CNIL, Délibération du 27 février 2003, n° 03-009

La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le ministère de l’économie, des finances et de l’industrie d’un projet d’arrêté portant création, par la direction générale des impôts, du traitement automatisé d’informations nominatives dénommé « Serveur professionnel de données cadastrales – SPDC »,
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données,
Vu la convention n° 108 du 28 janvier 1981 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment les articles 29 et 31, ensemble le décret n° 78-774 du 17 juillet 1978 modifié pris pour l’application des dispositions de la loi précitée,
Vu le code général des impôts, notamment l’article 870,
Vu le code du domaine de l’Etat, notamment l’article L. 76,
Vu le décret n° 55-22 du 4 janvier 1955 modifié portant réforme de la publicité foncière, ensemble le décret n° 55-1350 du 14 octobre 1955 modifié pris pour son application,
Vu l’arrêté du 16 août 1984 modifié relatif à la mise à disposition des centres des impôts fonciers des moyens informatiques assurant la gestion décentralisée de la documentation cadastrale sur support magnétique (MAJIC 2), notamment l’article 4,
Après avoir entendu Monsieur Jean-Pierre de LONGEVIALLE, commissaire, en son rapport et Madame Catherine POZZO DI BORGO, commissaire adjoint du Gouvernement, en ses observations,

FORMULE LES OBSERVATIONS SUIVANTES :
Le serveur professionnel des données cadastrales (« SPDC ») de la direction générale des impôts (DGI) vise à permettre, grâce à la technologie Internet :
 – la consultation par les professionnels concernés, pour l’ensemble du territoire national, notamment les départements d’outre-mer, de certaines informations foncières issues de la documentation cadastrale,
 – l’impression des extraits cadastraux modèle n° 1 dont la transmission aux services des hypothèques est nécessaire à l’accomplissement des formalités de publicité foncière, afin de certifier l’actualité de l’identification cadastrale des biens portée sur les actes notariés et ainsi, d’assurer la concordance permanente du cadastre et du fichier immobilier des conservations des hypothèques sur laquelle repose la sécurité juridique des transactions immobilières.
Le serveur « SPDC » est appelé à modifier de manière substantielle les modalités d’accès au cadastre de ses utilisateurs, en leur proposant :
 – un accès immédiat et permanent à certaines informations, sans qu’ils aient besoin de présenter une demande dans un centre des impôts fonciers (CDIF),
 – un accès au niveau national, alors que, jusqu’à présent, un CDIF n’a pas la possibilité de communiquer les informations dont il n’assure pas la mise à jour.
Le traitement ne conduit pas à la création d’une base nationale mais consiste en une procédure de consultation, au plan national, d’une partie des fichiers départementaux du cadastre. Il ne stocke par lui-même aucune information et ne modifie pas les modalités de mise à jour des données cadastrales, qui continuera de s’effectuer à partir de l’application « MAJIC 2 » des CDIF.
Les catégories d’informations accessibles via « SPDC » sont exclusivement de nature foncière, par opposition aux données du cadastre à caractère purement fiscal. Elles concernent l’adresse et la contenance cadastrale des parcelles, la nature de culture, le type de lot, la désignation des titulaires d’un droit réel sur une parcelle, la nature de leur droit, la filiation descendante entre la parcelle mère et celle qui résulte de son démembrement, le code SIREN des personnes morales, le CDIF compétent de la commune de situation du bien, ainsi que la date d’actualisation des informations.

Les personnes autorisées à interroger le serveur sont :
 – les notaires et leurs collaborateurs, qui pourront y accéder directement de leur étude pour éditer les extraits cadastraux nécessaires à l’accomplissement des formalités de publicité foncière ou pour obtenir les références cadastrales d’une ou plusieurs parcelles en vue de la rédaction d’un acte notarié,
 – les agents des CDIF, qui auront ainsi la possibilité de délivrer à tout usager des extraits cadastraux, sans considération de la situation géographique de la parcelle,
 – les agents du service du domaine, afin de leur permettre de rédiger les actes soumis à publicité foncière qu’entraîne la gestion du domaine de l’Etat,
 – les agents des conservations des hypothèques qui seront destinataires des extraits cadastraux modèle n° 1 qui, relevant de leur compétence territoriale, ont vocation à leur être transmis sous forme papier à l’appui des demandes de publication d’actes,
 – les autres agents de la DGI qui remplissent des fonctions ayant trait à la publicité foncière, sur désignation du directeur des services fiscaux,
 – l’école nationale du cadastre, au titre de ses actions de formation.
Bien que trouvant sa source dans un décret-loi du 7 messidor an II, aujourd’hui abrogé par la loi n° 79-18 du 3 janvier 1979 susvisée, le principe, qui a été tiré de ce texte, de libre communication au public des informations nominatives du cadastre est considéré comme étant toujours en vigueur.
Pour autant, il ne saurait être contesté que celles de ces informations ayant un caractère nominatif bénéficient de la protection établie par la loi du 6 janvier 1978. En particulier, le principe de finalité trouve à s’appliquer, dans la mesure où les données sont communiquées par référence à certaines finalités.
Il en résulte que ces informations sont, en principe, communiquées de manière ponctuelle, sur demande préalable. Il est également exclu qu’elles fassent l’objet, une fois délivrées, de certaines utilisations, notamment que leurs destinataires les transmettent à des tiers, qu’ils en fassent un usage de nature à porter atteinte à l’honneur ou à la réputation des personnes ou au respect de la vie privée ou encore qu’ils les utilisent à des fins de démarchage commercial, politique ou électoral.
L’administration se réserve le droit de faire signer un engagement en ce sens aux usagers dont les motivations paraîtraient douteuses, voire de refuser de communiquer les informations.
Seules certaines catégories d’usagers du cadastre bénéficient d’un accès privilégié aux informations. La Commission constate que les professionnels et agents publics utilisateurs du serveur « SPDC » appartiennent bien à ces catégories d’usagers.

