AgentPublic/cnil huggingface dataset:
retraite complémentaire obligatoire, sur support  informatique, les informations fiscales nécessaires à l'exécution des  finalités décrites à l' article L. 152 du livre des procédures fiscales (LPF) en vigueur. Ce même article précise également que le numéro d'inscription au  répertoire national d'identification des personnes physiques (NIR) peut  être utilisé pour les demandes, échanges et traitements nécessaires à la  communication des informations qui y sont mentionnées, lorsqu'elles  concernent des personnes physiques. La procédure est mise en œuvre dans le cadre d'un centre de services  informatiques unique, hébergé par la DGFiP et dénommé Centre national  de transfert de données fiscales  (CNTDF), qui reçoit les demandes des  organismes sociaux qui fournissent un  fichier d'appels , les transmet  à la DGFiP et adresse les réponses reçues de celle-ci. L' article 2 du décret n° 99-1047 du 14 décembre 1999  prévoit expressément que des arrêtés ministériels pris après avis de la  Commission nationale de l'informatique et des libertés devront fixer   la liste des informations pouvant être obtenues  par les organismes de  sécurité sociale et  les règles auxquelles doivent satisfaire les  traitements opérés pour le recueil et l'exploitation de ces informations  . La commission relève que c'est sur ce fondement que le présent  projet d'arrêté lui a été soumis, lequel vise à faire bénéficier un  nouvel organisme, la CAMIEG, de la procédure TDF. La commission relève que la
CAMIEG est un organisme de sécurité  sociale de droit privé chargé d'une mission de service public, chargé,  depuis le 1 er janvier 2008, de la gestion du régime spécial d'assurance  maladie maternité des industries électriques et gazières (IEG). Dotée  d'une compétence nationale, ses prestations peuvent bénéficier aux  agents statutaires en activité, aux pensionnés (ou inactifs) ainsi qu'à  tout ayant droit. Les prestations délivrées, qui comprennent une part de  base (couverture maladie maternité du régime général) et une part  complémentaire (couverture supplémentaire), sont susceptibles de couvrir  deux types de bénéficiaires :
- les assurés couverts pour la part de base et pour la base complémentaire ; - les bénéficiaires couverts pour la seule part complémentaire au  titre de conditions particulières tenant à leur situation sociale,  sanitaire, ou à leurs faibles ressources.
La CAMIEG doit assurer la gestion des droits d'une population  soumise à condition de ressources. Conformément aux termes du paragraphe  IX de l'article 1er de l'arrêté du 30 mars 2007 susvisé, les conditions  de ressources sont examinées sur la base des revenus déclarés par les  intéressés lors de l'exercice fiscal précédent. Suite à l'examen de ces  revenus, les droits au régime complémentaire sont soit prolongés, soit  fermés. L'article 2 du projet d'arrêté énonce à cet égard que les   informations transmises à la CAMIEG servent exclusivement à  l'appréciation de l'ouverture ou du maintien des droits des allocataires  pouvant bénéficier ou bénéficiant des prestations sous conditions de  ressources et, s'il y a lieu, le calcul de ces derniers . La commission relève qu'afin de procéder à cet examen, la CAMIEG  adresse chaque année un courrier à ses assurés, leur demandant de  fournir leur avis d'imposition. La mise en service à la direction  générale des finances publiques et à la CAMIEG de la procédure TDF a  ainsi vocation à se substituer à l'envoi d'un avis d'imposition. Elle prend acte que la finalité du transfert est aujourd'hui limitée  au contrôle de la condition de ressources pour la prolongation annuelle  des droits des personnes déjà bénéficiaires du régime de prestation  servi par la CAMIEG et affiliées à cet organisme. Elle demande donc à ce  que le projet d'arrêté soit précisé sur ce point. La commission relève que l'ajout de ce nouvel organisme s'effectuera
