électronique de contact et éventuellement leur numéro de téléphone mobile.
D’une part, la Commission relève que la collecte de l’ensemble de ces données sera nouvelle pour les représentants légaux des personnes morales de droit privé et pour les personnes physiques ayant des obligations fiscales spécifiques. D’autre part, elle relève que la collecte des données relatives aux pseudonyme, sexe, nationalité, adresse, date de l’éventuel décès, adresse électronique et éventuellement numéro de téléphone, constitue une extension des données collectées relatives aux personnes physiques exerçant de manière indépendante une profession non salariée.
 
La Commission observe qu’une telle modification aurait un impact sur un grand nombre de personnes dans la mesure où le répertoire contiendrait, outre les données à caractère personnel des personnes physiques exerçant de manière indépendante une profession non salariée, celles des représentants légaux de personnes morales de droit privé ainsi que celles des personnes physiques ayant des obligations fiscales spécifiques. La Commission relève également que l’INSEE a prévu d’importer dans le répertoire SIRENE les données relatives aux représentants légaux des entreprises pour la période allant de 2012 à 2020 afin d’éviter aux entreprises de déclarer à nouveau leurs représentants légaux. Il a été précisé par le ministère que cette importation se fera au moyen de données que l’INSEE a déjà reçues dans le cadre des formalités d’entreprise mais qui ne faisaient jusqu’alors l’objet d’aucun autre traitement.
La Commission relève des précisions apportées par le ministère que la collecte de ces données viserait entre autres à disposer d’éléments d’identité permettant de vérifier et certifier ladite identité au RNIPP et de contacter les entreprises de façon dématérialisée. Toutefois, la Commission s’interroge sur le fait que la collecte de certaines données, notamment la nationalité et la date de décès des personnes physiques exerçant de manière indépendante une profession non salariée et des personnes physiques ayant des obligations fiscales spécifiques, permettrait de " limiter le risque de fraude ". En tout état de cause, et sans se prononcer sur l’objectif poursuivi, la Commission relève que cette finalité n’est pas prévue par les dispositions relatives à ce traitement.
 
Sur les droits des personnes concernées
 
En premier lieu, s’agissant des mesures prises pour assurer l’information des personnes concernées, le ministère a indiqué que l’information individuelle des personnes sera assurée notamment via les formulaires CERFA de formalités de création et modification d’entreprises personnes physiques ou personnes morales, dans des termes très généraux. Il est également prévu qu’une information générale du public soit réalisée sur la page " Protection des données personnelles " du site web de l’INSEE.
La Commission rappelle que cette information doit être concise, transparente, compréhensible, aisément accessible et dispensée dans des termes clairs et simples, conformément à l’article 12 du RGPD. Elle rappelle également l’importance de s’assurer que l’information des personnes concernées soit complète et de qualité au regard des exigences posées par les articles 13 et 14 du RGPD et estime que les mentions d’information devraient être complétées en conséquence.
 
En deuxième lieu, la Commission relève que les droits des personnes ne sont pas mentionnés dans le projet de décret. Elle prend acte de ce que le ministère a indiqué que les droits des personnes seront intégrés dans le futur projet d’arrêté complétant le répertoire SIRENE. Toutefois, la Commission recommande que l’ensemble des droits des personnes concernées et leurs modalités d’exercice soient mentionnés dans le présent projet de décret en ce que le renvoi à l’arrêté est limité aux " modalités de leur inscription au répertoire et d'attribution d'un numéro d'identité unique sont définies par arrêté des ministres intéressés " selon le dernier alinéa de l’article R. 123-220 du code de commerce.
En troisième lieu, la Commission prend acte de ce que le ministère entend exclure l’exercice du droit d’opposition, hormis pour la diffusion en ligne des données. Elle rappelle qu’une telle faculté doit répondre aux conditions prévues à l’article 23 du RGPD et à l’article 56 de la loi du 6 janvier 1978 modifiée. La Commission rappelle en particulier que l’exclusion du droit d’opposition doit être expressément prévue et qu’il convient d’assortir cette exclusion des garanties nécessaires. Dans ces conditions, la Commission estime que le projet de décret devra être complété sur ce point si le ministère entend faire application de l’article 23 du RGPD et de l’article 56 de la loi du 6 janvier 1978 modifiée.
 
