AgentPublic/cnil huggingface dataset:
Vu l'arrêté du 5 avril 2002 modifié portant création par la direction générale des finances publiques d'un traitement automatisé d'informations nominatives dénommé accès au dossier fiscal des particuliers (ADONIS) ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
La commission a été saisie par le ministre de l'économie d'une demande d'avis relative à un projet de décret portant création d'un traitement automatisé de transfert de données fiscales concernant les redevables de la cotisation annuelle prévue à l' article L. 380-2 du code de la sécurité sociale ( CSS).
Le traitement projeté doit permettre le transfert à l'Agence centrale des organismes de sécurité sociale (ACOSS) de données fiscales nécessaires à la détermination de l'assiette sociale et au calcul de la cotisation subsidiaire maladie des personnes. Est prévue, dans ce cadre, la communication du numéro d'inscription au répertoire national d'identification des personnes physiques (NIR). Le traitement projeté relève dès lors de l'article 27-I-1° de la loi du 6 janvier 1978 modifiée et doit être autorisé par décret en Conseil d'Etat, pris après avis motivé et publié de la commission.
Sur les finalités du traitement :
Aux termes de l'article 1er du projet de décret soumis à la commission, le traitement, qui doit être mis en œuvre par la direction générale des finances publiques (DGFiP) du ministère de l'économie, a pour finalité : de communiquer sur support informatique à l'ACOSS les informations fiscales nécessaires à la détermination de l'assiette et au montant de la cotisation prévue par les dispositions de l'article L. 380-2 du code de la sécurité sociale, dans le cadre de ses missions légales .
L' article L. 380-2 du CSS, issu de l'article 32 de la loi de financement de la sécurité sociale pour 2016, porte sur la cotisation annuelle due par les bénéficiaires de la protection universelle maladie (PUMa), qui garantit à toute personne qui travaille ou réside en France de manière stable et régulière un droit à la prise en charge de ses frais de santé.
L'affiliation individuelle à ce régime de protection se fait automatiquement, sans démarche de la part des assurés, sur la base d'un critère professionnel et d'un critère de résidence. Les bénéficiaires de la PUMa peuvent, en outre, en application de l' article L. 380-2 du CSS, être redevables d'une cotisation annuelle au regard de conditions liées à leurs revenus. La contribution de chaque bénéficiaire est proportionnelle à ses capacités contributives et dépend de son régime d'assurance (salarié, indépendant…).
C'est pour permettre à l'ACOSS de disposer des informations nécessaires à la détermination de l'assiette sociale et au calcul de la cotisation subsidiaire maladie des personnes qui y sont assujetties que la DGFiP, qui dispose des données requises concernant les résidents fiscaux, envisage de constituer et de transférer à l'ACOSS un fichier recensant les individus redevables de la cotisation subsidiaire maladie et, pour chacun d'eux, les données fiscales de l'année N-1 nécessaires pour le calcul de la cotisation.
La transmission de telles données à des organismes en charge de l'application de la législation sociale est expressément prévue au dernier alinéa de l'article L. 380-2 du code de la sécurité sociale qui dispose que les agents des administrations fiscales communiquent aux organismes mentionnés aux articles L. 213-1 et L. 752-2 les informations nominatives déclarées pour l'établissement de l'impôt sur le revenu par les personnes remplissant les conditions permettant de bénéficier de la PUMa, conformément à l' article L. 152 du livre des procédures fiscales (LPF).
Le projet de décret soumis à la commission, qui n'entre pas dans le cadre des dispositifs de transferts mis en œuvre par le Centre national de transfert des données fiscales (CNTDF), vise uniquement à autoriser la communication par la DGFiP des données nécessaires à l'ACOSS, cette dernière restant responsable de l'accomplissement des formalités requises pour l'autorisation du traitement dans lequel seront ensuite enregistrées et conservées les données communiquées.
Dans ces conditions, la commission considère que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes, conformément à l'article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées et leur durée de conservation :
Les catégories de données à caractère personnel traitées sont définies dans une annexe au projet de décret, qui distingue les données relatives à l'état civil, l'identité ou l'identification des personnes, des données d'ordre économique et financier.
