Intervention de Jean Lessi

Pour qu'il y ait une cartographie, il faut qu'il y ait un cartographe. À cet égard, le RGPD crée deux outils très précieux qui sont parfois vécus comme des contraintes, mais qui sont en réalité des opportunités formidables. D'abord, le délégué à la protection des données : le RGPD impose aux organismes publics et à certains organismes privés de structurer leur gouvernance en matière de données à caractère personnel, ce qui est un progrès considérable. Ensuite, le RGPD oblige à tenir un registre de traitement des données à caractère personnel. Et pour tenir ce registre, il faut savoir ce qu'on traite. La Cnil accompagnant de nombreux responsables de traitement dans cette démarche, je puis vous dire qu'il y a bien des surprises et des découvertes quand on recense tous les traitements de données : c'est l'occasion de se poser de très bonnes questions et de faire le tri.

Une autre question portait sur le traitement « Ciblage de la fraude et valorisation des requêtes » (CFVR). Il est très intéressant à deux titres : d'abord, parce qu'il est révélateur de ces nouveaux outils qu'on appelle aussi le data mining, ou fouille de données. À partir d'un entrepôt de données à caractère personnel, vous essayez de chercher de manière intelligente, en apprenant de vos recherches. Au passage, cela permet de faire de la lutte contre la fraude ou le non-recours.

Cet outil CFVR est également intéressant en termes de construction, progressive, avec des paliers d'expérimentation. D'abord, il ne concernait que les professionnels à titre expérimental et maintenant, il porte sur les professionnels et a atteint, sur ce champ, son « régime de croisière ». En ce moment, il est expérimenté pour les données des particuliers. Quand on dispose d'un outil nouveau, il faut voir comment il fonctionne sur un petit périmètre avant d'aller plus loin.

Après, le principal point de vigilance de la Cnil, lorsqu'elle a été saisie des arrêtés successifs élargissant le périmètre du CFVR, c'est la place de l'humain. La Cnil a insisté pour que le CFVR soit un outil d'aide à la décision et non pas un outil de décision, pour aider à mieux cibler les contrôles, à détecter des dossiers suspects ; il ne doit pas se substituer à la décision de lancer ou non un contrôle et encore moins aux résultats du contrôle. Telles sont les conséquences que la Cnil avait tirées de l'article 10 de la loi de 1978 sur l'enjeu des traitements intégralement automatisés, qui sont en principe interdits, sauf exception, le nouveau projet de loi élargissant les exceptions pour l'avenir.