dans le strict respect des conditions fixées par le  décret n° 2002-771 du 3 mai 2002.  A ce titre, elle rappelle que seules les informations fiscales  nécessaires à l'exécution des finalités décrites à l'article L. 152 du  LPF pourront être traitées. L'article 3 du projet d'arrêté énumère les informations contenues  dans le  fichier d'appels  transmis par la CAMIEG au CNTDF,  lorsqu'elle demande à avoir communication d'informations fiscales issues  de la déclaration de revenus concernant certains de ces assurés. La commission relève que la constitution d'un  fichier d'appels   s'effectue sous le contrôle de l'organisme demandeur. Tout  fichier  d'appels  est ainsi accompagné des nom et coordonnées du correspondant  CNTDF de l'organisme pour le compte duquel il est présenté. Conformément aux dispositions de l'article R. 152-1 susvisé, le NIR  peut également être communiqué par l'organisme demandeur quand il en a  connaissance. La commission rappelle que les MIR transmis par la CAMIEG  sont exclusivement conservés au CNTDF dans des fichiers informatisés  dédiés, dénommés  table de correspondance NIR/ITIP-SPI , permettant  d'établir un lien entre le NIR complété des quatre premiers caractères  du nom de famille, d'une part, et l'identifiant technique du système  d'information de la DGFiP (numéro ITIP) et l'identifiant fiscal national  individuel utilisé par les administrations fiscales dans leurs  traitements internes et dans leurs relations avec les contribuables  (numéro
SPI), d'autre part. L'article 4 du projet d'arrêté énumère les informations restituées  par le traitement TDF en ce qui concerne le foyer fiscal des  allocataires, ce qui n'appelle pas d'observation particulière. Elle prend acte que les informations contenues dans les fichiers  d'appels ou de restitutions ne sont conservées au CNTDF que le temps  strictement nécessaire aux traitements. Les destinataires des informations, conservées au maximum deux ans à  partir de l'exercice de paiement, sont les agents habilités de  l'organisme demandeur. La commission observe que cette durée de  conservation, qui permet de disposer de justificatifs afin d'instruire  les éventuelles contestations des bénéficiaires de ces aides, correspond  au délai de prescription biennale visé à l' article L. 332-1 du code de la sécurité sociale. S'agissant des modalités d'information des personnes, la commission  observe qu'une mention particulière figure dans la notice de déclaration  de revenus, sous l'intitulé  Données fiscales : accès et transmission  , visant à informer l'ensemble des usagers de l'existence de la  procédure de transfert de données fiscales. Elle relève par ailleurs que  la CAMIEG adresse à l'ensemble des assurés concernés un courrier  spécifique les informant de la mise en œuvre de la procédure TDF. La commission considère que ces modalités d'information sont satisfaisantes. Les droits d'accès et de rectification prévus aux articles 39 et 40  de la loi du 6 janvier 1978 modifiée
s'exercent auprès du centre des  finances publiques du domicile fiscal du requérant pour les informations  issues de traitements relevant de la DGFiP et auprès de la CAMIEG pour  les informations qui lui sont transmises. La commission relève que le droit d'opposition, prévu par l'article  38 de la loi du 6 janvier 1978 modifiée, ne s'applique pas au traitement  projeté, comme le prévoit expressément l'article 5 du projet d'arrêté. S'agissant des mesures de sécurité, le CNTDF est situé au sein de  l'établissement de services informatiques (ESI) de Nevers et répond aux  conditions de sécurité en application du  décret n° 2000-8 du 4 janvier 2000 susvisé. Les transmissions des données sont effectuées sous forme chiffrée  dans le cadre du réseau privé et sécurisé de la DGFiP ou  exceptionnellement par CD-ROM. Une copie de la  table de correspondance NIRJITIP  est constituée  dans l'ESI de Clermont-Ferrand puis transmise sous forme chiffrée au  CNTDF par le réseau sécurisé. Cette table est conservée dans des  fichiers dédiés sur des supports informatiques distincts permettant leur  destruction physique. En cas de nécessité, un dispositif informatique  permet de déclencher à distance l'effacement de la table de  correspondance. Une politique de gestion des habilitations est mise en œuvre. Le  contrôle d'accès logique s'effectue par mot de passe. La commission  prend acte que le ministère s'engage à respecter ses recommandations  concernant la gestion des mots de passe. Une
traçabilité des actions des utilisateurs, individuellement  habilités, est également assurée (identifiant, horodatage de  connexion/déconnexion, commandes lancées). Il en va de même pour les  accès à la  table de correspondance NIR/ITIP  qui font également  l'objet d'une journalisation. L'ensemble des données de journalisation  est conservé un an. La commission considère que les mesures de sécurité mises en place  sont conformes à l'exigence de sécurité prévue par l'article 34 de la  loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette  obligation nécessite la mise à jour des mesures de sécurité au regard de  la réévaluation régulière des risques.
