AgentPublic/cnil huggingface dataset:
L'article 1er du projet d'arrêté précise en effet que ce nouveau type de transfert d'informations à destination de l'ACOSS doit permettre le calcul de la cotisation maladie des personnes résidant en France et travaillant en Suisse, affiliées au régime général de sécurité sociale français.
La commission rappelle que l'ACOSS est un établissement public national à caractère administratif chargé d'assurer la gestion commune et centralisée des ressources et de la trésorerie du régime général de la sécurité sociale. Dotée d'une personnalité juridique et d'une autonomie financière, l'ACOSS assure l'individualisation de la trésorerie de chacune des branches de la sécurité sociale (maladie, famille, vieillesse, accident du travail et maladies professionnelles) et pilote le réseau des URSSAF (Union de recouvrement des cotisations de sécurité sociale et d'allocations familiales). A ce titre, cette agence est notamment chargée d'assurer la collecte des cotisations destinées à financer la sécurité sociale et la répartition de ces fonds aux organismes en charge de les redistribuer sous forme de prestations.
Les décrets n° 2014-516 et n° 2014-517 susvisés précisent les modalités de prise en charge, par l'ACOSS, des fonctions de recouvrement de la cotisation maladie de la population des frontaliers suisses dans le cadre de la fin du droit d'option. En effet, jusqu'à présent, les travailleurs frontaliers qui exercent en Suisse et résident en France pouvaient être exemptés de l'obligation de s'affilier au régime d'assurance maladie suisse s'ils disposaient d'une couverture maladie en France, conformément aux dispositions de l'accord signé entre l'Union européenne et la Confédération suisse du 21 juin 1999. En cas de non-affiliation au régime d'assurance maladie suisse, les travailleurs frontaliers résidant en France disposaient de deux possibilités : l'affiliation au régime général de sécurité sociale français au titre de la couverture maladie universelle (CMU) ou, jusqu'au 31 mai 2014, la souscription d'un contrat d'assurance privé pour le risque maladie.
La fin du droit de recours à une assurance privée pour couvrir le risque maladie nécessite dès lors l'affiliation au régime général de sécurité sociale, par les caisses primaires d'assurance maladie (CPAM) et les URSSAF, des personnes actuellement bénéficiaires d'un contrat d'assurance.
La commission relève que le réseau des URSSAF sera chargé du calcul et de l'encaissement des cotisations des travailleurs frontaliers en Suisse, conformément à l' article R. 380-3 du code de la sécurité sociale ( CSS). A cet égard, l'article D. 380-5 du même code prévoit que les éléments nécessaires à la détermination de la cotisation due par les personnes affiliées au régime général de sécurité sociale français sont communiqués par l'administration fiscale aux organismes chargés de la liquidation et du recouvrement de cette cotisation.
La communication d'informations fiscales issues de la déclaration de revenus concernant les assurés résidant en France et travaillant en Suisse, affiliés au régime général de la sécurité sociale français, fait suite à la transmission par I'ACOSS au CNTDF d'un fichier d'appels , lequel procède ensuite au traitement des informations transmises par la DGFiP avant de constituer des fichiers de restitutions d'informations fiscales à destination de l'ACOSS.
Au regard de l'ensemble de ces éléments, la commission considère que la mise en œuvre d'un nouveau type de transfert d'informations devant permettre le calcul de la cotisation maladie des assurés résidant en France et travaillant en Suisse apparaît conforme aux dispositions de l'article L. 152 du LPF. Elle rappelle néanmoins que seules les informations fiscales nécessaires à l'exécution des finalités mentionnées à l'article L. 152 du LPF pourront être traitées.
L'article 2 du projet d'arrêté énumère les informations contenues dans le fichier d'appels transmis par l'ACOSS au CNTDF et l'article 3, les informations restituées par le traitement TDF aux organismes demandeurs. La commission relève que la constitution d'un fichier d'appels s'effectue sous le contrôle de l'organisme demandeur. Tout fichier d'appels est ainsi accompagné des noms et coordonnées du correspondant CNTDF de l'organisme pour le compte duquel il est présenté.
