La Commission nationale de l'informatique et des libertés,
Saisie par la mission interministérielle relative à la simplification et à la modernisation des formalités des entreprises d'une demande d'avis concernant un projet de décret en Conseil d'Etat relatif à l'application de l'article 1er de la loi n° 2019-486 du 22 mai 2019 relative à la croissance et la transformation des entreprises et adaptation de plusieurs textes règlementaires comportant des dispositions relatives aux déclarations des entreprises auprès de l'organisme unique ayant vocation à remplacer les centres de formalités des entreprises ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la directive 2006/123/CE du Parlement européen et du Conseil du 12 décembre 2006 relative aux services dans le marché intérieur ;
Vu le code de commerce, notamment ses articles R. 123-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-I-4°-a) et 30 ;
Vu la loi n° 2019-486 du 22 mai 2019 relative à la croissance et la transformation des entreprises ;
Vu le décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l'usage du numéro d'inscription au répertoire national d'identification des personnes physiques ou nécessitant la consultation de ce répertoire ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2020-946 du 30 juillet 2020 relatif à la désignation de l'Institut national de la propriété industrielle en tant qu'organisme unique mentionné à l'article 1er de la loi n° 2019-486 du 22 mai 2019 relative à la croissance et la transformation des entreprises ;
Sur la proposition de M. Philippe-Pierre CABOURDIN, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie, le 5 novembre 2020 sur le fondement des articles 8-I-4°-a) et 30 de la loi du 6 janvier 1978 modifiée, d’une demande d’avis relative à un projet de décret en Conseil d’Etat portant application de l’article 1er de la loi n° 2019-486 du 22 mai 2019 relative à la croissance et la transformation des entreprises (ci-après loi Pacte ).
Elaborée dans le but de favoriser la croissance des entreprises, la loi Pacte comporte plusieurs dispositions visant notamment à simplifier le processus entrepreneurial en modifiant en particulier de nombreuses dispositions du code de commerce. L’article 1

A titre liminaire, la Commission relève que l’Institut national de la propriété industrielle (ci-après INPI ) a été désigné comme opérateur du guichet unique électronique par décret du 30 juillet 2020 susvisé.
Dans ce contexte, le présent projet de décret vise notamment à définir les conditions de dépôt du dossier ainsi que les modalités d'accompagnement et d'assistance des entreprises par les organismes consulaires et par l’INPI, à préciser les modalités de vérification du dossier déposé ou encore à décrire les conditions de transmission des informations collectées par l’INPI aux administrations, aux personnes ou aux organismes mentionnés à l'article L. 123-32 du code de commerce. Il précise également les conditions dans lesquelles l'usager créant son entreprise par l'intermédiaire de l’INPI peut se voir proposer de façon facultative des outils permettant de le renseigner sur les détails et les enjeux de la vie d'une entreprise.
Sur le contexte de création du guichet unique électronique et ses conditions d’accessibilité
La Commission rappelle qu’à ce jour, les CFE permettent aux entreprises, conformément aux dispositions de l’article R. 123-1 du code de commerce, de souscrire en un même lieu l'ensemble des formalités et procédures nécessaires à l'accès et à l'exercice de leur activité. Ils jouent par ailleurs un rôle de centralisation des déclarations, de contrôle formel des documents présentés, de transmission de l'ensemble des pièces aux organismes destinataires qui s'assurent de leur régularité et de leur validité ainsi que, depuis la transposition de la directive du 12 décembre 2006 susvisée dite services , un rôle dans le cadre des demandes d’autorisations administratives nécessaires à l’exercice des activités réglementées.
Elle rappelle également que la répartition des demandes s’effectue entre les six réseaux de CFE (les chambres de commerce et d'industrie, les chambres de métiers et de l'artisanat, les greffes des tribunaux de commerce ou des tribunaux judiciaires, les chambres d'agriculture, les centres des impôts, les URSSAF) selon le critère de compétence matérielle précisée par l’article R. 123-3 du code de commerce puis au sein de chaque réseau, selon un critère géographique.
La Commission relève que le guichet unique tel que prévu par l’article 1

Cette substitution devant s’opérer de manière progressive, la Commission relève que le présent projet de décret comporte, outre des dispositions pérennes relatives au fonctionnement de ce guichet unique (article 8), des dispositions particulières permettant la mise en œuvre d’un dispositif transitoire à compter du 1

guichet électronique des formalités des entreprises
La Commission prend ainsi acte que le guichet électronique des formalités des entreprises et les CFE assureront leurs missions respectives de manière parallèle durant la période transitoire et ce, jusqu’au 31 décembre 2022. Elle relève dès lors qu’un déclarant bénéficiera, durant cette période, de plusieurs choix pour réaliser ses formalités (dépôt physique du dossier, transmission par voie postale ou saisine par voie électronique). A compter du 1

