AgentPublic/cnil huggingface dataset:
Dès lors, elle considère que cette durée n'excède pas la durée nécessaire aux finalités poursuivies, conformément aux dispositions de l'article 6 (5°) de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données :
L'article 2 du projet d'arrêté précise que les échanges d'informations sont effectués via le portail Net-entreprises, géré par le groupement d'intérêt public modernisation des déclarations sociales .
L'article 7 de ce même texte prévoit que les destinataires des données à caractère personnel échangées entre les collecteurs et l'administration fiscale sont les agents habilités de la DGFiP et du groupement d'intérêt public modernisation des déclarations sociales , chacun pour leur besoin d'en connaître.
Ces catégories de destinataires n'appellent pas d'observation particulière de la commission.
Le projet d'arrêté prévoit en outre que les destinataires des données relatives à la déclaration PASRAU et à la journalisation des consultations sont l'encadrement et les responsables de la sécurité informatique . La commission prend acte que le ministère entend préciser qu'il s'agit des personnels de la DGFiP ou du groupement d'intérêt public modernisation des déclarations sociales .
Elle prend également acte que, dans la mesure où le projet d'arrêté prévoit au titre des finalités du traitement PASRAU la transmission aux collecteurs du taux de retenue à la source effectuée et des éventuelles anomalies nominatives et financières, à sa demande, le ministère envisage de faire figurer les tiers collecteurs parmi les destinataires des données à caractère personnel traitées, et précisément les personnes ou services chargés du versement des salaires, des pensions, des revenus de remplacement ou des autres revenus dans le champ de la retenue à la source, au sein des organismes susceptibles de recevoir et de traiter les données transmises par l'administration fiscale, ou pour le compte de ces organismes , limitant ainsi l'accès aux données aux seules personnes ou services ayant besoin d'en connaître.
Sur l'information et les droits des personnes :
La commission prend acte que les personnes concernées sont informées du traitement de leurs données personnelles par la publication de l'acte réglementaire autorisant la création du traitement. Elle rappelle la nécessité de délivrer une information claire et complète aux contribuables quant aux mécanismes d'échange des informations personnelles les concernant qui permettront à l'administration fiscale et aux tiers collecteurs de réaliser la retenue à la source de l'impôt sur le revenu.
S'agissant des droits d'accès et de rectification prévus aux articles 39 et 40 de la loi Informatique et Libertés , l'article 8 du projet d'arrêté dispose que ceux-ci s'exercent auprès du centre des finances publiques compétent. La commission considère que l'exercice de ces droits doit être facilité, dans la mesure où l'inexactitude de ces données est susceptible d'emporter des conséquences financières importantes pour les bénéficiaires de revenus.
Le ministère entend faire application du dernier alinéa de l'article 38 de la loi susmentionnée en excluant le droit d'opposition, ce qui n'appelle pas d'observation particulière de la commission.
Sur les mesures de sécurité :
L'article 3 du projet d'arrêté prévoit la transmission, par le groupement d'intérêt public modernisation des déclarations sociales à la DGFiP, d'informations portant sur la sécurité et la fiabilité des échanges de données personnelles via le portail Net-entreprises. Il s'agit d'éléments concernant l'accusé d'enregistrement de la déclaration, ou l'avis de rejet et le bilan d'anomalie le cas échéant, concernant le certificat de conformité et un bilan d'identification du déclarant. L'article 4 du projet d'arrêté prévoit que ces informations sont conservées par le groupement d'intérêt public pour une durée maximale de deux ans.
L'article 3 du projet d'arrêté prévoit en outre que les consultations du dispositif PASRAU font l'objet d'une joumalisation. Pour chaque connexion, les éléments d'identification de leur auteur, la nature des actions menées ainsi que leurs date et heure sont conservées un an en ligne et trois ans en archive à la DGFiP.
La commission relève que le ministère envisage l'utilisation du protocole de chiffrement de flux SSLv3, officiellement obsolète depuis juin 2015. A cet égard, elle rappelle la nécessité de mise à jour des mesures de sécurité au regard d'une réévaluation régulière des risques.
