AgentPublic/cnil huggingface dataset:
précisé que ce délai est calculé sur la base d'une période d'ouverture du téléservice de trois mois, augmentée d'un mois pour transmettre et traiter, au sein du référentiel PERS, les données à certifier par l'intermédiaire du RNIPP.En tout état de cause. la commission rappelle que cette durée concerne uniquement les données traitées au sein du téléservice et se distingue de la durée de conservation des mêmes données au sein du référentiel PERS.Elle estime que cette durée n'excède pas la durée nécessaire à la finalité poursuivie par le traitement mis en œuvre, conformément à l'article 6 (5°) de la loi informatique et libertés .Sur les destinataires des données :Le projet d'arrêté ne prévoit pas que des personnels aient directement accès aux données traitées dans le cadre du téléservice de collecte. L'article 4 prévoit néanmoins que l'ensemble de ces données sont transmises au référentiel  PERS .Ainsi, seuls les personnels habilités mentionnés dans l'arrêté du 17 janvier 2008 susvisé auront accès à ces données. Le service de l'INSEE est également rendu destinataire des données nécessaires à l'interrogation du RNIPP et à la certification des données d'état civil.Ces personnes ayant un intérêt légitime à accéder aux données compte tenu de leurs attributions, ce point n'appelle pas d'observation de la commission.Sur l'information et les droits des personnes concernées :Il est prévu que les personnes soient informées des motifs de la collecte du NIR (améliorer l'identification et
éviter la confusion avec une autre personne) par l'affichage d'une  infobulle  à partir du champ de saisie du NIR. Elles seront également informées du caractère facultatif de cette collecte et des documents sur lesquels le  numéro de sécurité sociale  (le NIR) peut être trouvé (carte Vitale, bulletin de paye ou relevé de sécurité sociale). Il est enfin prévu que les personnes soient informées par le biais d'un  lien renvoyant vers les mentions CNIL du site "impots.gouv.fr" qui seront enrichies des informations sur ce nouveau traitement .La commission considère que les modalités pratiques pour informer les contribuables concernés revêtent une importance particulière en raison des données traitées et du caractère exceptionnel de la collecte du NIR de nombreux contribuables.Elle rappelle à cet égard que le dernier alinéa de l'article 32 de la loi  informatique et libertés  exige, pour tout formulaire de collecte, papier ou électronique, l'insertion des mentions suivantes : l'identité du responsable du traitement et, le cas échéant, celle de son représentant ; la finalité poursuivie par le traitement auquel les données sont destinées ; le caractère obligatoire ou facultatif des réponses ; et les droits  informatique et libertés  de la personne envers les données la concernant.En outre, l'utilisation du présent téléservice dédié à la fiabilisation de l'identité des contribuables n'étant pas davantage rendu obligatoire, la commission demande à l'administration d'aménager une
possibilité de répondre par un vecteur de communication autre que dématérialisé et de consolider, sur ce point, l'information accessible pour ce téléservice.L'artide 6 du projet d'arrêté prévoit que les droits d'accès et de rectification s'exercent directement auprès du centre des finances publiques gestionnaire de l'imposition concernée. Il rappelle également la possibilité du contribuable de consulter son compte fiscal en ligne pour accéder à certaines données traitées par l'administration fiscale et de demander, le cas échéant, certaines rectifications.Le droit d'opposition est exclu par l'article 7 du projet d'arrêté conformément au troisième alinéa.Ces modalités n'appellent pas d'observation particulière de la commission.Sur les mesures de sécurité du traitement :L'article 5 du projet d'arrêté prévoit expressément que  Les numéros d'inscription au répertoire national d'identification des personnes physiques sont exclusivement conservés dans des fichiers informatisés dédiés  et que ces  fichiers font l'objet de mesures de sécurité renforcées .La commission prend acte que des mesures de sécurité particulières sont prises s'agissant du traitement du NIR (espace sécurisé, modalités de transmission différentes des modalités concernant la transmission des données de la déclaration des revenus effectuée sur le site  impots.gouv.fr , chiffrement, sauvegarde sur support spécifique, etc.) et de sa consultation (journalisation des interrogations, délivrance d'une habilitation,
analyse des traces, etc.), conformément aux dispositions législatives et réglementaires applicables et à l'arrêté du 17 janvier 2008 relatif au référentiel  PERS .En complément des pouvoirs dont elle dispose en application de la loi  informatique et libertés , la commission rappelle en outre que les dispositions du LPF précitées lui octroient des prérogatives spécifiques en matière du traitement du NIR par l'administration fiscale. En particulier, en cas de méconnaissance des règles relatives à la sécurité, la commission peut enjoindre à l'administration fiscale de mettre en œuvre certaines mesures de sécurité, pouvant aller jusqu'à la destruction des supports contenant le NIR.Elle prend également acte que le présent téléservice est déployé dans le respect des obligations issues de l' ordonnance n° 2005-1516 du 8 décembre 2005 susvisée et, en particulier, des référentiels généraux de sécurité (RGS) et d'interopérabilité (RGI).Les autres mesures de sécurité n'appellent pas d'observation de la part de la commission. Elle rappelle en outre que l'obligation de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée nécessite la mise à jour des mesures de sécurité au regard d'une réévaluation régulière des risques.
