AgentPublic/cnil huggingface dataset:
S'agissant des données d'état civil relatives aux personnes physiques, la commission relève que seuls les dates et lieux de naissance sont mentionnés, quel que soit le motif pour lequel la SVE est effectuée. Il en va de même des données relatives au statut de l'entreprise ou de l'association, qui ne retiennent que les dates de création de l'entité sans évoquer, par exemple, les éventuelles radiations, interdictions de gérer ou suspensions d'agrément. Dans la mesure où le traitement de données relatives à d'autres événements de la vie civile, professionnelle ou associative pourrait être pertinent dans le cadre de certaines saisines, le décret serait utilement modifié afin de prévoir également la collecte des dates et lieux de l'ensemble des événements liés à l'état civil des personnes physiques ainsi que les catégories de données liées aux éventuelles évolutions statutaires des entreprises ou des associations.Le II de l'article 2 du projet de décret mentionne la possibilité de traiter des données  sensibles  au sens de l'article 8 de la loi  Informatique et Libertés   soit parce que ces données sont directement en lien avec la saisine initiée, soit parce que l'auteur de la saisine a souhaité joindre à son dossier des précisions relevant de cette catégorie de données .A cet égard, la commission estime que le renseignement d'un formulaire, à la seule initiative de l'usager, et la validation de sa saisine suffisent, sous réserve que celui-ci soit clairement informé des
conditions de traitement de ses données à caractère personnel, à caractériser le consentement exprès et non ambigu de l'usager au traitement de données le concernant relevant de l'article 8 de la loi précitée.En outre, dans la mesure où les usagers pourront communiquer à leur initiative des données qu'ils considèrent en rapport avec leur saisine, la commission estime que le projet de décret devrait également être complété pour mentionner la collecte et le traitement de données de l'article 9 de la loi du 6 janvier 1978 modifiée.La commission prend acte que les données mentionnées à l'article 2 ne sont pas toutes obligatoires. Elle rappelle à cet égard que, conformément aux dispositions des 3° et 4° de l'article 32-I de la loi du 6 janvier 1978 modifiée, les intemautes devront être informés du caractère obligatoire ou facultatif des renseignements à fournir pour une SVE et des conséquences éventuelles d'un défaut de réponse.En tout état de cause, la commission estime que le projet de décret devrait être modifié afin de rappeler expressément que les données traitées pour l'accomplissement des différentes saisines par voie électronique sont celles strictement nécessaires à chaque démarche initiée par l'internaute.Dans la mesure où l'usager transmettrait des données excessives au regard des besoins de sa démarche, la commission estime que le responsable de traitement devrait, dans la mesure du possible et sans préjudice de dispositions contraires en application du code du
patrimoine, procéder à leur destruction, définitive et sécurisée, ou à leur archivage, et en informer l'usager, par exemple, dans le cadre de l'accusé de réception. Ces mesures sont tout particulièrement nécessaires en cas de collecte de données relevant des articles 8 et 9 de la loi  Informatique et Libertés , qui ne peuvent être traitées que  dans la mesure où la finalité du traitement  ou par  les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales .En ce qui concerne les  informations relatives aux connexions et accès au téléservice , la commission rappelle que celles-ci doivent être limitées à ce qui est strictement nécessaire à la SVE et ne doivent pas comprendre des cookies à finalité autre que technique ou d'autres traceurs de navigation.Sous réserve de ces observations, la commission considère que les données sont adéquates, pertinentes et non excessives au regard des finalités assignées au traitement envisagé, conformément à l'article 6 (3°) de la loi  Informatique et Libertés .Sur la durée de conservation des donnéesL'article 4 du projet de décret prévoit que la durée de conservation maximale des données  ne peut excéder de deux années le délai d'instruction des saisines . Il prévoit également la possibilité de procéder à un archivage intermédiaire pour une durée de dix années et, au-delà de la durée d'utilité administrative, renvoie au respect du code du patrimoine.Cette
