AgentPublic/cnil huggingface dataset:
Vu l'arrêté du 6 mai 2014 fixant les données de la déclaration annuelle des données sociales adressées aux administrations et organismes compétents ;Vu la délibération n°2012-403 du 15 novembre 2012 portant avis sur le projet de décret relatif à la déclaration sociale nominative ;Vu la délibération n°98-005 du 27 janvier 1998 portant avis sur la mise en œuvre, par l'INSEE, d'un traitement automatisé des déclarations annuelles de données sociales (DADS) et sur un projet de décret en Conseil d'Etat pris en application de l'article 18 de la loi du 6 janvier 1978 autorisant l'utilisation du RNIPP pour le traitement des DADS ;
Vu le dossier et ses compléments ;Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Émet l'avis suivant :La Commission est saisie par le Ministre des Finances et des Comptes publics d'une demande d'avis sur un projet d'arrêté portant création d'un traitement, mis en œuvre par l'Institut national de la statistique et des études économiques (INSEE), ayant pour finalité de tester les traitements à mettre en œuvre, à des fins d'études statistiques sur l'emploi et les salaires, suite à la mise en place de la déclaration sociale nominative (DSN).
La déclaration sociale nominative, a été créée par la loi n°2012-387 du 22 mars 2012 relative à la simplification du droit et à l'allègement des démarches administratives, et sa maitrise d'ouvrage opérationnelle a été confiée au Groupement d'intérêt public Modernisation des déclarations sociales (GIP-MDS). 
Depuis le 1er janvier 2013, les employeurs peuvent opter pour une déclaration des données sociales de leurs salariés via la DSN et peuvent saisir en ligne, chaque mois, sur le site www.net-entreprises.fr ou, pour le régime agricole, www.msa.fr, le montant des rémunérations payées à leurs salariés pour le mois concerné, les périodes de travail enregistrées ainsi que l'ensemble des données sociales correspondantes.
Dès lors, les employeurs ne devront déclarer leurs salariés qu'une seule fois, dans une déclaration nominative et mensuelle, et transmise sous forme dématérialisée. 
La mise en place de la DSN a notamment pour effet de faire disparaitre la déclaration annuelle des données sociales (DADS), nécessaire à l'INSEE pour élaborer ses statistiques relatives à l'emploi et aux salaires. 
La DADS est une formalité déclarative que doit accomplir toute entreprise employant des salariés, en application de l'article L.133-5-4, et R-.43-14 du code de la Sécurité sociale et des articles 87, 88, 240 et 241 du code général des impôts.
Dans ce document commun aux administrations fiscales et sociales, les employeurs, y compris les administrations et les établissements publics, fournissent annuellement et pour chaque établissement la masse des traitements qu'ils ont versés, les effectifs employés et une liste nominative de leurs salariés indiquant pour chacun, le montant des rémunérations salariales perçues.
L'INSEE, dans le cadre du système de transfert des données sociales (TDS) institué par le décret du 16 décembre 1985, est destinataire de la DADS. L'INSEE la reçoit à des fins d'élaboration de statistiques sur l'emploi et les salaires, en application et dans les conditions de l'arrêté du 6 mai 2014, fixant les données de la déclaration annuelle des données sociales adressées aux administrations et organismes compétents.
Par Délibération n°98-005 du 27 janvier 1998, la Commission a rendu un avis sur un projet de décret permettant à l'INSEE d'exploiter les DADS de façon exhaustive et d'en diffuser les résultats.L'avis mentionne les données enregistrées par l'INSEE à savoir le nom ou la raison sociale de l'établissement, l'adresse, le secteur d'activité, le numéro SIRET, les effectif inscrits au 31 décembre de l'année, la masse des salaires bruts, ainsi que le nom, le numéro d'inscription au répertoire (NIR), adresse, nature de l'emploi et qualification, le nombre d'heures rémunérées depuis 1993, date de début et de fin de période d'emploi, condition d'emploi, montant des rémunérations annuelles (brut et net), déduction des retenues pour cotisation sociale, montant des avantages en nature, montant des indemnités pour frais professionnels, périodes chômées indemnisées, indemnités journalières de maladie et de maternité du salarié. L'INSEE a par ailleurs été autorisé à utiliser le répertoire national d'identification des personnes physiques (RNIPP) pour le traitement DADS.