La Commission nationale de l'informatique et des libertés,Saisie par la secrétaire d'Etat chargée du numérique d'une demande d'avis concernant le projet de loi pour une République numérique ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code des relations entre le public et l'administration ; Vu la loi n° 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 11-2°-d) et 11-4°-a) ;Vu la loi n° 78-753 du 17 juillet 1978 modifiée portant diverses mesures d'amélioration des relations entre l'administration et le public et diverses dispositions d'ordre administratif, social et fiscal ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Après avoir entendu M. Eric PERES, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Émet l'avis suivant :
A titre liminaire, la Commission souligne qu'elle adhère aux orientations générales du projet de loi pour une République numérique sur lequel elle est appelée à rendre son avis.
En effet, ce projet de loi repose sur le principe selon lequel le renforcement des droits des citoyens et consommateurs constitue un élément essentiel de l'édification de la République numérique. Il tend à renforcer les pouvoirs de la Commission, confirmant ainsi son engagement dans la régulation du numérique et confortant l'activité d'accompagnement des entreprises et administrations qu'elle a engagée depuis plusieurs années. 
Ces dispositions tiennent compte des propositions que la Commission avait formulées en janvier 2015 pour assurer une régulation moderne, efficace et compatible avec une innovation respectueuse des droits et libertés fondamentaux des personnes.
Toutefois, la Commission déplore que certaines de ses propositions n'aient pas été retenues. En particulier, ses pouvoirs de sanction ne sont que partiellement renforcés. Le montant des sanctions pécuniaires qu'elle peut prononcer n'a notamment pas été révisé, alors même qu'il s'agit d'un enjeu majeur de crédibilité de la régulation, d'ailleurs pris en compte dans le cadre du projet de règlement européen sur la protection des données. Elle rappelle, en outre, que toutes les modifications de ses missions et de sa composition doivent être opérées dans des conditions garantissant son indépendance.
Enfin, la Commission considère que le projet de loi qui lui est soumis devrait être mieux articulé avec les textes existants ou en cours de discussion, et que certaines définitions devraient être explicitées, ceci afin de garantir la cohérence et la lisibilité du cadre normatif.  
Elle souhaite en conséquence que son avis puisse, le cas échéant, être complété, notamment au cours des débats parlementaires, en fonction plus particulièrement des évolutions attendues de textes européens. 
A cet égard, elle rappelle que le projet de loi s'inscrit dans la continuité de la directive 95/46/CE du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données. Il prend en compte le cadre européen d'ouverture des données et notamment la directive 2013/37/UE du Parlement européen et du Conseil du 26 juin 2013 modifiant la directive 2003/98/CE concernant la réutilisation des informations du secteur public.
Le projet de loi doit également être compatible avec le projet de règlement du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données), qui est en cours de finalisation et qui doit assurer l'unification du droit européen et apporter un standard élevé de protection.
En outre, il convient de veiller à la cohérence des dispositions adoptées en matière de diffusion publique des données (open data), plusieurs lois récentes ou projets de loi, notamment le projet de loi relatif à la santé et la loi du 7 août 2015 portant nouvelle organisation territoriale de la République ( NOTRe ), comportant des dispositions spéciales en la matière.
