La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'économie, des finances et de la relance d'une demande d'avis concernant un projet d'arrêté modifiant l'arrêté du 21 février 2014 portant création par la direction générale des finances publiques d'un traitement automatisé de lutte contre la fraude dénommé ciblage de la fraude et valorisation des requêtes ,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel sur les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécutions de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 31-I-2° ;
Vu la loi n° 2019-1479 du 28 décembre 2019 de finances pour 2020, notamment son article 154 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2019-114 du 12 septembre 2019 portant avis sur le projet d'article 9 du projet de loi de finances pour 2020 ;
Après avoir entendu M. Philippe-Pierre CABOURDIN, commissaire, en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Le traitement ciblage de la fraude et valorisation des requêtes (CFVR), basé sur des techniques de
datamining
Initialement mis en œuvre en 2014 à titre d’expérimentation, dans le cadre de fraudes réalisées par les contribuables professionnels, le champ du traitement CFVR a été pérennisé en 2015 et étendu concomitamment à titre d’expérimentation aux personnes physiques impliquées dans le fonctionnement des entités professionnelles. Cette extension a été pérennisée en 2016, puis ce traitement CFVR a été élargi en 2017 aux particuliers à titre expérimental jusqu’en août 2019. Parallèlement, les fonctionnalités de ce traitement ont été étendues afin de permettre la détection de façon anticipée des entreprises en difficulté ainsi que l’envoi automatique de demandes de renseignements aux contribuables suite à un rapprochement des informations décelant des incohérences dans les déclarations fiscales. L’ensemble de ces modifications a fait l’objet d’avis de la Commission.
La Commission relève que le projet dont elle a été saisie lui a été soumis sur le fondement des dispositions de l’article 31-I-2° de la loi du 6 janvier 1978 modifiée qui prévoit qu’un arrêté, pris après avis motivé et publié de la Commission, autorise les traitements de données à caractère personnel mis en œuvre pour le compte de l’Etat et qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ou des mesures de sûreté. Elle rappelle qu’eu égard à ses caractéristiques, le traitement CFVR relève par principe des dispositions de la directive 2016/680 telle que transposée aux articles 87 et suivants de la loi du 6 janvier 1978 modifiée.
Dans la mesure où le traitement CFVR est susceptible d’engendrer un risque élevé pour les droits et les libertés des personnes physiques, le ministère a réalisé une analyse d’impact relative à la protection des données à caractère personnel (AIPD), qui a été adressée à la Commission avec la demande d’avis conformément à l’article 90 de la loi du 6 janvier 1978 modifiée.
A titre liminaire
Elle observe que les modalités d’application du dispositif de collecte précité, qui seront encadrées par un décret en Conseil d’Etat lequel fait l’objet d’un avis de la Commission, entraînent des conséquences sur le traitement CFVR. Le présent projet d’arrêté vise ainsi à prendre en compte la transmission et l’analyse de certaines données collectées sur les plateformes et réseaux sociaux dans le traitement CFVR afin de déterminer si celles-ci constituent des indices permettant de caractériser l’une des infractions recherchées dans le cadre du dispositif de l’article 154 de la loi de finances pour 2020.
Ces éléments généraux rappelés, la Commission entend formuler les observations suivantes.
En premier lieu,
En deuxième lieu,
indicateurs et données d’identification des titulaires de comptes des pages internet

les indicateurs et les données d’identification des titulaires de comptes des pages internet
les informations indiquant des données géographiques ou de localisation s’agissant des travaux engagés pour la recherche des personnes faussement domiciliées à l’étranger
indicateurs
se rapportant à des lieux géographiques
Il ressort également de la documentation transmise que les données dites brutes collectées directement sur les plateformes en ligne et les réseaux sociaux (notamment vidéo, photographie, écrits, etc.) ne seraient pas transmises et enregistrées dans le traitement CFVR, ce dont la Commission prend acte.
En troisième lieu,
Elle relève par ailleurs que le dernier alinéa de l’article 3 du projet d’arrêté précise que
les données dont sont destinataires les agents fiscaux ainsi que les informations qui sont renseignées par ces agents sont conservées trois ans
En dernier lieu,
La présidente,
M.-L. Denis