durée est plus longue que celle habituellement retenue en matière de téléservices publics, dans la mesure où ceux-ci ont généralement pour objet de transmettre des données par voie électronique vers les  applications métiers  utilisées pour instruire les saisines. A titre d'illustration, l'arrêté du 4 juillet 2013 précité prévoit une durée de conservation de trois mois et l'arrêté du 23 décembre 2015 portant création du téléservice SVE du ministère de l'intérieur prévoit une durée maximale de quarante-huit heures.Néanmoins, dans la mesure où ce décret a vocation à encadrer diverses architectures mises en œuvre dans des contextes variés, la commission considère que, pour certains de ces dispositifs, une telle durée de conservation de deux années pourrait être proportionnée.En revanche, elle rappelle qu'il s'agit d'une durée de conservation maximale et qu'il appartient donc à chaque responsable de traitement de déterminer une durée conforme aux dispositions de l'article 6 (5°) de la loi du 6 janvier 1978 modifiée, compte tenu des finalités propres poursuivies par chaque dispositif SVE.La commission invite en conséquence le SGMAP à appeler l'attention des responsables de traitement sur ce point et demande que l'acte réglementaire portant création du téléservice SVE précise dès lors la durée de conservation retenue.De même, la durée de dix années prévue en matière d'archivage intermédiaire devrait être une durée de conservation maximale et pourrait n'être justifiée que pour
certains téléservices SVE.En tout état de cause, la durée d'archivage ne devrait pas excéder la durée d'utilité administrative (DUA) applicable à la démarche initiée et définie en application du code du patrimoine.Sur les destinataires des donnéesL'article 3 du projet de décret prévoit que l'accès aux données à caractère personnel, transmises lors d'une saisine par voie électronique, est limité aux agents habilités à instruire les saisines et les procédures administratives reçues, en raison de leurs fonctions ou pour les besoins du service et dans la limite de leurs besoins d'en connaître.La liste de ces destinataires n'appelle pas d'observation particulière de la commission.Par ailleurs, elle rappelle qu'une administration initialement saisie par l'usager doit transmettre à l'autorité compétente les données composant la saisine et en avise l'intéressé, conformément aux dispositions prévues par l'article L. 114-2 du CRPA. Au vu de ces dispositions légales, il n'apparaît néanmoins pas nécessaire de les mentionner dans le projet de décret.Sur les droits des personnes concernéesS'agissant du droit d'information, l'article 6 du projet de décret mentionne le fait que chaque responsable de traitement porte à la connaissance du public un acte réglementaire portant création du téléservice SVE qu'il met en œuvre. Des conditions générales d'utilisation (CGU) élaborées selon un modèle type établi par le SGMAP seront également portées à connaissance de tout internaute.La commission
rappelle que, dès la page d'accueil d'un téléservice public, tout internaute doit pouvoir être informé du niveau de confiance défini par le responsable de traitement et matérialisé par l'attestation d'homologation du téléservice publiée en application de l' ordonnance du 8 décembre 2005 susvisée.Outre le caractère facultatif de ces SVE, elle rappelle également que chaque responsable de traitement doit délivrer les éléments d'information prévus à l'article 32 de la loi du 6 janvier 1978 modifiée, ainsi que toutes les informations relatives à l'exercice des droits des personnes prévus spécifiquement par les dispositions légales précitées.L'article 6-I du projet de décret prévoit que les droits d'accès et de rectification, prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée, s'exerceront de manière directe auprès du service désigné à cette fin par le responsable de traitement.A cet égard, le dernier alinéa de l'article 3 du projet de décret mentionne que l'usager peut accéder directement à sa saisine lorsque le téléservice le prévoit. La commission recommande que de telles fonctionnalités, qui seraient plus utilement mentionnées à l'article 6 du projet de décret, soient effectivement mises en œuvre par les responsables de traitement.De même, elle considère que la mise en œuvre de tout téléservice doit avoir pour corollaire d'organiser une possibilité pour les usagers d'exercer, en tout ou partie par voie dématérialisée, leurs droits  Informatique et Libertés  et
