La Commission nationale de l'informatique et des libertés,
Saisie par le secrétaire général de la défense et de la sécurité nationale d'une demande d'avis concernant un projet de décret portant création d'un traitement automatisé de données à caractère personnel visant à détecter et caractériser les opérations d'ingérence numérique étrangères aux fins de manipulation de l'information sur les plateformes en ligne ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 31-II et son titre IV ;
Après avoir entendu le rapport de Mme Isabelle LATOURNARIE-WILLEMS, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
Le traitement dont la Commission nationale de l’informatique et des libertés (ci-après la Commission ) a été saisie a pour finalité la caractérisation d’opérations d’ingérence numérique étrangères de nature à porter atteinte aux intérêts fondamentaux de la Nation grâce à la collecte et l’exploitation des contenus publiquement accessibles publiés sur Internet par les utilisateurs des opérateurs de plateformes en ligne. Ce traitement a vocation à être mis en œuvre par un service à compétence nationale dénommé service de vigilance et de protection contre les ingérences numériques étrangères (Viginum), créé par le décret n° 2021-922 du 13 juillet 2021, rattaché au secrétaire général de la défense et de la sécurité nationale (SGDSN). Le service Viginum agira en qualité de responsable du traitement. Dans la mesure où le traitement projeté intéresse la défense et la sûreté de l’Etat, et que des données mentionnées au I de l’article 6 de la loi du 6 janvier 1978 modifiée sont susceptibles d’être enregistrées, celui-ci doit faire l’objet d’un décret en Conseil d'Etat pris après avis motivé de la Commission.
L’activité de Viginum s’inscrit dans un contexte global de lutte contre la manipulation de l’information.
Le SGDSN fait valoir que la diffusion de fausses informations s’est généralisée sur les plateformes en ligne, notamment avec le développement des réseaux sociaux, et touche aussi bien les périodes électorales que les autres champs du débat public (faits d’actualités ou de société marquants). Le législateur a renforcé l’arsenal juridique permettant de lutter contre la publication de fausses informations pendant les périodes de campagne électorale, notamment avec la loi n° 2018-1202 du 22 décembre 2018 relative à la lutte contre la manipulation de l’information, tandis que les services de l’État ont mis en place un réseau de coordination interministérielle (comité de lutte contre la manipulation de l’information). Le Gouvernement souhaite renforcer ce dispositif en se dotant d’un service opérationnel destiné à détecter à tout instant les menaces informationnelles numériques provenant de l’étranger à l’aide d’un outil informatique que le projet de décret, soumis à l’avis de la Commission, a vocation à encadrer.
Le traitement est justifié par l’objectif légitime de préserver la sincérité du débat démocratique et de lutter contre les atteintes aux intérêts fondamentaux de la Nation. La Commission estime néanmoins que la mise en œuvre d’un tel traitement n’est pas neutre sur l’exercice des libertés publiques compte tenu de l’économie générale du traitement et des conséquences que ce traitement est susceptible d’avoir sur certains droits et libertés fondamentaux, dont la liberté d’expression et la liberté d’opinion. En outre, la Commission relève que le traitement envisagé s’appuie sur une veille permanente et, parce qu’il peut concerner tous les champs du débat public, est susceptible de permettre à tout instant une collecte massive de données à tout instant. De telles atteintes ne peuvent être admises que si des garanties suffisantes sont prévues. La Commission considère qu’une attention particulière doit être accordée au principe de transparence à l’égard du grand public et aux principes de minimisation des données et de respect de la vie privée dès la conception, en limitant le traitement de données non pertinentes au regard des finalités poursuivies et en limitant les périodes au cours desquelles ce traitement peut être mis en œuvre.
Sur l’économie générale du traitement de données à caractère personnel envisagé
Le dispositif considéré se décomposera en plusieurs phases. Tout d’abord, une phase de veille et de détection doit permettre de suivre les informations pertinentes sur des thématiques d’actualité afin d’identifier les acteurs ou les évènements ayant un intérêt au regard des missions du service Viginum . A ce stade du traitement, le service Viginum s’attache à détecter un soupçon relatif à
la diffusion d’allégations ou imputations de faits manifestement inexactes ou trompeuses
webscraping
Application Programing Interface
En premier lieu,
Tout d’abord, il implique une collecte automatisée de données publiées sur diverses plateformes (notamment les réseaux sociaux), en très grande quantité et susceptible d’intervenir à tout moment. Ces informations sont susceptibles de révéler des informations sur un nombre important d’aspects de la vie privée des personnes concernées, y compris des informations sensibles, telles que les opinions politiques, les convictions religieuses ou philosophiques ainsi que l’état de santé ou l’orientation sexuelle, alors que de telles données bénéficient d’une protection particulière. Ainsi, le traitement envisagé conduit une autorité publique à collecter des données relatives à l’activité de personnes sur les plateformes en ligne où elles sont inscrites, disposant ainsi, potentiellement, d’une information particulièrement riche et précise sur elles, indépendamment de toute enquête pénale ou procédure judiciaire et en dehors du cadre prévu pour les techniques de renseignement.
Par ailleurs, la collecte automatisée d’un grand nombre de données à partir des plateformes concernées, selon certains paramètres déterminés par avance (au sein des fiches dites de traçabilité ), implique la collecte et le traitement de données non pertinentes au regard des finalités poursuivies.
En deuxième lieu