La Commission relève à cet égard qu’il est prévu que l’accès au guichet unique s’effectue à partir d’un portail web dédié proposant à un utilisateur dûment authentifié d’agir en qualité de déclarant pour une entreprise ou

Elle relève qu’il résulte des modifications envisagées qu’à partir du 1

Ces éléments rappelés et sans préjudice des conditions de mise en œuvre effective des traitements mis en œuvre par l’INPI qui devront, en tout état de cause, respecter la réglementation applicable en matière de protection des données en assurant notamment l’effectivité de l’exercice des droits des personnes, le projet de décret appelle les observations suivantes.
Sur les conditions de fonctionnement du dispositif envisagé et ses conditions de mise en œuvre
A titre liminaire, la Commission relève que le dispositif pérenne tel que présenté à l’article 8 du projet de décret et le dispositif transitoire tel que décrit à l’article 145 présentent des fonctionnalités identiques décrites respectivement aux futurs articles R. 123-6 et R. 123-7 du code de commerce pour l’organisme unique et aux futurs articles R. 123-30-17 et R. 123-30-18 du même code. Elle prend acte qu’entre le 1

La Commission relève tout d’abord que dans sa phase pérenne, le périmètre des formalités prises en charge par l’INPI est identique à celui des CFE actuels, à savoir les formalités et procédures nécessaires à la création, aux modifications de la situation et à la cessation d'activité d'une entreprise, ainsi qu'à l'accès à une activité réglementée de service et à son exercice (demandes d’autorisation pour les activités dans le champ de la directive relative aux services).
Dans ce cadre, l’article 8 du projet de décret énumère également les éléments contenus dans le dossier qui sera transmis à l’INPI conformément aux dispositions du nouvel article L. 123-33 du code de commerce tel qu’issu de la loi Pacte. La Commission relève que des données à caractère personnel sont susceptibles de figurer au sein de ces éléments sans qu’à ce stade, elles soient énumérées de manière exhaustive dans le projet de décret, comme l’illustre la rédaction envisagée de l’article R. 123-4 du code de commerce (
Parmi celles-ci figurent, sans préjudice des dispositions spécifiques
Si la Commission prend acte des précisions apportées, à savoir que la liste figurant à cet article constitue
un socle minimal de données collectées par le guichet
les dispositions spécifiques
En tout état de cause, elle rappelle que seules les données strictement nécessaires à la réalisation des formalités accomplies devront être collectées et transmises aux organismes destinataires et autorités compétentes et ce, tant dans le cadre de la phase transitoire du dispositif que dans sa phase pérenne.
Elle relève également que le guichet unique électronique , comme c’est le cas des actuels CFE, n’a pas vocation à se substituer aux organismes destinataires des formalités ainsi qu’aux autorités compétentes qui sont actuellement énumérés à l’annexe 1-1 à la partie réglementaire du code de commerce (tels que le service des impôts, les caisses générales de sécurité sociale ou les chambres des métiers et de l’artisanat) et dont la liste limitative sera désormais établie par voie d’arrêté. La Commission rappelle que ces organismes et autorités restent seuls compétents pour apprécier la régularité des dossiers reçus, la création d’un guichet unique électronique ayant principalement vocation à simplifier la réalisation de formalités administratives présentées comme particulièrement complexes en créant une interface unique entre les déclarants et les organismes destinataires.
La Commission relève que, tant dans la phase transitoire que pérenne, il est prévu que les chambres de commerce et d’industrie bénéficient d’un accès aux informations collectées auprès des seules entreprises ayant une activité commerciale (articles 75 et 159 du projet de décret). Elle relève que cet accès vise à tirer les conséquences de la disparition progressive de leur rôle en tant que CFE et sera strictement délimité dans son périmètre à l’activité commerciale ce qui n’appelle, dès lors, pas d’observation particulière.
La Commission relève enfin que les informations collectées par l’INPI dans le cadre du guichet unique ne pourront être conservées au-delà des délais nécessaires à la transmission réalisée auprès des organismes destinataires et ce, sans préjudice des éléments qui doivent être conservés aux fins d’inscription sur un registre de publicité légale. Elle observe que les durées ainsi définies, qui s’appliqueront également durant la phase transitoire, reprennent celles fixées par l’article R. 123-19 du code de commerce actuellement en vigueur.
La Commission relève toutefois qu’il a été précisé qu’en pratique, la suppression des données n’interviendra qu’à l’issue de l’émission par l’organisme destinataire de la validation ou du rejet de la formalité accomplie. Si une telle modalité ne soulève pas de difficulté particulière au regard de la réglementation applicable en matière de protection des données, elle observe que la rédaction du projet de décret sur ce point ne reflète pas cette possibilité. La Commission demande que l’article 8 soit précisé en ce sens.
Dans la mesure où la réalisation des formalités accomplies vise à être entièrement dématérialisée, la Commission prend par ailleurs acte des précisions apportées s’agissant de la durée de conservation des données liées à la création du compte utilisateur du déclarant. Elle relève qu’il est ainsi envisagé que ces données soient effacées au bout d’une période d’inactivité de trois ans du compte après intervention des notifications auprès du titulaire dudit compte. La Commission prend acte que cette durée a été établie au regard du rythme moyen constaté de réalisation des formalités par les chefs d’entreprise.
Elle relève également que les déclarants auront, en tout état de cause, la possibilité de recourir à un service de conservation provisoire des données et pièces relatives aux déclarations engagées mais non finalisées, leur permettant de reprendre ultérieurement la formalité engagée (futur article R. 123-9 du code de commerce).
La Commission relève qu’une telle possibilité est déjà prévue, dans les mêmes conditions par l’article R. 123-27 du code de commerce. Elle prend par ailleurs acte qu’un déclarant pourra à tout moment modifier ou supprimer les données relatives aux formalités entamées mais inachevées ainsi que les informations relatives à son compte utilisateur et que, seules les données de connexion feront l’objet d’une conservation pour une durée de trois mois et aux fins de traiter les éventuelles réclamations.
Sur les mesures de sécurité et la nécessité de réaliser une analyse d’impact relative à la protection des données
Dans la mesure où le dispositif envisagé reposera notamment sur la collecte du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) du déclarant personne physique ou nécessitera une consultation de ce répertoire (voir