Les données relatives à l'état civil, l'identité ou l'identification des personnes mentionnées sont les suivantes :
- civilité ;
- nom de famille ;
- nom d'usage ;
- prénoms ;
- date de naissance ;
- lieu de naissance ;
- adresse du domicile ;
- adresse de correspondance ;
- NIR.
S'agissant des données d'ordre économique et financier, l'annexe au projet de décret mentionne notamment :
- traitements et salaires ;
- pensions, retraites et rentes ;
- revenus et plus-values des professions non salariées ;
- revenus des valeurs et capitaux mobiliers ;
- revenus fonciers ;
- les rectifications apportées par le contribuable ou les services de la DGFiP en cas d'émission de rôles supplémentaires et de dégrèvements.
La commission prend acte que ces informations seront extraites du compte fiscal des particuliers (ADONIS), dont les conditions de mise en œuvre sont définies par l'arrêté du 5 avril 2002 susvisé, et que l'extraction sera limitée aux informations nécessaires à la détermination de l'assiette et au montant de la cotisation subsidiaire maladie. Elle prend également acte que seules les données à caractère personnel relatives à des personnes identifiées comme redevables de cette cotisation feront l'objet d'une transmission à l'ACOSS, ce qui est expressément prévu à l'article 2 du projet de décret.
La commission relève en outre que le NIR figure parmi les catégories de données mentionnées par l'annexe au projet de décret.
L'article 2 du projet de décret précise que l'identifiant fiscal national individuel des personnes concernées (numéro SPI) sera rapproché par la DGFiP des fichiers informatisés dédiés, dénommés tables de correspondance NIR/ITIP-SPI , qui permettent d'établir un lien fixe entre le NIR et le numéro SPI.
Seul le NIR sera ensuite communiqué par la DGFiP à l'ACOSS, une telle communication devant permettre de renforcer la fiabilité de l'identification des redevables de la cotisation.
Sur ce point, la commission relève que l'article L. 152 du LPF permet l'utilisation du NIR par les agents des administrations fiscales pour les demandes, échanges et traitements notamment nécessaires à l'appréciation, par des organismes chargés de la gestion d'un régime obligatoire de sécurité sociale, des conditions d'assujettissement aux cotisations et contributions ou pour la détermination de l'assiette et du montant des cotisations et contributions.
Dès lors, la communication par la DGFiP du NIR à l'ACOSS, qui doit intervenir dans le cadre d'échanges nécessaires à la détermination de l'assiette et du montant de la cotisation subsidiaire maladie, n'appelle pas d'observation de la part de la commission.
Il en va de même des autres catégories de données mentionnées par l'annexe au projet de décret soumis à la commission, qui apparaissent adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
S'agissant de la durée de conservation des données, le dossier soumis à la commission précise que les fichiers produits par la DGFiP en vue du transfert de données à l'ACOSS ne seront pas archivés et seront détruits au bout de quelques jours, dès que l'assurance qu'ils ont bien été reçus de manière exploitable par leur destinataire sera acquise, ce dont elle prend acte. Elle considère toutefois que le projet de décret devrait expressément prévoir que les données extraites du traitement ADONIS pour être transférées à l'ACOSS dans le cadre de la mise en œuvre du traitement projeté ne seront pas conservées par la DGFiP au-delà du délai nécessaire à la réalisation effective de ce transfert. La commission prend acte que le projet de décret sera modifié en ce sens.
Sur les destinataires du traitement/des données :
L'article 3 du projet de décret prévoit que sont destinataires des données à caractère personnel et des informations mentionnées à l'annexe au projet, à raison de leurs attributions et du besoin d'en connaître, les agents de l'ACOSS en charge de la protection universelle maladie.
Un tel accès aux données apparaît justifié au regard des finalités du traitement.
La commission prend également acte que, à sa demande, dans la mesure où l'extraction de données issues du fichier ADONIS et leur transfert à l'ACOSS imposent la mise en œuvre d'un traitement spécifique, conduisant au sein des services de la DGFiP à l'établissement d'une liste nominative et à la substitution du numéro SPI par le NIR, le projet de décret sera modifié afin de prévoir un accès aux données par des agents de cette direction.