Conformément aux dispositions de l'article R. 152-1 susvisé, le NIR peut être communiqué par l'ACOSS quand il en a connaissance. La commission rappelle que les NIR transmis par cet organisme sont exclusivement conservés au CNTDF dans des fichiers informatisés dédiés, dénommés tables de correspondance NIR/ITIP­SPI , permettant d'établir un lien entre le NIR complété des quatre premiers caractères du nom de famille, d'une part, et l'identifiant technique du système d'information de la DGFiP (n° ITIP) et l'identifiant fiscal national individuel utilisé par les administrations fiscales dans leurs traitements internes et dans leurs relations avec les contribuables (n° SPI), d'autre part.
La commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément à l'article 6 (3°) de la loi du 6 janvier 1978 modifiée.
Les informations contenues dans les fichiers d'appels ou de restitutions sont conservées au CNTDF deux ans au maximum à compter de la réception des fichiers.
La commission prend acte des précisions du ministère selon lesquelles cette durée correspond à l'année en cours ainsi qu'à l'année précédente et qu'il s'agit du temps nécessaire à la réalisation du traitement et aux réponses adressées aux requêtes des organismes. Elle prend acte que, à sa demande, le point de départ de cette durée de conservation, c'est-à-dire la réception de ces fichiers, figurera expressément dans le projet d'arrêté.
Les informations présentes dans les fichiers de restitutions sont conservées trois ans à compter de la date d'acquittement ou d'exigibilité des contributions, par l'ACOSS, conformément à l' article L. 244-3 du code de la sécurité sociale.
Les destinataires des fichiers de restitutions sont les agents habilités de l'ACOSS.
S'agissant des modalités d'information des personnes, la commission observe qu'une mention particulière figure dans la notice de déclaration de revenus, sous l'intitulé Données fiscales : accès et transmission , visant à informer l'ensemble des usagers de l'existence de la procédure de transfert de données fiscales. Elle prend par ailleurs acte que l'ACOSS s'engage à modifier les notifications d'affiliation afin d'informer les cotisants, via ce courrier, de la mise en œuvre de la procédure TDF.
La commission considère que les conditions d'information prévues à l'article 32 de la loi du 6 janvier 1978 modifiée sont remplies.
Les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée s'exercent auprès du centre des finances publiques du domicile fiscal du requérant pour les informations issues de traitements relevant de la DGFiP et auprès du Centre national des travailleurs frontaliers en Suisse gérant le dossier du redevable pour les travailleurs frontaliers résidant en France s'agissant des informations transmises à l'ACOSS.
La commission relève que le droit d'opposition, prévu par l'article 38 de la loi du 6 janvier 1978 modifiée, ne s'applique pas au traitement projeté.
S'agissant des mesures de sécurité, le CNTDF est situé au sein de l'établissement de services informatiques (ESI) de Nevers, lequel répond aux conditions de sécurité particulières exigées par le décret no 2000-8 du 4 janvier 2000 susvisé.
Les transmissions de données sont effectuées sous forme chiffrée dans le cadre du réseau privé et sécurisé de la DGFiP ou exceptionnellement par CD-ROM.
Une copie de la table de correspondance NIR/ITIP est constituée dans l'ESI de Clermont-Ferrand puis transmise sous forme chiffrée au CNTDF par le réseau sécurisé. Cette table est conservée dans des fichiers dédiés sur des supports informatiques distincts permettant leur destruction physique. En cas de nécessité, un dispositif informatique permet de déclencher à distance l'effacement de la table de correspondance.
Une politique de gestion des habilitations est mise en œuvre. Le contrôle d'accès logique s'effectue par mot de passe. La commission prend acte que le ministère s'engage à respecter ses recommandations concernant la gestion des mots de passe.
Une traçabilité des actions des utilisateurs, individuellement habilités, est également assurée (identifiant, horodatage de connexion/déconnexion, commandes lancées). Il en va de même pour les accès à la table de correspondance NIR/ITIP qui font également l'objet d'une journalisation. L'ensemble des données de journalisation est conservé treize mois.