la diffusion d’allégations ou imputations de faits manifestement inexactes ou trompeuses
En troisième lieu,
Au regard de ces éléments
Sur la nature du texte autorisant la création du traitement
La Commission relève que la mise en œuvre d’un tel traitement interviendra

données publiquement accessibles sur les plateformes en ligne des opérateurs mentionnés au I de l’article L. 111-7 du code de la consommation
Elle considère donc qu’une atteinte particulièrement importante au droit au respect de la vie privée et à la protection des données à caractère personnel est caractérisée. De telles atteintes ne peuvent être admises que si elles apparaissent strictement nécessaires au but poursuivi, et si des garanties suffisantes au regard du respect des principes fondamentaux du droit à la protection des données à caractère personnel sont prévues.
Or, la Commission appelle l’attention du Gouvernement sur le fait que le législateur a précédemment considéré qu’il lui appartenait de fixer les règles en matière de lutte contre la manipulation de l’information (loi n° 2018-1202 du 22 décembre 2018) et concernant les dispositifs de collecte de données accessibles sur les réseaux sociaux ayant vocation à être mis en œuvre, par exemple, par le pôle d'expertise de la régulation numérique (projet de loi relatif à la régulation et à la protection de l’accès aux œuvres culturelles à l’ère numérique), le Conseil supérieur de l'audiovisuel (article 42 de la loi n° 2021-1109 du 24 août 2021 confortant le respect des principes de la République), l'administration fiscale et l'administration des douanes et droits indirects (article 154 de la loi de finances pour 2020).
Compte tenu de ce qui précède, la Commission estime souhaitable de laisser la possibilité au législateur, au terme d’un débat démocratique, d’apprécier la proportionnalité d’un tel dispositif et de fixer les règles en encadrant et en limitant l’usage, ainsi que les modalités de son contrôle.
Par ailleurs, la Commission souhaite formuler les observations suivantes.
Les garanties à prévoir par le texte encadrant le traitement
A titre liminaire
Sur les finalités du traitement
Le deuxième alinéa de l’article 1

la collecte et l’exploitation des contenus publiquement accessibles sur les plateformes en ligne

la caractérisation des opérations impliquant, de manière directe ou indirecte, un Etat étranger ou une entité non étatique étrangère, et visant à la diffusion artificielle ou automatisée, massive et délibérée, par le biais d’un service de communication au public en ligne, d’allégations ou imputations de faits manifestement inexactes ou trompeuses de nature à porter atteinte aux intérêts fondamentaux de la Nation
Le traitement vise à répondre aux besoins de caractériser une stratégie hostile entendue comme :
une activité inauthentique (constituée par exemple de comportements techniques anormaux) ;
dévoilant une intention malveillante à l’encontre des intérêts fondamentaux de la Nation avec pour objectif central la déstabilisation ; et
rattachable à une origine étrangère supposée, étatique ou non étatique.
La Commission relève qu’il ressort de l’analyse d’impact sur la protection des données (AIPD) que chaque opération de collecte et d’analyse de données à caractère personnel sera encadrée par une fiche dite de traçabilité qui déterminera les indicateurs pertinents à suivre (mots-clés, éléments sémantiques comme des mots-dièses, éléments chiffrés, rapprochement entre des profils ou groupe de profils d’intérêts, etc.). Elle appelle l’attention du Gouvernement sur la nécessité de définir de manière plus précise les opérations de collecte dans les fiches de traçabilité. Elle relève que la conformité de ces fiches de traçabilité aux finalités définies à l’article 1