Sur l'information et les droits des personnes concernées :
Le projet de décret prévoit que les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée s'exercent auprès du centre des finances publiques du domicile fiscal du requérant, ce dont la commission prend acte.
En outre, le projet de décret prévoit que le droit d'opposition prévu à l'article 38 de la même loi ne s'applique pas au traitement, ce qui n'appelle pas d'observation de la part de la commission.
La commission rappelle toutefois que des mesures doivent être prévues par le responsable de traitement pour assurer l'information des intéressés, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée. Cette obligation supposera notamment de compléter la mention d'information des contribuables sur le site internet du ministère concernant l'utilisation des données enregistrées dans le traitement ADONIS pour intégrer l'extraction et le transfert éventuels de données aujourd'hui envisagés.
La commission considère en outre que, dans la mesure où la communication d'informations envisagée ne résultera d'aucune démarche des intéressés, une information spécifique des personnes concernées par le transfert à l'ACOSS doit être prévue.
Sur les mesures de sécurité du traitement :
Le fichier est constitué à partir d'une extraction d'ADONIS permettant de ne sélectionner que la population effectivement soumise à la contribution collectée par l'ACOSS. Cette extraction est chiffrée par GPG par le service émetteur à l'aide de la clé publique du service destinataire.
Suite à cette extraction, le service destinataire du fichier procédera à la substitution du numéro SPI par le NIR des individus concernés. Le fichier résultant sera chiffré via GPG avec la clé publique de l'ACOSS, puis mis à disposition sur un serveur FTP accessible via un tunnel VPN.
La commission considère que ces mesures permettent de garantir la confidentialité des transferts de données. Elle rappelle toutefois que les opérations de chiffrement doivent respecter l'annexe Bl du Référentiel général de sécurité qui décrit les modalités pratiques de mise en œuvre de ce type de mesure ainsi que les tailles de clé minimale qui doivent être utilisées.
Les autres mesures de sécurité n'appellent pas d'observation de la part de la commission.
Dans ces conditions, la commission considère que les mesures prévues par le responsable de traitement sont conformes à l'exigence de sécurité prévue par 1'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que le respect de cette exigence nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'économie et des finances d'une demande d'avis concernant deux projets de décret portant application de l' article 87 de la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique relatif au service de coffre-fort numérique ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le règlement d'exécution (UE) 2015/1502 de la commission du 8 septembre 2015 fixant les spécifications techniques et procédures minimales relatives aux niveaux de garantie des moyens d'identification électronique visés à l'article 8, paragraphe 3, du règlement (UE) 910/2014 du Parlement européen et du Conseil sur l'identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur ;
Vu le code des postes et des communications électroniques et notamment son article L. 137 ;
Vu le code de la consommation et notamment ses articles L. 111-1, L. 122-22 et L. 433-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11 (4°, a) ;
Vu la loi n° 2008-776 du 4 août 2008 de modernisation de l'économie et notamment le I de l'article 137 ;
Vu le décret n° 2008-1401 du 19 décembre 2008 relatif à l'accréditation et à l'évaluation de conformité pris en application de l' article 137 de la loi n° 2008-776 du 4 août 2008 de modernisation de l'économie ;
Vu le décret n° 2009-834 du 7 juillet 2009 portant création d'un service à compétence nationale dénommé Agence nationale de la sécurité des systèmes d'information ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Maurice RONAI, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie pour avis, par le ministre de l'économie et des finances, de deux projets de décret portant application de l' article 87 de la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique relatif au service de coffre-fort numérique.
Cet article pose un cadre juridique applicable aux services de coffre-tort numérique pour en sécuriser le développement : il établit les caractéristiques minimales nécessaires pour pouvoir légalement qualifier un service de coffre-fort numérique , et prévoit la possibilité pour l'Etat de proposer une certification de ces services.
