19 Fév 2021 – Rapport du 117e congrès – Commission 1 – Chapitre II – La protection des données personnelles et le notariat
PARTIE I – Les droits fondamentaux de la personne face au numérique
Titre 2 – La protection de l’individu dans la sphère privée numérique
Sous-titre 2 – Les données personnelles
Chapitre II – La protection des données personnelles et le notariat
1102 Loué ou critiqué, le numérique est devenu et reste aujourd’hui le support commun de la majorité des échanges privés mais également professionnels304. La profession notariale a très vite été sensibilisée aux contraintes liées au numérique. Elle est en effet au cœur de la collecte de données pour la confection des actes. La prise de renseignements, de données relatives à une personne physique identifiée ou pouvant l’être directement ou indirectement305 est inévitablement liée à l’exercice de la profession. La collecte de ces informations, leurs enregistrements et mises à jour ainsi que leurs extractions sont une condition sine qua non de la réalisation de la prestation notariale.
Si la transmission des données collectées est inévitable lors des formalités ante et post-signature, il est impératif qu’elle soit sécurisée afin d’éviter une récupération à d’autres fins. La perfection des actes ainsi que les obligations liées au statut du notariat n’ont pas été modifiées par les différentes lois relatives au numérique. Elles répondent toujours à des règles de fond très encadrées306 pour assurer un environnement de confiance.
La profession notariale s’est conformée aux différentes réformes, d’abord à la loi informatique et libertés, puis aux réformes suivantes dont il convient de rappeler les grands principes (Section I). En raison de son statut et de la délégation de l’autorité publique y attachée, elle a pris de nombreuses dispositions et précautions afin de sécuriser les données collectées dans l’exercice de sa fonction. Les règles gouvernant la protection des données sont devenues une priorité où la vigilance reste de mise (Section II).
Section I – Les grands principes de la protection des données à caractère personnel
1103 – L’évolution de la protection des données à caractère personnel. – Premier concerné par la collecte d’informations « sensibles »307, le notariat s’est adapté à l’évolution de la législation relative à la protection des données à caractère personnel : d’abord avec la loi relative à l’informatique, aux fichiers et aux libertés308 modifiée notamment en 2004 par la loi pour la confiance dans l’économie numérique309, puis en 2018 avec la loi relative à la protection des données personnelles310. Le règlement général sur la protection des données (RGPD)311 a repris l’ensemble des principes de la loi appelée couramment « loi informatique et libertés » : finalité, exactitude, proportionnalité et pertinence, limitation des durées de conservation, sécurité et confidentialité, droits des personnes. La transposition du RGPD dans le corpus législatif fran çais, le 25 mai 2018312, a permis une piq ûre de rappel pour l’ensemble des notaires. Concrètement, les principales dispositions impactantes peuvent être synthétisées en deux points :
l’obligation d’information donnée aux clients du traitement de leurs données à caractère personnel (c’est-à-dire de toute opération portant sur ces données, leur collecte, leur conservation, leur transmission…) ;
et le respect de l’obligation de sécurité et de confidentialité.
1104 – L’apport du RGPD. – Outre la reprise des principales dispositions de la loi informatique et libertés, le RGPD a également reconnu à toute personne la possibilité de contrà´ler l’exploitation des informations personnelles la concernant. Cette possibilité, connue sous le nom d’empowerment, se traduit par une faculté d’agir au moyen d’actions précises :
le « droit à l’effacement » de l’article 17, encore appelé « droit à l’oubli »313 permettant le retrait des données personnelles ou l’empêchement d’accès à ces données, c’est-à -dire le « droit au déréférencement »314 ;
le « droit à la portabilité » de l’article 20315, prévoyant le droit pour toute personne physique de demander les données à caractère personnel qu’elle a elle-même fournies, afin de les transmettre directement à un autre responsable de traitement, sans possibilité d’opposition du responsable du traitement initial.
1105 – Les conséquences du non-respect des obligations résultant du RGPD. – En cas de non-conformité avec les obligations prévues par le RGPD, les sanctions sont particulièrement lourdes. Il s’agit de sanctions pénales et administratives pouvant conduire au paiement d’une amende atteignant jusqu’à 4 % du chiffre d’affaires. à€ titre d’exemple, en 2020 la Cnil a prononcé une sanction de 50 millions d’euros contre Google321.