La Commission nationale de l'informatique et des libertés,Saisie par le ministre des finances et des comptes publics d'une demande d'avis concernant un projet d'arrêté relatif à la mise en service à la direction générale des finances publiques et à la Caisse nationale du régime social des indépendants d'une procédure automatisée de transfert des données fiscales ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code général des impôts ;Vu le livre des procédures fiscales, notamment ses articles L. 152, L. 288, R. 152-1, R. 287 et R. 288-1 et suivants ;Vu le code de la sécurité sociale ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles ;Vu le décret n° 99-1047 du 14 décembre 1999 pris pour l'application de l'article 107 de la loi de finances pour 1999 (n° 98-1266 du 30 décembre 1998) relatif à l'utilisation du numéro d'inscription au répertoire national d'identification des personnes physiques par la direction générale des impôts, la direction générale de la comptabilité publique et la direction générale des douanes et droits indirects ;Vu le décret n° 2000-8 du 4 janvier
2000 modifié pris pour l'application de l' article L. 288 du livre des procédures fiscales ;Vu le décret n° 2002-771 du 3 mai 2002 modifié portant création d'une procédure de transfert de données fiscales ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu la délibération n° 01-055 du 25 octobre 2001 relative à la création d'une procédure de transfert de données fiscales pour le compte de l'Etat et des organismes de protection sociale visés à l' article L. 152 du livre des procédures fiscales :Vu le dossier et ses compléments ;Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,Emet l'avis suivant :La Commission nationale de l'informatique et des libertés a été saisie pour avis par le ministre des finances et des comptes publics d'un projet d'arrêté relatif à la mise en service, à la direction générale des finances publiques (DGFiP), d'une procédure automatisée de transfert des données fiscales avec la Caisse nationale du régime social des indépendants (RSI).La procédure de transfert de données fiscales (dite  TDF ) a été créée par le décret n° 2002-771 du 3 mai 2002 susvisé, pris après l'avis de la commission en date du 25 octobre 2001, afin de permettre aux agents des administrations fiscales de communiquer aux organismes et services chargés de la gestion
d'un régime obligatoire de sécurité sociale ou d'un régime de retraite complémentaire obligatoire, sur support informatique, les informations fiscales nécessaires à l'exécution des finalités mentionnées à l' article L. 152 du livre des procédures fiscales (LPF). Ces finalités concernent, à titre général, le contrôle des déclarations des allocataires aux fins d'ouverture, de maintien et de calcul des droits.Ce même article précise que le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) peut être utilisé pour les demandes, échanges et traitements nécessaires à la communication des informations qui y sont mentionnées, lorsqu'elles concernent des personnes physiques.La procédure TDF est mise en oeuvre dans le cadre d'un centre de services informatiques unique, hébergé par la DGFIP et dénommé Centre national de transfert de données fiscales (CNTDF). Celui-ci reçoit les demandes des organismes sociaux qui fournissent un  fichier d'appels  concernant certains de leurs assurés, les transmet à la DGFiP et adresse les réponses reçues de cette dernière ( fichiers de restitutions ). Cette procédure permet ainsi de communiquer uniquement les données des personnes concernées par la demande adressée par ces organismes et à transmettre les seules informations qui leur sont nécessaires.L' article 2 du décret n° 99-1047 du 14 décembre 1999 susvisé prévoit expressément que des arrêtés ministériels pris après avis de la Commission nationale de