en particulier leur droit d'accès à l'intégralité des données les concernant traitées par le service instructeur de la SVE.L'article 6-II prévoit que le droit d'opposition pour motifs légitimes ne s'applique pas au traitement projeté, en application de l'article 38 de la loi du 6 janvier 1978 modifiée.A cet égard, la commission considère que ce droit doit pouvoir, à titre général, être exercé s'agissant d'une saisine à l'initiative de l'usager, sauf à ce que des dispositions légales expressément contraires le prévoient. Elle prend acte de l'engagement du SGMAP à modifier le projet de décret sur ce point, afin de prévoir que ce droit pourra en principe être exercé et ne pourra être écarté que par une mention expresse de l'arrêté ministériel portant création de téléservices SVE.Sur l'architecture et les mesures de sécuritéLe projet de décret liste, en son article 2 (d), les données traitées à l'occasion des mesures de traçabilité des accès à mettre en œuvre, les traces étant conservées pendant un délai qui ne peut excéder trois années. La commission prend acte que les actions ainsi tracées sont celles de tout personnel et agent des autorités administratives mettant en œuvre une SVE. Sur ce point, elle rappelle qu'à titre général, la durée de conservation des traces doit être proportionnée à la sensibilité du traitement mis en œuvre.La commission rappelle également que, s'agissant de la mise en œuvre d'un téléservice au sens de l' ordonnance n° 2005-1516 susvisée, les
téléservices SVE doivent notamment être conformes aux référentiels généraux de sécurité (RGS) et d'interopérabilité (RGI). Ils doivent en outre, dans certaines conditions, respecter le Référentiel général d'accessibilité à l'administration (RGAA).En tout état de cause, la commission estime que ces mesures doivent être conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée et rappelle que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. Les responsables de traitement devront ainsi être tout particulièrement attentifs aux mesures permettant de garantir, d'une part, l'intégrité des données transmises entre administré et administration et, d'autre part, leur confidentialité, notamment au regard des attributions légales des agents y accédant et du niveau d'authentification requis pour apporter une réponse à l'administré. Ces mesures devraient être renforcées dans l'hypothèse d'interconnexions ainsi qu'en cas de traitement de données sensibles au sens des articles 8 et 9 de la loi du 6 janvier 1978 modifiée.Sur le formalisme préalable à effectuer par les responsables de traitement de SVEL'article 5 du projet de décret indique que l'autorisation des téléservices SVE est subordonnée à l'envoi à la commission d'un engagement de conformité faisant référence au présent décret. Il est prévu que cet envoi soit accompagné d'une description synthétique des fonctionnalités assurées
par le téléservice, des éventuelles transmissions et interconnexions mises en œuvre. La commission demande que ces descriptions soient complétées des précisions évoquées dans la présente délibération.De surcroît, le responsable de traitement crée le téléservice SVE par acte réglementaire publié et visant ledit engagement de conformité.La commission rappelle qu'un tel engagement de conformité ne couvre pas la mise en œuvre des traitements de données à caractère personnel mis en œuvre par les services instructeurs.
La Commission nationale de l'informatique et des libertés,Saisie par le ministre des finances et des comptes publics d'une demande d'avis concernant un projet d'arrêté relatif à la mise en service à la direction générale des finances publiques et à la Caisse nationale des barreaux français d'une procédure automatisée de transfert des données fiscales ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code général des impôts ;Vu le livre des procédures fiscales, notamment ses articles L. 152, L. 288, R. 152-1, R. 287 et R. 288-1 et suivants ;Vu le code de la sécurité sociale ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 99-1047 du 14 décembre 1999 pris pour l'application de l'article 107 de la loi de finances pour 1999 (n° 98-1266 du 30 décembre 1998) relatif à l'utilisation du numéro d'inscription au répertoire national d'identification des personnes physiques par la direction générale des impôts, la direction générale de la comptabilité publique et la direction générale des douanes et droits indirects ;Vu le décret n° 2000-8 du 4 janvier 2000 modifié pris pour l'application