Il convient, en conséquence, de s’assurer que toutes les précautions utiles, tant juridiques que techniques, sont prises pour empêcher que les informations accessibles via « SPDC » ne soient utilisées par des tiers non autorisés à y accéder et pour des finalités autres que celles retenues pour justifier la mise en place de ce serveur.
En premier lieu, la Commission constate que les modalités d’interrogation du serveur sont de nature à limiter les risques de détournement de finalité : pour obtenir les informations relatives à une parcelle ou à plusieurs appartenant à une même personne physique ou morale, il est nécessaire de connaître le département et la commune de leur localisation, ainsi qu’au moins l’une des informations suivantes :
. La raison sociale ou l’identité du (ou de l’un des) titulaire(s) de droit sur la propriété,
. l’identification cadastrale du bien, du groupe de biens, du lot ou de la parcelle d’assise de la copropriété,
. le numéro d’ordre d’un document d’arpentage.
Il sera donc techniquement impossible de lancer une requête pour le territoire national sur la seule base du nom d’une personne ou d’interroger le serveur à partir de l’adresse d’un bien immobilier.
En deuxième lieu, les droits des personnes habilitées à utiliser le serveur sont gérés par l’intermédiaire d’un annuaire, dénommé « Annuaire DGI ». Seules les personnes reconnues par l’annuaire peuvent y accéder.
Les informations relatives aux utilisateurs externes qui figurent dans l’annuaire de la DGI proviennent, s’agissant des notaires, d’un fichier national des notaires transmis par le Conseil supérieur du notariat (CSN) et mis à jour deux fois par mois.
Par ailleurs, les notaires ont la faculté de créer, sous leur responsabilité, des habilitations individuelles pour certains de leurs collaborateurs. Tout notaire « délégant » pourra mettre à jour directement, à partir d’une application dénommée « APEX », les données relatives aux habilitations ouvertes sous sa responsabilité. Il disposera, à cette fin, d’un accès direct aux informations de l’annuaire de la DGI concernant les personnes qu’il a habilitées.
En outre, l’identifiant d’un collaborateur sera automatiquement supprimé en cas de départ du notaire « délégant » de l’office ou si aucune utilisation du service n’est constatée pendant un délai de quatre mois.

En troisième lieu, l’administration s’est engagée à mettre en place, d’ici la fin de l’année 2003, un système de traçabilité grâce à l’ajout d’un nouveau module dans l’application « Annuaire DGI ».
La Commission prend acte de cet important engagement, mais constate qu’aucune précision n’est fournie, à ce jour, sur les modalités de mise en oeuvre de ce dispositif de contrôle : quelles seront les informations enregistrées ? Porteront-elles sur les consultations opérées tant par les agents de la DGI que par les utilisateurs externes ? Pendant quelle durée seront-elles conservées ? Comment seront-elles exploitées ? Par qui ? En particulier, les notaires pourront-ils consulter les journaux relatifs aux consultations effectués par leurs collaborateurs ? De ces précisions dépendra l’efficacité réelle du système de contrôle.
Une convention, en cours d’élaboration entre la DGI et le CSN, doit définir les conditions dans lesquelles les notaires pourront utiliser « SPDC ». La Commission recommande que celle-ci définisse les limitations à apporter à l’utilisation des informations consultables à partir du serveur afin d’en respecter la finalité, les engagements qui devront être pris par les notaires souhaitant bénéficier du serveur, ainsi que les conditions dans lesquelles le respect de ces engagements pourra être contrôlé. Ceux-ci devraient notamment porter sur les points suivants :
 – l’interdiction de toute utilisation des informations pour des finalités étrangères à la rédaction des actes notariés, notamment pour des opérations de prospection de terrains en relation avec une activité de négociation immobilière,
 – l’obligation de doter toute personne ayant à accéder au serveur d’une habilitation personnelle, répertoriée dans l’annuaire de la DGI et assortie d’un mot de passe individuel,
 – l’annulation de toute habilitation donnée à une personne n’ayant plus vocation à utiliser le serveur, par exemple à la suite de son départ de l’étude.
Enfin, il importe d’empêcher que le serveur n’ait à faire face à une série de requêtes lancées automatiquement par un moteur d’interrogation. La Commission recommande, à ce titre, la mise en place d’un dispositif d’analyse des volumes d’interrogations, provoquant la déconnexion du serveur en cas d’augmentation inhabituelle des flux de consultation.

AU BENEFICE DES OBSERVATIONS QUI PRECEDENT, LA COMMISSION EMET UN AVIS FAVORABLE sur le projet d’arrêté relatif au traitement « SPDC » pour une durée limitée à un an, délai qui devrait être mis à profit pour saisir la CNIL d’un dispositif complémentaire portant sur les modalités de conservation et d’exploitation des traces des consultations et lui communiquer le projet de convention en cours d’élaboration entre la direction générale des impôts et le Conseil supérieur du notariat.
LE PRESIDENT, Michel GENTOT.