Au cours de la période 2018-2019, la Cnil a recensé 11?900 plaintes en France contre 144?376 au niveau européen322, observant une augmentation d’environ 30 %.
Section II – Les implications pratiques pour la profession notariale
1106 – L’autorisation unique conférée au notariat325 avant l’entrée en vigueur du RGPD. – Sous l’empire de la loi informatique et libertés, les responsables de traitement des données à caractère personnel avaient l’obligation d’accomplir des formalités déclaratives auprès de la Cnil avant de mettre en œuvre leur traitement. Les notaires disposaient d’une autorisation unique spécifique de la Cnil adaptée aux nouvelles missions conférées à la profession, telles que :
la mission de tiers de confiance ;
l’enregistrement des pactes civils de solidarité reçus en la forme authentique ;
la dématérialisation de la procédure d’instruction des déclarations d’intention d’aliéner ;
la fourniture d’informations à des organismes liés à l’office notarial pour l’évaluation des biens immobiliers.
Cette autorisation, connue sous la référence « AU-006 »326, était obtenue automatiquement après avoir rempli des prérequis et donné un engagement de conformité.
Elle concernait les traitements permettant aux notaires de produire, à partir des fichiers de leurs clients, des actes authentiques et de communiquer des données vers d’autres applications, notamment le traitement Télé@ctes visant à la dématérialisation des échanges entre le notariat et le service de la publicité foncière. Étaient également visés dans cette autorisation l’envoi dématérialisé des actes de l’état civil, dans le cadre du traitement de gestion de l’état civil des communes et du ministère des Affaires étrangères, ainsi que les échanges d’informations ou de documents avec les organismes bancaires dans le cadre de l’application Mécanotaires327.
Les personnes habilitées à accéder directement aux informations contenues dans le traitement de données à caractère personnel étaient le notaire ainsi que les collaborateurs de l’office.
1107 – Un contrà´le a posteriori. – Suite à l’entrée en application du RGPD le 25 mai 2018, les normes adoptées par la Cnil, donc l’autorisation unique AU-006, n’ont plus de valeur juridique. Ce système d’autorisation a été aboli pour laisser place à un contrà´le a posteriori328 basé sur la responsabilisation appelée « principe d’accountability ».
Désormais, les responsables de traitement sont tenus de respecter les principes imposés par le RGPD et notamment les dispositions de l’article 5. Les notaires responsables du traitement des données à caractère personnel sont donc tenus de :
mettre en œuvre des mécanismes et procédures internes démontrant le respect des règles de protection des données à caractère personnel collectées ;
de tenir un registre des activités de traitements de données personnelles329 afin de démontrer la mise en conformité aux dispositions du RGPD et d’identifier précisément :
les personnes intervenant dans le traitement de telles données (représentants, sous-traitants, responsables, etc.),
les catégories de données traitées, ainsi que leur finalité, c’est-à -dire à quoi servent ces données,
les personnes ayant accès aux données, et celles à qui elles sont communiquées,
les moyens de sécurisation des données,
la durée de conservation.
Ce registre est conservé soit sous forme papier, soit sous forme électronique par le délégué à la protection des données désigné par l’office ;
d’informer les personnes concernées et de recueillir leur consentement. Il convient d’entendre par personnes concernées celles dont les données sont collectées ;
de notifier auprès de l’autorité de contrà´le (la Cnil) toute violation de données, mais également auprès de toute personne concernée ;
de désigner un délégué à la protection des données à caractère personnel330.
Depuis l’entrée en vigueur du règlement européen, il faut donc être en mesure de prouver les moyens mis en place pour protéger les données à caractère personnel331.
1108 – Dans l’attente d’un nouveau référentiel. – Pour permettre aux responsables du traitement d’appréhender les mises en conformité issues de la nouvelle réglementation, dans l’attente de la parution de nouveaux référentiels RGPD, la Cnil a maintenu l’accessibilité des autorisations uniques et notamment l’AU-006 relative au notariat332 malgré leur absence de valeur juridique.
