AgentPublic/cnil huggingface dataset:
En outre, la décision créant le téléservice et ses modalités d'utilisation sont rendues accessibles depuis le téléservice, la décision d'homologation fera l'objet d'une information sur le site Internet de la Commission, un fournisseur de certificat électronique a été choisi dans la liste des prestataires référencés au sens de l'ordonnance n°2005-1516 du 8 décembre 2005, la protection de la confidentialité de la clé privée et de l'intégrité du bi-clé associé qu'il aura délivrés pour authentifier le serveur de la Commission est assurée, et l'ANSSI a validé le processus de délivrance de ces certificats de clés.
Un plan d'action est également établi afin de mettre en œuvre un ensemble de mesures complémentaires, destinées à réduire encore les risques identifiés.
Enfin, la Commission prend acte que l'ensemble des exigences du référentiel général d'interopérabilité sont respectées.
Dans ces conditions, la Commission :
•- s'engage à mettre en œuvre les mesures prévues et à en assurer le suivi afin de garantir la conformité au référentiel général de sécurité ;
•- prononce, par la présente délibération, l'homologation du téléservice permettant l'accomplissement en ligne des formalités préalables pour une durée de trois ans. 
La Présidente
 
Isabelle FALQUE-PIERROTIN
Vu le référentiel général d'interopérabilité, version 1.0 du 12 mai 2009, de la Direction générale de la modernisation de l'État du ministère du Budget, des comptes publics et de la de la fonction publique ;
Vu le référentiel général de sécurité, version 1.0 du 6 mai 2010, de l'Agence nationale de la sécurité des systèmes d'information et de la Direction générale de la modernisation de l'État du ministère du Budget, des comptes publics et de la réforme de l'État ;
Sur la proposition de M. Emmanuel de Givry, vice-président délégué, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le téléservice permettant la désignation de correspondants informatique et libertés en ligne
Tout responsable de fichier soumis à la loi n°78-17 du 6 janvier 1978 modifiée peut désigner un correspondant à la protection des données à caractère personnel , également dénommé correspondant informatique et libertés (CIL) (article 22-III de la loi).
La CNIL propose à ses usagers, depuis juillet 2008, une procédure dématérialisée de désignation de CIL sur son site www.cnil.fr. Une information complète sur la fonction de CIL et sur les actions de soutien mis en place par la CNIL leur est donnée à cette occasion.
Le téléservice permet notamment de joindre les pièces nécessaires à la bonne prise en compte des dossiers de désignation.
Une fois l'envoi réalisé, un accusé de réception est adressé aux usagers de manière automatique. Au-delà du téléservice, les dossiers de désignation sont ensuite vérifiés et instruits par les services de la Commission.
Sur le référentiel général de sécurité
Le référentiel général de sécurité (RGS), prévu par l'article 9 de l'ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, et approuvé par l'arrêté du 6 mai 2010, a été élaboré conjointement par l'Agence nationale de la sécurité des systèmes d'information (ANSSI) et par la Direction générale de la modernisation de l'État (devenue la Direction interministérielle pour la modernisation de l'action publique). Il contient un ensemble de règles et de recommandations applicables aux téléservices des administrations.
La conformité au référentiel général de sécurité se traduit par l'application, d'une part, des règles relatives au cadre pour gérer la sécurité des systèmes d'information et, d'autre part, des règles relatives aux fonctions de sécurité mises en œuvre.
Conformément à l'article 14 de l'ordonnance n°2005-1516 du 8 décembre 2005, la conformité du présent téléservice doit être assurée avant le 18 mai 2013.
Sur les mesures de sécurité
En outre, la décision créant le téléservice et ses modalités d'utilisation sont rendues accessibles depuis le téléservice, la décision d'homologation fera l'objet d'une information sur le site Internet de la Commission, un fournisseur de certificat électronique a été choisi dans la liste des prestataires référencés au sens de l'ordonnance n°2005-1516 du 8 décembre 2005, la protection de la confidentialité de la clé privée et de l'intégrité du bi-clé associé qu'il aura délivrés pour authentifier le serveur de la Commission est assurée, et l'ANSSI a validé le processus de délivrance de ces certificats de clés.
Un plan d'action est également établi afin de mettre en œuvre un ensemble de mesures complémentaires, destinées à réduire encore les risques identifiés.
Enfin, la Commission prend acte que l'ensemble des exigences du référentiel général d'interopérabilité sont respectées.
