La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'économie, des finances et de la relance d'une demande d'avis concernant un projet de décret relatif à la publication des mesures de gel de biens immobiliers prises en application du règlement UE n° 269/2014 du Conseil du 17 mars 2014 ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu le code des relations entre le public et son administration, notamment son article L. 312-1-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Sur la proposition de M. Philippe-Pierre CABOURDIN, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission a été saisie le 21 mars 2022 d'une demande d'avis par le ministère de l'économie et des finances et de la relance, portant sur un projet de décret relatif à la publication des mesures de gel de biens immobiliers prises en application du règlement UE n° 269/2014 du Conseil du 17 mars 2014 modifié concernant les mesures restrictives eu égard aux actions compromettant ou menaçant l'intégrité territoriale, la souveraineté et l'indépendance de l'Ukraine. Ces biens sont préalablement inscrits au fichier immobilier ou au livre foncier en application de l'article L. 562-8 du code monétaire et financier.
Le projet de décret vise à permettre la publication, par dérogation au principe d'anonymisation des données publiées, de la liste des biens immobiliers (adresse et références cadastrales) faisant l'objet d'une mesure de gel en application du règlement UE n° 269/2014 susmentionné. Les noms des propriétaires de chaque bien, qui sont ceux mentionnés par ce règlement européen tels qu'indiqués dans l'annexe au règlement précité, ne seraient pas indiqués.
La Commission relève que le projet de décret, d'une part, ajoute une catégorie de documents dérogeant à l'obligation d'anonymisation préalable à la diffusion, en application du deuxième alinéa de l'article L. 312-1-2 du code des relations entre le public et l'administration, et organise, d'autre part, un traitement relatif à la publication de la liste objet du présent décret.
La Commission relève que le présent projet de décret a pour objet d'organiser la publication d'informations parmi lesquelles figurent des données à caractère personnel, lesquelles ne sont pas directement identifiantes. Elle considère dès lors que le présent projet de décret constitue un traitement de données à caractère personnel au sens de l'article 4 du règlement (UE) 2016/679 du 27 avril 2016 susvisé (RGPD).
Sur le traitement de données à caractère personnel
Le présent projet de décret prévoit un traitement des données à caractère personnel que sont l'adresse des biens immobiliers appartenant aux personnes physiques ou morales faisant l'objet d'une mesure de gel en application du règlement UE n° 269/2014 et leurs références cadastrales. La Commission prend acte des précisions du ministère, selon lesquelles l'établissement de la liste objet du présent projet de décret résultera d'une extraction du livre foncier, opérée par les administrations compétentes en matière de gel d'avoir et dans le cadre de leurs missions.
D'une part, il a été déclaré à la Commission que la publication ne concerne que les données visées de manière exhaustive dans le décret, à l'exclusion donc de toute donnée nominative ou immédiatement identifiante. A cet égard, la Commission prend acte de la précision du ministère selon laquelle les informations relatives aux biens ne seront pas mises en relation, rapprochées ou interconnectés dans la publication avec les personnes concernées auxquelles ils appartiennent. La Commission rappelle que, malgré cela, cette liste de biens reste potentiellement identifiante, dans la mesure où la réidentification de leur propriétaire reste possible bien que non prévue par la liste et qu'aucune mesure d'anonymisation n'est prévue dans le traitement. Elle estime que l'absence de possibilité de rapprochement aisé avec les noms des propriétaires doit rester une garantie forte pour la protection des données à caractère personnel.
D'autre part, la Commission prend acte de la précision du ministère selon laquelle il s'agit d'une mesure temporaire qui devra être précisée dans le décret.
Enfin, le traitement a pour finalité l'information du public sur les mesures de gel mises en œuvre par l'Etat dans le cadre de l'application du règlement de 2014 susvisé et il a pour base légale l'exécution d'une mission d'intérêt public au sens du e du 1 de l'article 6 du RGPD.
Dans ces conditions, et au regard du contexte précité, le traitement de données à caractère personnel visé par le présent projet apparait proportionné au but poursuivi.
La Commission rappelle cependant que la publication de telles informations constitue un traitement de données à caractère personnel au sens de l'article 4 du RGPD et que le responsable du traitement devra, pour la mise en œuvre du décret, s'assurer de sa conformité à la réglementation relative à la protection des données à caractère personnel.
Dès lors, elle invite le ministère à réaliser une analyse d'impact relative à la protection des données. Si le niveau de risque résiduel était élevé à l'issue de cette analyse, alors, la Commission devrait être consultée sur celle-ci en application du 1 de l'article 36 du RGPD.
Elle appelle notamment le responsable de traitement à une vigilance particulière s'agissant de l'information des personnes, afin de permettre un exercice rapide et efficace des droits, notamment en cas d'erreur dans les informations dont la publication est envisagée.
Sur l'ajout d'une catégorie de documents dispensés d'anonymisation préalable à la diffusion
La Commission rappelle, à titre liminaire et de façon générale, que la publication massive de données en ligne a mécaniquement pour effet d'augmenter les risques potentiels pour les personnes concernées. En effet, cette publication présente le risque que des informations publiques puissent, sans même contenir initialement de données directement identifiantes, permettre, par recoupement avec d'autres informations publiques mises à disposition et plus généralement avec d'autres données disponibles, l'identification ou la ré-identification de personnes physiques. Dans cette hypothèse, plus que sa qualité intrinsèque, c'est bien l'usage fait de la donnée initiale qui lui confère son caractère personnel.
En l'espèce, la Commission relève que le présent projet de décret vise à répondre à une situation d'urgence particulière liée au contexte international. et que cette nouvelle dérogation prise en application de l'article L. 312-1-2 du CRPA est une mesure temporaire, qui n'a dès lors pas vocation à être codifiée.
La Commission prend acte de ce que le gouvernement estime que la règlementation du registre national du gel des avoirs, prévue à l'article R. 562-2 du code monétaire et financier, ne fait pas obstacle à ce que des éléments relatifs au gel d'avoirs autres que ceux présents dans l'article précité fassent l'objet de mesures de publication. Elle souligne qu'en l'absence de modification des catégories de données portés au registre national du gel des avoirs créé à cet article, la catégorie créée par le présent projet de décret ne saurait être intégrée à ce registre, dont elle est indépendante. Cela implique également que la liste créée par le présent projet est indépendante de la liste des personnes dont les avoirs sont gelés.
Enfin, elle relève que cette catégorie de données ne pourra être publiée que par le ministre chargé de l'économie.
Sous ces précisions, la Commission considère que cette dérogation à l'anonymisation des données à caractère personnel apparaît adaptée au contexte spécifique dans lequel elle s'inscrit.