La DSN doit être déployée progressivement, en trois phases. Chaque phase permet l'intégration de nouvelles déclarations sociales dans la DSN, et élargit le champ des déclarants éligibles jusqu'à parvenir à l'ensemble du champ lors de la phase de généralisation.
La phase 1 remplace les déclarations pour indemnités journalières, l'attestation employeur et la déclaration mention de mouvement de main-d'œuvre (DMMO). Elle concerne les entreprises volontaires.La phase 2 (qui débute en 2015 et doit s'achever en 2016) intègre les bordereaux récapitulatifs de cotisations (BRC) des Urssaf dans la DSN. Cette phase repose toujours sur le volontariat et concerne l'ensemble des employeurs privés dont les salariés dépendent du régime général.La phase 3 ou phase de généralisation, est prévue pour janvier 2016. Elle concerne essentiellement l'intégration de la DADS. A partir de cette date, la DSN devient obligatoire pour l'ensemble des employeurs.
Afin de pouvoir poursuivre sa mission malgré cette substitution, et mettre au point les chaines informatiques d'accueil et de traitements statistiques de la nouvelle déclaration, l'INSEE souhaite disposer des données extraites par le GIP-MDS issues de DSN réelles pendant la période transitoire.
Dans la mesure où le traitement projeté a pour finalité d'établir des statistiques, et qu'il comporte le NIR et le RNIPP, sa mise en œuvre doit être autorisée par arrêté, pris après avis motivé et publié de la Commission, en application des dispositions de l'article 27-II-2° de la loi relative à l'informatique, aux fichiers et aux libertés.
La Commission rappelle que le présent traitement est un test et que, lors de la mise en place de la phase 3 qui engendrera la mise en production, le nouveau traitement devra faire l'objet des formalités idoines auprès de ses services.
 Sur la finalité :
L'article 1er du projet d'arrêté prévoit d'autoriser l'INSEE à mettre en œuvre un traitement visant à tester l'utilisation de la DSN à des fins d'étude de l'appareil productif, de l'emploi salarié, des rémunérations et du coût du travail aux niveaux national et local.
Plus précisément, les tests qui seront mis en place par l'INSEE vont porter sur la faisabilité de reconstituer les données statistiques à partir des données administratives, l'adaptation du circuit existant aux données issues de la DSN et, possiblement, l'amélioration des traitements réalisés pour les statistiques.
Les étapes qui vont être testées sont les suivantes :-	L'accueil et le contrôle formel des données ;-	La validation des données d'identification avec les répertoires (Siren pour les employeurs et le répertoire national d'identification des personnes physiques -RNIPP- pour les personnes physiques) ;-	La mise au format statistique (calculs de variables statistiques dont certaines nécessitent de relier plusieurs déclarations d'un même mois, ou des déclarations de plusieurs mois consécutifs) ;-	Les traitements statistiques (traitement des valeurs manquantes, échecs de codage, des incohérences...).
La Commission relève que cette finalité s'inscrit dans le cadre de la mission (inhérente) de production de statistiques de l'INSEE telle que prévu par le décret n° 46-1432 du 14 juin 1946. 
Par ailleurs, la Commission rappelle que par délibération du 27 janvier 1998, l'INSEE a reçu un avis favorable pour la mise en œuvre du traitement automatisé destiné à exploiter l'ensemble des informations issues des DADS, dont l'une des deux finalités est l'étude de l'appareil productif, de l'emploi salarié et des salaires au niveau national et régional.
Elle souligne également que, outre l'objectif de simplification des démarches déclaratives des employeurs, le dispositif de la DSN a pour finalité la production de statistiques visant à suivre l'évolution de l'emploi, et que le décret qui l'encadre a reçu un avis favorable de la CNIL le 15 novembre 2012.
