AgentPublic/cnil huggingface dataset:
La Commission nationale de, l'informatique et des libertés,   Saisie pour avis par le ministère des affaires sociales, du travail et de la solidarité, d'un projet de décret pris en application de l'article L. 133-5, du code de la sécurité sociale ;   Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu le code de la sécurité sociale et le code du travail ;   Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;   Vu le décret n° 78-774 du 17 juillet 1978 modifié pris pour l'application de la loi du 6 janvier 1978 susvisée ;   Vu les demandes d'avis présentées par le groupement d'intérêt public "modernisation des déclarations sociales" pour la mise en oeuvre des téléservices net-DUCS-I (n° 829385), net-DADS-U (n° 829386) et net-DCR (n° 829387) ;   Après avoir entendu Monsieur Hubert BOUCHET, commissaire en son rapport, et Madame Catherine POZZO DI BORGO, commissaire adjoint du Gouvernement en ses observations ;
FORMULE LES OBSERVATIONS SUIVANTES :   La loi de financement de la sécurité sociale pour 2002 a introduit dans le code de la sécurité sociale un article L. 133-5 afin de permettre aux employeurs et aux professions indépendantes de réaliser leurs déclarations sociales obligatoires par voie électronique et de bénéficier d'un service d'aide à l'élaboration des déclarations sociales et des bulletins de paie baptisé "DUCS-I" (déclaration unifiée de cotisations sociales individualisée).   Le groupement d'intérêt public "modernisation des déclarations sociales" (GIP-MDS) a été choisi par les organismes gestionnaires de régimes de protection sociale pour gérer ce service dans le cadre du portail de téléservices www.net-entreprises.fr déjà mis en oeuvre par ce groupement.   L'article L. 133-5 du code de la sécurité sociale prévoit que, pour assurer ce service et sa sécurisation, les organismes sociaux ou un organisme désigné par eux - en l'occurrence, le GIP-MDS - sont autorisés à collecter et conserver le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) des personnes concernées, dans des conditions fixées par décret en Conseil d'Etat pris après avis de la CNIL.   La Commission est donc amenée à se prononcer sur les garanties apportées par le projet de décret qui lui est soumis par le ministère des affaires sociales, du travail et de la solidarité, sur la base des éléments transmis par le ministère et par le GIP-MDS dans le cadre de trois
demandes d'avis concernant les téléservices net-DUCS-I, net-DADS-U et net-DCR.
Sur les finalités d'utilisation du NIR   Les articles 1 et 2 du projet de décret prévoient d'introduire une modification des articles R. 115-1 et R. 115-2 du code de la sécurité sociale afin de définir limitativement les organismes susceptibles d'utiliser le NIR dans le cadre des téléprocédures visées à l'article L. 133-5 du même code.   Seraient ainsi autorisés à utiliser le NIR dans le cadre du dispositif net-entreprises les organismes chargés de la gestion d'un régime obligatoire de base de la sécurité sociale, (déjà visés au 1° de l'article R. 115-1), les organismes visés par les articles L. 223-16 (caisses de congés payés) et L. 351-2 (UNEDIC et ASSEDIC) du code du travail, ainsi que le GIP-NMS en tant qu'organisme désigné par les organismes de protection sociale précités pour gérer ce dispositif.   La Commission observe que les organismes visés par les articles 1 et 2 du projet de décret sont expressément habilités par l'article L. 133-5 du code de la sécurité sociale à recevoir les déclarations obligatoires des employeurs ou des cotisants, qui intègrent le NIR, par le téléservice net-entreprises.   La Commission prend acte de ce que le NIR ne serait ni utilisé dans le cadre de l'inscription aux différents téléservices du portail net-entreprises, ni dans le cadre de la procédure actuelle d'authentification des utilisateurs de ces téléservices, mais uniquement pour l'établissement des déclarations sociales nécessitant le recueil du NIR.   La Commission a toutefois
été informée de la réalisation d'une étude visant à la mise en oeuvre, dans le cadre du programme net-entreprises, d'un procédé d'authentification des déclarants reposant sur l'émission de certificats électroniques personnels normalisés, projet dans lequel L'utilisation du NIR personnel de l'employeur pourrait ne pas être exclue.   La Commission estime qu'une utilisation du NIR à de telles fins ne peut qu'appeler de sa part une réserve de principe dans la mesure où la concrétisation d'un tel projet constituerait un précédent en faveur de l'utilisation généralisée de cet identifiant particulier dans le cadre de dispositifs de certificats électroniques délivrés aux citoyens souhaitant acheter ou vendre sur Internet, voter à distance, consulter leur e-dossier, etc., et aurait pour conséquence la constitution, par les sociétés de certification prestataires, de bases de données contenant les références de plusieurs millions d'employeurs ou de leurs délégataires identifiés par leur NIR.
