La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’action et des comptes publics d’une demande d’avis concernant un projet d’arrêté modifiant l’arrêté du 21 février 2014 portant création par la direction générale des finances publiques d’un traitement automatisé de lutte contre la fraude dénommé ciblage de la fraude et valorisation des requêtes (CFVR) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;
Vu le code général des impôts, notamment son article 242 bis ;
Vu le livre des procédures fiscales, notamment ses articles L. 10, L. 81 et L. 229 à

Vu le code pénal, notamment ses articles 313-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 31-I-2° et 33 ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 21 février 2014 portant création par la direction générale des finances publiques d’un traitement automatisé de lutte contre la fraude dénommé ciblage de la fraude et valorisation des requêtes ;
Vu la délibération n° 2014-045 du 30 janvier 2014 portant avis sur un projet d’arrêté portant création par la direction générale des finances publiques d’un traitement automatisé de lutte contre la fraude dénommé ciblage de la fraude et valorisation des requêtes (CFVR) ;
Après avoir entendu M. Philippe-Pierre CABOURDIN, commissaire en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie par le ministre de l’action et des comptes publics, en urgence, d’une demande d’avis concernant un projet d’arrêté modifiant l’arrêté du 21 février 2014 portant création par la direction générale des finances publiques d’un traitement automatisé de lutte contre la fraude dénommé Ciblage de la fraude et valorisation des requêtes (CFVR).
Le traitement CFVR, basé sur des techniques de
datamining
Initialement mis en œuvre en 2014 à titre d’expérimentation, dans le cadre de fraudes réalisées par les contribuables professionnels, le champ du traitement CFVR a été pérennisé en 2015 et étendu concomitamment à titre d’expérimentation aux personnes physiques impliquées dans le fonctionnement des entités professionnelles. Cette extension a été pérennisée en 2016, puis ce traitement CFVR a été élargi en 2017 aux particuliers à titre expérimental jusqu’en août 2019. Parallèlement, les fonctionnalités de ce traitement ont été étendues afin de permettre la détection de façon anticipée des entreprises en difficulté ainsi que l’envoi automatique de demandes de renseignements aux contribuables suite à un rapprochement des informations décelant des incohérences dans les déclarations fiscales. L’ensemble de ces modifications a fait l’objet d’avis de la Commission.
La Commission relève que le projet dont elle a été saisie lui a été soumis sur le fondement des dispositions de l’article 31-I-2° de la loi du 6 janvier 1978 modifiée qui prévoit qu’un arrêté, pris après avis motivé et publié de la Commission, autorise les traitements de données à caractère personnel mis en œuvre pour le compte de l’Etat et qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ou des mesures de sûreté. Elle rappelle qu’eu égard à ses caractéristiques, le traitement CFVR relève par principe des dispositions de la directive 2016/680 telle que transposée aux articles 87 et suivants de la loi du 6 janvier 1978 modifiée.
Dans la mesure où le traitement CFVR est susceptible d’engendrer un risque élevé pour les droits et les libertés des personnes physiques, le ministère de l’action et des comptes publics a réalisé une analyse d’impact relative à la protection des données à caractère personnel (AIPD), qui a été adressée à la Commission avec la demande d’avis conformément à l’article 90 de la loi du 6 janvier 1978 modifiée.
La Commission relève que le projet d’arrêté a pour objet d’ajouter les données transmises par les opérateurs de plateformes collaboratives au titre des données traitées par le traitement CFVR conformément à l’article 242 bis du code général des impôts issu de l’article 10 de la loi n° 2018-898 du 23 octobre 2018 relative à la lutte contre la fraude.
A titre liminaire, la Commission rappelle qu’elle a toujours considéré que le traitement CFVR doit être entouré de garanties fortes de nature à assurer un niveau élevé de protection des données compte tenu des enjeux soulevés par le
datamining
En premier lieu
Informations d’ordre économique et financier des personnes physiques
La Commission relève que cet ajout vise à tenir compte des évolutions portées par la loi n° 2018-898 du 23 octobre 2018 relative à la lutte contre la fraude et, en particulier, par son article 10, qui a modifié les dispositions de l’article 242 bis du CGI en prévoyant l’obligation pour les opérateurs de plateforme d’économie collaborative d’adresser annuellement à l’administration fiscale un document récapitulant les opérations réalisées par les utilisateurs de ces sites.