de l'article 288 du livre des procédures fiscales ;Vu le décret n° 2002-771 du 3 mai 2002 modifié portant création d'une procédure de transfert de données fiscales ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu la délibération n° 01-055 du 25 octobre 2001 relative à la création d'une procédure de transfert de données fiscales pour le compte de l'Etat et des organismes de protection sociale visés à l' article L. 152 du livre des procédures fiscales ;Vu le dossier et ses compléments ;Sur la proposition de M. Jean Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,Emet l'avis suivant :La Commission nationale de l'informatique et des libertés a été saisie pour avis par le ministre des finances et des comptes publics d'un projet d'arrêté relatif à la mise en service, à la direction générale des finances publiques (DGFiP), d'une procédure automatisée de transfert des données fiscales avec la Caisse nationale des barreaux français (CNBF).La procédure de transfert de données fiscales (dite  TDF ) a été créée par le décret n° 2002-771 du 3 mai 2002 susvisé, pris après l'avis de la commission en date du 25 octobre 2001, afin de permettre aux agents des administrations fiscales de communiquer aux organismes et services chargés de la gestion d'un régime obligatoire de sécurité sociale ou d'un
régime de retraite complémentaire obligatoire, sur support informatique, les informations fiscales nécessaires à l'exécution des finalités mentionnées à l' article L. 152 du livre des procédures fiscales (LPF). Ces finalités concernent, à titre général, le contrôle des déclarations des allocataires aux fins d'ouverture, de maintien et de calcul des droits.Ce même article précise que le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) peut être utilisé pour les demandes, échanges et traitements nécessaires à la communication des informations qui y sont mentionnées, lorsqu'elles concernent des personnes physiques.La procédure TDF est mise en œuvre dans le cadre d'un centre de services informatiques unique, hébergé par la DGFiP et dénommé Centre national de transfert de données fiscales (CNTDF). Celui-ci reçoit les demandes des organismes sociaux qui fournissent un  fichier d'appels  concernant certains de leurs assurés, les transmet à la DGFiP et adresse les réponses reçues de cette dernière ( fichiers de restitutions ). Cette procédure permet ainsi de communiquer uniquement les données des personnes concernées par la demande adressée par ces organismes et à transmettre les seules informations qui leur sont nécessaires.L' article 2 du décret n° 99-1047 du 14 décembre 1999 susvisé prévoit expressément que des arrêtés ministériels pris après avis de la Commission nationale de l'informatique et des libertés fixent  la liste des
informations pouvant être obtenues  par les organismes de sécurité sociale et  les règles auxquelles doivent satisfaire les traitements opérés pour le recueil et l'exploitation de ces informations .C'est dès lors sur le fondement de ce décret qu'un projet d'arrêté est soumis pour avis à la commission, lequel vise à faire bénéficier un nouvel organisme, la CNBF de la procédure TDF.En premier lieu, la commission relève que la CNBF, créée en 1948, est un organisme de sécurité sociale de droit privé chargé de la gestion des quatre régimes obligatoires régis par le code de la sécurité sociale (retraite de base, retraite complémentaire, invalidité-décès, aide sociale) au profit des avocats exerçant en qualité de salarié ou de travailleur indépendant ainsi que de leurs conjoints associés ou collaborateurs.La CNBF doit assurer la gestion des prestations de retraite et des pensions d'invalidité de ses assurés, lesquelles sont gérées suivant le principe de répartition. Conformément aux dispositions des articles L. 723-5 et R. 723-19 du code de la sécurité sociale ( CSS), la CNBF perçoit une cotisation assise sur les revenus déclarés par les intéressés lors de l'exercice fiscal précédent.L'article 2 du présent projet d'arrêté énonce les finalités pour lesquelles les informations transmises à la CNBF peuvent être utilisées.Plus précisément, il s'agit de déterminer les  taux de prélèvements à appliquer sur les pensions de retraite du régime de retraite et sur les pensions d'invalidité au
titre de la contribution sociale généralisée, de la contribution au remboursement de la dette sociale et de la contribution additionnelle de solidarité sur l'autonomie .Au regard de l'ensemble de ces éléments, la commission considère que la mise en œuvre de la procédure de transfert de données fiscales avec ce nouvel organisme apparaît conforme aux dispositions de l'article L. 152 du LPF. Elle rappelle néanmoins que seules les informations fiscales nécessaires à l'exécution des finalités décrites à l'article L. 152 du LPF pourront être traitées.L'article 3 du présent projet d'arrêté énumère les informations contenues dans le  fichier d'appels  transmis par la CNBF au CNTDF, lorsqu'elle demande à avoir communication d'informations fiscales issues de la déclaration de revenus concernant certains de ses assurés. L'article 4 du projet d'arrêté énumère les informations restituées par le traitement TDF.La commission relève que la constitution d'un  fichier d'appels  s'effectue sous le contrôle de l'organisme demandeur. Tout  fichier d'appels  est ainsi accompagné des noms et coordonnées du correspondant CNTDF de l'organisme pour le compte duquel il est présenté.Conformément aux dispositions de l'article R. 152-1 susvisé, le NIR peut être communiqué par la CNBF et la RSI quand elles en ont connaissance. La commission rappelle que les NIR transmis par ces organismes sont exclusivement conservés au CNTDF dans des fichiers informatisés dédiés, dénommés  tables de correspondance