Sur les conditions de traitement du NIR   L'article 3 du projet de décret précise que la collecte des informations traitées dans le cadre de la DUCS-I, dont le NIR, seraient recueillies par le GIP-NIDS soit directement auprès des déclarants, soit auprès des organismes sociaux lorsqu'une procédure de pré-établissement des déclarations par les organismes sociaux concernés est prévue.   L'article 4 prévoit que,la transmission électronique de ces informations ferait l'objet d'un chiffrement.   L'article 5 prévoit que la collecte et la conservation des données devraient être réalisées dans des conditions qui permettent d'en assurer leur sécurité. Afin de s'assurer de la mise en oeuvre de moyens adéquats pour atteindre cet objectif, la Commission serait rendue destinataire chaque année d'un rapport d'évaluation de la sécurité du dispositif, rapport dont la Direction centrale de la sécurité des systèmes d'information serait également rendue destinataire.   Enfin, l'article 6 prévoit que les informations recueillies dans le cadre des téléservices visés à l'article L. 133-5 du code de la sécurité sociale seront conservées, pour chaque déclaration concernée, jusqu'à extinction des délais de recours contentieux ou pendant trente jours s'agissant des déclarations entrant dans le champ de la DADS-U, date à laquelle elles feront l'objet d'un archivage définitif dans les conditions prévues par la loi du 3 janvier 1979 sur les archives.   La Commission prend acte de ces dispositions.
Elle considère cependant que l'intention du législateur n'a pas été de limiter les garanties apportées autour du traitement du NIR au seul cadre du téléservice DUCS-I et qu'il convient, en conséquence, d'étendre ces garanties à l'ensemble des téléservices mis en oeuvre sur le fondement de l'article L. 133-5 du code de la sécurité sociale nécessitant une utilisation du NIR des personnes concernées.   EMET UN AVIS FAVORABLE au projet de décret sous réserve que :   - l'article 3 soit ainsi rédigé :   "Les informations nécessaires à la mise en oeuvre des services prévus par l'article L. 133-5 du code de la sécurité sociale sont collectées par le groupement d'intérêt public "Modernisation des déclarations sociales" directement auprès des déclarant ou de leurs mandataires ou, le cas échéant, recueillies auprès des organismes constituant le groupement" ;   l'article 5 soit ainsi rédigé :   "Le groupement d'intérêt public "Modernisation des déclarations sociales" collecte conserve les données qu'il recueille, dans le cadre de ces services, dans des conditions qui permettent d'en assurer leur sécurité.   Il rend compte chaque année des conditions dans lesquelles la sécurisation de la collecte et la conservation des données est assurée, au moyen d'un rapport d'évaluation remis à la Commission nationale de l'informatique et des libertés et à la Direction centrale de la sécurité des systèmes d'information. Le premier rapport sera établi un an après la mise en oeuvre des services."   Le
Président, Michel GENTOT.