La commission considère que les mesures de sécurité mises en place sont conformes à l'exigence de sécurité prévue à l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
La présidente,
I. Falque-Pierrotin
Le vice-président délégué,
M.-F. Mazars
Le bureau de la Commission nationale de l'informatique et des libertés,
Vu le code de la sécurité intérieure, notamment son article L. 253-3 ;
Vu la loi n° 78-17 modifiée du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 11 (2°, f), 19, 20 et 44 ;
Vu le décret n° 2005-1309 modifié du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978, notamment ses articles 57 à 60 ;
Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Après avoir entendu Mme Marie-France MAZARS, vice-présidente déléguée, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Décide :
Article 1
Les agents de la Commission nationale de l'informatique et des libertés ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l'article 44 de la loi du 6 janvier 1978 et à l' article L. 253-3 du code de la sécurité intérieure :
Mme Maryline ABIVEN, chef du service du droit d'accès indirect à la direction de la protection des droits et des sanctions ;
Mme Fabienne AMIARD, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
M. Maxime AUVY, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Leslie BASSE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Brice BASTIÉ, juriste au service du secteur économique à la direction de la conformité ;
M. Franck BAUDOT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Barbara BAVOIL, assistante au service du secteur économique à la direction de la conformité ;
Mme Nacéra BEKHAT, juriste au service de la santé à la direction de la conformité ;
Mme Margalith BENECH-KOPELIANSKIS, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Anna BENISTI, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Tiphaine BESSIERE, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
M. Thomas BIZET, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Soumia BOUASSAM, juriste au service de la santé à la direction de la conformité ;
M. Erik BOUCHER-DE-CREVECOEUR, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Stéphanie BOISSEAU, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Céline BOYER, juriste au service du secteur régalien et des collectivités locales à la direction de la conformité ;
Mme Véronique BREMOND, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Thierry CARDONA, ingénieur au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Delphine CARNEL, juriste au service du secteur régalien et des collectivités locales à la direction de la conformité ;
Mme Anne-Sophie CASAL, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Régis CHATELLIER, chargé des études prospectives au pôle innovation, études et prospective à la direction des technologies et de l'innovation ;
Mme Stephany CHEMMACHERY, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
M. Thomas CHRISTINE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Thomas DAUTIEU, directeur adjoint de la conformité ;
M. Guillaume DELAFOSSE, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Geoffrey DELCROIX, chargé des études prospectives au pôle innovation, études et prospective à la direction des technologies et de l'innovation ;
M. Eric DELISLE, juriste au service des correspondants Informatique et Libertés à la direction de la conformité ;
M. Xavier DELPORTE, adjoint au chef du service des relations avec les publics à la direction des relations avec les publics et la recherche ;
M. Olivier DESBIEY, chargé des études prospectives au pôle innovation, études et prospective à la direction des technologies et de l'innovation ;
M. Jérôme DE MERCEY, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Alexandra DORE, juriste au service de la santé à la direction de la conformité ;
M. Julien DROCHON, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Hugo DUSSERT, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Wafae EL BOUJEMAOUI, chef du service des questions sociales et ressources humaines à la direction de la conformité ;
M. Lionel ERRANDONEA, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Marie FERTE, juriste au service du secteur régalien et des collectivités locales à la direction de la conformité ;
Mme Anne FONTANILLE, juriste au service des correspondants Informatique et Libertés à la direction de la conformité ;
Mme Florence FOURETS, directrice de la protection des droits et des sanctions ;
M. Emile GABRIE, chef du service du secteur régalien et des collectivités locales à la direction de la conformité ;
Mme Mahalia GALIÉ-BLANZÉ, juriste au secteur régalien et des collectivités locales à la direction de la conformité ;
M. Gaston GAUTRENEAU, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Edouard GEFFRAY, secrétaire général ;
M. Rodolphe GENISSEL, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Sophie GENVRESSE, juriste au service du secteur économique à la direction de la conformité ;
M. Mathieu GINESTET, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Jérôme GORIN, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Matthieu GRALL, chef du service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Michel GUEDRÉ, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Hélène GUIMIOT-BREAUD, juriste au service de la santé à la direction de la conformité ;
Mme Fatima HAMDI, chef du service des relations avec les publics à la direction des relations avec les publics et la recherche ;