La loi prévoit que les modalités de mise en œuvre d'un tel service ainsi que celles de la certification doivent être définies par décret en Conseil d'Etat. Ces deux aspects font l'objet du premier projet de décret soumis à l'avis de la commission.
L'article 87 précité prévoit également que l'utilisateur doit être mis en mesure de récupérer les documents et données stockées sur le service de coffre-fort. La détermination des conditions d'une telle récupération est l'objet du second projet décret soumis à l'avis de la commission.
Les nouvelles dispositions introduites dans ces deux projets de décret seront insérées au sein du code des postes et des communications électroniques.
En préambule, la commission rappelle s'être positionnée sur l'encadrement des services de coffre-fort numérique en 2013 et 2014, par des délibérations portant, d'une part, recommandation relative aux services dits de coffre-fort numérique ou électronique destinés aux particuliers et, d'autre part, adoption d'un référentiel pour la délivrance de labels en matière de services de coffre-fort numérique. La commission avait alors retenu que pouvaient être qualifiés de coffre-forts numériques les seuls services qui limitent l'accès au contenu stocké à l'unique utilisateur et aux personnes physiques qu'il a spécifiquement mandatées.
Or, la commission observe que cette définition protectrice des utilisateurs n'a pas été retenue dans la mesure où l'article 87 précité étend la qualification de coffre-fort numériques aux services qui admettent que le contenu stocké soit également accessible aux personnes morales mandatées par l'utilisateur, ainsi qu'au fournisseur lui-même. La commission estime que cette position ne va pas dans le sens de l'impératif réaffirmé par le règlement général relatif à la protection des données d'intégrer les principes de protection des données personnelles par défaut et dès la conception des services.
En outre, la commission relève que la définition de l'article 87 pourrait avoir pour effet d'induire en erreur les utilisateurs et susciter une confusion avec des services de stockage de documents en ligne qui ne présentent pas les mêmes garanties de confidentialité des données que celles auxquelles ces utilisateurs pourraient légitimement s'attendre s'agissant de services qualifiés de coffre-fort .
Par ailleurs, s'agissant de la certification des services par l'Etat, la commission constate que la loi, et les projets de décret qui en découlent, limitent son rôle à un simple avis sur le cahier des charges relatif à la certification établi par l'Agence nationale de la sécurité des systèmes d'information.
Au-delà de ces observations générales, les projets de décret appellent les observations suivantes de la part de la commission.
Sur l'identification et authentification de l'utilisateur du service :
L'article L. 137 du CPCE précise que l'identification de l'utilisateur lors de l'accès au service de coffre-fort doit s'effectuer par un moyen d'identification électronique respectant l'article L. 136 (1).
Cette disposition (2) fait référence aux moyens d'identification électronique prévus par le Règlement eIDAS n° 910/2014 du 23 juillet 2014 (3), classifiés selon trois niveaux de garanties : bas , substantiel et élevé .
Le projet d'article R. 55-5 du code des postes et des communications électroniques (CPCE) opte pour le recours à un moyen d'identification de l'utilisateur de niveau substantiel (4).
La commission note que ce niveau de garantie substantiel implique notamment, concernant l'identification de l'utilisateur, que celui-ci soit en possession d'un élément d'identification reconnu par l'Etat, que son authenticité soit vérifiée et que des mesures aient été prises pour minimiser le risque que l'identité de la personne ne soit pas l'identité alléguée (en tenant compte du risque de perte, de vol ou de suspension du moyen d'identification électronique par exemple). Enfin, l'existence de l'identité alléguée doit être connue d'une source faisant autorité.
Celui-ci revient donc à exclure l'ouverture d'un coffre-fort numérique sous une identité déclarative, un nom d'usage ou un pseudonyme.
La commission remarque que l'exigence d'un tel niveau d'identification est difficilement compatible avec les pratiques actuelles des acteurs du secteur qui cherchent à faciliter l'accès et l'usage de leurs services. La commission observe à cet égard qu'exiger un tel niveau d'identification risquerait de détourner des utilisateurs des services de coffre-fort numérique, sans apport particulier pour le niveau de sécurisation de l'accès à ces services, en termes d'authentification des utilisateurs.