La Commission nationale de l'informatique et des libertés,   Saisie par le groupement d'intérêt public "modernisation des déclarations sociales" de trois demandes d'avis concernant la mise en oeuvre des téléservices net-DUCS-I (n° 829385), net-DADS-U (n° 829386) et net-DCR (n° 829387) prévus à l'article L. 133-5 du code de la sécurité sociale ;   Vu la directive n° 95-46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection les personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu le code de la sécurité sociale et le code du travail ;   Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;   Vu le décret n° 78-774 du 17 juillet 1978 modifié pris pour l'application de la loi du 6 janvier 1978 susvisée ;   Vu le projet de décret d'application de l'article L. 133-5 du code de la sécurité sociale soumis concomitamment par le ministère des affaires sociales, du travail et de la solidarité (saisine n° 02013599) ;   Vu l'article 21 de la convention constitutive du groupement d'intérêt public "modernisation des déclarations sociales" du 21 février 2000, approuvée par arrêté interministériel du 17 mars 2000, autorisant son directeur à représenter le groupement ;
Après avoir entendu Monsieur Hubert BOUCHET, commissaire en son rapport, et Madame Catherine POZZO DI BORGO, commissaire adjoint du Gouvernement en ses observations ;
FORMULE LES OBSERVATIONS SUIVANTES :   La loi de financement de la sécurité sociale pour 2002 a introduit dans le code de la sécurité sociale un article L. 133-5 afin de permettre aux employeurs et aux professions indépendantes de réaliser leurs déclarations sociales obligatoires par voie électroniqu e et de bénéficier d'un service d'aide à l'élaboration des déclarations sociales et des bulletins de paie baptisé "DUCS-I" (déclaration unifiée de cotisations sociales individualisée).   Le groupement d'intérêt public "modernisation des déclarations sociales" (GIP-MDS) a été choisi par les organismes gestionnaires de régimes de protection sociale pour gérer ces téléservices dans le cadre du portail www.net-entreprises.fr déjà mis en oeuvre par ce groupement.   La Commission est amenée à se prononcer sur une demande d'avis présentée par le GIP-MDS concernant la mise en oeuvre du téléservice net-DUCS-I.
Sur la finalité du traitement et les destinataires des informations nominatives   Créé par l'article L. 133-5 du code de la sécurité sociale, le téléservice net-DUCS-I est destiné à simplifier les déclarations des entreprises en regroupant, en une déclaration unique, l'ensemble des obligations déclaratives des employeurs en matière de déclarations de cotisations sociales : établissement de la déclaration unifiée de cotisations sociales (DUCS), acquittement du montant des cotisations par téléréglement, élaboration de déclarations connexes (DADS, attestation employeur ...) et enfin aide à l'élaboration des bulletins de paie.   Les différentes phases de traitement des informations nominatives nécessaires à l'établissement de la DUCS-I seront les suivantes :   1)inscription de l'établissement à net-entreprises (en se connectant sur www.net-entreprises.fr) ;   2)inscription au service DUCS-1 (sélection des organismes de protection sociale destinataires des déclarations et des comptes bancaires à utiliser pour le téléréglement, vérification de l'appartenance de l'établissement au périmètre DUCS-I) ;   3) inscription des salariés de l'établissement au service DUCS-I par le déclarant ;   4) calcul mensuel du montant des cotisations dues sur le mois pour chacun des salariés ;   5) aide à l'édition chaque mois d'une fiche de calcul des cotisations sociales et d'un bulletin de paie par salarié ;   6) calcul et envoi en fin de trimestre de la déclaration des cotisations sociales
(déclaration de masse non nominative) de l'établissement pour chaque organisme de protection sociale destinataire (URSSAF, Assedic, CCP BTP, ARRCO, AGIRC, institutions de prévoyance) ;   7) envois du paiement des cotisations par téléréglement en fin de trimestre (un paiement par organisme de protection sociale) ;   8) et d'ici la fin de l'année 2003, envois en fin d'année de la déclaration annuelle à chaque organisme de protection sociale destinataire.
Sur la pertinence des données traitées   Le NIR sera utilisé dans le cadre de cette télédéclaration afin de contribuer à L'identification des salariés concernés.   La Commission observe que cette utilisation ne soulève pas de difficulté dans la mesure où, d'une part le décret n° 91-1404 du 27 décembre 1991 pris après avis de la CNIL prévoit que les employeurs publics ou privés sont autorisés à utiliser le NIR pour les opérations de déclarations sociales et, d'autre part, l'article L. 133-5 du code de la sécurité sociale et le projet de décret soumis concomitamment à la Commission par le ministère du travail ont précisément pour objet d'autoriser le traitement du NIR par le GIP-MDS dans le strict cadre de la réalisation des déclarations sociales par voie électronique.   Les catégories d'informations traitées seront celles-ci déjà recueillies dans le cadre des déclarations obligatoires existantes, auxquelles seront ajoutées des données permettant d'apporter une aide à l'élaboration des bulletins de paie des salariés concernés, et en particulier des informations relatives à la situation familiale des salariés.   La collecte de cette dernière donnée ne sera opérée qu'auprès des déclarants ayant préalablement indiqué relever d'un régime de prévoyance pour lequel cette donnée est nécessaire.   Dans ces conditions, la Commission n'a pas d'observation à formuler sur la pertinence des données traitées.