Compte tenu de ce qui précède, la Commission considère que la finalité de détection et de caractérisation d’une opération d’ingérence numérique étrangère est déterminée, explicite et légitime, conformément au 2° de l’article 4 de la loi Informatique et Libertés .
Sur les différentes phases du traitement
La Commission relève que le projet de décret n’encadre le traitement qu’à compter de la phase de caractérisation. Or, comme détaillé précédemment, la phase de caractérisation est précédée d’une phase de veille et de détection, réalisée

diffusion d’allégations ou imputations de faits manifestement inexactes ou trompeuses
Sur les catégories de données à caractère personnel
S’agissant de la notion de contenus publiquement accessibles et les plateformes visées
L’article 1

contenus publiquement accessibles
La Commission prend acte de ce que la référence aux
contenus publiquement accessibles
Toutefois, elle relève que le champ des plateformes concernées par le projet d’article est particulièrement étendu. En l’état des justifications fournies, elle s’interroge sur la nécessité de viser l’ensemble des plateformes mentionnées au I de l’article L. 111-7 du code de la consommation, dont certaines ne paraissent pas pertinentes au regard de l’objectif poursuivi (par exemple, s’agissant des plateformes en ligne de mise en relation de plusieurs parties en vue de la vente d'un bien, de la fourniture d'un service). En tout état de cause, la Commission considère que le choix des plateformes visées devra être documenté et justifié au regard notamment de leur caractère
systémique
S’agissant des modalités de collecte des données
A titre liminaire,
Le projet de décret prévoit que l’opération de collecte déclenchée à partir de la fiche de traçabilité pourra en pratique conduire à copier des données excédant les catégories visées à l’article 4 du projet de décret, dès lors qu’elles sont en lien avec les indicateurs préalablement définis dans le cadre de ces fiches. Ces données extraites seront immédiatement et automatiquement retraitées pour supprimer celles qui excèdent les catégories de l’article 4. En raison de ces modalités techniques de collecte qui résulteraient de contraintes opérationnelles et qui conduisent à traiter des données non pertinentes au regard des finalités poursuivies, qui ne seront finalement pas conservées, la Commission appelle l’attention du Gouvernement sur la nécessité de mettre en place des garanties appropriées afin de s’assurer du respect des principes de minimisation des données et de protection des données dès la conception.
En premier lieu

