La directive 2017/1132 relative à certains aspects du droit des sociétés, en particulier l'article 16 de celle‑ci, ainsi que l'article 17 du règlement 2016/679 du 27 avril 2016 (RGPD), doivent être interprétés en ce sens qu'ils s'opposent à une réglementation ou à une pratique d'un État membre conduisant l'autorité chargée de la tenue du registre du commerce de cet État membre à refuser toute demande d'effacement des données à caractère personnel, non requises par cette directive ou par le droit dudit État membre, figurant dans un contrat de société publié dans ce registre, lorsqu'une copie de ce contrat occultant ces données n'a pas été fournie à cette autorité, contrairement aux modalités procédurales prévues par cette réglementation.

Les dispositions du RGPD, notamment l'article 5, paragraphe 1, l'article 6, paragraph e 1, sous e), et l'article 10 de celui‑ci, doivent être interprétées en ce sens qu'elles s'opposent à une législation nationale qui fait obligation à l'organisme public chargé du registre dans lequel sont inscrits les points de pénalité imposés aux conducteurs de véhicules pour des infractions routières de rendre ces données à caractère personnel accessibles au public, sans que la personne demandant l'accès ait à justifier d'un intérêt spécifique à obtenir lesdites données. L'amélioration de la sécurité routière constitue un objectif d'intérêt général reconnu par l'Union et, partant, les États membres peuvent qualifier la sécurité routière de « mission d'intérêt public ». Cependant, dans le cas d'espèce, la nécessité du régime letton de communication de données à caractère personnel relatives aux points de pénalité pour assurer l'objectif visé n'est pas établie. En effet, d'une part, le législateur letton dispose d'une multitude de voies d'actions qui lui auraient permis d'atteindre cet objectif par d'autres moyens moins attentatoires aux droits fondamentaux des personnes concernées. D'autre part, il convient de tenir compte de la sensibilité des données relatives aux points de pénalité et du fait que leur communication au public est susceptible de constituer une ingérence grave dans les droits au respect de la vie privée et à la protection des données à caractère personnel, dès lors qu'elle peut provoquer la désapprobation de la société et entraîner la stigmatisation de la personne concernée.

La Cour considère que, compte tenu de la sensibilité de ces données et de la gravité de cette ingérence dans ces deux droits fondamentaux, ces droits prévalent tant sur l'intérêt du public à avoir accès à des documents officiels, tels que le registre national des véhicules et de leurs conducteurs, que sur le droit à la liberté d'information.

Il découle des exigences, prévues à l'article 6, paragraphe 1, sous c) à e), de la Directive 95/46, que même un traitement initialement licite de données exactes peut devenir, avec le temps, incompatible avec cette directive lorsque ces données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées. Ainsi, dans l'hypothèse où il est constaté, à la suite d'une demande de la personne concernée en application de l'article 12, sous b), de la Directive 95/46, que l'inclusion dans la liste de résultats, affichée à la suite d'une recherche effectuée à partir de son nom, des liens vers des pages web publiées légalement par des tiers et contenant des informations véridiques relatives à sa personne, est, au stade actuel, incompatible avec ledit article 6, paragraphe 1, sous c) à e), en raison du fait que ces informations apparaissent, eu égard à l'ensemble des circonstances caractérisant le cas d'espèce, inadéquates, pas ou plus pertinentes ou excessives au regard des finalités du traitement en cause réalisé par l'exploitant du moteur de recherche, les informations et les liens concernés de ladite liste de résultats doivent être effacés.

Dans ce contexte, la constatation d'un droit de la personne concernée à ce que l'information relative à sa personne ne soit plus liée à son nom par une liste de résultats ne présuppose pas que l'inclusion de l'information en question dans la liste de résultats cause un préjudice à la personne concernée.