Sur les sécurités mises en oeuvre   Le téléservice net-DUCS-I devrait entraîner la constitution par le GIP-MDS d'une base de données nominatives sur les salariés des entreprises ayant souhaité adhérer au dispositif   Dès lors, la Commission considère que la sécurisation des échanges, des sessions de télédéclaration ou de consultation, et du stockage des données est un objectif qui revêt en l'espèce une importance particulière.   La Commission observe à cet égard que l'hébergement des différents sites Internet du dispositif net-entreprises est réparti entre la CNAVTS (pour l'inscription des déclarants), la société Matra global net services (pour la gestion du site portail www.net-entreprises.fr) et la société France Telecom-Equant (pour l'hébergement des sites déclaratifs).   La Commission prend acte des mesures de sécurité physiques et logiques adoptées pour garantir la confidentialité et l'intégrité des données traitées dans le cadre du service DUCS-I.   La Commission estime néanmoins que le dispositif de journalisation des connexions existant devrait être amélioré en prévoyant une exploitation régulière des données de connexion et un recueil de données sur la nature des opérations effectuées à chacun de façon à que connexion permettre une détection et une correction d'éventuelles intrusions dans le système d'information.   La Commission relève par ailleurs que le GIP-MDS met en oeuvre une procédure de jeton sécurisé après authentification des déclarants par login et mot
de passe afin de sécuriser les sessions d'accès au téléservice.
La Commission n'a pas, en l'état, d'observations à formuler sur le dispositif d'authentification par login et mot de passe aujourd'hui déployé par le GIP-MDS, sans préjudice des avis ou recommandations qu'elle sera amenée à émettre ultérieurement sur le recours à des dispositifs alternatifs.   A cet égard, la Commission observe qu'une étude est en cours de réalisation par le GIP-MDS visant à la mise en oeuvre, dans le cadre du programme net-entreprises, d'un procédé d'authentification des déclarants reposant sur l'émission de certificats électroniques personnels normalisés, projet dans lequel l'utilisation du NIR de l'employeur ne serait pas exclue.   La Commission estime qu'une utilisation du NIR à de telles fins ne peut qu'appeler de sa part une réserve de principe dans la mesure où la concrétisation d'un tel projet constituerait un précédent en faveur de l'utilisation généralisée de cet identifiant particulier dans le cadre de dispositifs de certificats électroniques délivrés aux citoyens souhaitant acheter ou vendre sur Internet, voter à distance, consulter leur e-dossier, etc., et aurait pour, conséquence la, constitution, par les sociétés de certification prestataires, de bases de données contenant les références de plusieurs millions d'employeurs ou de leurs délégataires identifiés par leur NIR.   Enfin, la Commission considère que la sécurité du traitement devrait être renforcée sur le plan juridique par l'intégration dans les contrats de prestation de service,
au-delà des clauses de confidentialité et de réversibilité déjà introduites, d'une clause de non-détournement de finalité.
Sur les durées de conservation des données   Le GIP-MDS assurera un service d'archivage des déclarations au bénéfice des déclarants et des organismes sociaux pendant une durée de trois années à compter de la date à laquelle les sommes dues au titre des cotisations concernées par net-DUCS-I deviennent exigibles.   La Commission considère que cette durée n'est pas excessive au regard des finalités poursuivies.   Sur l'information des personnes concernées   L'information des déclarants sera réalisée sur le site www.net-entreprises.fr et notamment sur les pages où la collecte des informations nominatives sera opérée.   Dans la mesure où cette information ne pourra être reçue que par les personnes chargées des déclarations des entreprises, alors même que les traitements concernent au premier chef les salariés de ces entreprises, la Commission considère qu'il convient de rappeler aux entreprises leur obligation d'informer leurs salariés de la transmission d'informations les concernant aux organismes sociaux par net-DUCS-I, conformément à l'article 27 de la loi du 6 janvier 1978.
