AgentPublic/cnil huggingface dataset:
- l'échange des informations nécessaires avec le groupement d'intérêt public. mentionné au VI de l'article L. 161-17 du code de la sécurité sociale et ses membres pour la prise en considération de l'ensemble des droits constitués dans les régimes de retraite de base légalement obligatoires ;
- l'information des fonctionnaires, magistrats et militaires sur les droits à la retraite qu'ils se sont constitués dans l'ensemble des régimes de retraite de base légalement obligatoires ;
- le suivi des versements de cotisations et contributions par les employeurs des fonctionnaires, des magistrats et des militaires détachés dans des emplois ne conduisant pas à pension de l'Etat ou de la Caisse nationale de retraites des agents des collectivités locales ;
- la liquidation et la concession des pensions de retraite des fonctionnaires, magistrats et militaires et de leurs ayants cause.
Le présent projet de décret modifie ce traitement sur deux points :
- en y intégrant un mécanisme dit de sécurisation , qui empêche la modification des données saisies dans ce traitement par les employeurs, sauf pour l'année en cours. Une levée de la sécurisation ne peut avoir lieu qu'à titre exceptionnel (rectification en masse, rectification de certains types de données…) et avec l'accord et intervention du services des retraites de l'Etat ;
- en y intégrant un autre traitement existant, relatif à la gestion des demandes d'allocations temporaires d'invalidité (traitement ALADIN), créé par un arrêté du 17 avri1 2000.
Concernant le mécanisme de sécurisation , la commission observe qu'il préserve la possibilité de rectifier ou de mettre à jour des données qui se révèleraient inexactes ou incomplètes postérieurement à cette sécurisation.
S'agissant de l'incorporation du traitement ALADIN au sein du traitement CIR, la commission observe qu'il s'agit d'une fusion qui n'a d'incidence ni sur le contenu même des finalités concernées, ni sur le volume et la nature des données collectées.
La commission prend note de ce que la fusion des deux traitements entraîne la disparition du traitement ALADIN.
Le service des retraites de l'Etat (SRE), auquel la gestion du traitement CIR a été confiée par le décret du 29 mars 2014, se substitue donc désormais au Service des pensions du ministère de l'économie, des finances et de l'industrie, qui était en charge de la gestion du traitement ALADIN.
En revanche, la fusion projetée n'aura pas d'impact sur les autres destinataires du traitement ALADIN, à savoir, les services gestionnaires des dossiers d'allocation temporaire d'invalidité dans les ministères employeurs et l'allocataire, pour la totalité des informations ; les services déconcentrés du Trésor chargés du paiement des pensions et la direction des affaires juridiques du ministère de l'économie, des finances et de l'industrie dans les cas où la responsabilité d'un tiers est impliquée, uniquement pour la partie des informations les concernant.
La commission prend acte de ces modifications et estime que ces personnes ont un intérêt légitime à connaître des donnés dans le traitement projeté.
Sont ainsi ajoutées au traitement CIR, les finalités de gestion des demandes d'allocations temporaires d'invalidité, la gestion des concessions correspondantes à ces demandes, ainsi que la gestion électronique des documents et la dématérialisation des pièces justificatives.
La commission estime que ces finalités sont déterminées, explicites et légitimes.
Le périmètre des données collectées dans le cadre du traitement CIR est élargi aux données suivantes, précédemment collectées dans le cadre du dispositif ALADIN :
- événements à l'origine des infirmités : dates, lieux et nature des circonstances de ces évènements, faits générateurs de la prestation demandée (accidents de service, accidents de trajet, maladies professionnelles ou d'origine professionnelle), origine de l'invalidité (premier droit ou aggravation, blessure ou maladie), imputabilité au service, infirmités au titre desquelles est présentée la demande ;
- la procédure : dates des étapes de la procédure (demande, expertises médicales, commission de réforme, concession, contestations, délai de forclusion ;
- éléments de calcul de l'allocation : dates de début et de fin de jouissance de l'allocation, assiette de l'allocation en nombre de points d'indice majoré, taux d'invalidité de chaque infirmité et taux global d'invalidité, rente déductible, montant et date d'effet de l'allocation) ;
- décision prise à l'égard de la personne concernée : assignation de l'allocation, fondement juridique du droit à allocation, décision de rejet de l'allocation.
La commission estime que ces données sont adéquates, pertinentes et non excessives au regard des finalités poursuivies par le traitement.
Concernant la gestion des pièces justificatives dématérialisées, la commission prend note du fait que seuls pourront être accessibles aux gestionnaires les documents rattachés au compte ne comportant aucune information relative aux infirmités des affiliés.
La commission estime que les autres dispositions du présent projet de décret n'appellent pas d'observation.
Pour la présidente :
Le vice-président délégué,
Marie-France Mazars
La Commission nationale de l'informatique et des libertés,
Saisie par le Ministère de l’économie et des finances d’une demande d’avis concernant un projet d’arrêté portant création d’un traitement automatisé de données à caractère personnel dénommé PAYFiP ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 27 II 4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n°2012-1246 du 7 novembre 2012 relatif à la gestion budgétaire et comptable publique ;
Vu l’arrêté du 22 décembre 2009 portant création d’un traitement automatisé de données à caractère personnel dénommé TIPI (Titres payables par internet) ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
 