La Commission considère que la finalité du traitement est déterminée, explicite, et légitime au sens de l'article 6 de la loi du 6 janvier 1978 modifiée.
 Sur les données traitées et l'utilisation du NIR :
L'article 2 du projet d'arrêté énumère les données faisant l'objet du traitement, à savoir :
-	Le numéro d'identification au répertoire d'identification des personnes physiques mentionné à l'article 4 du décret du 22 janvier 1982 ;-	Les nom, prénoms, sexe, date et lieu de naissance, adresse des salariés ainsi que leur numéro de matricule dans l'entreprise ;-	Les variables liées au recouvrement des cotisations sociales de l'employeur, aux caractéristiques du contrat de travail, aux rémunérations et au lieu de travail des salariés ;-	L'identification de l'entreprise, ses caractéristiques socio-économiques ainsi que les coordonnées d'un contact.
Les données en entrée du traitement sont une extraction ponctuelle des données issues de la nouvelle DSN, avant sa généralisation et substitution de la DADS. 
Afin de pouvoir anticiper l'accueil de la DSN, l'INSEE souhaite disposer au plus vite des premières déclarations émises, à savoir :
-	les données réelles de la DSN phase 1, sur deux mois consécutifs ;-	les données réelles de la DSN phase 2, sur trois mois consécutifs, si possible à cheval sur le changement d'année ;-	les données réelles de la DSN phase 3, sur trois mois consécutifs.
Le champ couvert par le recueil de ces données est celui de l'ensemble des entreprises incluses dans la production de la DSN lors des extractions, soit une trentaine d'entreprise volontaires (phase 1) et plusieurs milliers pour la phase 2 (ce chiffre pouvant varier selon le rythme de la montée en charge de cette phase et la date à laquelle aura lieu l'extraction).
Concernant le NIR, la Commission relève que conformément à sa délibération rendue le 27 janvier 1998 et au décret n°87-1343 du 16 décembre 1985, l'INSEE reçoit cet identifiant uniquement des salariés inscrits sur les DADS, afin d'élaborer une étude longitudinale et obtenir des statistiques fiables sur les salaires et l'emploi.
Par ailleurs, le numéro Siren (ou SIRET) des employeurs et le NIR des salariés sont utiles en cas d'anomalies détectées sur les données statistiques produites, en comparant les DADS de 2013 et 2014.
Pour cette phase de test, le NIR recueilli via la DSN doit être vérifié avec celui du répertoire national d'identification des personnes physique (RNIPP) avant son utilisation.
Enfin, la Commission prend acte que les arrêtés fixant les données de la déclaration sociale nominative transmises aux organismes et administrations compétentes seront modifiés afin d'intégrer l'INSEE en tant que destinataire des données issues de la DSN, en ce comprise la donnée NIR. La Commission considère que, compte tenu de la finalité poursuivie, le traitement des données précédemment visées est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
Sur les destinataires :
Le projet d'arrêté ne prévoit pas de disposition encadrant les destinataires habilités à recevoir communication des données mentionnées à l'article 2.
La Commission prend acte que les données recueillies seront utilisées par les membres de l'INSEE dans le cadre du test, et ne seront communiquées à aucun organisme. Par ailleurs, les travaux ne feront pas l'objet de publication, mais permettront de formaliser les spécifications d'évolution des applications actuelles de traitement des déclarations sociales pour l'établissement des statistiques sur l'emploi et les revenus d'activités.
Pour plus de transparence, la Commission considère que le projet d'arrêté doit être modifié en ce sens.
Sur les durées de conservation :
Le projet d'arrêté précise dans son article 3 que les données seront détruites à la fin du test et au plus tard 6 mois après la généralisation de la déclaration sociale nominative à l'ensemble des entreprises. 
La Commission considère que ces durées de conservation n'excèdent pas celles qui sont nécessaires à l'accomplissement de la finalité poursuivie.