La personne concernée, pouvant, eu égard à ses droits fondamentaux au titre des articles 7 et 8 de la Charte des droits fondamentaux de l'Union européenne, demander à ce que l'information en question ne soit plus mise à la disposition du grand public par son inclusion dans une telle liste de résultats, ces droits prévalent, en principe, non seulement sur l'intérêt économique de l'exploitant du moteur de recherche, mais également sur l'intérêt de ce public à trouver ladite information lors d'une recherche portant sur le nom de cette personne. Cependant, tel ne serait pas le cas s'il apparaissait, pour des raisons particulières, telles que le rôle joué par ladite personne dans la vie publique, que l'ingérence dans ses droits fondamentaux est justifiée par l'intérêt prépondérant dudit public à avoir, du fait de cette inclusion, accès à l'information en question.

Conformité à la Constitution d'un dispositif autorisant à titre expérimental et pour une durée de trois ans, les administrations fiscales et douanières à collecter et à exploiter de manière automatisée les contenus accessibles publiquement sur les sites internet de certains opérateurs de plateforme, aux fins de recherche de manquements et d'infractions en matière fiscale et douanière malgré l'atteinte au droit au respect de la vie privée dès lors que : le dispositif poursuit l'objectif à valeur constitutionnelle de lutte contre la fraude et l'évasion fiscale ; les traitements de données autorisés par les dispositions contestées peuvent être mis en œuvre, d'une part, pour les besoins de la recherche de certains manquements et certaines infractions dont la commission est rendue possible ou favorisée par l'usage d'internet et, d'autre part, pour rechercher l'insuffisance de déclaration découlant d'un manquement aux règles de domiciliation fiscale. Si la commission de ce manquement n'est pas rendue possible ou favorisée par l'usage d'internet, il résulte des travaux parlementaires que le législateur, qui a souhaité limiter le nombre de manquements susceptibles d'être recherchés, a entendu viser un des cas les plus graves de soustraction à l'impôt, qui peut être particulièrement difficile à déceler ; les données susceptibles d'être collectées et exploitées doivent répondre à deux conditions cumulatives. D'une part, il doit s'agir de contenus librement accessibles sur un service de communication au public en ligne d'une des plateformes précitées, à l'exclusion donc des contenus accessibles seulement après saisie d'un mot de passe ou après inscription sur le site en cause. D'autre part, ces contenus doivent être manifestement rendus publics par les utilisateurs de ces sites. Il en résulte que ne peuvent être collectés et exploités que les contenus se rapportant à la personne qui les a délibérément divulgués. En outre, les données sensibles au sens du paragraphe I de l'article 6 de la loi du 6 janvier 1978, c'est‑à‑dire celles qui révèlent la prétendue origine raciale ou l'origine ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale d'une personne, les données génétiques et biométriques et celles concernant la santé et la vie ou l'orientation sexuelle, ne peuvent faire l'objet d'aucune exploitation à des fins de recherche de manquements ou d'infractions ; d'une part, les traitements de données autorisés par les dispositions contestées ne peuvent comporter aucun système de reconnaissance faciale. D'autre part, ils ne peuvent être mis en œuvre que par des agents des administrations fiscales et douanières ayant au moins le grade de contrôleur et spécialement habilités ; les données qui s'avèrent manifestement sans lien avec les manquements et infractions recherchés ou qui constituent des données sensibles sont détruites au plus tard dans les cinq jours suivant leur collecte, sans aucune autre exploitation possible de ces données pendant ce délai. Les autres données doivent être détruites dans les trente jours si elles ne sont pas de nature à concourir à la constatation des manquements ou infractions. Seules peuvent être conservées les données strictement nécessaires à une telle constatation, dans la limite d'une année ou, le cas échéant, jusqu'au terme de la procédure pénale, fiscale ou douanière dans le cadre de laquelle elles sont utilisées ; aucune procédure pénale, fiscale ou douanière ne peut être engagée sans qu'ait été portée une appréciation individuelle de la situation de la personne par l'administration, qui ne peut alors se fonder exclusivement sur les résultats du traitement automatisé ; le traitement instauré par les dispositions contestées est mis en œuvre dans le respect de la loi du 6 janvier 1978, à l'exception du droit d'opposition prévu à son article 110 ; la mise en œuvre des traitements de données, tant lors de leur création que lors de leur utilisation, doit être proportionnée aux finalités poursuivies. Il appartiendra notamment, à ce titre, au pouvoir réglementaire, sous le contrôle du juge, de veiller à ce que les algorithmes utilisés par ces traitements ne permettent de collecter, d'exploiter et de conserver que les données strictement nécessaires à ces finalités.