EMET UN AVIS FAVORABLE à la demande d'avis présentée par le GIP-MDS sous réserve que :   - le dispositif de journalisation des connexions existant prévoie une exploitation régulière des données de connexion et, un recueil de données sur la nature des opérations effectuées à chaque connexion ;   - une clause de non-détournement de finalité soit intégrée dans le contrat liant le GIP-MDS à l'entreprise assurant l'hébergement du site net-DUCS-I ;   DEMANDE à être rendue destinataire d'un bilan de la mise en oeuvre du téléservice dans un délai d'un an.   Le Président, Michel GENTOT
La Commission nationale de l'informatique et des libertés,   Saisie par le groupement d'intérêt public "modernisation des déclarations sociales" de trois demandes d'avis concernant la mise en oeuvre des télé-services net-DUCS-I (n° 829385), net-DADS-U (n° 829386) et net-DCR (n° 829387) prévus à l'article L. 133-5 du code de la sécurité sociale ;   Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement dès données à caractère personnel et à la libre circulation de ces données ;   Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu le code de la sécurité sociale et le code du travail ;   Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;   Vu le décret n° 78-774 du 17 juillet 1978 modifié pris pour l'application de la loi du 6 janvier 1978 susvisée ;   Vu le projet de décret d'application de l'article L. 133-5 du code de la sécurité sociale soumis concomitamment par le ministère des affaires sociales, du travail et de la solidarité (saisine n° 02013599) ;   Vu l'article 21 de la convention constitutive du groupement d'intérêt public "modernisation des déclarations sociales" du 21 février 2000, approuvée par arrêté interministériel du 17 mars 2000, autorisant son directeur à représenter le groupement ;
FORMULE LES OBSERVATIONS SUIVANTES :   La loi de financement de la sécurité sociale pour 2002 a introduit dans le code de la sécurité sociale un article L. 133-5 afin de permettre aux employeurs et aux professions indépendantes de réaliser leurs déclarations sociales obligatoires par voie électronique et de bénéficier d'un service d'aide à l'élaboration des déclarations sociales et des bulletins de paie.   Le groupement d'intérêt public "modernisation des déclarations sociales" (GIP-MDS) a été choisi par les organismes gestionnaires de régimes de protection sociale pour gérer ces téléservices dans le cadre du portail www.net-entreprises.fr déjà mis en oeuvre par ce groupement.   La Commission est amenée à se prononcer sur une demande d'avis présentée par le GIP-MDS concernant la mise en oeuvre du téléservice net-DADS-U.
Sur la finalité du traitement et les destinataires des informations nominatives   La déclaration automatisée de données sociales unifiée "DADS-U" est le fruit d'une réflexion conduite depuis plusieurs années par la CNAVTS et les fédérations de retraite complémentaire AGIRC et ARRCO afin de regrouper en une déclaration unique la déclaration annuelle de données sociales (DADS) mise en oeuvre par la CNAVTS pour le compte des partenaires du dispositif "transfert de données sociales (TDS)" et la déclaration annuelle de données sociales des caisses de retraite complémentaire (DADS-CRC) à destination des institutions de retraite complémentaire et les institutions de prévoyance.   L'article L. 133-5 du code de la sécurité sociale et l'arrêté du 29 juillet 2002 pris pour son application cation permettent le traitement par voie électronique de cette déclaration unifiée.   Les traitements d'informations nominatives opérés dans le cadre de net-DADS-U seront les suivants :   1) inscription au téléservice ;   2) transfert de fichiers de données personnelles des déclarants vers net-DADS-U ;   3) contrôle de conformité des fichiers reçus à la norme DADS-U ;   4) filtrage et transmission aux organismes de protection sociale partenaires (chaque partenaire ne reçoit que les informations le concernant) ;   5) consultation par le déclarant du bilan des contrôles de conformité effectués par le site ;   6) destruction des déclarations au bout de 30 jours et stockage des bilans des contrôles de
conformité sur une année.