NIR/ITIP-SPI , permettant d'établir un lien entre le NIR complété des quatre premiers caractères du nom de famille, d'une part, et l'identifiant technique du système d'information de la DGFiP (n° ITIP) et l'identifiant fiscal national individuel utilisé par les administrations fiscales dans leurs traitements internes et dans leurs relations avec les contribuables (n° SPI), d'autre part.La commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément à l'article 6 (3°) de la loi du 6 janvier 1978 modifiée.Les informations contenues dans les  fichiers d'appels  ou  de restitutions  sont conservés au CNTDF deux ans au maximum à compter de la réception des fichiers.La commission prend acte des précisions du ministère selon lesquelles cette durée correspond à l'année en cours ainsi qu'à l'année précédente et qu'il s'agit du temps nécessaire à la réalisation du traitement et aux réponses adressées aux requêtes des organismes. Elle prend acte que, à sa demande, le point de départ de cette durée de conservation, c'est-à-dire la réception de ces fichiers, figurera expressément dans le projet d'arrêté.Les informations présentes dans les  fichiers de restitutions  sont conservées trois ans à compter de la date d'acquittement ou d'exigibilité des contributions ou cotisations sociales, par la CNBF, conformément aux articles L. 243-6 et L. 244 3 du CSS.Les destinataires des  fichiers
de restitutions  sont les agents habilités de la CNBF.S'agissant des modalités d'information des personnes la commission observe qu'une mention particulière figure dans la notice de déclaration de revenus, sous l'intitulé  Données fiscales : accès et transmission , visant à informer l'ensemble des usagers de l'existence de la procédure de transfert de données fiscales. Elle relève par ailleurs que la CNBF communique à ses allocataires l'information de son adhésion à la procédure TDF par le biais d'une publication sur son site internet et sur le périodique adressé à ses affiliés, d'un affichage à son siège social ainsi que d'une mention sur les attestations fiscales des sommes versées.La commission considère que les conditions d'information prévues à l'article 32 de la loi du 6 janvier 1978 modifiée sont remplies.Les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée s'exercent auprès du centre des finances publiques du domicile fiscal du requérant, pour les informations issues de traitements relevant de la DGFiP, et auprès de la CNBF pour les informations transmises à cet organisme.La commission relève que le droit d'opposition, prévu par l'article 38 de la loi du 6 janvier 1978 modifiée, ne s'applique pas au traitement projeté.S'agissant des mesures de sécurité, le CNTDF est situé au sein de l'établissement de services informatiques (ESI) de Nevers, lequel répond aux conditions de sécurité particulières exigées par le décret
n° 2000-8 du 4 janvier 2000 susvisé.Les transmissions des données sont effectuées sous forme chiffrée dans le cadre du réseau privé et sécurisé de la DGFiP ou exceptionnellement par CD-ROM.Une copie de la  table de correspondance NIR/ITIP  est constituée dans I'ESI de Clermont-Ferrand puis transmise sous forme chiffrée au CNTDF par le réseau sécurisé. Cette table est conservée dans des fichiers dédiés sur des supports informatiques distincts permettant leur destruction physique. En cas de nécessité, un dispositif informatique permet de déclencher à distance l'effacement de la table de correspondance.Une politique de gestion des habilitations est mise en œuvre. Le contrôle d'accès logique s'effectue par mot de passe. La commission prend acte que le ministère s'engage à respecter ses recommandations concernant la gestion des mots de passe.Une traçabilité des actions des utilisateurs, individuellement habilités, est également assurée (identifiant, horodatage de connexion/déconnexion, commandes lancées). Il en va de même pour les accès à la  table de correspondance NIR/ITIP  qui font également l'objet d'une journalisation. L'ensemble des données de journalisation est conservé treize mois.La commission considère que les mesures de sécurité mises en place sont conformes à l'exigence de sécurité prévue à l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation
régulière des risques.