Plus spécifiquement, la Commission rappelle que des mesures de sécurité à l’état de l’art, telles que le chiffrement des données, devront nécessairement être mises en œuvre afin d’assurer la confidentialité des données échangées sur des réseaux de télécommunication publics. Elle rappelle aussi que les modalités d’authentification, tant des personnes concernées que des personnes habilitées à accéder au traitement, devront être suffisamment robustes et conformes à sa délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe.
Par ailleurs, la Commission rappelle que des mesures de traçabilité devront être mises en place et concerner l’ensemble des opérations réalisées, tant par les personnes concernées que les personnes habilitées, afin d’assurer la sécurité du traitement. Les données de traçabilité ainsi collectées devraient être conservées pendant une durée de six mois (et non trois comme cela est actuellement envisagé), et faire l’objet de mesures d’analyse automatique afin de garantir la détection d’éventuelles opérations non autorisées.
Enfin, de manière plus générale, la Commission rappelle la nécessité de prévoir, en amont de la mise en œuvre du dispositif, un hébergement dans des conditions parfaitement conformes à la réglementation applicable. Si des transferts de données hors de l’Union européenne étaient envisagés, elle rappelle qu’ils devraient faire l’objet d’un encadrement conforme aux textes et à la jurisprudence récente en la matière.
Sur la modification du décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l’usage du numéro d’inscription au répertoire national d’identification des personnes physiques ou nécessitant la consultation de ce répertoire
L’article 8 du projet de décret prévoit que les déclarations adressées dans le cadre d’une création d’entreprises pourront comporter le NIR du déclarant personne physique (nouvel article R. 123-4 du code de commerce). Ce même article prévoit que l’organisme unique [l’INPI]
interroge le répertoire national d’identification des personnes physiques aux fins de confirmer, pour les personnes physiques inscrites, le caractère identique des éléments déclarés à ceux figurant dans ce répertoire .
La Commission prend acte que la consultation réalisée vise uniquement à comparer les données d’identités renseignées par le déclarant (nom, prénom, date de naissance) avec celles figurant au répertoire national d’identification des personnes physiques

Dans ce contexte, l’article 195 du projet de décret vise à modifier le décret du 19 avril 2019 susvisé afin de permettre l’utilisation du NIR ou la consultation du RNIPP
6° Pour la vérification de l'identité des chefs d’entreprise, de leurs conjoints et de l’ensemble des personnes physiques composant la gérance de l’entreprise, ainsi que pour la transmission aux organismes sociaux visés à l’annexe 1-1 du livre Ier du code de commerce des déclarations prévues à l’annexe 1-2 du même code : le service informatique mentionné à l’article R. 123-30-14 du code de commerce
La Commission prend acte qu’une telle évolution vise uniquement à obtenir une confirmation de l’exactitude de l’identité renseignée par rapport à celle enregistrée au sein du RNIPP afin de renforcer, en amont, la qualité de la donnée renseignée et ainsi éviter les corrections en cascade lorsqu’une erreur est découverte par les organismes destinataires de la formalité accomplie.
Elle relève que, par voie de conséquence, l’article 132 du projet de décret supprime le 8° du E. de l’article 2 du décret du 19 avril 2019 susvisé, relatif à la transmission par les greffiers des tribunaux du commerce du NIR, ces derniers perdant au 1

La Présidente
Marie-Laure DENIS