[Brèves] Données rendues publiques par les utilisateurs de plateformes en ligne : nouvelles précisions par décret

► Le décret n° 2021-148, publié au Journal officiel du 13 février 2021, fixe les modalités de mise en œuvre des traitements informatisés et automatisés permettant la collecte et l'exploitation par les administrations fiscales, des contenus, librement accessibles sur les sites internet des opérateurs de plateforme en ligne mentionnés au 2° du I de l'article L. 111-7 du Code de la consommation (N° Lexbase : L4973LAG), dès lors qu'ils sont manifestement rendus publics par leurs utilisateurs ;

► Il précise notamment les conditions assurant que les traitements mis en œuvre sont proportionnés aux finalités poursuivies et en quoi les données personnelles traitées sont adéquates, pertinentes et, au regard des finalités pour lesquelles elles sont traitées, limitées à ce qui est strictement nécessaire.

Publics concernés. Le présent décret vise les opérateurs de plateforme numériques de mise en relation (par exemple : BlaBlaCar, Le Bon Coin, Airbnb, Facebook, YouTube, etc.) les utilisateurs de telles plateformes, et les agents des administrations fiscale et douanière.

Deux phases. Selon l’article 1 du présent décret, le dispositif mis en œuvre est composé de deux phases distinctes pour chacune des administrations concernées : une phase d'apprentissage et de conception suivie d'une phase d'exploitation des données.

Contenus. L’article 2 du présent décret précise quels contenus peuvent être collectés et exploités :

• seuls les contenus se rapportant à la personne qui les a délibérément divulgués et dont l'accès ne nécessite ni saisie d'un mot de passe ni inscription sur le site en cause peuvent être collectés et exploités ;
• lorsque la personne est titulaire sur internet d'une page personnelle permettant le dépôt de commentaires ou toute autre forme d'interactions avec des tiers, ces commentaires et interactions ne peuvent faire l'objet d'aucune exploitation.

Finalités. L’article 3 du présent décret détaille les finalités du traitement pour chacune des deux phases citées à l’article 1 : 

« 1° Pendant la phase d'apprentissage et de conception :
a) Le développement d'outils permettant la collecte et le traitement automatisés des contenus mentionnés à l'article 2 et leur nettoyage automatisé après collecte ;
b) La modélisation et l'identification des caractéristiques des comportements susceptibles de révéler la commission des infractions et manquements mentionnés au I de l'article 154 de la loi du 28 décembre 2019 susvisée et l'identification d'indicateurs et de critères de pertinence ;
c) Le développement des capacités d'analyse de données non structurées et la mise en place des dispositifs de croisement avec des bases de données de lieux géographiques et des moteurs de recherche spécialisés dans l'identification des lieux correspondant à des images, afin d'identifier des indicateurs de lieux géographiques ;
d) La collecte et la sélection des données pertinentes ;
2° Pendant la phase d'exploitation :
a) La collecte et la sélection des données pertinentes ;
b) Le transfert des données pour analyse vers les traitements visés au II des articles 6, 7 et 8 ;
c) La transmission des données prévue par l'article 10. »

Modalités de mise en œuvre des traitements. Les modalités de mise en œuvre des traitements pendant la phase d'apprentissage et de conception font l’objet des articles 4 à 5 du présent décret, tandis que les modalités de mise en œuvre des traitements pendant la phase d'exploitation font l’objet des articles 6 à 10.

Une distinction est faite en fonction des infractions au Code général des impôts concernées telles que les activités occultes ou encore les manquements aux règles de la domiciliation fiscale.

Garanties. L’article 11 du présent décret concerne les droits des personnes concernées par le traitement automatisé de données à caractère personnel.

Entrée en vigueur. Le présent décret est en vigueur depuis le 14 février.

Avis de la CNIL. Dans sa délibération n° 2020-124 du 10 décembre 2020, la CNIL rappelle qu'il est expressément prévu que l'expérimentation devra faire l'objet d'une première évaluation dont les résultats lui seront transmis ainsi qu'au Parlement au plus tard dix-huit mois avant son terme d'une part, et qu'un bilan définitif devra également leur être transmis six mois avant son terme d'autre part. Elle rappelle également qu'elle sera particulièrement attentive aux contenus des documents transmis ainsi qu'aux suites que le ministère entendra donner à l'expérimentation menée. La Commission renvoie à sa délibération n° 2019-114 du 12 septembre 2019 (N° Lexbase : X4503CHA) s'agissant des informations qu'elle souhaite a minima lui être communiquées.

© Reproduction interdite, sauf autorisation écrite préalable