Délibération n° 2021-047 du 15 avril 2021 portant sur un projet de décret complétant le répertoire national mentionné à l’article R. 123-220 du code de commerce dans le cadre de la mise en place d’une identité numérique des entreprises (demande d’avis n° 20017229)

Nature: Avis

La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l’économie, des finances et de la relance d’une demande d’avis sur un projet de décret complétant le répertoire national mentionné à l’article R. 123‑220 du code de commerce dans le cadre de la mise en place d’une identité numérique des entreprises ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a) ;
Sur la proposition de M. Philippe-Pierre CABOURDIN, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
 
Emet l’avis suivant :
 
La Commission a été saisie, le 6 octobre 2020, sur le fondement de l’article 8‑I‑4°-a) de la loi du 6 janvier 1978 modifiée, du projet de décret en Conseil d’Etat complétant le répertoire national mentionné à l’article R. 123-220 du code de commerce dans le cadre de la mise en place d’une identité numérique des entreprises.
 
Le répertoire mentionné à l’article R. 123-220 du code de commerce est le répertoire national d’identification des entreprises et des établissements. Institué par les articles R. 123-220 à R. 123-234 du code de commerce, le répertoire national d’identification des entreprises et des établissements concerne plus précisément les personnes physiques exerçant de manière indépendante une profession non salariée, les personnes morales de droit public ou de droit privé, les institutions et services de l'Etat et les collectivités territoriales, ainsi que leurs établissements, lorsqu'ils relèvent du registre du commerce et des sociétés, du répertoire des métiers ou qu'ils emploient du personnel salarié, sont soumis à des obligations fiscales ou bénéficient de transferts financiers publics.
 
La gestion de ce répertoire est confiée à et est effectuée à travers le Système Informatique pour le Répertoire des ENtreprises et des Etablissements (SIRENE). Ce répertoire est plus communément nommé " répertoire SIRENE ".
 
Le traitement SIRENE est régi par différentes dispositions se trouvant à différents niveaux de normes. En l’espèce, la Commission relève qu’elle est saisie d’un projet de décret en Conseil d’Etat complétant le répertoire SIRENE dans le cadre de la mise en place d’une identité numérique des entreprises. Elle constate qu’elle est saisie pour la première fois d’un décret modifiant ce traitement depuis l’entrée en application du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel (RGPD). Elle considère que le projet de décret devrait dès lors avoir notamment pour objectif de mettre en conformité ce traitement avec la nouvelle réglementation pour ce qui relève de son champ et que les dispositions en A. 123-81 à A. 123-96 du code de commerce devront également être mises à jour en conséquence.
 
La Commission prend acte de ce qu’il est prévu par le projet de décret de créer un article R. 123-235 du code de commerce prévoyant que l’INSEE est autorisé à utiliser le répertoire national d’identification des personnes physiques (RNIPP) en vue de vérifier l’état civil des dirigeants personnes physiques des personnes morales inscrites au répertoire SIRENE. Une telle modification n’appelle pas d’observation de la part de la Commission dans la mesure où il est actuellement prévu, au 2° du F de l’article 2 du décret n° 2019‑341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l’usage du numéro d’inscription au RNIPP ou nécessitant la consultation de ce répertoire, que l’INSEE peut avoir accès au RNIPP pour la gestion du répertoire SIRENE.
 
La Commission relève que la notice du projet de décret indique que les modifications envisagées du répertoire SIRENE permettraient d’assurer, entre autres, la mise en place de l’identité numérique des entreprises par le biais de " ProConnect ", présenté comme un dispositif analogue au téléservice " FranceConnect ", pour les entreprises. A cet égard, la Commission prend acte de ce que le projet de décret ne prévoit aucune disposition à cet effet et qu’elle n’est pas saisie du téléservice " ProConnect ".
 
Enfin, la Commission estime que le document intitulé " Dossier d’analyse de la conformité relative à la protection des données à caractère personnel – traitement SIRENE " qui lui a été transmis constitue une analyse d’impact relative à la protection des données (AIPD) au sens de l’article 35 du RGPD.
 
La Commission relève enfin que, selon le ministère, le seul fait que le traitement soit opéré à grande échelle ne justifierait pas de réaliser une AIPD. Elle observe toutefois que le traitement SIRENE est notamment susceptible de contenir des données à caractère hautement personnel. Dans ces conditions, la Commission estime qu’une AIPD devrait lui être transmise dans le cas où celle-ci ferait apparaître des risques résiduels élevés.
 