1109 – L’obligation de désignation d’un délégué à la protection des données (DPD)333. – Avec l’entrée en vigueur du règlement européen, l’ancien « correspondant informatique et libertés » (CIL) est devenu le « délégué à la protection des données » (DPD)334. Parmi les trois hypothèses prévues à l’article 37 du RGPD, l’une d’elles impose au notaire de désigner un DPD en raison de sa mission d’ordre public. Cette obligation s’impose également aux instances de la profession.
La désignation du délégué à la protection des données est libre. Elle doit s’effectuer sur la base des qualités professionnelles du délégué pressenti, et en particulier de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, ainsi que de sa capacité à accomplir les missions visées à l’article 39 du RGPD335.
Son rà´le est d’informer, de conseiller l’office et ses employés, de contrà´ler le respect du RGPD, mais aussi d’être consulté par les personnes concernées (les clients) pour des problématiques relatives à leurs droits. Considéré comme point de contact, il coopère avec la Cnil.
1110 – Redoubler de vigilance. – Traditionnellement stockées dans des dossiers papier, aujourd’hui l’archivage des données collectées par le notariat s’effectue sur des serveurs, ou en cloud via les gestions électroniques de documents (GED). Les échanges par courriels ainsi que l’envoi des questionnaires informatiques remplis par les clients permettent la collecte de ces informations. Il semble alors évident que le respect de l’obligation d’information du responsable du traitement des données doit être observé, de même que l’assurance du consentement de la personne concernée.
L’ensemble des actes notariés comprend aujourd’hui une clause relative aux données à caractère personnel via les logiciels d’aide à la rédaction d’actes. Il est essentiel de prêter attention à l’insertion de clauses similaires dans tout document adressé aux clients pour être en mesure de prouver, en tant que de besoin, la conformité des pratiques au règlement européen.
1111 – La pratique de la sollicitation personnalisée336. – La sollicitation personnalisée est un mode de communication à effet de promouvoir les services des offices auprès de personnes identifiées et préalablement sélectionnées. Cette offre de services a été ouverte à la profession notariale en 2016337, y compris par voie numérique338. Elle se distingue de la publicité, interdite à la profession, en ce qu’elle s’adresse à des personnes ciblées et non pas à tous publics. Des règles strictes doivent être observées339 afin de respecter le statut et les principes déontologiques relatifs à la profession340. Dans ce cadre, le notaire en faisant usage est tenu de respecter les dispositions relatives à la protection des données. Ainsi chaque destinataire d’une sollicitation personnalisée doit donner son consentement et avoir la possibilité de s’opposer à la réception des messages341.
Au stade de sa conception, il est impératif que le délégué à la protection des données de l’office intervienne pour rédiger les mentions obligatoires et gérer le registre des données personnelles sensibles.
1112
1113 – La procédure de notification de violation des données à caractère personnel. – Le règlement européen (RGPD) prévoit l’obligation pour le responsable du traitement (en l’occurrence l’office notarial) de notifier à la Cnil toute violation de données à caractère personnel342. Cette violation est avérée lorsqu’un événement entraà®ne la perte, l’altération, la destruction ou la divulgation non autorisée de données à caractère personnel. Cet événement doit être illicite ou accidentel pour entraà®ner la qualification de violations de données à caractère personnel, peu important qu’il soit la résultante d’une faille de sécurité. Ces violations peuvent être regroupées en trois catégories343 :
les violations de confidentialité ;
les violations de disponibilité344 ;
et les violations d’intégrité.
La procédure se déroule en cinq étapes, à réaliser dans un délai de soixante-douze heures à compter de la constatation de la violation des données à caractère personnel345, c’est-à -dire précisément lorsque le notaire ou l’office notarial responsable du traitement est raisonnablement certain qu’un incident a compromis des données à caractère personnel. Au-delà de ce délai, les motifs de ce retard sont à fournir lors de la notification à la Cnil.
1. La première étape consiste pour le responsable de traitement et le sous-traitant informatique ou numérique à réunir toute information utile à caractériser la violation de données à caractère personnel et en déterminer les circonstances.
2. La deuxième étape est la prise de contact avec le délégué à la protection des données de l’office notarial afin de lui communiquer les éléments probants permettant l’évaluation du risque encouru pour la ou les personnes concernées.
3. La troisième étape est la plus délicate puisqu’il s’agit d’évaluer les dommages ou le préjudice encourus par la ou les personnes concernées.