Elle rappelle que les conditions de transmission de ces informations sont prévues par l’article 23 L octies de l’annexe IV au CGI dans sa rédaction issue de l’arrêté du 27 décembre 2018 pris pour l'application de l'article 242 bis du CGI. En pratique, la Commission relève que les opérateurs de plateforme d’économie collaborative doivent notamment fournir les noms (de famille ou d’usage), prénoms et date de naissance des personnes physiques ainsi que la raison sociale, la dénomination usuelle, le numéro SIREN, le numéro de TVA intracommunautaire ou le numéro d’enregistrement auprès de l’autorité fiscale étrangère des personnes morales. Ils doivent également transmettre à l’administration fiscale le montant brut total et le nombre de transactions réalisées par chaque utilisateur. Par ailleurs, lorsqu’elles sont connues de l’opérateur (notamment lorsque le paiement est réalisé sur la plateforme), les coordonnées bancaires du compte sur lequel tout ou partie des montants sont versés à l’utilisateur doivent être transmises. Il peut s’agir d’un compte domicilié en France ou dans un pays étranger.
La Commission prend acte des précisions apportées par le ministère selon lesquelles ces informations, compte tenu de leur masse, ne pourront être traitées manuellement et des garanties selon lesquelles ces données ne seront utilisées que pour :
la détection d’activités commerciales occultes ;
la recherche de dissimulations de chiffres d’affaires ou de recettes professionnelles pouvant avoir un impact en matière d’impôt sur les sociétés, de revenus professionnels soumis à l’impôt sur le revenu ou de TVA ;
la dissimulation des recettes de location de biens immobiliers par des particuliers ou des sociétés.
La Commission prend acte de l’ajout de ce type de données eu égard à la modification de l’article 242 bis du CGI. Elle rappelle que, si des données sensibles au sens de l’article 6 de la loi du 6 janvier 1978 modifiée devaient être collectées, le traitement devrait être autorisé par un décret en Conseil d’Etat, conformément aux dispositions de l’article 31-1 de cette même loi.
En deuxième lieu
En troisième lieu
les droits d’accès et de rectification s’exercent auprès du bureau CF1C (86-92 allée de Bercy 75574 PARIS cedex 12) sauf en ce qui concerne les données issues des applications de consultation de gestion et de contrôle fiscal de la direction générale des finances publiques pour lesquelles les droits d’accès et de rectification s’exercent auprès du centre des finances publiques dont relève le requérant (…)
Ce même article prévoit que des restrictions peuvent être apportées à l’exercice de ces droits, en application des dispositions de l’article 107 de la loi du 6 janvier 1978 modifiée, ce qui n’appelle pas d’observation particulière compte tenu des caractéristiques du traitement CFVR.
S’agissant du droit à l’information des personnes concernées,
elle prend acte des précisions apportées par le ministère selon lesquelles l’information des personnes concernées doit se réaliser

En ce qui concerne le droit d’opposition, l’article 3 du projet d’arrêté précise que celui-ci n’a pas vocation à s’appliquer au présent traitement en application de l’article 110 de la loi du 6 janvier 1978 modifiée, ce qui n’appelle pas d’observation particulière.
En outre, si la Commission relève que le projet d’arrêté ne mentionne pas les conditions d’information et d’exercice des droits à l’effacement et à la limitation du traitement, elle rappelle que ceux-ci sont prévus à l’article 104 de la loi du 6 janvier 1978 modifiée.
En dernier lieu
Elle relève que le ministère entend faire application de l’article 63 de la directive (UE) 2016/680 du 27 avril 2016 qui prévoit la possibilité de reporter au 6 mai 2023 l’application de l’obligation relative au dispositif de journalisation, prévue à l’article 25 de la directive précitée. Toutefois, elle rappelle que l’article 37 de la loi n° 2018-493 du 20 juin 2018 prévoit la possibilité d’un tel report
lorsqu'une telle obligation exigerait des efforts disproportionnés
En tout état de cause, elle prend acte qu’une traçabilité effective (la date et l’identité de la personne ayant réalisé et lancé les scripts) est mise en œuvre sur les traitements ainsi que les requêtes réalisées par l’ensemble des agents, ou des prestataires sur les travaux effectués dans le cadre de cette expérimentation.
Sous réserve des précédentes observations, la Commission estime que les mesures de sécurité telles que décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue à l’article 101 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour de l’AIPD et de ses mesures de sécurité au regard de la réévaluation régulière des risques.
La Présidente
M.-L. DENIS