La mise en ligne de la notation individuelle d'enseignants et de leur établissement d'activité est susceptible de porter atteinte à la réputation professionnelle et à la notoriété de l'enseignant de façon disproportionnée. En effet, la société proposant un système de notation des enseignants qui ne s'inscrit pas dans le cadre juridique de la notation des enseignants fixé par leurs autorités hiérarchiques mais poursuit une activité commerciale reposant sur l'audience d'un site internet qui ne lui confère aucune légitimité pour procéder ou faire procéder à une notation individuelle des enseignants est susceptible de créer une confusion, dans l'esprit du public, avec un régime de notation officiel. Faute de légitimité, ce type de traitement est susceptible de constituer un manquement à l'obligation d'adéquation, de pertinence et du caractère non excessif des données.

1) Si les articles L. 233 - 1 et L. 233 - 1 - 1 du code de la sécurité intérieure autorisent les seuls services des douanes, de police et de gendarmerie nationales à mettre en œuvre les dispositifs de contrôle automatisé des données signalét iques des véhicules prenant la photographie de leurs occupants pour les finalités qu'ils prévoient, ils n'ont pas pour effet d'interdire aux autorités compétentes de mettre en œuvre, sur le fondement de l'article L. 251 - 2 de ce même code, des dispositifs d e lecture automatisée des plaques d'immatriculation des véhicules. Toutefois, ces autorités ne peuvent le faire que pour l'une des finalités énumérées par cet article et dans le respect du titre V du livre II de ce même code.

2) La mise en œuvre d'un disp ositif de contrôle automatisé des données signalétiques des véhicules prenant la photographie de leurs occupants aux seules fins de répondre aux éventuelles réquisitions des forces de l'ordre pour l'exercice de leurs missions de police judiciaire ne consti tue pas une finalité déterminée et n'est pas au nombre des finalités justifiant la mise en place d'un tel dispositif visées par l'article L.251 - 2 du CSI.

ème ème

1) L'article L. 251‑2 du Code de la sécurité intérieure (CSI) liste les finalités pour lesquelles la transmission et l'enregistrement d'images prises sur la voie publique par le moyen de la vidéoprotection peuvent être mis en œuvre par les autorités publiques compétentes. Mettre les données collectées à la disposition de la gendarmerie nationale pour l'exercice de ses missions de police judiciaire, qui n'est pas aux nombres des finalités visées par cet article, ne constitue pas, pour un dispositif de transmission et d'enregistrement d'images prises sur la voie publique par le moyen de la vidéoprotection, une finalité légitime.

2) L'article L. 233‑1 du CSI autorise les seuls services des douanes, de police et de gendarmerie nationales à mettre en œuvre les dispositifs de contrôle automatisé des données signalétiques des véhicules prenant la photographie de leurs occupants pour les finalités qu'il prévoit. Par suite, une commune ne saurait mettre en œuvre un tel dispositif, alors même que les données collectées seraient destinées à être mises à disposition de la gendarmerie nationale à des fins d'aide à l'identification des auteurs d'infractions.