Mme Aurélie HARVENT-LAFFONT, juriste au service des correspondants Informatique et Libertés à la direction à de la conformité ;
M. Paul HEBERT, directeur adjoint de la conformité ;
Mme Amandine JAMBERT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Véronique JENNEQUIN, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Maya JOUBIN, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Pauline KIENLEN, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Karin KIEFER, chef du service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Chloé KURFÜRST, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Florian LABAUDINIERE, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Sabrina LALAOUI, juriste au service du secteur régalien et des collectivités locales à la direction de la conformité ;
Mme Alice de LA MURE, juriste au service des correspondants Informatique et Libertés à la direction à de la conformité ;
M. Bernard LAUNOIS, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Gwendal LE GRAND, directeur des technologies et de l'innovation ;
Mme Maud LETAY, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Noémie LICHON, adjoint au chef du service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Kimberley LOBRY, assistante juridique au service du droit d'accès indirect à la direction de la protection des droits et des sanctions ;
Mme Astrid MARIAUX, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Joanna MASSON, juriste au service du secteur économique à la direction de la conformité ;
M. Richard MONTBEYRE, chef du service des contrôles à la direction de la protection des droits et des sanctions ;
M. Mathias MOULIN, directeur adjoint de la protection des droits et des sanctions ;
Mme Sophie NERBONNE, directrice de la conformité ;
Mme Ingrid NKOUENJIN, juriste au service des correspondants Informatique et Libertés à la direction de la conformité ;
Mme Rabia OUADDAH, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Daniéla PARROT, chef du service des plaintes à la direction de la protection des droits et des sanctions ;
M. Frédéric PATTE-BRASSEUR, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Astrid PEYRARD, adjoint au chef du service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Délia RAHAL-LOFSKOG, chef du service de la santé à la direction de la conformité ;
Mme Florence RAYNAL, chef du service des affaires européennes et internationales ;
Mme Albane RICHET, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. David RUIZ, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
Mme Isabelle SANSOT, juriste au service du secteur économique à la direction de la conformité ;
Mme Katty SAINT-GELAIS, juriste responsable du pôle Transferts/BCR à la direction de la conformité ;
Mme Clémence SCOTTEZ, chef du service du secteur économique à la direction de la conformité ;
Mme Emilie SERUGA-CAU, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
M. Vincent TOUBIANA, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Félicien VALLET, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Sophie BORY, juriste au service des affaires européennes et internationales ;
M. Benjamin VIALLE, responsable de la sécurité des systèmes d'information au secrétariat général ;
Mme Albine VINCENT, chef du service des correspondants Informatique et Libertés à la direction de la conformité ;
M. Christophe VIVENT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Sophie VULLIET-TAVERNIER, directrice des relations avec les publics et la recherche.
Article 2
La délibération n° 2016-329 du 10 novembre 2016 habilitant des agents de la CNIL à procéder à des missions de vérification est abrogée.
Article 3
Les habilitations mentionnées à l'article 1er sont délivrées pour une durée de cinq ans.
Article 4
La présente décision prendra effet à compter de la date de sa publication au Journal officiel de la République française.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Jean-François CARREZ, Président, M. Alexandre LINDEN, Vice-président, M. Maurice RONAI, M. Philippe GOSSELIN, Mme Dominique CASTERA et Mme Marie-Hélène MITJAVILE, membres ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 45 et suivants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi
n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu les décisions n° 2015-091C du 17 mars 2015 et n° 2015-401C du 14 décembre 2015 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder, d’une part, à une mission de vérification auprès de la société X et, d’autre part, à une mission de vérification des traitements de données à caractère personnel portant, en tout ou partie, sur des données collectées au moyen du site […] ou au moyen des cookies relevant de ce domaine ;
Vu la décision n° 2016-007 du 26 janvier 2016 de la Présidente de la Commission nationale de l’Informatique et des libertés mettant en demeure les sociétés X et Y ;
Vu la délibération du bureau de la Commission nationale de l’informatique et des libertés
n° 2016-026 du 4 février 2016 décidant de rendre publique la mise en demeure n° 2016-007 du 26 janvier 2016 prise à l’encontre des sociétés X et Y ;
Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 17 novembre 2016 ;
Vu le rapport de M. Philippe LEMOINE, commissaire rapporteur, du 14 décembre 2016 ;
Vu les observations écrites versées par la société Y le 6 mars 2017 ainsi que les observations orales formulées lors de la séance de la formation restreinte ;
Vu les observations écrites versées par la société X le 6 mars 2017 ;
Vu les autres pièces du dossier ;