Émet l’avis suivant :
La Commission a été saisie par le ministère de l’économie et des finances d’une demande d’avis sur un projet d’arrêté portant création, par la Direction Générale des Finances publiques (DGFiP), d’un traitement de données à caractère personnel dénommé PAYFiP .
 
Ce dispositif vise à mettre à disposition des usagers des administrations publiques un téléservice de l’administration permettant aux usagers d’effectuer un paiement en ligne par prélèvement bancaire.
 
Dans la mesure où le traitement projeté comporte un identifiant des personnes physiques, il relève des dispositions de l’article 27-II-4° de la loi du 6 janvier 1978 modifiée. Conformément auxdites dispositions, sa mise en œuvre doit dès lors être autorisée par arrêté ministériel pris après avis motivé et publié de la Commission.
 
Le ministère a indiqué qu’à terme, une deuxième version de PayFiP permettant notamment de s’authentifier via FranceConnect serait déployée. La Commission rappelle qu’elle devra être saisie de toutes les modifications que le déploiement de cette prochaine version du traitement pourrait impliquer.
 
Sur la finalité du traitement :
 
Le traitement projeté s’insère dans le cadre du développement de l’administration numérique et particulièrement des moyens de paiement électronique offerts aux usagers.
Aux termes de l’article 2 du projet d’arrêté, le traitement a pour finalité de mettre à disposition des usagers, un service sécurisé de paiement en ligne, leur permettant de régler, par prélèvement bancaire, les créances émises par les organismes et services publics soumis au décret n°2012-1246 du 7 novembre 2012 (services de l’État, collectivités territoriales, établissements publics d’enseignement, établissements publics de santé,...).
 
La Commission prend acte que le traitement PayFiP permettra à un usager de payer des créances fiscales et des créances non fiscales (restauration, piscine, bibliothèque, centre de loisirs, etc.) en ligne à un organisme ou service public adhérant au dispositif TIPI par prélèvement bancaire.
 
La Commission prend acte qu’il s’agit d’un service de paiement facultatif mis à disposition des usagers.
 
L’article 2 indique en outre que Le service sécurisé de paiement en ligne est mis à disposition par l’intermédiaire d’application ou de téléservices .
 
En pratique, le dispositif envisagé dans sa première version ne pourra fonctionner qu’avec l’application TIPI . Pour rappel, le traitement TIPI (Titres Payables par Internet), mis en œuvre par la DGFiP, a pour objet la gestion du paiement en ligne par carte bancaire des titres de recette et des factures de régie émis par les organismes ayant adhéré au dispositif TIPI .
TIPI permet aux usagers des entités publiques adhérentes au dispositif de payer une créance dont ils sont débiteurs par carte bancaire sur internet par l’intermédiaire d’un gestionnaire de télépaiement agissant pour le compte de la DGFiP.
 