En deuxième lieu,
En troisième lieu,
En outre, l’article 5 du projet de décret prévoit que les données non pertinentes sont
immédiatement détruites
En dernier lieu
S’agissant de la définition des catégories de données conservées
Les catégories mentionnées à l’article 4 du projet de décret appellent les observations suivantes.
En premier lieu
données de caractérisation de l’activité et de l’audience des comptes
caractérisation de l’activité
En deuxième lieu,
données d’identification déclarées par les titulaires de comptes ouverts sur les plateformes en ligne
En troisième lieu,
publications diffusées au moyen des comptes et les indicateurs d’audience associés
En dernier lieu
S’agissant du traitement de catégories particulières de données à caractère personnel
L’article 6 du projet de décret précise que les informations collectées peuvent contenir des données sensibles, au sens de l’article 6 de la loi Informatique et Libertés .
La Commission prend acte de ce que la collecte de telles données est inhérente à l’activité du service Viginum . Les garanties soulignées par la Commission (suppression immédiate et automatisée des données non pertinentes, transparence, etc.) doivent être appliquées avec d’autant plus de rigueur dans l’exploitation et la conservation de ces données.
Par ailleurs, elle considère que certaines catégories de données sont susceptibles de soulever des difficultés particulières comme, par exemple, les photographies. Si elle prend acte des précisions apportées, selon lesquelles aucun dispositif de reconnaissance faciale ne sera mis en œuvre, elle demande néanmoins que le texte encadrant le traitement exclue expressément la possibilité d’y recourir, ce à quoi le Gouvernement s’est engagé.
S’agissant des périodes de collecte et de la profondeur historique des données collectées
La période au cours de laquelle les données peuvent être collectées, à l’issue de la phase de veille et détection, est limitée à sept jours et peut être reconduite à la suite d’un contrôle et d’une validation humaine. La Commission considère que le texte encadrant le traitement devra préciser la durée de la collecte et invite le SGDSN à documenter, dans le cadre des fiches de traçabilité, les raisons des éventuelles reconductions. La Commission prend acte de l’engagement du Gouvernement de compléter le projet de texte encadrant le traitement en précisant la période de collecte.
Enfin, la profondeur historique de récupération des données pourra concerner aussi bien plusieurs années que seulement quelques jours en fonction du sujet étudié et de l’antériorité nécessaire pour comprendre la situation (par exemple, l’identification de périodes dites de réveils pour des évènements particuliers pourra justifier une période de récupération longue). La période de récupération des données ne saurait ainsi être uniforme et prédéterminée. La Commission invite donc le Gouvernement à définir au cas par cas la période de récupération des données, qui devra être documentée dans le cadre des fiches de traçabilité.
Sur la durée de conservation des données à caractère personnel conservées
L’article 9 du projet de décret prévoit que les données collectées sont détruites à l’issue de leur exploitation et, au plus tard, au terme d’un délai de quatre mois à compter de la date de leur collecte.
La Commission prend acte de la durée de conservation retenue par le SGDSN et rappelle qu’il s’agit d’une durée maximale : les données considérées comme non pertinentes pour la phase d’exploitation devront être immédiatement supprimées, sans attendre l’expiration du délai de quatre mois.
Sur la production de notes d’analyse
S’agissant de l’élaboration des notes d’analyse
L’article 10 du projet de décret prévoit que les données exploitées sont extraites pour les besoins de l’élaboration de notes d’analyse.
Le SGDSN a précisé que les notes d’analyse ont pour objet de restituer les résultats des analyses menées par le service Viginum et de proposer des perspectives d’actions à mettre en œuvre dans le cadre des opérations de veille. Dans ce cadre, ces notes sont susceptibles de contenir des données à caractère personnel nécessaires à la caractérisation d’une opération d’ingérence numérique étrangère et son imputation ou son attribution ; aucune limitation n’est prévue concernant leur conservation.
La Commission estime que les données contenues dans ces notes doivent impérativement se limiter au strict nécessaire et ne concerner que les comptes ayant un lien direct et établi avec la caractérisation d’une opération d’ingérence numérique étrangère : en aucun cas, ces notes ne pourraient contenir des données des internautes de bonne foi ayant par exemple relayé une fausse information . Leurs données devraient être détruites à l’issue de l’exploitation.
La Commission considère qu’en l’état actuel de sa rédaction, le projet de décret n’apporte pas assez de garanties sur ce point, et invite donc le Gouvernement à préciser en ce sens le texte encadrant le traitement. Par ailleurs, elle rappelle qu’une durée de conservation devra être prévue, conformément au 5° de l’article 4 de la loi Informatique et Libertés .
S’agissant de la transmission des notes d’analyse