l'informatique et des libertés fixent  la liste des informations pouvant être obtenues  par les organismes de sécurité sociale et  les règles auxquelles doivent satisfaire les traitements opérés pour le recueil et l'exploitation de ces informations .C'est dès lors sur le fondement de ce décret qu'un projet d'arrêté est soumis pour avis à la commission, lequel vise à faire bénéficier un nouvel organisme, la Caisse nationale du RSI de la procédure TDF.En premier lieu, la commission relève que la Caisse nationale du RSI est un organisme de sécurité sociale de droit privé chargé d'une mission de service public au profit des travailleurs indépendants. Dotée d'une compétence nationale, cette caisse est chargée de contrôler la gestion des droits d'une population soumise à condition de ressources. Les prestations qu'elle délivre peuvent bénéficier aux travailleurs indépendants au titre de l'assurance maladie et maternité, de l'assurance vieillesse, de l'invalidité-décès et de l'assurance vieillesse complémentaire obligatoire.L'article 2 du présent projet d'arrêté énonce les finalités pour lesquelles les informations transmises à la Caisse nationale du RSI peuvent être utilisées.Plus précisément, il s'agit de déterminer les  taux de prélèvements à appliquer sur les pensions de retraite et sur les pensions d'invalidité du régime d'assurance vieillesse invalidité et décès du RS1 au titre de la contribution sociale généralisée, de la contribution au remboursement de la dette sociale et
de la contribution additionnelle de solidarité sur l'autonomie .Au regard de l'ensemble de ces éléments, la commission considère que la mise en œuvre de la procédure de transfert de données fiscales avec ce nouvel organisme apparatt conforme aux dispositions de l'article L. 152 du LPF. Elle rappelle néanmoins que seules les informations fiscales nécessaires à l'exécution des finalités décrites à l'article L. 152 du LPF pourront être traitées.L'article 3 du présent projet d'arrêté énumère les informations contenues dans le  fichier d'appels  transmis par la Caisse nationale du RSI au CNTDF, lorsqu'elle demande à avoir communication d'informations fiscales issues de la déclaration de revenus concernant certains de ses assurés. L'article 4 du projet d'arrêté énumère les informations restituées par le traitement TDF.La commission relève que la constitution d'un  fichier d'appels  s'effectue sous le contrôle de l'organisme demandeur. Tout  fichier d'appels  est ainsi accompagné des noms et coordonnés du correspondant CNTDF de l'organisme pour le compte duquel il est présenté.Conformément aux dispositions de l'article R. 152-1 susvisé, le NIR peut être communiqué par la CNBF et la RSI quand elles en ont connaissance. La commission rappelle que les NIR transmis par ces organismes sont exclusivement conservés au CNTDF dans des fichiers informatisés dédiés, dénommés  tables de correspondance NIRIITIP-SPI , permettant d'établir un lien entre le NIR complété des quatre premiers
caractères du nom de famille, d'une part, et l'identifiant technique du système d'information de la DGFiP (n° ITIP) et l'identifiant fiscal national individuel utilisé par les administrations fiscales dans leurs traitements internes et dans leurs relations avec les contribuables (n° SPI), d'autre part.La commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément à l'article 8-3° de la loi du 6 janvier 1978 modifiée.Les informations contenues dans les  fichiers d'appels  ou  de restitutions  sont conservés au CNTDF deux ans au maximum à compter de la réception des fichiers.La commission prend acte des précisions du ministère selon lesquelles cette durée correspond à l'année en cours ainsi qu'à l'année précédente et qu'il s'agit du temps nécessaire à la réalisation du traitement et aux réponses adressées aux requêtes des organismes. Elle prend acte que, à sa demande, le point de départ de cette durée de conservation, c'est-à-dire la réception de ces fichiers, figurera expressément dans le projet d'arrêté.Les informations présentes dans les  fichiers de restitutions  sont conservées trois ans à compter de la date d'acquittement des contributions ou cotisations sociales, par la Caisse nationale du RSI, conformément à l' article L. 243-6 du CSS.Les destinataires des  fichiers de restitutions  sont les agents habilités de la Caisse nationale du RSI.S'agissant des modalités