Le procureur de la République tient des articles 39‑3 et 41 du code de procédure pénale le pouvoir de faire procéder, sous son contrôle effectif et selon les modalités qu’il autorise s’agissant de sa durée et de son périmètre, à une vidéosurveillance sur la voie publique, aux fins de rechercher la preuve des infractions à la loi pénale. L’ingérence dans la vie privée qui résulte d’une telle mesure présentant par sa nature même un caractère limité et étant proportionnée au regard de l’objectif poursuivi n’est pas contraire à l’article 8 de la Convention européenne des droits de l’homme.

1) Pour apprécier le respect du principe de collecte de données adéquates, pertinentes et limitées en matière de vidéosurveillance, il convient de procéder à une analyse des conditions de mise en œuvre du dispositif concerné au regard de la finalité poursuivie, du nombre de caméras installées, de leur emplacement, de leur orientation, de leur fonctionnalité, de leur période de fonctionnement et des caractéristiques propres à l’établissement concerné.

2) Si la CNIL ne remet pas en cause la légitimité de traitement ayant pour finalité d’assurer la sécurité des personnes et des biens, cette finalité ne saurait justifier de filmer, en permanence, des personnes qui sont en grande partie des mineurs.

3) S’agissant des établissements scolaires, la CNIL considère de manière constante que des caméras peuvent filmer les accès de l’établissement (entrées et sorties) et les espaces de circulation (couloirs). Elle estime en revanche que, eu égard à la sensibilité d’images qui filmeraient la vie quotidienne de mineurs, parfois dans des moments d’intimité, dans un lieu déjà soumis à l’autorité du chef d’établissement et à la surveillance organisée par son personnel, les lieux de vie (tels que les salles de classe, la cour de récréation, la cantine et les toilettes) ne sauraient être filmés en continu, pendant les heures principales d’utilisation, sauf circonstances exceptionnelles.

L'article 4, paragraphe 1, de la loi n°78‑17 du 6 janvier 1978 dispose que les données à caractère personnel doivent être « traitées de manière licite, loyale ». Par leur fonctionnement même, reposant sur la détection et l'analyse en continu et en temps réel des attributs ou des comportements des individus, les dispositifs de « caméras augmentées » présentent, par nature, des risques pour les personnes concernées. En outre, les dispositifs de « caméras augmentées » mis en œuvre dans l'espace public à des fins de police administrative générale ou de police judiciaire sont susceptibles d'affecter les garanties fondamentales apportées aux citoyens pour l'exercice des libertés publiques, raison pour laquelle un encadrement législatif apparaît nécessaire, en application de l'article 34 de la Constitution du 4 octobre 1958. Dès lors, les dispositifs de caméras augmentées qui poursuivent une finalité dite de « police-justice » dans l'espace public sont interdits en l'absence de cadre légal spécifique. En l'espèce, la commune utilisait de tels dispositifs en l'absence de cadre légal, notamment afin d'alerter les forces de l'ordre suite à la détection de véhicules roulant à contre‑sens sur la chaussée et de détecter des attroupements lorsque le nombre de personnes détectées dans une zone définie dépassait un seuil préfixé.

Le traitement de collecte et de conservation quasi permanente des données géolocalisation d'un véhicule de location s'analyse au regard de la nécessité et de la proportionnalité de chacune de ses finalités.

1) S'agissant de la gestion de la flotte de véhicules et des contrats de location, l'activation de la géolocalisation quand l'utilisateur allume ou coupe le moteur peut être utile pour déterminer si le véhicule est de retour à son point de départ. À contrario, la collecte et la conservation des données de géolocalisation pendant le reste du trajet n'est pas nécessaire pour déterminer si le véhicule est de retour à sa station de départ en vue d'être restitué. En outre, s'agissant de l'usage de la géolocalisation pour contrôler l'entrée et la sortie d'un véhicule d'une zone de péage urbain, traitement qui n'est susceptible de s'appliquer en l'espèce que dans une seule ville de l'Union européenne, une collecte et conservation quasi permanente des données de géolocalisation sur l'ensemble des véhicules loués, sur le fondement de l'intérêt légitime, apparaissent disproportionnées par rapport à la finalité avancée qui est celle d'une facturation immédiate et automatisée des frais aux clients.