Dans ces conditions, la Commission :
•- s'engage à mettre en œuvre les mesures prévues et à en assurer le suivi afin de garantir la conformité au référentiel général de sécurité ;
•- prononce, par la présente délibération, l'homologation du téléservice permettant la désignation en ligne de correspondants informatique et libertés pour une durée de trois ans. 
La Présidente
 
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code rural et de la pêche maritime, notamment ses articles L. 742-3 et R. 741-22 ;
Vu le code de la sécurité sociale, notamment ses articles L. 133-5 à L. 133-5-4, L. 911-1, R. 133-1 à R.133-12 ; 
Vu le code du travail, notamment ses articles L.1221-16, L. 5312-1, L. 5422-1, R. 1234-9, R. 5122-9 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-I-1° ;
Vu la loi n°2012-387 du 23 mars 2012 relative à la simplification du droit et à l'allègement des démarches administratives, notamment son article 35 ; 
Vu le décret n°82-103 du 22 janvier 1982 modifié relatif au Répertoire national d'identification des personnes physiques ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Laurence DUMONT, commissaire, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
L'article 35 de la loi n° 2012-387 du 23 mars 2012 relative à la simplification du droit et à l'allègement des démarches administratives, crée la déclaration sociale nominative (DSN). 
A compter du 1er janvier 2013, les employeurs qui opteront pour une déclaration des données sociales de leurs salariés via la DSN auront la possibilité de saisir en ligne, chaque mois, sur le site www.net-entreprises.fr ou, pour le régime agricole, www.msa.fr, le montant des rémunérations payées à leurs salariés pour le mois concerné, les périodes de travail enregistrées ainsi que l'ensemble des données sociales correspondantes.
La mise en œuvre de la DSN sera réalisée en deux phases.
Durant une première phase, de 2013 à 2016, la DSN restera facultative pour l'employeur. Elle se substituera ainsi progressivement à une part substantielle des déclarations sociales des employeurs.
Durant une seconde phase, à compter de 2016, la DSN se substituera définitivement, et pour tous les employeurs, à l'ensemble des déclarations et formalités sociales effectuées à partir des données de la paie.
Le projet de décret définit, pour cette période transitoire, le régime de la DSN. Il précise notamment le contenu, la date d'exigibilité, le processus de dépôt et de transmission de la déclaration ainsi que les conditions dans lesquelles seront effectuées les attestations de salaires pour l'assurance maladie, maternité et paternité, les attestations employeurs pour Pôle emploi et la déclaration mensuelle des mouvements de main d'œuvre et l'enquête statistique sur les mouvements de main d'œuvre.
Ce projet de texte renvoie expressément (article 3-IV-C) à deux projets d'arrêtés, qui conditionnent la mise en œuvre effective du décret en ce qu'ils identifient la nomenclature des données transmises aux organismes et administrations compétents. 
La Commission étant saisie, conjointement au projet de décret, de ces deux projets d'arrêtés, les observations de la Commission porteront également sur ces textes.
Le chapitre II du projet de décret, composé d'un article unique (article 3), porte création des traitements automatisés de données à caractère personnel relatifs à la DSN. 
La Commission souligne le manque de lisibilité des dispositions denses et éparses de l'article 3, qui porte sur la création des traitements automatisés sur lesquels repose la mise en œuvre du dispositif DSN. Elle relève particulièrement que ces dispositions ne permettent pas d'identifier, de manière claire et immédiate, toutes les dispositions portant sur les données traitées ou sur les sécurités.
Toutefois, l'article 3-I identifie clairement l'objectif essentiel du dispositif DSN, à savoir la simplification des procédures de déclaration et de gestion des données sociales. 
D'une part, ces traitements simplifieront, pour les employeurs, les procédures de déclaration des données sociales actuellement en vigueur, compte tenu que la déclaration de ces données auprès des différents organismes participant au dispositif DSN est mutualisée et mensuelle. 
Pour les employeurs dont le personnel relève du régime général de sécurité sociale, ce traitement correspond à l'ensemble des transmissions effectuées : 
•- à partir de la déclaration dématérialisée adressée par les employeurs via le portail internet du Groupement d'intérêt public -Modernisation des données sociales (GIP-MDS) à l'Union de recouvrement de la sécurité sociale et des allocations familiales (URSSAF) ou aux Caisses générales de sécurité sociale (CGSS) pour stockage temporaire ; 
•- par l'URSSAF et la CGSS à la Caisse nationale de l'assurance vieillesse (CNAV) pour conservation des données ; 
•- par la CNAV aux administrations et organismes partenaires dont les déclarations sont substituées par la DSN, après filtrage des données pertinentes selon la compétence de chaque partenaire. 