d'information des personnes la Commission observe qu'une mention particulière figure dans la notice de déclaration de revenus, sous l'intitulé  Données fiscales : accès et transmission , visant à informer l'ensemble des usagers de l'existence de la procédure de transfert de données fiscales. Elle relève par ailleurs qu'une information sera délivrée sur le site internet de la Caisse nationale du RSI.La commission considère que les conditions d'information prévues à l'article 32 de la loi du 6 janvier 1978 modifiée sont remplies.Les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée s'exercent auprès du centre des finances publiques du domicile fiscal du requérant, pour les informations issues de traitements relevant de la DGFiP, et auprès de la Caisse RSI de rattachement de l'assuré pour les informations transmises à cet organisme.La commission relève que le droit d'opposition, prévu par l'article 38 de la loi du 6 janvier 1978 modifiée, ne s'applique pas au traitement projeté.S'agissant des mesures de sécurité, le CNTDF est situé au sein de l'établissement de services informatiques (ESI) de Nevers. lequel répond aux conditions de sécurité particulières exigées par le décret n° 2000-8 du 4 janvier 2000 susvisé.Les transmissions des données sont effectuées sous forme chiffrée dans le cadre du réseau privé et sécurisé de la DGFIP ou exceptionnellement par CD-Rom.Une copie de la  table de correspondance NIR/ITIP  est constituée
dans l'ESI de Clermont-Ferrand puis transmise sous forme chiffrée au CNTDF par le réseau sécurisé. Cette table est conservée dans des fichiers dédiés sur des supports informatiques distincts permettant leur destruction physique. En cas de nécessité, un dispositif informatique permet de déclencher à distance l'effacement de la table de correspondance.Une politique de gestion des habilitations est mise en œuvre. Le contrôle d'accès logique s'effectue par mot de passe. La commission prend acte que le ministère s'engage à respecter ses recommandations concernant la gestion des mots de passe.Une traçabilité des actions des utilisateurs, individuellement habilités, est également assurée (identifiant, horodatage de connexion/déconnexion, commandes lancées). Il en va de même pour les accès à la  table de correspondance NIR/ITIP  qui font également l'objet d'une journalisation. L'ensemble des données de journalisation est conservé treize mois.La commission considère que les mesures de sécurité mises en place sont conformes à l'exigence de sécurité prévue à l'article 34 de la loi du 8 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
La Commission nationale de l'informatique et des libertés,Saisie par le ministre des finances et des comptes publics d'une demande d'avis concernant un projet d'arrêté relatif à la mise en service à la direction générale des finances publiques, à la Caisse nationale de retraites des agents des collectivités locales, au fonds spécial des pensions des ouvriers des établissements industriels de l'Etat, à la Caisse autonome nationale de la sécurité sociale dans les mines, à l'institution de retraite complémentaire des agents non titulaires de l'Etat et des collectivités publiques et à la retraite additionnelle de la fonction publique d'une procédure automatisée de transfert des données fiscales ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code général des impôts ;Vu le code de la sécurité sociale ;Vu le livre des procédures fiscales, notamment ses articles L. 152, L. 288, R. 152-1, R. 287 et R. 288-1 et suivants ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;Vu la loi n° 2003-775 du 21 août 2003 portant réforme des retraites ;Vu la loi n° 2012-1404 du 17 décembre 2012 de financement de la
