Délibération n° 2017-242 du 7 septembre 2017 portant avis sur un projet arrêté modifiant l'arrêté du 1er septembre 2016 portant création par la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel de gestion du fichier des contrats de capitalisation et d'assurance vie dénommé Ficovie

(DEMANDE D'AVIS NO 1942384V4)



La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'action et des comptes publics d'une demande d'avis concernant un projet d'arrêté modifiant l'arrêté du 1er septembre 2016 portant création par la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel de gestion du fichier des contrats de capitalisation et d'assurance vie dénommé Ficovie ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code général des impôts, notamment son article 1649 ter ;
Vu le livre des procédures fiscales, notamment ses articles L. 135 ZG et R. 135 ZG-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-1-2° et 30-II ;
Vu la loi n° 2013-907 du 11 octobre 2013 modifiée relative à la transparence de la vie publique ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 1er septembre 2016 modifié portant création par la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel de gestion du fichier des contrats de capitalisation et d'assurance vie dénommé FICOV1E ;
Vu le dossier et ses compléments ;
Après avoir entendu M. Jean-Luc VIVET, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La Commission a été saisie pour avis par le ministère de l'action et des comptes publics d'un projet d'arrêté modificatif de l'arrêté du 1er septembre 2016 relatif au traitement dénommé Ficovie, pris après un avis de la Commission en date du 19 mai 2016 et sur les modifications duquel elle s'est déjà prononcée à plusieurs reprises.
Le traitement Ficovie, mis en œuvre par la direction générale des finances publiques (DGFiP), a pour finalité principale d'améliorer le contrôle fiscal, par le recensement et le contrôle des déclarations des contrats et placements prévues aux I et II de l'article 1649 ter du code général des impôts, en vue de lutter contre la fraude fiscale. Il a ainsi pour objet la prévention et la recherche d'infractions pénales et relève à ce titre de l'article 26-1-2° de la loi du 6 janvier 1978 modifiée. En application de ces dispositions et de celles prévues à l'article 30-II de la même loi, les modifications apportées à l'arrêté en portant création doivent être autorisées par arrêté ministériel pris après avis motivé et publié de la Commission.
Le présent projet d'arrêté vise à autoriser l'accès des agents de la Haute Autorité pour la transparence de la vie publique (HATVP) aux données enregistrées dans le traitement Ficovie.
La HATVP est une autorité administrative indépendante dont les missions sont prévues à l'article 20 de la loi n° 2013-907 du 11 octobre 2013 susvisée. En particulier, elle est chargée de recevoir des principaux responsables publics relevant de sa compétence leurs déclarations de situation patrimoniale et leurs déclarations d'intérêts et d'en assurer la vérification et le contrôle.
Afin de permettre aux agents de cette autorité de contrôler, de manière efficace et rapide, l'évaluation et l'évolution du patrimoine des personnes concernées, les dispositions de l'article L. 135 GZ du livre des procédures fiscales (LPF) prévoient expressément une dérogation au secret professionnel en matière fiscale et leur permettent d'accéder notamment au traitement Ficovie. Pour les besoins de l'accomplissement de leurs missions, les agents de la HATVP, individuellement désignés et dûment habilités selon les modalités prévues à l'article R. 135 ZG-1 du LPF, disposent ainsi d'un droit d'accès audit traitement.
Dans ces conditions, les modifications prévues de l'arrêté du 1er septembre 2016 précité relatives aux finalités du traitement, afin de mentionner la mise à disposition des données enregistrées dans Ficovie à ces agents au titre de ces finalités, et à la liste des destinataires de ces données, afin d'y ajouter les agents habilités de la HATVP, n'appellent pas d'observation de la part de la Commission.
S'agissant des modalités de ces nouveaux accès, la Commission prend acte que les agents habilités de la HATVP, tenus au secret professionnel, auront accès, en seule consultation, à l'ensemble des déclarations enregistrées dans le traitement sur le plan national, y compris aux dossiers sécurisés.
Il est prévu que cet accès Web au traitement Ficovie intervienne par connexion au portail ADER, accessible via le Réseau Interministériel Interne, au moyen d'un identifiant personnalisé. Le ministère n'a toutefois pas précisé les modalités pratiques d'authentification des agents de la HATVP via ce portail. La Commission rappelle dès lors que l'authentification de ces agents, et plus généralement de l'ensemble des agents s'authentifiant via ce portail en vue d'accéder à des traitements de données à caractère personnel, doit être conforme à l'état de l'art, tel que précisé dans les recommandations de la Commission en la matière.
Conformément aux dispositions de l'article R. 135 GZ-1 du LPF, les habilitations individuelles des agents de la HATVP sont délivrées par le président de cette autorité et communiquées à la DGFiP, de même que toute modification relative à ces habilitations. La Commission prend acte que ces habilitations seront revues tous les six mois et que ces échanges auront lieu par l'intermédiaire d'une plateforme d'échanges sécurisée. Elle rappelle toutefois que les échanges des clés de chiffrement devront être réalisés par un autre moyen de communication que celui utilisé pour transmettre les accès à la plateforme.
Les consultations du traitement Ficovie par les agents de la HATVP feront l'objet des mêmes mesures de journalisation que les autres utilisateurs du traitement et il est prévu que l'exploitation de ces traces soit de la responsabilité exclusive de la HATVP. A cet égard, la Commission prend acte que la HATVP s'est engagée à appliquer les mêmes règles et analyses de contrôle de ces traces que celles auxquelles sont soumis ces autres utilisateurs et que les agents en charge de ce contrôle ont été dûment informés de ces processus par la DGFiP.
A l'exception d'une modification administrative des structures des services de la DGFiP dont les agents sont habilités à accéder au traitement, qui n'appelle aucune observation de la part de la Commission, les autres conditions de mise en œuvre du traitement Ficovie ne font pas l'objet de modifications.

Pour la présidente :


Le vice-président délégué,


M.-F. Mazars