En outre, la commission rappelle préconiser, de manière générale, que soit privilégié le niveau minimum d'identification nécessaire. Elle relève que l' article 87 de la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique (article L. 137 [5°] du CPCE) prévoit qu'un service de coffre-fort peut proposer des services de confiance qui nécessitent une identification répondant à un tel niveau de garantie substantiels (5).
Elle estime, en conséquence, que le projet de décret ne devrait pas exiger plus que le niveau d'identification minimal prévue par la loi dans le cas général, correspondant, a priori, au niveau bas . Un niveau d'identification substantiel pourrait cependant être exigé pour offrir un service spécifique, tel qu'un service de confiance ou la récupération automatique de documents électrohiques auprès de services tiers exigeant un haut niveau d'identification.
Sur l'accès des tiers au contenu du coffre-fort :
L'article R. 55-6 (1°) du code des postes et des communications électroniques tel que projeté dans l'article ler du projet de décret relatif aux modalités de mise en œuvre du service de coffre-fort numérique prévoit que la garantie d'exclusivité d'accès aux documents stockés requiert la mise en place d'un mécanisme de contrôle d'accès sécurisant l'ouverture au coffre-fort numérique aux seuls tiers autorisés .
La commission estime que l'utilisation de la notion de tiers autorisés peut porter à confusion et que le projet de décret devrait être modifié afin de préciser de manière explicite qu'il s'agit ici des tiers autorisés par la personne concernée à accéder au contenu du coffre-fort.
La commission souligne à cet égard que l'article L. 137 (4°) du CPCE prévoit que le prestataire de service de coffre-fort numérique ne peut accéder aux documents et données contenus dans le coffre-fort que sur autorisation de l'utilisateur et pour réaliser un traitement au seul bénéfice de celui-ci.
Sur l'information qui doit être fournie par le fournisseur d'un service de coffre-fort numérique préalablement à la conclusion d'un contrat :
L'article ler du projet de décret relatif aux modalités de mise en œuvre du service de coffre-fort numérique prévoit que le fournisseur d'un service de coffre-fort numérique est tenu à une obligation d'information sur les modalités de fonctionnement et d'utilisation du service.
Il est prévu que les informations portent spécifiquement sur le type d'espace mis à disposition, les mécanismes techniques utilisés, la politique de confidentialité et les garanties mises en œuvre.
La commission estime que l'information transmise doit être adaptée au périmètre du service dont il s'agit.
La commission rappelle en effet que l'hébergement de données de santé est conditionné par l'obtention d'un agrément ministériel spécifique. De ce fait, la commission observe que les fournisseurs de service de coffre-fort numérique qui n'auraient pas été agréés à héberger des données de santé devraient être tenus de déconseiller à leurs utilisateurs de stocker des données relatives à la santé.
De plus, certains services de coffre-fort numérique proposent à leurs utilisateurs un service de récupération de documents auprès de services tiers. Cette prestation peut nécessiter la collecte des identifiants et mots de passe de l'utilisateur pour que le service de coffre-fort numérique puisse accéder en son nom à ces services tiers.
Outre les risques qu'un tel service présente, du fait de la transmission d'éléments d'authentification devant rester confidentiels, une telle collecte peut s'avérer contraire aux dispositions des conditions générales d'utilisation des services tiers. De ce fait, la commission considère qu'il serait opportun de prévoir que les fournisseurs d'un service de coffre-fort numérique et de telles offres ne puissent intentionnellement inciter les utilisateurs à enfreindre les conditions d'utilisation des services dont ils proposent de fédérer l'information et soient tenus d'alerter leurs utilisateurs de ces inconvénients.
Sur les durées de conservation :
La commission relève que le projet de décret relatif aux modalités de mise en œuvre du service de coffre-fort numérique ne comporte pas de disposition relative aux durées de conservation des données et documents stockés par l'utilisateur sur le coffre-fort numérique.
La commission considère que ces mesures sont pourtant essentielles au contrôle par les personnes concernées des données à caractère personnel les concernant.