sécurité sociale pour 2013 ;Vu le décret n° 46-2769 du 27 novembre 1946 portant organisation de la sécurité sociale dans les mines ;Vu le décret n° 70-1277 du 23 décembre 1970 portant création d'un régime de retraites complémentaire des assurances sociales en faveur des agents non titulaires de l'Etat et des collectivités publiques ;Vu le décret n° 99-1047 du 14 décembre 1999 pris pour l'application de l'article 107 de la loi de finances pour 1999 (n° 98-1266 du 30 décembre 1998) relatif à l'utilisation du numéro d'inscription au répertoire national d'identification des personnes physiques par la direction générale des impôts, la direction générale de la comptabilité publique et la direction générale des douanes et droits indirects ;Vu le décret n° 2000-8 du 4 janvier 2000 pris pour l'application de l' article L. 288 du livre des procédures fiscales ;Vu le décret n° 2002-771 du 3 mai 2002 portant création d'une procédure de transfert des données fiscales ;Vu le décret n° 2003-1306 du 26 décembre 2003 relatif au régime de retraite des fonctionnaires affiliés à la Caisse nationale de retraites des agents des collectivités locales ;Vu le décret n° 2004-1056 du 7 octobre 2004 relatif au régime des pensions des ouvriers des établissements industriels de l'Etat ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2007-173 du 7 février 2007 relatif
à la Caisse nationale de retraites des agents des collectivités locales ;Vu l'arrêté du 30 décembre 1970 modifié relatif aux modalités de fonctionnement du régime de retraites complémentaire des assurances sociales institué par le décret du 23 décembre 1970 ;Vu l'arrêté du 29 décembre 2003 relatif à la mise en service à la direction générale des impôts, à la Caisse nationale de retraite des agents des collectivités locales, au fonds spécial des pensions des ouvriers des établissements industriels de l'Etat, à Electricité de France-Industries électriques et gazières Pensions et à la direction générale de la comptabilité publique d'une procédure automatisée de transfert des données fiscales ;Vu l'arrêté du 31 décembre 2003 relatif à la mise en service à la direction générale des impôts et à la Caisse autonome nationale de la sécurité sociale dans les mines d'une procédure automatisée de transfert des données fiscales ;Vu l'arrêté du 26 novembre 2004 portant application du décret n° 2004-569 du 18 juin 2004 relatif à la retraite additionnelle de la fonction publique ;Vu l'arrêté du 28 mars 2006 relatif à la mise en service à la direction générale des impôts et à l'institution de retraite complémentaire des agents non titulaires de l'Etat et des collectivités publiques d'une procédure automatisée de transfert des données fiscales ;Vu la délibération n° 01-055 du 25 octobre 2001 relative à la création d'une procédure de transfert de données fiscales pour le compte de l'Etat et
des organismes de protection sociale visés à l' article L. 152 du livre des procédures fiscales ;Vu le dossier et ses compléments ;Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Emet l'avis suivant :La Commission nationale de l'informatique et des libertés a été saisie pour avis par le ministre des finances et des comptes publics d'un projet d'arrêté relatif à la mise en service à la direction générale des finances publiques (DGFiP) d'une procédure automatisée de transfert de données fiscales avec la Caisse nationale de retraites des agents des collectivités locales (CNRACL), le fonds spécial des pensions des ouvriers des établissements industriels de l'Etat (FSPOEIE), la Caisse autonome nationale de sécurité sociale dans les mines (CANSSM), l'institution de retraite complémentaire des agents non titulaires de l'Etat et des collectivités publiques (IRCANTEC) et la retraite additionnelle de la fonction publique (RAFP).La procédure de transfert de données fiscales (dite  TDF ) a été créée par le décret n° 2002-771 du 3 mai 2002 susvisé, pris après avis de la commission, afin de permettre aux agents des administrations fiscales de communiquer aux organismes et services chargés de la gestion d'un régime obligatoire de sécurité sociale ou d'un régime de retraite complémentaire obligatoire, sur support informatique, les informations fiscales nécessaires à l'exécution des finalités décrites à l' article L. 152 du livre des procédures fiscales en vigueur.Ce même article précise également que le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) peut être utilisé pour les demandes, échanges et traitements nécessaires à