La Commission est enfin attentive aux conséquences des dispositions envisagées pour les acteurs publics et privés. L'accès et les conditions de traitement tant des données ouvertes que des données à caractère personnel constituent un enjeu de concurrence majeur, à la fois en termes de compétitivité et de sécurité juridique. Si l'apparition de nouveaux droits pour les citoyens constitue une avancée importante, et si le respect de ces droits peut engendrer un avantage concurrentiel pour les acteurs concernés, il convient de veiller à ce que l'application de la législation nouvelle ne conduise pas à produire des distorsions de concurrence pour les entreprises nationales face à des entreprises qui ne sont pas établies sur le territoire français et qui pourraient tenter de s'affranchir du respect de la législation nationale, tout en bénéficiant des apports de l'ouverture des données.I. Sur les mesures relatives à l'ouverture des données publiques et aux travaux de recherche statistique et scientifique
1.	Sur l'ouverture des données publiques
Les articles 1 à 5 du projet de loi visent à modifier la loi n° 78-753 du 17 juillet 1978 modifiée (dite  loi Cada ), partiellement codifiée au code des relations entre le public et l'administration (CRPA), afin de favoriser l'ouverture des données publiques. 
Ces dispositions tendent à modifier substantiellement les principes régissant l'accès aux documents administratifs et la réutilisation des informations publiques. La législation actuelle distingue trois étapes, soumise chacune à des conditions différentes : la communication, la publication et la réutilisation. Les dispositions envisagées visent au contraire à  contracter  ces trois phases et à uniformiser leurs conditions, de sorte que tout document communicable puisse, sous réserve des exceptions légales, faire l'objet d'une publication et d'une libre réutilisation. La législation passerait ainsi d'une logique de demande d'accès par les personnes privées à une logique d'offre par les administrations, qui devront dorénavant diffuser publiquement,  dans un standard ouvert aisément réutilisable , les documents communiqués et d'autres données lorsqu'ils sont disponibles sous forme électronique.
S'agissant des risques pour les personnes, la Commission relève tout d'abord que les modifications apportées au cadre juridique actuel ne concernent pas les conditions de communicabilité des documents administratifs. Ces modifications ne permettront donc pas la diffusion de documents portant atteinte à la protection de la vie privée ou au secret médical, ainsi que de documents portant une appréciation ou un jugement de valeur sur une personne physique ou faisant apparaître son comportement, dès lors que la divulgation de ce dernier pourrait lui porter préjudice. Ces documents restent en effet communicables aux seules personnes intéressées, conformément à l'article L. 311-6 du CRPA. 
La Commission rappelle que les administrations publiques devront dès lors s'assurer, préalablement à la publication de tout document administratif, du respect de ces dispositions, notamment au vu de la jurisprudence en la matière. 
En outre, la publication de documents comportant des données à caractère personnel est soumise à des conditions strictes, afin de ne pas porter atteinte à la vie privée et au droit à la protection des données des personnes concernées. Ainsi, elle ne pourra intervenir qu'après anonymisation des données, sauf si une disposition législative ou réglementaire autorise une diffusion sans anonymisation préalable ou si la personne intéressée y a consenti.
Au regard de ces éléments, la Commission considère que l'orientation générale du projet de loi ne remet pas en cause l'équilibre nécessaire entre transparence administrative, d'une part, et protection de la vie privée et des données personnelles, d'autre part. Elle rappelle que la conciliation de ces deux intérêts et, par conséquent, l'articulation effective des lois des 6 janvier et 17 juillet 1978 constituent des conditions essentielles à la mise en œuvre de toute politique d'ouverture des données.
Néanmoins, la Commission sera très vigilante sur les modalités effectives de respect de cet équilibre et, par suite, souligne les points suivants.
En premier lieu, le projet de loi prévoit que la diffusion de documents comportant des données à caractère personnel est, par principe, soumise à l'anonymisation de ces données. A cet égard, la Commission rappelle que l'anonymisation consiste à utiliser un ensemble de techniques de manière à rendre impossible toute identification ou ré-identification des personnes, par quelque moyen que ce soit et de manière irréversible. Au regard de la définition de la donnée à caractère personnel, établie à l'article 2 de la loi du 6 janvier 1978 modifiée, et des risques accrus d'atteinte à la vie privée dans le contexte de la numérisation de l'économie la satisfaction de cette condition d'anonymisation nécessite dès lors une vigilance particulière et la mise en œuvre de moyens significatifs de la part des administrations concernées.