2) S'agissant de la lutte contre le vol de véhicules, les cas où, d'une part, la géolocalisation est le seul moyen de connaître la dernière position connue du véhicule et où, d'autre part, cette dernière position connue est effectivement proche de la localisation du véhicule, apparaissent limités. Dans ces situations, la CNIL ne remet pas en cause l'utilité de connaître la dernière position connue du véhicule grâce à la dernière donnée de géolocalisation. Cependant, cette hypothèse ne suffit pas à justifier la collecte et la conservation de l'ensemble des données de géolocalisation de l'ensemble des trajets des utilisateurs. Au surplus, d'autres mesures de sécurité pourraient être mises en place pour prévenir le vol des véhicules. Il en résulte que le fait de procéder systématiquement à cette collecte et conservation des données de géolocalisation pour les cas d'usages où elle pourrait être effectivement utile, alors que d'autres moyens de prévention et de lutte contre le vol existent, sur le fondement de l'intérêt légitime de la société, porte une atteinte disproportionnée à la vie privée des utilisateurs.

3) S'agissant de la localisation du véhicule en cas d'accident, la CNIL estime que la géolocalisation tous les 500 mètres de l'ensemble des véhicules au cours de toute la durée de location, avec conservation des données, préalablement à toute information relative à un accident, n'est pas nécessaire pour porter assistance à un utilisateur.

Lorsqu'aucune des finalités avancées par le responsable du traitement n'est susceptible de justifier une collecte et la conservation des données de géolocalisation, ces opérations de traitement constituent un manquement à l'article 5.1.c du RGPD.

Le Conseil d'État (section de l'intérieur), saisi d'un projet de décret relatif au « système API - PNR France » et modifiant le code de la sécurité intérieure (partie réglementaire), lui donne un avis favorable, sous réserve des dispositions relatives à la collecte et au traitement des données d'enregistrement et d'embarquement (données API) des membres d'équipage.

Il relève que si la directive (UE) 2016/681 relative à l'utilisation des données des dossiers passagers (PNR), autorise expressément la collecte des données API, seules les données des passagers dont le personnel d'équipage est expressément exclu sont concernées conformément à la définition donnée par l'article 3.

Le Conseil d'État estime que s'il est loisible au Gouvernement de créer, par voie réglementaire, un traitement automatisé de données à caractère personnel relatives aux données des membres d'équipage, seule une modification de nature législative serait de nature à mettre à la charge des transporteurs aériens l'obligation de transmettre de telles données.

1) Dans le cadre d'un traitement automatisé autorisé par la loi et ayant pour finalité de garantir le droit au séjour des ressortissants étrangers en situation régulière et de lutter contre l’entrée et le séjour irrégulier en France, un décret se bornant à apporter à ce traitement les modifications nécessaires pour les besoins du téléservice n'a pas à rappeler les principes relatifs au traitement des données à caractère personnel énoncés par l'article 5 du RGPD, ni les obligations du responsable de traitement fixées par l'article 24 du même règlement.

2) Le droit d'information n'impose pas que l'acte portant création du traitement automatisé de données à caractère personnel, ni l'acte modifiant ses caractéristiques, fixe les modalités d'une telle information.

Le décret n°2020‑151 du 20 février 2020 portant autorisation d’un traitement automatisé de données à caractère personnel dénommé « application mobile de prise de notes » (GendNotes) autorise le ministre de l’intérieur à mettre en œuvre un traitement automatisé de données à caractère personnel dénommé GendNotes.

L’une des finalités du traitement est de « faciliter le recueil et la conservation en vue de leur exploitation ultérieure dans d’autres traitements de données » notamment par le biais d’un système de pré‑renseignement des données collectées.