Dans ce contexte, le projet de décret appelle les observations suivantes.
 
Sur la licéité et les nouvelles finalités du traitement SIRENE
A titre liminaire, en ce qui concerne la base légale relative au traitement SIRENE tel qu’il est prévu d’être modifié, la Commission relève que le ministère entend se prévaloir de l’obligation légale visée au c) du 1 de l’article 6 du RGPD. Elle estime, de manière générale et compte tenu des effets attachés à la base légale prévue par ces dispositions, notamment sur les droits des personnes concernées, qu’il revient au responsable de traitement de déterminer celle dont il entend, en l’espèce, se prévaloir. La Commission considère qu’il résulte notamment de l’examen des dispositions des articles R. 123-220 à R. 123-334 du code de commerce que l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable de traitement apparaît comme étant plus appropriée pour fonder juridiquement le traitement.
La Commission relève que le traitement SIRENE est créé par l’article R. 123‑220 du code de commerce et que ses objets sont précisés à l’article A. 
123-87 du même code.
La Commission observe que l’article 1er du projet de décret prévoit de modifier le premier alinéa de l’article R. 123-220 du code de commerce afin d’ajouter à la liste des personnes devant être inscrites au répertoire SIRENE " les personnes physiques ayant des obligations fiscales spécifiques ". Elle prend acte des précisions apportées par le ministère selon lesquelles cette catégorie de personnes vise les particuliers employeurs collecteurs de prélèvement à la source et les loueurs de meublés non professionnels. La Commission estime que cette nouvelle finalité n’est pas suffisamment précise au regard des dispositions du b) du 1 de l’article 5 du RGPD. Elle estime dès lors que le projet de décret doit être complété, en mentionnant explicitement "
les particuliers employeurs collecteurs de prélèvement à la source et les loueurs de meublés non professionnels
" aux finalités du traitement. Elle rappelle que les dispositions afférentes de l’article A. 123-87 du code de commerce devront également être modifiées en conséquence.
 
Sur les données collectées
 
L’actuel article R. 123-222 du code de commerce prévoit notamment que seules les données à caractère personnel relatives aux nom, nom d'usage, prénoms, adresse légale, date et lieu de naissance, date de l’éventuelle cessation d’activité des personnes physiques inscrites au répertoire SIRENE sont collectées. 
 
Le projet de décret envisage de modifier cet article afin de prévoir, la collecte des données à caractère personnel suivantes :
pour les personnes physiques exerçant de manière indépendante une profession non salariée et les personnes physiques ayant des obligations fiscales spécifiques : les nom, nom d’usage le cas échéant, pseudonyme le cas échéant, prénoms, adresse légale, sexe, nationalité, date et lieu de naissance, date de leur éventuel décès, date de leur éventuelle cessation d’activité, adresse électronique et éventuellement numéro de téléphone mobile ;
pour les représentants légaux des personnes morales de droit privé : les nom, nom d’usage le cas échéant, pseudonyme le cas échéant, prénoms, adresse, sexe, nationalité, date et lieu de naissance, la désignation de la ou des personnes de contact avec l’administration parmi les représentants légaux ainsi que leur adresse électronique de contact et éventuellement leur numéro de téléphone mobile.
 
D’une part, la Commission relève que la collecte de l’ensemble de ces données sera nouvelle pour les représentants légaux des personnes morales de droit privé et pour les personnes physiques ayant des obligations fiscales spécifiques. D’autre part, elle relève que la collecte des données relatives aux pseudonyme, sexe, nationalité, adresse, date de l’éventuel décès, adresse électronique et éventuellement numéro de téléphone, constitue une extension des données collectées relatives aux personnes physiques exerçant de manière indépendante une profession non salariée.
 
La Commission observe qu’une telle modification aurait un impact sur un grand nombre de personnes dans la mesure où le répertoire contiendrait, outre les données à caractère personnel des personnes physiques exerçant de manière indépendante une profession non salariée, celles des représentants légaux de personnes morales de droit privé ainsi que celles des personnes physiques ayant des obligations fiscales spécifiques. La Commission relève également que l’INSEE a prévu d’importer dans le répertoire SIRENE les données relatives aux représentants légaux des entreprises pour la période allant de 2012 à 2020 afin d’éviter aux entreprises de déclarer à nouveau leurs représentants légaux. Il a été précisé par le ministère que cette importation se fera au moyen de données que l’INSEE a déjà reçues dans le cadre des formalités d’entreprise mais qui ne faisaient jusqu’alors l’objet d’aucun autre traitement.
 