4. La quatrième étape est la notification devant être faite à la Cnil. Avec l’aide du délégué à la protection des données, le notaire (ou l’office notarial) responsable du traitement décide ou non de procéder à cette notification346.
5. La cinquième et dernière étape est une concertation entre le notaire (ou l’office notarial) responsable du traitement, le délégué à la protection des données et la Cnil. Elle consiste à déterminer l’opportunité d’informer la ou les personnes concernées par la violation des données à caractère personnel.
1114 La divulgation de données personnelles peut être insignifiante selon le contexte. Cependant, elle peut devenir capitale lorsque ces données sont la proie d’algorithmes malveillants, ou de la sustentation des moteurs de recherche. Certains auteurs considèrent d’ailleurs que nos données sont aux prises d’un « coup data »350, d’une prise de pouvoir technologique. Même si la loi informatique et libertés demeure le premier texte de référence en France, la collecte des données à caractère personnel et leurs traitements font l’objet d’une réglementation européenne, à travers les dispositions du règlement général sur la protection des données (RGPD)351. Extrêmement difficile à décrypter, son adaptation dans notre législation nationale comme dans d’autres nécessite le regard aiguisé d’experts352.
304) Laboratoire d’innovation numérique de la Cnil, 7 ao ût 2020 : « Nos vies numériques en 2030 – Appel à “fragments de futurs” » (https://linc.cnil.fr/fr/nos-vies-numeriques-en-2030-appel-fragments-de-futurs).
305) V. Chapitre précédent.
306) JCl. Notarial Formulaire, Vo Acte notarié, fasc. 32 ; Ord. no 45-2590, 2 nov. 1945, relative au statut du notariat (www.legifrance.gouv.fr/loda/id/LEGITEXT000006069175/2020-09-13/).
307) JCP N 26 oct. 2018, no 43-44, 1326.
308) L. no 78-17, 6 janv. 1978, relative à l’informatique, aux fichiers et aux libertés : JO 7 janv. 1978, no 1978-01-07 (version initiale : www.legifrance.gouv.fr/jorf/id/JORFTEXT000000886460 ; version consolidée : www.legifrance.gouv.fr/loda/id/JORFTEXT000000886460/2019-06-01/).
309) L. no 2004-575, 21 juin 2004, pour la confiance dans l’économie numérique : JO 22 juin 2004, no 143 (www.legifrance.gouv.fr/jorf/id/JORFTEXT000000801164).
310) L. no 2018-493, 20 juin 2018, relative à la protection des données personnelles : JO 21 juin 2018, no 0141 (www.legifrance.gouv.fr/jorf/id/JORFTEXT000037085952/).
311) PE et Cons. UE, règl. (UE) no 2016/679, 27 avr. 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (www.privacy-regulation.eu/fr/index.htm).
312) JCP N 29 juin 2018, no 26, act. 579.
313) Le droit à l’effacement est un prolongement de l’arrêt rendu par la Cour de justice de l’Union européenne le 13 mai 2014 opposant Costeja Gonzà¡lez à Google Spain (CJUE, 13 mai 2014, aff. C-131/12, Google Spain : D. 2014, p. 1476).
314) V. infra, Commission 1, Partie III, no 1427.
315) V. infra, Commission 1, Partie III, no 1393.
316) RGPD, art. 20.3.
318) Cnil, 2 déc. 2019, La mission d’intérêt public : dans quels cas fonder un traitement sur cette base légale ? (www.cnil.fr/fr/la-mission-dinteret-public-dans-quels-cas-fonder-un-traitement-sur-cette-base-legale).
319) RGPD, art. 20.1.
320) RGPD, art. 12.
321) Cnil, formation restreinte, délib. no SAN-2019-001, 21 janv. 2019 (www.legifrance.gouv.fr/cnil/id/CNILTEXT000038032552). – CE, 10e et 9e ch. réunies, 19 juin 2020, no 430810, Sté Google LLC (https://www.conseil-etat.fr/actualites/rgpd-le-conseil-d-etat-rejette-le-recours-dirige-contre-la-sanction-de-50-millions-d-euros-infligee-a-google-par-la-cnil).