Le Conseil d’État annule ledit décret au motif que le traitement ne satisfait pas à l’exigence « déterminée, explicite et légitime ». En effet, dès lors qu’un décret prévoit, au titre des finalités du traitement, sa mise en relation avec d’autres traitements, il doit comporter des indications quant à la nature ou à l’objet des traitements concernés ou aux conditions d’exploitation, dans ces autres traitements, des données collectées par le traitement initial, afin de satisfaire à l’exigence d’une finalité « déterminée, explicite et légitime » énoncée au 2° de l’article 4 de la loi n°78‑17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

L'article L. 3131-9-1 du code de la santé publique, introduit par l'article 60 de la loi n°2016-1827 du 23 décembre 2016 de financement de la sécurité sociale pour 2017, a posé le cadre d'un Système d'information unique permettant l'identification et le suivi de la prise en charge des victimes dans le cadre d'une situation sanitaire exceptionnelle.

Il prévoit notamment que « les informations strictement nécessaires à l'identification des victimes et à leur suivi, notamment pour la prise en charge de leurs frais de santé, sont recueillies dans un système d'identification unique des victimes » et qu'« un décret en Conseil d'État, pris après avis de la Commission nationale de l'informatique et des libertés, précise la nature des données recueillies et fixe les modalités de cette transmission dans le respect des règles garantissant la protection de la vie privée ».

Le projet de décret présenté par le Gouvernement, pris pour l'application de ces dispositions, ne contenait pas de dispositions limitant dans le temps la conservation des données collectées et traitées. Le Conseil d'État (section sociale) a estimé que la limitation de la durée de conservation de ces données était une mention indispensable puisqu'en vertu de l'article 6 de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, les données à caractère personnel ne peuvent être conservées que pendant la durée nécessaire aux finalités pour lesquelles elles ont été collectées et traitées. Il a donc introduit une telle limitation à l'article 2 du projet.

Fait de dispositions expresses la régissant, la durée de conservation des empreintes digitales relevées sur le fondement de l'article 5 du décret du 22 octobre 1955 est illimitée. Une telle durée de conservation ne peut être regardée comme nécessaire aux finalités du fichier, eu égard à la durée de validité de la carte nationale d'identité et au délai dans lequel tout détenteur d'une carte nationale d'identité périmée peut en solliciter le renouvellement. Elle est donc illégale.

Décret créant un traitement nominatif relatif aux détenus comportant notamment des données relatives à leurs antécédents médicaux ayant pour finalité l'exécution des sentences pénales et des décisions de justice s'y rattachant, la gestion de la détention des personnes placées sous main de justice et écrouées, la sécurité des personnes détenues et des personnels et la mise en œuvre du « parcours pluridisciplinaire de la personne détenue ». Eu égard à la finalité du fichier ayant notamment trait à la gestion des contentieux entre l'administration pénitentiaire et les personnes placées sous main de justice, la durée de conservation de deux ans prévue à l'article R. 57‑9‑21 à compter de la date de levée d'écrou n'est pas excessive. En revanche, la conservation ultérieure de ces données pour un délai de huit ans, qui poursuit, selon la garde des sceaux, la conduite éventuelle de contentieux, est dépourvue de fondement légal dès lors que cette finalité n'est pas explicitée par le décret attaqué et que la durée de conservation ainsi définie ne s'y rattache pas spécifiquement.