La Commission relève des précisions apportées par le ministère que la collecte de ces données viserait entre autres à disposer d’éléments d’identité permettant de vérifier et certifier ladite identité au RNIPP et de contacter les entreprises de façon dématérialisée. Toutefois, la Commission s’interroge sur le fait que la collecte de certaines données, notamment la nationalité et la date de décès des personnes physiques exerçant de manière indépendante une profession non salariée et des personnes physiques ayant des obligations fiscales spécifiques, permettrait de " limiter le risque de fraude ". En tout état de cause, et sans se prononcer sur l’objectif poursuivi, la Commission relève que cette finalité n’est pas prévue par les dispositions relatives à ce traitement.
 
Sur les droits des personnes concernées
 
En premier lieu, s’agissant des mesures prises pour assurer l’information des personnes concernées, le ministère a indiqué que l’information individuelle des personnes sera assurée notamment via les formulaires CERFA de formalités de création et modification d’entreprises personnes physiques ou personnes morales, dans des termes très généraux. Il est également prévu qu’une information générale du public soit réalisée sur la page " Protection des données personnelles " du site web de l’INSEE.
 
La Commission rappelle que cette information doit être concise, transparente, compréhensible, aisément accessible et dispensée dans des termes clairs et simples, conformément à l’article 12 du RGPD. Elle rappelle également l’importance de s’assurer que l’information des personnes concernées soit complète et de qualité au regard des exigences posées par les articles 13 et 14 du RGPD et estime que les mentions d’information devraient être complétées en conséquence.
 
En deuxième lieu, la Commission relève que les droits des personnes ne sont pas mentionnés dans le projet de décret. Elle prend acte de ce que le ministère a indiqué que les droits des personnes seront intégrés dans le futur projet d’arrêté complétant le répertoire SIRENE. Toutefois, la Commission recommande que l’ensemble des droits des personnes concernées et leurs modalités d’exercice soient mentionnés dans le présent projet de décret en ce que le renvoi à l’arrêté est limité aux " modalités de leur inscription au répertoire et d'attribution d'un numéro d'identité unique sont définies par arrêté des ministres intéressés " selon le dernier alinéa de l’article R. 123-220 du code de commerce.
 
En troisième lieu, la Commission prend acte de ce que le ministère entend exclure l’exercice du droit d’opposition, hormis pour la diffusion en ligne des données. Elle rappelle qu’une telle faculté doit répondre aux conditions prévues à l’article 23 du RGPD et à l’article 56 de la loi du 6 janvier 1978 modifiée. La Commission rappelle en particulier que l’exclusion du droit d’opposition doit être expressément prévue et qu’il convient d’assortir cette exclusion des garanties nécessaires. Dans ces conditions, la Commission estime que le projet de décret devra être complété sur ce point si le ministère entend faire application de l’article 23 du RGPD et de l’article 56 de la loi du 6 janvier 1978 modifiée.
 
Sur la durée de conservation des données collectées
 
La Commission relève des précisions apportées par le ministère que la durée de conservation des données à caractère personnel est " illimitée " allant " au-delà du décès ou de la cessation de toute activité de la personne physique ". Pour justifier de cette durée, le ministère invoque l’article R. 123-227 du code du commerce ainsi que la nécessité d’établir la preuve de la radiation de la personne physique et du départ des dirigeants des personnes morales.
 
A titre liminaire, la Commission rappelle que les dispositions du e) du 1 de l’article 5 du RGPD prévoient que les données à caractère personnel doivent être conservées pour une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Compte tenu de ce qui précède, la Commission demande à ce qu’une durée de conservation des données soit déterminée conformément à la règlementation en vigueur.
 
Enfin, elle prend acte de ce que le ministère a précisé que la durée de conservation figurera dans le même arrêté qui mentionnera les droits des personnes concernées par le traitement SIRENE. Toutefois, la Commission estime que la durée de conservation des données collectées devrait être mentionnée dans le présent projet de décret, au regard du renvoi à l’arrêté prévu par le dernier alinéa de l’article R. 123-220 du code de commerce.
 