Pour les employeurs dont le personnel relève de la protection sociale agricole, ce traitement correspond à l'ensemble des transmissions effectuées :
•- à partir de la déclaration dématérialisée adressée par les employeurs via le portail du GIP-MDS ou celui de la Caisse centrale de mutualité sociale agricole (CCMSA) aux caisses de MSA pour conservation des données dans le cadre de l'accomplissement de leurs propres missions ; 
•- par la CCMSA à la CNAV pour les besoins des administrations et des organismes de prestation sociale dont les déclarations sont remplacées par la DSN. 
D'autre part, la DSN offrira aux salariés une mise à jour régulière des données et l'alimentation de tous les organismes sociaux par une source unique, garantissant ainsi l'exactitude des droits acquis. Elle devra également permettre, dans un grand nombre de cas, une accélération du délai de traitement des prestations sociales (indemnités journalières en cas de maladie, prestations d'assurance-chômage, prestations de retraite, prestations prévoyance et santé complémentaires).
Pour les administrations et organismes de prestation sociale partenaires du GIP-MDS, la DSN supprimera les risques de désynchronisation entre les informations relatives à la paie et à la déclaration de celles-ci. Tous les partenaires étant informés sur la base d'une déclaration unique de l'employeur, ils recevront des informations strictement identiques.
Compte-tenu du volume de données transmises, il revient à la Commission d'apprécier si la mise en œuvre d'un tel dispositif est proportionnée au regard des finalités envisagées, mais également de vérifier si ces finalités sont déterminées, explicites et légitimes et si la confidentialité et la sécurité des données sont garanties.
Sur le régime juridique applicable
Ce projet de décret porte uniquement sur la mise en œuvre de la phase 1 du dispositif DSN (du 1er janvier 2013 au 31 décembre 2015) durant laquelle le recours à la DSN reste facultatif. En 2015, la CNIL sera à nouveau saisie pour avis sur la base d'une seconde version du projet de décret.
Maître d'ouvrage du dispositif DSN, la direction de la sécurité sociale (DSS) élabore l'ensemble des textes d'application de l'article 35 de la loi n°2012-387 du 23 mars 2012. Elle est responsable de traitement au sens de l'article 3-I de la loi du 6 janvier 1978 modifiée. 
Maître d'œuvre de ce dispositif, le Groupement d'Intérêt Public - Modernisation des déclarations sociales (GIP-MDS) assure la coordination opérationnelle et interministérielle du projet. 
Les traitements mis en œuvre pour la DSN comportant le numéro de sécurité sociale (NIR), la Commission est saisie par la Direction de la sécurité sociale (DSS) d'un dossier de demande d'avis concernant le projet de décret relatif à la déclaration sociale nominative, conformément à l'article 27-I-1° de la loi du 6 janvier 1978 modifiée.
Le recours facultatif à la DSN du 1er janvier 2013 au 31 décembre 2015 constituant de facto une phase d'expérimentation du dispositif, la Commission demande à ce que la saisine relative à la généralisation de la DSN comporte un bilan détaillé relatif à la mise en œuvre du dispositif.
Sur la finalité du traitement (article 3-I du projet de décret)
La mise en œuvre des traitements relatifs à la DSN a pour finalité de :
1° simplifier les démarches pour les entreprises dans le domaine social ;
2° faciliter les démarches des salariés relatives à leur protection sociale ; 
3° assurer la concordance des informations entre les montants déclarés pour l'ouverture des droits, le calcul des prestations et les montants soumis à cotisations sociales ;
4° prévenir les fraudes aux prestations et aux cotisations sociales ;
5° produire des statistiques anonymes à des fins de suivi de l'évolution de l'emploi.
S'agissant des deux premières finalités, le traitement DSN permettra de simplifier les démarches des employeurs et des salariés.
