La base légale de l’intérêt légitime : fiche focus sur les mesures à prendre en cas de collecte des données par moissonnage (web scraping)

Que faire en cas de collecte incidente de données sensibles ?

Il convient de faire preuve d’une attention particulière à la collecte de données sensibles lors de l’utilisation d’outils de moissonnage (web scraping) qui impliquent le traitement de larges volumes de données. Le responsable du traitement est tenu de mettre en œuvre toutes les mesures permettant d’exclure automatiquement la collecte de données sensibles non pertinentes notamment en appliquant des filtres permettant d’exclure la collecte de certaines catégories de données ou encore d’exclure certains sites comportant des données sensibles par nature.

Si, malgré les mesures prises, l’organisme traite de manière incidente et résiduelle des données sensibles qu’il n’avait pas cherché à collecter, cela n’est pas considéré comme illégal. C’est notamment ce qu’a pu considérer la cour de justice de l’Union européenne en rappelant que cette interdiction s’applique à l’exploitant d’un moteur de recherche « dans le cadre de ses responsabilités, de ses compétences et de ses possibilités » (CJUE, grande chambre, 24 septembre 2019, GC e.a, C-136/17). En revanche, si l’organisme vient à savoir qu’il traite des données sensibles, notamment par le biais de la personne concernée, il est tenu de procéder, autant que possible, à leur suppression immédiate et automatisée.

Pour rappel, le traitement de données sensibles peut être autorisé par exception lorsqu’il porte sur des données personnelles qui sont manifestement rendues publiques par la personne concernée. Il convient de vérifier si la personne concernée souhaitait, de manière explicite et par un acte positif clair, sur la base d’un paramétrage effectué en connaissance de cause, rendre accessibles au grand public ses données personnelles ou, au contraire, à un nombre plus ou moins limité de personnes sélectionnées (CJUE, 4 juillet 2023, Meta Platforms, C-252/21).

Pour plus d’informations : voir la fiche « Assurer que le traitement est licite ».

Le projet de registre des organisations traitant des données collectées par moissonnage à des fins de développement de systèmes d’IA

Les pratiques de moissonnage (web scraping), déjà très répandues, prennent une importance particulière avec le développement de l’IA. Compte tenu des problèmes que posent ces pratiques notamment en termes de transparence et d’exercice des droits, la CNIL envisage de mettre en place un registre sur son site où pourraient s’inscrire les organisations qui traitent des données collectées par moissonnage à des fins de développement de systèmes d’IA.

Quels traitements seraient concernés ?

Ce registre concernerait les organisations qui traitent des données collectées par moissonnage à des fins de constitution de bases de données d’entraînement pour le développement de systèmes d’IA, qui entrent dans le champ matériel du RGPD ou des dispositions du titre III de la loi « Informatique et Libertés ». Il n’aurait en revanche pas vocation à rensencer les organisations ayant recours au moissonnage pour d’autres finalités (prospection commerciale, veille médiatique, etc.).

Qui pourrait s’y inscrire ?

L’inscription sur ce registre serait ouverte à la fois aux organisations publiques et privées qui traitent des données collectées par moissonnage à des fins de développement de systèmes d’IA. Cela inclurait les responsables de traitements qui mettent eux-mêmes en œuvre des outils de moissonnage, qui font appel à un sous-traitant ou qui traitent des données antérieurement collectées par des outils de moissonnage (par exemple, des bases de données accessibles en ligne ou acquises auprès de tiers et constituées à partir de web scraping, comme l’utilisation de bases de données Common Crawl).

L’inscription ne se limiterait pas aux entreprises françaises, mais inclurait toutes celles qui sont concernées par le champ d’application territorial du RGPD et de la loi « Informatique et Libertés ».

S’agissant des organisations publiques, la CNIL tiendrait également sur une page dédiée une liste des administrations autorisées à effectuer du moissonnage de données dans le cadre de leurs pouvoirs. Cela concernerait les traitements autorisés par des textes et sur lesquels la CNIL aurait rendu un avis.

Quelles informations figureraient sur le registre en ligne ?

Les informations suivantes figureraient, pour chaque organisation, sur le registre :

• l’identité (raison sociale) du responsable du traitement ;
• un lien vers sa politique de confidentialité ;
• de manière facultative, la liste des catégories de sites scrapés ou, a minima, un renvoi vers la politique de confidentialité où il est obligatoire que soient listées la ou les sources des données traitées, sous réserve des exceptions applicables (pour plus d’information, voir la fiche sur l’information des personnes) ;
• les modalités d’exercice des droits.

L’inscription sur le registre serait-elle obligatoire ?

Non. L’inscription sur ce registre ne serait pas obligatoire même si votre organisation traite des données collectées par moissonnage à des fins de constitution de bases de données d’entraînement. En revanche, l’inscription sur ce registre permettrait d’assurer une plus grande transparence des traitements et de faciliter l’exercice des droits des personnes. Par conséquent, lorsque le responsable du traitement souhaite mobiliser la base légale de l’intérêt légitime, l’inscription sur ce registre pourrait être prise en compte comme mesure additionnelle dans la mise en balance.

L’inscription sur le registre garantirait-elle la conformité des traitements de données ?

Non. La CNIL ne vérifierait pas la conformité des traitements mis en œuvre par les organisations qui s’inscriraient sur ce registre. La présence d’un organisme sur cette liste ne préjugerait pas de la conformité des traitements de données qu’il effectue à la réglementation, notamment en matière de protection des données.

Comment s’inscrire sur le registre ?

Il serait possible de s’inscrire sur le registre en remplissant un formulaire qui serait disponible en ligne.

L’inscription devrait être effectuée par le représentant légal, une personne disposant de ces prérogatives au sein de l’organisme ou, le cas échéant, le délégué à la protection des données (DPO).

Pour effectuer l’inscription sur le registre, le responsable du traitement devrait renseigner certaines informations nécessaires à son identification : nom et prénom de la personne physique effectuant l’enregistrement, coordonnées de contact (adresse email), numéro de SIREN de l’organisation. Ces informations ne seraient pas rendues publiques.

Serait-il possible de modifier les informations indiquées dans le registre ou de se retirer du registre ?

Oui, il serait possible de demander le retrait ou la modification des informations renseignées. Les responsables du traitement seraient fortement encouragés à vérifier régulièrement que les informations mentionnées ne soient ni inexactes ni obsolètes. Les données seraient supprimées à l’issue d’un délai de deux ans à compter de la dernière modification par le responsable du traitement.