C'est pourquoi la Commission estime que la vérification préalable des processus d'anonymisation constitue un impératif majeur, tant pour la protection des personnes physiques à l'égard du traitement de leurs données que pour la sécurité juridique des administrations concernées. De tels processus doivent dès lors répondre à des méthodologies précises, sous contrôle de la Commission. 
A cet égard, le projet de loi prévoit, en son article 26, la possibilité pour la Commission de certifier la conformité des processus d'anonymisation des jeux de données en vue de la réutilisation d'informations publiques mises en ligne. Cette certification doit pouvoir reposer sur des méthodologies de référence publiées, précisant le processus d'anonymisation en fonction, notamment, de la nature et de la sensibilité des données destinées à être réutilisées. Or, le projet de loi relatif à la santé prévoit déjà, pour les traitements de données de santé, que la Commission a la possibilité d'homologuer et publier des méthodologies générales ou des procédés d'anonymisation préalablement à la mise à disposition de ces données ou jeux de données. Il conviendrait donc, afin d'éviter de créer des dispositifs juridiques distincts aux effets comparables, d'harmoniser les rédactions des deux projets de texte au profit d'une procédure d'homologation des méthodologies d'anonymisation.
En deuxième lieu, la prise de dispositions législatives ou réglementaires permettra de publier des documents administratifs comportant des données à caractère personnel sans anonymisation préalable. A cet égard, la Commission estime que la possibilité de prévoir des dispositions spéciales ne doit en effet pas être écartée, afin d'adapter les modalités de diffusion de tels documents à certaines circonstances particulières, comme cela est le cas aujourd'hui en matière de transparence politique ou financière, par exemple.
Elle demande néanmoins que la rédaction de cette condition dérogatoire soit modifiée afin de prévoir que, s'agissant d'une disposition d'ordre réglementaire, seul un décret en Conseil d'Etat, pris après avis motivé et publié de la Commission, puisse permettre une telle diffusion. Il importe en effet de s'assurer, par ce double contrôle, d'une conciliation effective de l'objectif de transparence administrative poursuivi par tout projet de mise à disposition publique avec la protection des données personnelles.
En troisième lieu, les dispositions du projet de loi relatives à la diffusion de documents administratifs comprenant des données personnelles ne s'appliquent qu'aux documents disponibles sous forme numérique et communiqués à compter de l'entrée en vigueur dudit projet, alors que l'actuel article 13 de la loi du 17 juillet 1978 modifiée, qui contient les mêmes obligations, s'applique à tous les documents. La Commission demande donc que le projet soit modifié pour que les conditions présidant à la publication d'informations comportant des données à caractère personnel s'appliquent à l'ensemble des documents administratifs, et non aux seuls documents numériques. 
En quatrième lieu, la Commission relève que les dispositions relatives à la publication de documents comportant des données à caractère personnel n'ont pas vocation, en l'état du texte, à s'appliquer aux collectivités territoriales et aux établissements publics de coopération intercommunale à fiscalité propre auxquels elles appartiennent.
En effet, des dispositions spéciales ont récemment été adoptées en matière de diffusion et de réutilisation des informations produites et reçues par ces structures, dès lors qu'elles comprennent plus de 3 500 habitants : l'article 106 de la loi n° 2015-991 du 7 août 2015 portant nouvelle organisation territoriale de la République, codifié aux articles L. 1112-23 du code général des collectivités territoriales et L. 125-12 du code des communes de Nouvelle-Calédonie, prévoit qu'elles  rendent accessibles en ligne  les informations publiques qui se rapportent à leur territoire et sont disponibles sous forme électronique et que ces informations sont offertes à la réutilisation dans les conditions prévues au chapitre II du titre Ier de la loi Cada. 
La Commission observe que ces dispositions spéciales ne prévoient aucune condition particulière s'agissant de la diffusion d'informations publiques comportant des données à caractère personnel et renvoient, s'agissant de la réutilisation de telles informations, aux conditions actuellement prévues à l'article 13 de la loi Cada. Or, le présent projet de loi vise précisément à supprimer les conditions particulières de réutilisation, à l'exception du respect des dispositions de la loi  Informatique et Libertés , et à prévoir de nouvelles conditions de publication pour les documents comportant des données à caractère personnel.