Sous cette réserve, la commission considère que les mesures de sécurité envisagées par l'administration fiscale apparaissent cohérentes avec le niveau de sécurité attendu au regard de la nature des données traitées et des risques présentés par le traitement, conformément aux dispositions de l'article 34 de la loi du 6 janvier 1978 modifiée.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'économie et des finances d'une demande d'avis concernant un projet d'arrêté modifiant l'arrêté du 22 avril 2016 portant création par la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel dénommé DSN ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la sécurité sociale, notamment son article L. 133-5-3 ;
Vu le livre des procédures fiscales, notamment ses articles L. 103 et L. 168 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 27-II (2°) et 30-II ;
Vu la loi n° 2016-1917 du 29 décembre 2016 de finances pour 2017, notamment son article 6o ;
Vu le décret n° 2000-8 du 4 janvier 2000 pris pour application de l'article L. 288 du livre des procédures fiscales ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 22 avril 2016 modifié portant création par la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel dénommé DSN ;
Vu la délibération n° 2016-070 du 17 mars 2016 portant avis sur un projet d'arrêté portant création par la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel dénommé DSN ;
Vu la délibération n° 2017-091 du 23 mars 2017 portant avis sur un projet de décret en Conseil d'Etat relatif aux modalités d'application de la retenue à la source de l'impôt sur le revenu prévue au 1°du 2 de l'article 204A du code général des impôts ;
Après avoir entendu M. Jean-Luc VIVET, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie d'une demande d'avis par le ministre de l'économie et des finances concernant un projet d'arrêté modifiant l'arrêté du 22 avril 2016 portant création, par la direction générale de finances publiques (DGFiP), d'un traitement automatisé de données à caractère personnel dénommé DSN.
La loi du 29 décembre 2016 de finances pour 2017 a modifié les dispositions de l'article 204 A du code général des impôts (CGI) pour y introduire le principe du prélèvement à la source de l'impôt sur le revenu. La mise en œuvre de cette contribution s'appuie sur la communication à l'administration fiscale, par le tiers versant le revenu, des données nécessaires à la détermination du taux de prélèvement applicable à chaque bénéficiaire de revenus, taux que la DGFiP transmet en retour au tiers versant.
Un projet de décret d'application de ces dispositions législatives, qui prévoit notamment que ces échanges d'informations s'effectuent via la déclaration sociale nominative pour les tiers versants entrant dans le champ de l'article L. 133-5-3 du code de la sécurité sociale, a été soumis à la commission pour avis. Dans sa délibération susvisée du 23 mars 2017, la commission a estimé que, de manière générale, ce projet de décret était conforme aux dispositions de la loi du 6 janvier 1978 modifiée. Elle a toutefois émis une réserve concernant les destinataires des données traitées, dans la mesure où le texte n'apporte aucune précision quant aux personnes ou services habilités, au sein de l'organisme collecteur, à réceptionner les comptes rendus communiqués par l'administration fiscale.
Les modalités d'application projetées de la réforme du prélèvement de l'impôt sur le revenu impliquent une évolution de l'application DSN, mise en œuvre par la DGFiP aux fins d'acquérir, de stocker et de consolider les données issues des déclarations sociales nominatives pour pré-remplir la déclaration d'impôt sur le revenu et gérer les taxes assises sur les salaires, les taxes annexes ainsi que la contribution sur la valeur ajoutée des entreprises.
Parmi les données contenues dans les déclarations sociales nominatives et traitées par l'administration fiscale figure le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR). Le traitement DSN relève ainsi des dispositions de l'article 27-II (2°) de la loi du 6 janvier 1978modifiée et les modifications projetées doivent dès lors être autorisées par arrêté ministériel pris après avis motivé et publié de la commission.
Sur les nouvelles finalités du traitement :
L'article 1er du projet d'arrêté vise à modifier l'article 2 de l'arrêté précité du 22 avril 2016 afin d'y intégrer les nouvelles finalités liées au recouvrement du prélèvement à la source, à savoir :
- pour la DGFiP, transmettre aux collecteurs le taux de retenue à la source à appliquer et les éventuelles anomalies nominatives et financières ;
- pour les tiers collecteurs, transmettre à la DGFiP les informations individuelles relatives à chaque bénéficiaire de revenu soumis au prélèvement à la source, d'une part, et l'ordre de reversement des retenues collectées, d'autre part ;
- assurer le suivi statistique des données transmises ou échangées.
Ces dispositions apparaissent nécessaires à la mise en œuvre de la retenue à la source telle que prévue par le projet de décret d'application du 1° du 2 de l'article 204 A du CGI. Les nouvelles finalités du traitement DSN s'inscrivent ainsi dans le cadre des missions de l'administration fiscale et, en particulier, de l'établissement de l'assiette de l'impôt et des taxes assises sur les salaires, des taxes annexes ainsi que de la contribution sur la valeur ajoutée des entreprises. Elles participent également de l'objectif général de simplification des démarches administratives et, en l'espèce, des obligations déclaratives des contribuables en matière de situations sociales.
La commission considère dès lors que ces finalités sont déterminées, explicites et légitimes au sens de l'article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur l'ajout de nouvelles données et leur durée de conservation :
Le projet de décret précité relatif à la retenue à la source prévoit d'intégrer de nouvelles catégories de données à la déclaration sociale nominative, transmises à l'administration fiscale par les tiers collecteurs en vue du prélèvement à la source. Tirant les conséquences de ces dispositions, l'article 2 du projet d'arrêté prévoit le traitement de nouvelles catégories de données au sein du dispositif DSN mis en œuvre par la DGFiP.
