Le ministre de l'économie, des finances et de la souveraineté industrielle et numérique est autorisé à mettre en œuvre, pour une durée de trois ans à compter de l'entrée en vigueur du présent décret, un traitement de données à caractère personnel dénommé « Polygraphe ». Ce traitement a pour finalité la collecte automatique, le traitement et l'analyse de l'ensemble des avis en ligne figurant sur les interfaces des sites internet d'opérateurs de plateformes en ligne mentionnés à l'article L. 111-7 du code de la consommation, afin de fournir aux agents de la concurrence, de la consommation et de la répression des fraudes des éléments permettant d'aider à l'engagement d'investigations à l'encontre d'un professionnel qui aurait mis en ligne de manière directe ou indirecte des avis suspectés de ne pas constituer des avis en ligne au sens de l'article L. 111-7-2 du code de la consommation et pouvant donner lieu, le cas échéant, à des mesures ou sanctions administratives ou pénales en raison de manquements aux règles du code de la consommation.

Les catégories de données à caractère personnel et informations collectées sur les interfaces des sites internet des opérateurs de plateforme en ligne mentionnés à l'article L. 111-7 du code de la consommation et enregistrées dans le traitement prévu à l'article 1er sont issues d'avis en ligne librement accessibles et manifestement rendus publics.
Elles peuvent comporter les données suivantes :
1° Données concernant l'auteur déclaré de l'avis : nom, prénom ou pseudonyme, identifiant attribué par l'opérateur de la plateforme, adresse URL de la page personnelle ;
2° Données concernant le professionnel faisant l'objet de l'avis : dénomination sur la plateforme, identifiant attribué par l'opérateur de la plateforme, adresse URL du site internet, numéro de téléphone, adresse de messagerie électronique, données géographiques (adresse, latitude, longitude) ;
3° Données concernant les avis : texte de l'avis, texte de la réponse éventuelle à l'avis.

Les données sensibles, au sens du I de l'article 6 de la loi du 6 janvier 1978 susvisée, éventuellement collectées sur les interfaces des sites internet des opérateurs de plateforme en ligne, sont détruites à l'aide d'un mécanisme de suppression automatique au plus tard cinq jours ouvrés après leur collecte.
Les autres données et informations enregistrées dans le traitement mentionné à l'article 1er sont conservées pendant une durée maximale de six mois à compter du jour de leur enregistrement.
La durée de conservation des données inscrites dans le journal mentionné à l'article 101 de la loi du 6 janvier 2018 susvisée est de six mois.

Sont autorisés à accéder à tout ou partie des données à caractère personnel et informations mentionnées à l'article 2, à raison de leurs attributions et dans la limite du besoin d'en connaître, les agents de la concurrence, de la consommation et de la répression des fraudes, individuellement habilités.

Le droit d'opposition prévu à l'article 110 de la loi du 6 janvier 1978 susvisée ne s'applique pas au présent traitement.

Conformément aux articles 104 à 106 de la même loi, les droits d'accès, de rectification, d'effacement, et à la limitation des données s'exercent, auprès du directeur général de la concurrence, de la consommation et de la répression des fraudes, responsable du traitement :

- par voie postale : SNE, cellule numérique, 59, boulevard Vincent-Auriol, 75013 Paris ;

- par voie électronique : sne@dgccrf.finances.gouv.fr.

Au plus tard six mois avant le terme du délai mentionné à l'article 1er, le responsable du traitement remet un rapport d'évaluation à la Commission nationale de l'informatique et des libertés.

Le ministre de l'économie, des finances et de la souveraineté industrielle et numérique est chargé de l'exécution du présent décret, qui sera publié au Journal officiel de la République française.