Sur la diffusion des données
 au public
 
A titre liminaire, il est rappelé que la répertoire SIRENE fait partie des bases de données de référence du service public de la donnée mis en place par la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique. L’article L. 321-4 du code des relations entre le public et l’administration prévoit la mise à disposition du public des données de référence. Si les informations du répertoire SIRENE doivent être diffusées au public, la Commission relève que certaines données à caractère personnel ne peuvent cependant faire l’objet d’une telle diffusion, dans le cadre du présent traitement et sans préjudice d’autres traitements visant à porter à la connaissance du public des informations tel que le registre du commerce et des sociétés conformément à l’article L. 123-1 du code de commerce.
 
En premier lieu, la Commission constate qu’aucune donnée à caractère personnel relative aux représentants légaux des personnes morales de droit privé ne peut être diffusée à partir du répertoire SIRENE.
 
En deuxième lieu, la Commission relève que si certaines données à caractère personnel des personnes physiques susmentionnées peuvent être diffusées, conformément à l’article A. 123-96 du code de commerce, les personnes concernées pourront demander, soit directement lors de leurs formalités de création ou de modification d’activité, soit par lettre adressée au directeur général de l’INSEE, que les informations du répertoire les concernant ne puissent être utilisées par des tiers autres que les organismes habilités au titre de l'article R. 
123-224 ou les administrations, à des fins de prospection notamment commerciale. Elle estime que cette faculté d’opposition est sans préjudice de l’application du droit d’opposition prévu à l’article 21 du RGPD, sauf à que le ministère entende faire application des dispositions de l’article 23 du RGPD et de l’article 56 de la loi du 6 janvier 1978 modifiée.
 
Enfin, concernant le renvoi à un arrêté du Premier ministre aux fins de préciser en tant que de besoin les conditions et limites d’application de cette mise à disposition, la Commission prend acte de l’engagement du ministère de modifier le projet de décret sur ce point afin d’expliciter les conditions d’application de cette mise à disposition directement au sein de l’article R. 123‑232 du code de commerce.
 
Sur les mesures de sécurité
 
La Commission constate que les accès au traitement SIRENE se font via le protocole HTTPS, qui permet de garantir la confidentialité des données échangées ainsi que l'authentification du responsable de traitement. Concernant le recours à ce protocole, la Commission recommande d’utiliser la version de TLS la plus à jour. En particulier, elle rappelle que les versions TLS 1.0 et TLS 1.1 ne disposent pas de fonctions cryptographiques conformes au RGS. Enfin, la Commission recommande la mise en œuvre de l’ensemble des recommandations de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) en la matière, formalisées dans le document " Recommandations de sécurité relatives à TLS ", qui a été mis à jour en mars 2020 par une version 1.2.
 
La Commission prend acte de la mise en place d’une journalisation applicatives et système. Elle rappelle que le traitement de ces données a en principe pour seule finalité la détection et la prévention d'opérations illégitimes sur les données principales. Le ministère distingue la durée de conservation de ses journaux techniques de celle de ses journaux applicatifs. La durée de conservation des journaux techniques, d’un an, est conforme aux préconisations de la Commission. La Commission recommande une durée de conservation des journaux de six mois au minimum si les données concernées sont conservées au moins six mois. Ainsi, la durée de conservation, de moins de six mois, des journaux applicatifs n'est pas conforme aux préconisations de la Commission en ce qui concerne ce type de traitement.
 
La solution choisie liant la personne servant de contact sur ces aspects à un moyen d’authentification personnel, la Commission souligne l’importance de s’assurer que le processus de modification de celui-ci soit le plus fluide possible, afin de limiter les risques relatifs au départ de l’organisation de la personne contact.
 
La Commission rappelle que, compte tenu de la nature des données traitées et des risques pour les personnes en cas d'atteinte à l'intégrité ou à la disponibilité des données, des mesures de sauvegarde doivent impérativement être mises en place et testées régulièrement.
 
Enfin, les données concernant de nombreuses personnes et étant conservées pour une durée très longue, une attention particulière devra être apportée à la réévaluation régulière des mesures relatives à la confidentialité de celles-ci.
 
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement semblent conformes à l’exigence de sécurité prévue par les dispositions du f) du 1 de l’article 5 et de l’article 32 du RGPD.
 
La Commission rappelle toutefois que cette obligation nécessite la mise à jour de l’AIPD et des mesures de sécurité au regard de la réévaluation régulière des risques.
 
La Présidente
Marie-Laure DENIS