Il s'agit des informations concernant chaque bénéficiaire de revenus et relatives au prélèvement à la source (taux de prélèvement, type du taux, identifiant du taux, montant de prélèvement), ainsi que des informations portant sur des anomalies, le cas échéant (mois de l'erreur, type d'erreur, taux déclaré le mois de l'erreur, éléments relatifs à la régularisation).
L'article 2 du projet d'arrêté prévoit en outre les catégories de données transmises en retour par la DGFiP aux tiers collecteurs, notamment les données relatives à la déclaration de retenue à la source (identité de l'émetteur, identification de la déclaration, identification du déclarant), les informations permettant d'identifier le bénéficiaire de revenu, en particulier son NIR, le taux de prélèvement à la source et les données relatives aux anomalies détectées par l'administration fiscale, le cas échéant.
S'agissant du recours au NIR des bénéficiaires de revenus dans le cadre du prélèvement à la source, l'article L. 288 A du livre des procédures fiscales (LPF), créé par la loi précitée du 29 décembre 2016, dispose que les échanges entre le tiers collecteur et l'administration fiscale s'opèrent sur la base du numéro d'inscription au répertoire national d'identification des personnes physiques . Le Législateur a ainsi expressément autorisé l'utilisation de cette donnée dans ce cadre, tout en précisant que les opérations d'échange d'informations entre le tiers collecteur et l'administration fiscale et les données recueillies, détenues ou transmises dans ce cadre le sont aux seules fins de gestion du prélèvement à la source et en étendant l'obligation de secret professionnel prévue à l'article L. 103 du LPF à ces informations. En outre, l'arrêté du 22 avril 2016 modifié prévoit d'ores et déjà que les fichiers reçus par la DGFiP et les données stockées en base, contenant le NIR, sont exclusivement conservés sur des supports informatiques dédiés et font l'objet de mesures de sécurité renforcées en application du décret susvisé du 4 janvier 2000.
Dans ces conditions, la commission considère que les nouvelles catégories de données intégrées au dispositif DSN sont adéquates, pertinentes et non excessives au regard de ses finalités liées au recouvrement du prélèvement à la source, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée.
L'arrêté du 22 avril 2016 dispose que les données à caractère personnel stockées dans le traitement DSN sont conservées sept ans. L'article 3 du projet d'arrêté modificatif prévoit une durée de conservation dérogatoire de quatre ans pour les données de reversement du prélèvement à la source et les données transmises aux collecteurs.
La commission prend acte que cette durée de conservation tient compte du délai de reprise dont dispose l'administration fiscale pour rectifier les omissions constatées dans l'assiette de l'impôt, les insuffisances, les inexactitudes ou les erreurs d'imposition. Pour l'impôt sur le revenu, ce droit de reprise s'exerce jusqu'à la fin de la troisième année qui suit celle au titre de laquelle l'imposition est due, conformément à l'article L. 169 du livre des procédures fiscales.
Dès lors, elle considère que cette durée n'excède pas la durée nécessaire aux finalités poursuivies, conformément aux dispositions de l'article 6-5° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données :
L'article 2 du projet d'arrêté prévoit, au titre des nouvelles finalités du traitement DSN, la transmission aux collecteurs du taux de retenue à la source effectuée et les éventuelles anomalies nominatives et financières.
A cet égard, la commission prend acte que, à sa demande, le ministère entend modifier l'article 7 de l'arrêté du 22 avril 2016 relatif aux destinataires des données à caractère personnel traitées afin d'y intégrer les tiers collecteurs, et plus précisément les personnes ou services chargés du versement des salaires, des pensions, des revenus de remplacement ou des autres revenus dans le champ de la retenue à la source, au sein des organismes susceptibles de recevoir et de traiter les données transmises par l'administration fiscale, ou pour le compte de ces organismes , limitant ainsi l'accès aux données aux seules personnes ou services ayant besoin d'en connaître.
Sur les autres modalités de mise en œuvre du traitement DSN :
Si le projet d'arrêté ne prévoit pas de modifier les autres modalités de mise en œuvre du traitement, la commission relève que les modifications qu'il porte doivent s'accompagner de mesures de sécurité renforcées, adaptées à la nature des données traitées ainsi qu'aux risques présentés par le traitement.· En effet, les évolutions de l'application DSN conduisent au traitement du NIR dans un cadre nouveau, ainsi qu'à la commission du taux de prélèvement de l'impôt sur le revenu, information sensible aux yeux des contribuables.