L’article 12 du projet de décret prévoit que les notes d’analyse pourront être transmises à différents services étatiques et administrations ainsi qu’à des homologues étrangers.
Bien que ne pouvant comporter que des données de comptes liés à des ingérences étrangères, la Commission considère que le transfert des notes d’analyse à des tiers doit être encadré de manière plus précise.
En premier lieu
En outre, le SGDSN a précisé que la référence aux autorités administratives participant aux instances de coordination des travaux interministériels en matière de protection contre les opérations d’ingérence numérique étrangères renvoyait aux autorités administratives participant au comité de lutte contre la manipulation de l’information qu’il pilote. Ce comité est composé des représentants du ministère de l’Europe et des affaires étrangères, du ministère de l’intérieur, du ministère des armées, du ministère de la culture, du ministère de la justice, du ministère de l’éducation nationale, du porte-parole du Gouvernement, de certains services du Premier ministre ainsi que de certains services de renseignement.
La Commission considère donc que le texte encadrant le traitement doit mentionner tous les destinataires des notes d’analyse, en ce compris les services de renseignement.
En second et dernier lieu
Sur l’information et les droits des personnes concernées
L’article 13 du projet de décret encadre les modalités d’exercice des droits des personnes concernées, au regard des dispositions du titre IV de la loi Informatique et Libertés .
S’agissant de l’information des personnes concernées
La Commission prend acte de ce que le projet exclut le droit à l’information sur le fondement de l’article 116 de la loi mais qu’une information collective sera délivrée sur le site web du SGDSN ou sur celui du service Viginum . Elle insiste sur la nécessité de délivrer une information compréhensible par le plus grand nombre afin de permettre aux internautes de prendre conscience des conditions précises dans lesquelles leurs données à caractère personnel sont susceptibles d’être collectées à tout moment.
S’agissant de l’exercice indirect des droits d’accès, de rectification et d’effacement
L’article 13 du projet de décret prévoit que les droits d’accès, de rectification et d’effacement s’exerceront de manière indirecte auprès de la Commission, selon la procédure prévue à l’article 118 de la loi Informatique et Libertés .
La Commission considère que le SGDSN n’a pas justifié des raisons lui permettant de faire application de ces dispositions. Elle rappelle que l’exercice des droits des personnes, et notamment la possibilité de demander à accéder aux données les concernant, constitue une garantie importante en vue de prévenir des atteintes à leur vie privée. Elle estime donc que les droits d’accès, de rectification et d’effacement devraient, dans un souci de transparence, s’exercer directement auprès du service Viginum en application de l’article 119 de la loi Informatique et Libertés . L’exercice direct des droits des personnes concernées devrait s’appliquer à toutes les phases du traitement. Seules les données contenues dans les notes d’analyse, en raison de leur sensibilité, pourraient légitimement faire l’objet des droits d’accès, de rectification et d’effacement indirects auprès de la Commission.
Sur l'utilisation de traitements algorithmiques pour l'analyse des contenus
Le SGDSN prévoit l'utilisation de traitements algorithmiques pour analyser les contenus collectés, et notamment l'utilisation de techniques de reconnaissances d'image, afin notamment d’apprécier le caractère authentique ou non de l'activité de certains comptes.
La Commission souligne que de nombreuses failles ont été identifiées lors de l'utilisation de telles techniques, qui ont parfois eu des impacts discriminatoires sur les personnes. La Commission recommande ainsi que, s’ils sont utilisés, ces outils fassent l'objet d'une étude d'impact approfondie, notamment en ce qui concerne leurs biais discriminatoires possibles. Elle invite le SGDSN à réaliser une AIPD pour chaque nouvel algorithme utilisé dans le cadre du traitement envisagé et prend acte de l’engagement du Gouvernement en ce sens.
Sur la nécessité de fournir un bilan annuel
La Commission demande qu’un bilan annuel sur le traitement projeté soit réalisé dans un délai maximal d’un an à compter du déploiement du dispositif. Ce bilan devra être rendu public dans un objectif de transparence à l’égard des personnes concernées.
Ce rapport devrait être le plus précis possible sur les opérations de collecte effectivement menées. Il devrait contenir

une synthèse des fiches de traçabilité qui ont servi comme base des collectes de données ;
la liste exhaustive des sites/sources Internet sur lesquels les données ont été collectées ;
une information générale sur les moyens utilisés pour obtenir les données ;
des éléments chiffrés sur l’exercice des droits ;
des éléments sur les mesures de sécurité mises en place afin d’assurer la confidentialité et l’intégrité des données collectées ;
des éléments de conclusion généraux relatifs au fonctionnement du traitement, aux éventuelles difficultés rencontrées, aussi bien juridiques que techniques.
La Présidente
Marie-Laure DENIS