Sur la durée de conservation des données collectées
 
La Commission relève des précisions apportées par le ministère que la durée de conservation des données à caractère personnel est " illimitée " allant " au-delà du décès ou de la cessation de toute activité de la personne physique ". Pour justifier de cette durée, le ministère invoque l’article R. 123-227 du code du commerce ainsi que la nécessité d’établir la preuve de la radiation de la personne physique et du départ des dirigeants des personnes morales.
A titre liminaire, la Commission rappelle que les dispositions du e) du 1 de l’article 5 du RGPD prévoient que les données à caractère personnel doivent être conservées pour une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Compte tenu de ce qui précède, la Commission demande à ce qu’une durée de conservation des données soit déterminée conformément à la règlementation en vigueur.
 
Enfin, elle prend acte de ce que le ministère a précisé que la durée de conservation figurera dans le même arrêté qui mentionnera les droits des personnes concernées par le traitement SIRENE. Toutefois, la Commission estime que la durée de conservation des données collectées devrait être mentionnée dans le présent projet de décret, au regard du renvoi à l’arrêté prévu par le dernier alinéa de l’article R. 123-220 du code de commerce.
 
Sur la diffusion des données
 au public
A titre liminaire, il est rappelé que la répertoire SIRENE fait partie des bases de données de référence du service public de la donnée mis en place par la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique. L’article L. 321-4 du code des relations entre le public et l’administration prévoit la mise à disposition du public des données de référence. Si les informations du répertoire SIRENE doivent être diffusées au public, la Commission relève que certaines données à caractère personnel ne peuvent cependant faire l’objet d’une telle diffusion, dans le cadre du présent traitement et sans préjudice d’autres traitements visant à porter à la connaissance du public des informations tel que le registre du commerce et des sociétés conformément à l’article L. 123-1 du code de commerce.
 
En premier lieu, la Commission constate qu’aucune donnée à caractère personnel relative aux représentants légaux des personnes morales de droit privé ne peut être diffusée à partir du répertoire SIRENE.
En deuxième lieu, la Commission relève que si certaines données à caractère personnel des personnes physiques susmentionnées peuvent être diffusées, conformément à l’article A. 123-96 du code de commerce, les personnes concernées pourront demander, soit directement lors de leurs formalités de création ou de modification d’activité, soit par lettre adressée au directeur général de l’INSEE, que les informations du répertoire les concernant ne puissent être utilisées par des tiers autres que les organismes habilités au titre de l'article R. 
123-224 ou les administrations, à des fins de prospection notamment commerciale. Elle estime que cette faculté d’opposition est sans préjudice de l’application du droit d’opposition prévu à l’article 21 du RGPD, sauf à que le ministère entende faire application des dispositions de l’article 23 du RGPD et de l’article 56 de la loi du 6 janvier 1978 modifiée.
 
Enfin, concernant le renvoi à un arrêté du Premier ministre aux fins de préciser en tant que de besoin les conditions et limites d’application de cette mise à disposition, la Commission prend acte de l’engagement du ministère de modifier le projet de décret sur ce point afin d’expliciter les conditions d’application de cette mise à disposition directement au sein de l’article R. 123‑232 du code de commerce.
 
Sur les mesures de sécurité
La Commission constate que les accès au traitement SIRENE se font via le protocole HTTPS, qui permet de garantir la confidentialité des données échangées ainsi que l'authentification du responsable de traitement. Concernant le recours à ce protocole, la Commission recommande d’utiliser la version de TLS la plus à jour. En particulier, elle rappelle que les versions TLS 1.0 et TLS 1.1 ne disposent pas de fonctions cryptographiques conformes au RGS. Enfin, la Commission recommande la mise en œuvre de l’ensemble des recommandations de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) en la matière, formalisées dans le document " Recommandations de sécurité relatives à TLS ", qui a été mis à jour en mars 2020 par une version 1.2.