En premier lieu, le traitement DSN poursuit un objectif de simplification des démarches déclaratives des employeurs qui opteront pour ce dispositif de déclaration. Ainsi, les employeurs ne devront plus remplir la déclaration annuelle des données sociales (DADS), ni la déclaration unifiée des cotisations sociales (DUCS) mensuelle ou trimestrielle à l'attention de l'URSSAF, de Pôle Emploi (pour les intermittents du spectacle), des institutions de retraite complémentaire (IRC), des institutions de prévoyance (IP) et des caisses de congés-intempéries du BTP. Cette première finalité apparaît légitime.
En second lieu, le traitement permettra une simplification des démarches des salariés . La Commission estime que cette finalité est légitime mais elle souligne que cette simplification sera partiellement effective de 2013 à 2016, compte tenu du caractère facultatif de la DSN pour les employeurs.
En outre, la Commission propose que cette simplification vise également les demandeurs d'emploi qui, comme les salariés, devront être informés de leurs droits.
S'agissant de la troisième finalité, la déclaration unique par l'employeur, tous les mois, et une bonne fois pour toutes , des données sociales relatives à ses salariés réduira les risques d'erreur concernant la gestion des droits sociaux des salariés et des demandeurs d'emploi. 
La Commission recommande que cette finalité précise expressément le rétablissement des droits des personnes.
Cette troisième finalité, étroitement liée à la quatrième, contribuera à une meilleure gestion des données et permettra ainsi, d'une part, de garantir la bonne gestion des droits des individus en matière de prestations sociales (article 3 al. 5 et 6 du projet de décret) et, d'autre part, de prévenir les éventuelles fraudes aux prestations et aux cotisations sociales. 
Les données échangées entre les organismes de prestation sociale et Pôle emploi dans le cadre du dispositif DSN seront identiques à celles qui sont déjà transmises au moyen de l'attestation employeur. 
Toutefois, cette transmission sera effectuée via les systèmes d'information de la CNAV et selon une fréquence mensuelle. Cette transmission mensuelle permettra une prévention plus efficace de la fraude aux prestations d'allocation chômage, compte tenu que les salariés et les demandeurs d'emploi concernés ne seront plus susceptibles de déclarer une activité erronée ou une absence d'activité donnant lieu à des prestations sociales indues.
A ce titre, la Commission reconnaît la légitimité de ce dispositif de lutte contre la fraude. Néanmoins, elle relève que, de 2013 à 2016, cette finalité de prévention de la fraude sera partiellement satisfaite, la DSN n'étant pas utilisée par l'ensemble des employeurs.
S'agissant de la cinquième finalité statistique, le suivi de l'évolution de l'emploi (article 3 alinéa 7 du projet de décret) ne fera pas l'objet d'études durant la phase 1, celle-ci permettant uniquement le suivi des différentes étapes de la mise en production de la DSN. Ceci n'appelle pas d'observation.
Sur les données traitées (articles 3-II et 3-IV-C du projet de décret)
L'article 3-II du projet de décret décline les six catégories de données qui seront traitées dans le cadre du dispositif DSN : 
1° Les données relatives à l'identification du salarié ; 
2° Les données relatives à l'identification de l'émetteur ; 
3° Les données relatives à l'identification de l'employeur ; 
4° Les données relatives à la situation professionnelle du salarié, qui comportent les informations contenues dans son contrat de travail ; 
5° Les données relatives au détail de la rémunération mensuelle du salarié ; 
6° Les informations relatives aux événements qui surviennent pendant la période déclarée, notamment les dates de début et de fin d'arrêt de travail pour cause d'accident ou de maladie non professionnelle, de congé de maternité, paternité ou d'adoption.
La Commission relève que les données collectées via la DSN correspondent aux informations figurant sur les documents qui sont déjà communiqués aux organismes et aux administrations compétents par les employeurs ou par les demandeurs d'emplois, lors de leur inscription comme demandeur d'emploi.
Elle relève en outre qu'aucune donnée sensible au sens de l'article 8 de la loi du 6 janvier 1978 modifiée ne sera collectée ou traitée.
Elle considère que les données transmises par l'employeur sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées. 
Toutefois, elle souhaite porter les observations suivantes à l'attention du ministère. 
S'agissant des catégories de données saisies par les employeurs, qui sont susceptibles d'être transmises aux organismes et administrations compétents présentés dans les deux projets d'arrêtés joints à ce projet de décret, la Commission a opéré une comparaison sur la nature des informations identifiée dans les annexes de ces deux arrêtés et dans l'annexe de l'arrêté du 28 avril 2011 portant sur la Déclaration annuelle des données sociales (DADS). 