Concrètement, pour payer une facture, l’usager pourra accéder à TIPI soit depuis le portail de paiement de la DGFiP (www.tipi.budget.gouv.fr) soit depuis le portail de l’entité, de la collectivité ou du service public adhérant au dispositif TIPI . 
 
Si l’accès se fait via le portail d’une collectivité adhérant à TIPI , l’usager renseigne sur la page dédiée le numéro de facture, son montant et son adresse électronique et confirme sa volonté de payer. Il est alors redirigé vers TIPI . Pour payer par prélèvement, l’usager doit ensuite sélectionner l’option de paiement prélèvement .
 
En cas d’accès via le portail de la DGFiP, l’usager saisit les données nécessaires au paiement à savoir l’identifiant de l’organisme adhérent, les références de la créance et le montant ainsi qu’une adresse de messagerie électronique. L’usager valide sa volonté de payer la créance choisie et est redirigée vers TIPI . L’usager peut alors sélectionner l’option de paiement prélèvement .
Pour poursuivre l’opération de paiement, une brique d’authentification propose à l’usager de renseigner un identifiant et un mot de passe. En l’occurrence, l’identifiant et le mot de passe concernés sont ceux utilisés pour accéder sur l’espace personnel accessible via le site impots.gouv.fr. L’identifiant dont il est question est l’identifiant fiscal, aussi dénommé SPI . L’étape d’authentification de l’usager s’avère nécessaire pour accéder à PayFiP .
 
Une fois l’authentification effectuée l’usager est redirigée vers PayFiP et il lui est proposé soit de sélectionner un compte bancaire parmi ceux enregistrés dans le référentiel des comptes bancaires de la DGFiP REF-CB soit de saisir les références du compte bancaire avec lequel il souhaite payer sa créance.
 
Après confirmation du paiement par l’usager, ce dernier ainsi que le comptable ou le régisseur concerné par la créance reçoivent un ticket de paiement par courriel.
 
La Commission considère que ce traitement est de nature à simplifier les démarches administratives des usagers et d’améliorer les relations entre les usagers et l’administration. A ce titre, elle estime que les finalités poursuivies sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
 
Sur la nature des données traitées :
L’article 3 du projet d’arrêté précise les différentes catégories de données enregistrées dans le traitement en distinguant les données relatives au débiteur, les données relatives à la créance, les coordonnées bancaires utilisées pour le paiement, les données relatives à l’ordre de paiement, les données relatives au mandat de prélèvement et les données relatives au règlement de la créance.
 
Les données relatives à la créance et à son règlement, à l’ordre de paiement et au mandat de prélèvement n’appellent pas d’observation de la Commission.
 
Concernant les données relatives au débiteur, le projet d’arrêté précise que sont traités les nom et prénom, l’identifiant dans le référentiel PERS et l’adresse électronique.
 
La Commission prend acte que l’identifiant de la personne dans le référentiel PERS fait référence à l’ ITIP , il s’agit d’un identifiant technique interne à l’administration fiscale. La Commission relève que cet élément doit être précisé dans le projet d’arrêté. Sur ce point, la Commission prend acte que le ministère s’engage à préciser l’identifiant précité dans l’arrêté.
Par ailleurs, il est observé que les données relatives à l’authentification (le SPI et le mot de passe) nécessaires pour accéder à PayFiP ne sont pas mentionnées dans le projet d’arrêté. Sur ce point la Commission rappelle l’importance d’informer les personnes concernées de l’ensemble des données collectées les concernant et invite en conséquent le ministère à modifier le projet d’arrêté en ce sens. 
 
Aussi, la Commission relève que les données relatives à l’authentification ne sont pas obligatoirement celles du débiteur. En effet, le ministère admet que la créance puisse être payée par une personne différente de celle du débiteur mais sous réserve de s’authentifier. Autrement dit, il conviendrait d’indiquer dans le projet d’arrêté que les données relatives à l’authentification (le SPI et le mot de passe) du payeur (qu’il soit débiteur ou non) sont enregistrées dans le traitement.
 