1) La catégorie de données éléments issus des constatations et investigations strictement nécessaires à la conduite et à la résolution de la procédure judiciaire est en principe trop imprécise pour fournir un encadrement satisfaisant à un traitement régi par un acte réglementaire. Néanmoins, dans le cas particulier d’un logiciel de rédaction d’actes relatifs aux faits les plus divers en lien avec toutes les procédures auxquelles participe la gendarmerie nationale, et eu égard à la difficulté particulière qui s’attache à l’énumération de toutes les catégories de données à caractère personnel pouvant être traitées dans un tel cadre, une telle formulation peut être admise. 2) a) Une mise en relation de traitements ne constitue pas en elle‑même une finalité d’un traitement, qui devrait alors figurer expressément dans l’acte réglementaire en autorisant la mise en œuvre, mais un moyen concourant à une finalité du traitement. Lorsque la mise en relation avec un autre traitement poursuit une finalité propre et distincte des finalités précisées dans l’acte autorisant la mise en œuvre du traitement en cause ou lorsque cette mise en relation constitue l’unique finalité de ce traitement, les articles 4 et 35 de la loi n°78‑17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés imposent de mentionner l’objet de ces mises en relation dans l’acte réglementaire de manière suffisamment explicite et précise. b) Si la liste de toutes les interconnexions, rapprochements ou autres mises en relation ne doit pas nécessairement figurer dans l’acte autorisant la création d’un traitement, leur mention peut néanmoins constituer une bonne pratique dans certains cas particuliers, notamment lorsque ces mises en relation sont étroitement liées aux finalités du traitement concerné. À défaut d’une telle mention, il est recommandé aux responsables de traitements autorisés par acte réglementaire, en particulier pour les traitements correspondant à des bases de données importantes, de décrire sur leur site web l’ensemble des mises en relation réalisées avec d’autres bases de données. c) Lorsque des traitements mis en relation sont encadrés par des actes réglementaires, la mise en relation doit respecter les dispositions régissant les traitements concernés, que cette mise en relation soit ou non mentionnée dans les actes autorisant la création de ces traitements. En particulier, l’opération de mise en relation doit être conforme aux finalités, aux catégories de données et aux accédants ou destinataires fixés par les actes réglementaires concernés. Pour être licite, le transfert de données d’une base vers une autre doit ainsi s’inscrire ou concourir aux finalités poursuivies par la base d’origine ou à celles associées aux transmissions à des destinataires ; les données transférées doivent être autorisées à figurer dans la base de destination et au moins une personne habilitée à alimenter la base de destination doit constituer un accédant ou un destinataire de la base d’origine.

Lorsqu'un utilisateur se connecte à l'application StopCovid France, l'adresse IP de l'ordinateur est collectée dans le cadre de la solution anti‑DDOS de la société ORANGE, la collecte de cette donnée à caractère personnel ayant comme seule finalité, en l'espèce, d'assurer la sécurité du dispositif.

Dans la mesure où la solution anti‑DDOS est une solution de sécurité du dispositif, qui n'a pas à figurer dans le décret du 29 mai 2020, les données traitées par cette solution n'ont pas non plus à figurer dans ce décret. La collecte des adresses IP dans ce cadre n'est donc pas irrégulière. En revanche, dès lors que cette solution de sécurité entraîne une collecte de données à caractère personnel, la description de cette opération de traitement doit apparaître dans l'analyse d’impact réalisée par le responsable de traitement.

Accord conclu le 14 novembre 2013 entre le Gouvernement de la République française et le Gouvernement des États-Unis d’Amérique en vue d’améliorer le respect des obligations fiscales à l’échelle internationale et de mettre en œuvre la loi relative au respect des obligations fiscales concernant les comptes étrangers (dite « loi FATCA »). Traitement d’échange automatique d’informations organisant notamment la collecte et le transfert de données à caractère personnel aux autorités fiscales américaines créé pour la mise en œuvre de cet accord. Si le traitement créé par l’arrêté du 5 octobre 2015 a pour finalité de lutter contre la fraude et l’évasion fiscales et relève à ce titre du RGPD et non de la directive n° 2016/680, il doit être regardé comme ayant parmi ses objets la prévention, la recherche, la constatation ou la poursuite des infractions pénales. Il s’ensuit, eu égard à cet objet, qu’il est au nombre des traitements visés à l’article 31 de la loi n° 78‑17 du 6 janvier 1978.