Elle se félicite que, concernant l'identité du salarié, le pays de nationalité soit remplacé par la qualité de ressortissant UE dont France ou hors UE . 
Elle relève que certaines catégories de données sont largement précisées. C'est notamment le cas de la situation professionnelle , qui comportera à présent de nombreuses informations sur le contrat de travail (intitulé du contrat, numéro, date de début et de fin). Elle considère que ces données sont pertinentes au regard de la 4ème finalité identifié par le projet de décret.
Par ailleurs, elle estime qu'il serait utile d'identifier clairement dans l'article 3-II du projet de décret les catégories de données relatives à l'assurance maladie (motif, dernier jour travaillé, date de fin prévisionnelle d'arrêt de travail, subrogation, date réelle et motif de reprise de l'activité) et à l'assurance chômage (qui portent notamment sur la rupture du contrat de travail, la procédure de licenciement, la rupture conventionnelle du contrat de travail et les éléments pris en compte pour le service des allocations chômage). 
De plus, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée, elle recommande que les projets d'arrêtés soumis à la CNIL soient modifiés afin de substituer à la catégorie lien de parenté du salarié avec le chef d'entreprise la seule information réellement pertinente et utile aux organismes partenaires, à savoir la mention conjoint salarié du chef d'entreprise (oui/non) .
De même, la date de notification de la rupture conventionnelle , saisie en plus de la date de notification de la rupture désigne en réalité la date de signature de la rupture conventionnelle dudit contrat. En ce sens, la Commission recommande que les projets d'arrêtés soient modifiés pour faire apparaître la nature de la donnée réellement saisie, à savoir la date de signature de la convention de rupture conventionnelle .
A titre purement formel, elle recommande également que l'article 3-IV-C du projet de décret soit porté à la suite directe des dispositions relatives aux données traitées (article 3-II-B du projet de décret).
En dernier lieu, la Commission observe l'absence de mentions relatives aux données de gestion permettant la traçabilité et le traitement des messages communiqués par le déclarant au point de dépôt des données (URSSAF, CGSS) via le portail www.net-entreprises.fr notamment, alors que cette catégorie de données constitue une part substantielle des données effectivement traitées dans le cadre du dispositif DSN. 
Elle demande donc l'ajout, dans l'article 3-II du projet de décret, de cette catégorie de données.
Sur les destinataires (articles 3-III et 3-IV-A du projet de décret)
En phase 1, seuls seront destinataires, pour les besoins exclusifs des missions qui leur sont confiées, les agents individuellement désignés et spécialement habilités de la Caisse nationale de l'assurance maladie des travailleurs salariés (CPAM et CGSS), de Pôle Emploi, des caisses de MSA, de la DARES et des organismes de prévoyance collective obligatoire concernant leurs assurés.
La Commission insiste sur le fait que les données à caractère personnel traitées dans la DSN ne seront transmises qu'aux partenaires ayant signé une convention de partenariat avec le GIP-MDS.
La Commission recommande également que les destinataires des données indiquent clairement, le cas échéant, lors des nouvelles formalités préalables qu'ils effectueront auprès de la CNIL, s'ils sont susceptibles de réutiliser les données sociales issues de la DSN dans les traitements automatisés de données ayant notamment pour finalité la gestion de la lutte contre la fraude. 
Sur les durées de conservation (article 3-V du projet de décret)
Les données transmises par l'employeur à l'URSSAF et à la CGSS (ACOSS) seront conservées pendant une durée de trois mois (article 3-III du projet de décret), ce qui correspond au délai technique de rétention des données en cas d'incident.
La CNAV stockera les données des DSN mensuelles transmises par l'URSSAF et la CGSS dans le Système national de gestion des carrières (SNGC), afin de restituer les données attendues par les administrations et organismes destinataires (en substitution de l'attestation de salaires, de l'attestation employeur, de la DMMO et de l'EMMO) durant 5 ans suivant l'accomplissement de la DSN (article 3-V du projet de décret). 
La Commission prend acte qu'il s'agit de la période pendant laquelle le salarié peut demander les prestations maladie, maternité, paternité ou chômage ainsi que de la période de référence nécessaire pour apprécier les droits et calculer les prestations concernés. Ceci n'appelle pas d'observation. 
Sur les droits des personnes (article 3-VII du projet de décret)