S’agissant des coordonnées bancaires utilisées pour le paiement (référence du compte, libellé du compte, identification du titulaire du compte : civilité, nom, prénom, adresse), la Commission considère qu’il s’agit de données nécessaires et pertinentes au regard de la finalité poursuivie par le traitement à savoir, la réalisation d’une opération de paiement par prélèvement bancaire.
Toutefois, suite aux demandes des services de la Commission concernant les coordonnées bancaires utilisées pour le paiement, le ministère a confirmé que les coordonnées bancaires utilisées pour payer une créance via PayFiP étaient automatiquement enregistrées dans le référentiel de la DGFiP REF-CB et cela sans information de l’usager et sans possibilité pour lui de refuser cet enregistrement.
 
Dans une logique de simplification des démarches pour l’usager, la Commission entend le souci du ministère d’enregistrer les comptes bancaires des usagers en vue de leur proposer lors du paiement d’une nouvelle créance, néanmoins la Commission rappelle que l’usager doit être informé du traitement de ses données conformément à l’article 32 de la loi du 6 janvier 1978 modifiée et que son consentement doit être recueilli au sens de l’article 7 de la loi précitée.
 
La Commission souligne que les coordonnées bancaires constitue des données à caractère personnel, elle invite donc le ministère à ne pas enregistrer de manière automatique les coordonnées bancaires des usagers dans le référentiel REF-CB sans les avoir préalablement informé et mis en mesure d’accepter. La Commission prend acte que le ministère s’engage à intégrer une évolution applicative permettant le recueil du consentement de l’usager pour la conservation de ses coordonnées bancaires dans la deuxième version de PayFIP déployée.
Enfin, l’article 4 du projet d’arrêté précise que les données de connexion de l’usager à PayFiP sont enregistrées, à savoir l’adresse IP ainsi que la date et l’heure des connexions, ce point n’appelle pas d’observation de la Commission.
 
Sous réserve des précédentes observations, la Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
L’article 5 du projet d’arrêté distingue deux types de durées de conservation.
 
S’agissant des données mentionnées à l’article 3 du projet d’arrêté (notamment les données relatives au débiteur et les données relatives aux coordonnées bancaires) et des mandats dématérialisés, il est prévu une durée de conservation de dix-huit mois, justifiée par le ministère par le traitement des réclamations et notamment le délai de forclusion de treize mois suivant le débit de l’opération prévue à l’article L.133-24 du code monétaire et financier.
 
La Commission considère toutefois que le projet d’arrêté devrait prévoir une durée de conservation limitée au délai de forclusion précitée, soit treize mois à compter du débit de l’opération. A cet égard, la Commission prend acte que le ministère s’engage à conserver les données pendant une durée de treize mois.
S’agissant des données de connexion, la durée de conservation prévue de quatre-vingt-dix jours n’appelle pas d’observation de la Commission.
 
Sur les destinataires des données :
 
L’article 6 du projet d’arrêté prévoit comme destinataires au sein de la DGFiP, les agents habilités chargés de l’accompagnement des organismes et services publics pour les moyens de paiement.
 
Ledit article prévoit également comme destinataires le comptable public assignataire et les régisseurs, ainsi que les agents habilités placés sous leurs autorités, et la Banque de France dans le cadre des opérations de paiement.
 
La Commission estime que les destinataires des données sont justifiés au regard de la finalité poursuivie par le traitement.
 
Sur l’information des personnes :
 
Le ministère prévoit d’informer les personnes concernées du traitement de leurs données par une mention sur le portail de télépaiement de la DGFiP, la Commission estime que cette mention d’information est conforme à l’article 32 de la loi du 6 janvier 1978 modifiée.
Néanmoins, la Commission rappelle l’importance de la qualité de l’information qui doit être relayée par le ministère auprès des collectivités, services publics, organismes adhérant au dispositif TIPI . Dans ce cadre, la Commission invite le ministère à transmettre des mentions-types d’information aux collectivités, services publics et organismes adhérant au dispositif TIPI aux fins d’insertion sur la page d’accès ou de redirection au service de télépaiement.
Sur les droits d'accès, de rectification et d'opposition des personnes :
 
S'agissant des droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée, l'article 7 du projet d'arrêté dispose que ceux-ci s’exercent auprès du comptable compétent, ce point n’appelle pas d’observation de la Commission.
 