En outre, la commission rappelle la nécessite de délivrer une information claire et complète aux contribuables quant aux mécanismes d'échange des informations personnelles les concernant qui permettront à l'administration fiscale et aux tiers collecteurs de réaliser la retenue à la source de l'impôt sur le revenu.
Enfin, elle considère que l'exercice des droits d'accès et de rectification doit être facilité dans la mesure où l'inexactitude de ces données est susceptible d'emporter des conséquences financières importantes pour les bénéficiaires de revenus.
La présidente,
I. Falque-Pierrotin
Le bureau de la Commission nationale de l'informatique et des libertés,
Vu le code de la sécurité intérieure, notamment son article L. 253-3 ;
Vu la loi n° 78-17 modifiée du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 11 (2°, f), 19, 20 et 44 ;
Vu le décret n° 2005-1309 modifié du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978, notamment ses articles 57 à 60 ;
Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
 
Après avoir entendu Mme Marie-France MAZARS, vice-présidente déléguée, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations ;
Décide :
 
Article 1
Les agents de la Commission nationale de l'informatique et des libertés ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l'article 44 de la loi du 6 janvier 1978 et à l' article L. 253-3 du code de la sécurité intérieure :
Mme Maryline ABIVEN, chef du service du droit d'accès indirect à la direction de la protection des droits et des sanctions ;
Mme Fabienne AMIARD, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Céline BOYER, juriste au service du secteur régalien et des collectivités locales à la direction de la conformité ;
Mme Véronique BREMOND, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Thierry CARDONA, ingénieur au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Anne-Sophie CASAL, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Régis CHATELLIER, chargé des études prospectives au pôle innovation, études et prospective à la direction des technologies et de l'innovation ;
Mme Stephany CHEMMACHERY, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
M. Thomas CHRISTINE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Thomas DAUTIEU, directeur adjoint de la conformité ;
M. Guillaume DELAFOSSE, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Geoffrey DELCROIX, chargé des études prospectives au pôle innovation, études et prospective à la direction des technologies et de l'innovation ;
M. Eric DELISLE, juriste au service des correspondants Informatique et Libertés à la direction de la conformité ;
M. Xavier DELPORTE, adjoint au chef du service des relations avec les publics à la direction des relations avec les publics et la recherche ;
M. Olivier DESBIEY, chargé des études prospectives au pôle innovation, études et prospective à la direction des technologies et de l'innovation ;
M. Jérôme DE MERCEY, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Alexandra DORE, juriste au service de la santé à la direction de la conformité ;
M. Julien DROCHON, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Hugo DUSSERT, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Wafae EL BOUJEMAOUI, chef du service des questions sociales et ressources humaines à la direction de la conformité ;
M. Lionel ERRANDONEA, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Marie FERTE, juriste au service du secteur régalien et des collectivités locales à la direction de la conformité ;
Mme Anne FONTANILLE, juriste au service des correspondants Informatique et Libertés à la direction de la conformité ;
Mme Florence FOURETS, directrice de la protection des droits et des sanctions ;
M. Emile GABRIE, chef du service du secteur régalien et des collectivités locales à la direction de la conformité ;
Mme Mahalia GALIÉ-BLANZÉ, juriste au secteur régalien et des collectivités locales à la direction de la conformité ;
M. Gaston GAUTRENEAU, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Rodolphe GENISSEL, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions
Mme Sophie GENVRESSE, juriste au service du secteur économique à la direction de la conformité ;
M. Mathieu GINESTET, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Jérôme GORIN, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Matthieu GRALL, chef du service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Michel GUEDRÉ, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Hélène GUIMIOT-BREAUD, juriste au service de la santé à la direction de la conformité ;
Mme Fatima HAMDI, chef du service des relations avec les publics à la direction des relations avec les publics et la recherche ;
Mme Aurélie HARVENT-LAFFONT, juriste au service des correspondants Informatique et Libertés à la direction à de la conformité ;
M. Paul HEBERT, directeur adjoint de la conformité ;
Mme Amandine JAMBERT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Véronique JENNEQUIN, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Maya JOUBIN, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Pauline KIENLEN, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Karin KIEFER, chef du service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Chloé KURFÜRST, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Florian LABAUDINIERE, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Sabrina LALAOUI, juriste au service du secteur régalien et des collectivités locales à la direction de la conformité ;
Mme Alice de LA MURE, juriste au service des correspondants Informatique et Libertés à la direction à de la conformité ;
M. Bernard LAUNOIS, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Gwendal LE GRAND, directeur des technologies et de l'innovation ;
M. Jean LESSI, secrétaire général ;
Mme Maud LETAY, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Noémie LICHON, adjoint au chef du service des plaintes à la direction de la protection des droits et des sanctions ;