Sur la proposition de M. Alain DRU, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Adopte la délibération suivante :

I. - La saisine
A. - Le contexte

L'article 51 de la loi du 10 février 2020 relative à la lutte contre le gaspillage et à l'économie circulaire (1) (dite loi « Agec ») modifie le diagnostic préalable aux travaux de déconstruction, imposé depuis 2011 (2).
Renommé « diagnostic produits, équipements matériaux et déchets (PEMD) avant démolition ou rénovation significative », il a pour objet de déterminer la nature, la quantité et la localisation des matériaux et produits de construction qui donneront lieu à des déchets à évacuer et éventuellement à recycler ou à réemployer. Le non-respect de l'obligation de réalisation du diagnostic est sanctionné pénalement (3).
Les maîtres d'ouvrage doivent ainsi transmettre au centre scientifique et technique du bâtiment (CSTB) (4) :

- avant les travaux, le « diagnostic PEMD » contenant des recommandations notamment sur les filières de recyclage, les modalités de traçabilité et, le cas échéant, d'élimination des déchets ;
- à l'issue des travaux, un formulaire de récolement sur la nature et la quantité des PEMD réellement générés ainsi que leur mode d'élimination.

B. - L'objet de la saisine

La CNIL a été saisie pour avis le 26 octobre 2022 par le ministère de la transition écologique et de la cohésion des territoires d'un projet d'arrêté portant autorisation d'un traitement de données à caractère personnel relatif à la gestion des produits, équipements, matériaux et déchets issus de la démolition ou de la rénovation significative de catégories de bâtiments dénommé « plateforme PEMD ».
La plateforme PEMD vise à permettre la saisie par les maîtres d'ouvrage ou les diagnostiqueurs des deux formulaires (diagnostic et récolement), ainsi que la manifestation d'intérêt des filières de réemploi et de recyclage du BTP pour les gisements enregistrés. Le CSTB est le responsable de ce traitement, qu'il met en œuvre sur la base de l'exécution d'une mission d'intérêt public.
La plateforme PEMD a pour finalités de :

- collecter les informations permettant d'identifier des PEMD générés lors des travaux et potentiellement réemployables ou valorisables (réutilisable, recyclable, valorisable énergétiquement) ;
- permettre la manifestation d'intérêt de tout acteur auprès de la maitrise d'ouvrage détentrice des PEMD, en vue de leur réemploi et/ou de leur valorisation ;
- collecter les informations permettant d'identifier des PEMD qui ont été réemployés, valorisés ou éliminés ; et
- réaliser des statistiques.

II. - L'avis de la CNIL
A. - Sur le régime juridique applicable

La CNIL a été saisie sur le fondement de l'article 31.I.2 de la loi « informatique et libertés » qui requiert son avis sur tout projet d'arrêté portant sur des « traitements de données à caractère personnel mis en œuvre pour le compte de l'Etat et […] qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l'exécution des condamnations pénales ou des mesures de sûreté ».
Le traitement étant « susceptible de révéler ou d'écarter l'existence d'une éventuelle infraction pénale » dans le cadre du non-respect de l'obligation de réalisation d'un diagnostic relatif à la gestion des PEMD, le ministère considère qu'il répond aux conditions de cet article.
La CNIL prend acte des arguments du ministère sur le fondement de la saisine.
La finalité principale poursuivie par le traitement étant de permettre le respect de l'obligation de réalisation et de transmission du diagnostic PEMD, et non la prévention et la détection des infractions pénales, la CNIL considère que le traitement relève du régime prévu par le RGPD.

B. - Sur les données collectées

L'article 2 de l'arrêté dispose que les données à caractère personnel collectées dans le traitement sont notamment :

1. Pour l'inscription au service numérique : les nom, prénom et adresse électronique ; et
2. « les données à caractère personnel définies par les articles 3 et 4 de l'arrêté relatif au diagnostic portant sur la gestion des produits, équipements, matériaux et déchets issus de la démolition ou de la rénovation significative de catégories de bâtiments et abrogeant l'arrêté du 19 décembre 2011 relatif au diagnostic portant sur la gestion des déchets issus de la démolition de catégories de bâtiments. »

La CNIL prend acte de ce que les données citées au 1 concernent les maîtres d'ouvrage soumis aux dispositions des articles L. 126-34 et L. 126-35 du CCH, les diagnostiqueurs, les filières de réemploi et de recyclage du BTP et les pouvoirs publics qui s'inscriront au service numérique.
La Commission relève que les données visées au 2 correspondent aux éléments des formulaires « diagnostic » et « récolement ». Elle prend également acte de ce que l'arrêté cité sera publié en même temps que l'arrêté examiné en l'espèce.

C. - Sur l'information des personnes

Le maître d'ouvrage reçoit une notification qui l'informe lorsque des acteurs intéressés se positionnent sur un ou plusieurs lots de PEMD d'une opération de déconstruction. Leur courriel est alors mis à disposition du maître d'ouvrage pour la suite des négociations.
La CNIL rappelle que les personnes concernées devront être informées de la possible transmission de leur courriel. Elle recommande d'effectuer cette information au moment de leur inscription sur le service et lors de leur manifestation d'intérêt.

D. - Sur le droit d'opposition

Le ministère a précisé que le droit d'opposition est exclu pour ce traitement, sur le fondement de l'article 23.1.e du RGPD afin de garantir des « objectifs importants d'intérêt public général de l'Union ou d'un Etat membre », notamment la protection de l'environnement.
La CNIL appelle l'attention du ministère sur le nécessaire respect des dispositions de l'article 23.2 du RGPD qui impose de prévoir certaines garanties complémentaires dans l'acte dès lors que le paragraphe 23.1 est mobilisé, notamment le droit des personnes concernées d'être informées de la limitation.
Les autres dispositions du projet d'arrêté n'appellent pas d'observations de la part de la CNIL.