La Commission rappelle toutefois que le responsable de traitement ayant collecté les données à caractère personnel par voie électronique, conformément à l’article 43 bis de la loi du 6 janvier 1978 modifiée, doit permettre à toute personne concernée par le traitement d’exercer ses droits par voie électronique.
Enfin, le ministère entend faire application du dernier alinéa de l'article 38 de la loi susmentionnée en excluant le droit d'opposition, ce qui n'appelle pas d'observation particulière de la Commission.
Sur la sécurité des données et la traçabilité des actions :
 
La Commission rappelle que le traitement étant un téléservice au sens de l'ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives
, il doit être conforme au référentiel général de sécurité (RGS) prévu par le décret n° 2010-112 du 2 février 2010
pris pour l'application des articles 9, 10 et 12 de l'ordonnance susvisée, et doit à ce titre faire l'objet d'une analyse de risque incluant les risques pesant sur les personnes concernées. Elle rappelle également qu’il revient au responsable de traitement d’attester formellement de l'acceptation du niveau de sécurité du téléservice au travers d’une homologation RGS et d'en publier l'attestation d'homologation sur son site.
 
La Commission note que des profils utilisateurs et administrateurs sont prévus afin de gérer les accès aux données en tant que de besoin. Chaque usager du téléservice s’authentifie avec les identifiant ( SPI ) et mot de passe utilisés pour accéder à son espace personnel sur le site impotsgouv.fr. A cet égard, la Commission rappelle que la politique de mots de passe mise en œuvre doit être conforme à sa délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe.
 
La Commission relève qu’un module d’analyse de données est mis en place et permet une exploitation statistique des opérations effectuées comme par exemple, le montant des opérations réalisées par jour, par créancier, etc. Seuls les administrateurs ont accès aux statistiques fournies par ce module d’analyse. Ce point n’appelle pas d’observation de la Commission.
Les accès au traitement PayFiP se font via le protocole HTTPS qui permet de garantir la confidentialité des données échangées ainsi que l’authentification du responsable de traitement. Concernant le recours à ce protocole, la Commission recommande d’utiliser la version de TLS la plus à jour possible.
 
La Commission observe que les transferts de données sont sécurisés par l’utilisation de réseaux isolés et compartimentés et que des mesures sont prévues pour assurer le cloisonnement du traitement. Le réseau de la DGFiP fait l’objet de mesure de filtrage ayant pour but de restreindre l’émission et la réception des flux aux machines identifiées et autorisées.
 
En outre, des sauvegardes sont réalisées quotidiennement. Elles sont stockées dans un endroit garantissant leur sécurité et leur disponibilité. La Commission rappelle que celles-ci doivent être testées régulièrement afin de s’assurer de leur intégrité.
 
Concernant la confidentialité des données, la Commission prend acte que le ministère prévoit de mettre en œuvre du chiffrement pour les sauvegardes au deuxième semestre 2018.
 
La Commission relève que les connexions des usagers font l’objet d’une journalisation pendant quatre-vingt-dix jours. Sont conservés l’adresse IP de l’usager, la requête réalisée ainsi que la date et l’heure de celle-ci. Les journaux sont accessibles uniquement par les personnels bénéficiant du profil administrateur.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
 
 
 
Le Vice –Président Délégué
 
 
Marie-France MAZARS
Le bureau de la Commission nationale de l'informatique et des libertés,
Vu le code de la sécurité intérieure, notamment son article L.253-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 11 (2°, f), 19, 20 et 44 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi du 6 janvier 1978, notamment ses articles 57 à 60 ;
Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Après avoir entendu Mme Marie-France MAZARS, vice-présidente déléguée, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations ;
Décide :
Article 1
Les agents de la Commission nationale de l'informatique et des libertés ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l'article 44 de la loi du 6 janvier 1978 modifiée et à l' article L. 253-3 du code de la sécurité intérieure :
Mme Maryline ABIVEN, chef du service du droit d'accès indirect à la direction de la protection des droits et des sanctions ;
Mme Fabienne AMIARD, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;