323) Cil.not est une entreprise du groupe ADSN (« Activités et développement au service du notariat ») mandaté par le Conseil supérieur du notariat, correspondant informatique et libertés mutualisé de la profession notariale sur désignation volontaire de l’office notarial.
324) Adnov (« Activités et développement au service de l’innovation »), société d’expertise technologique et numérique du notariat et des professions réglementées (rassemblant Real.not, Min.not, Cil.not, Media.not et Publi.not) est une filiale du groupe ADSN.
325) Cnil, délib. no 2014-016, 23 janv. 2014, portant autorisation unique de traitements de données à caractère personnel aux fins d’exercice des activités notariales et de rédaction des documents des offices notariaux (www.legifrance.gouv.fr/cnil/id/CNILTEXT000028655491/ ; www.cnil.fr/sites/default/files/atoms/files/au6.pdf).
326) Cnil, décl. no 6, Exercice des activités notariales (www.cnil.fr/sites/default/files/atoms/files/au6.pdf).
327) Mécaniques d’échange avec le notariat dans le cadre d’opérations de crédits immobiliers en y intégrant des informations en provenance des traitements des offices notariaux ou en communiquant des données vers les applications de ces offices ; Cnil, délib. no 2009-358, 18 juin 2009, portant autorisation unique de traitements de données à caractère personnel aux fins de dématérialisation des échanges intervenant entre les caisses régionales du Crédit agricole et les offices notariaux dans le domaine du crédit immobilier, dans le cadre de l’application Mécanotaires (www.legifrance.gouv.fr/cnil/id/CNILTEXT000020972762/).
328) Cnil, Comment se passe un contrà´le de la Cnil ? (www.cnil.fr/fr/comment-se-passe-un-controle-de-la-cnil).
329) RGPD, art. 30 (www.cnil.fr/en/node/24283).
330) RGPD, art. 37.
331) La Cnil a mis en ligne des tutoriels d’aide à la mise en conformité pour une protection optimale des données (www.cnil.fr/fr/principes-cles/rgpd-se-preparer-en-6-etapes).
333) Comm. com. électr. avr. 2018, no 4, dossier 6.
334) JCP N 29 juin 2018, no 26, act. 579.
335) RGPD, art. 37-5.
336) JCl. Roulois, Fasc. 7300, Notariat.
337) L. no 2016-1547, 18 nov. 2016, de modernisation de la justice du XXIe siècle, art. 3, III : JO 19 nov. 2016, no 0262.
338) Rép. min. no 1750 : JO Sénat Q 1er févr. 2018, p. 435 ; JCP N 2018, no 6, act. 212.
339) D. no 2019-257, 29 mars 2019, relatif aux officiers publics ou ministériels : JO 31 mars 2019, no 0077.
340) D. no 73-1202, 28 déc.1973, relatif à la discipline et au statut des officiers publics, art. 42 à 44.
341) JCP N 6 sept. 2019, no 36, act. 709.
342) RGPD, art. 33 et 34.
343) G29, avis no 03/2014 sur la notification des violations : https://edps.europa.eu/sites/edp/files/publication/18-12-14_edps_guidelines_data_breach_fr.pdf ; G29 : groupe de travail rassemblant les représentants de chaque autorité indépendante de protection des données nationales.
344) Par ex., une intrusion dans la base de données clients.
345) RGPD, art. 33, 1.
346) RGPD, art. 28, 3, f.
347) Rapport de l’Agence nationale de la sécurité des systèmes informatiques (ANSSI) sur l’état de la menace ran çongiciel en France, 5 févr. 2020 : www.cert.ssi.gouv.fr/uploads/CERTFR-2020-CTI-001.pdf
349) Real désigne le réseau privé sécurisé réservé aux offices notariaux de France, aux instances de la profession notariale et aux partenaires de la profession notariale, exploité par Real.not et portant le nom « Réseau Real 3 ».
350) A. Basdevant et J.-P. Mignard, L’Empire des données. – Essai sur la société, les algorithmes et la loi, éd. Don Quichotte, 2018.
351) PE et Cons. UE, règl. no 2016/679, 27 avr. 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) : JOUE 4 mai 2016, no L 119/1 (https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32016R0679).
352) PE et Cons. UE, règl. no 2018/1725, 23 oct. 2018, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A52017PC0008). V. infra, Commission 1, Partie III, nos 1357 et s.