Sur l'information des personnes et l'exercice des droits des personnes :
L'article 4 du projet d'arrêté mentionne que les droits d'accès et de rectification s'exercent auprès de la Direction Générale de l'INSEE.
La Commission relève que, tel que le permet l'article 29 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, le droit d'opposition est écarté.
Sur la sécurité des données :
Le traitement prévoit la transmission des DSN entre le GIP-MDS et l'INSEE lors de la période transitoire de migration de la DADS vers la DSN. S'agissant d'un test, il convient de noter que ce ne sera qu'un échantillon des déclarations qui sera transmis, et non la totalité.
Cette transmission intervenant sur un réseau MPLS qui ne possède pas de garantie de confidentialité vis-à-vis de l'opérateur télécom, il a été prévu un chiffrement des documents. Une authentification par le biais de certificats des systèmes informatiques réalisant ces échanges est également prévue.
Les autres mesures de sécurité décrites par le responsable de traitement n'appellent aucune remarque, le traitement étant mis en œuvre au sein du système d'information de l'INSEE présentant des garanties de sécurité et de traçabilité satisfaisantes.
La Commission rappelle toutefois que l'obligation de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée nécessite la mise à jour des mesures de sécurité au regard d'une réévaluation régulière des risques.
La Présidente
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie conjointement par le Ministre des finances et des comptes publics et le Ministre des affaires sociales et de la santé, d'une demande d'avis concernant un projet de décret et un projet d'arrêté relatifs à la Phase 2 de la mise en place de la déclaration sociale nominative, et à la modification de la déclaration préalable à l'embauche ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-I-1 ;
Vu la loi n°2012-387 du 23 mars 2012 relative à la simplification du droit et à l'allègement des démarches administratives, notamment son article 35 ; 
Vu le code rural et de la pêche maritime, notamment ses articles L. 742-3 et R. 741-22 ;
Vu le code de la sécurité sociale, notamment ses articles L. 133-5 à L. 133-5-4, L. 911-1, R. 133-1 à R.133-12 ; 
Vu le code du travail, notamment ses articles L.1221-16, L. 5312-1, L. 5422-1, R-1221-17, R. 1234-9, R. 5122-9;Vu le décret n°2013-266 du 28 mars 2013 relatif à la déclaration sociale nominative ;
Vu le décret n° 2011-681 du 16 juin 2011 relatif à la fusion de la déclaration préalable à l'embauche et de la déclaration unique d'embauche ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n°82-103 du 22 janvier 1982 modifié relatif au Répertoire national d'identification des personnes physiques ;Vu la délibération n° 2012-403 du 15 novembre 2012 portant avis sur le projet de décret relatif à la déclaration sociale nominative;Vu le dossier et ses compléments ;
Sur la proposition de Mme. Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Émet l'avis suivant :La Commission est saisie conjointement par le Ministre des finances et des comptes publics et le Ministre des affaires sociales et de la santé, d'une demande d'avis sur un projet de décret et un projet d'arrêté, relatifs à la mise en place de la  phase 2  de la déclaration sociale nominative (DSN). La déclaration sociale nominative, est créée par la loi n°2012-387 du 22 mars 2012 relative à la simplification du droit et à l'allègement des démarches administratives, dont la maitrise d'ouvrage opérationnelle a été confiée au Groupement d'intérêt public Modernisation des déclarations sociales (GIP-MDS). Cette déclaration repose sur la transmission unique, mensuelle et dématérialisée des données issues de la paie et la transmission dématérialisée de signalements d'événements.
La DSN doit être déployée progressivement, en trois phases. Chaque phase permet l'intégration de nouvelles déclarations sociales dans la DSN, et élargit le champ des déclarants éligibles jusqu'à parvenir à l'ensemble du champ lors de la phase de généralisation, prévue pour 2016.
Durant une première étape, de 2013 à fin 2015, la DSN restera facultative pour l'employeur. Elle se substituera ainsi progressivement (phase 1 et phase 2) à une part substantielle des déclarations sociales des employeurs.
A compter de 2016, la DSN se substituera définitivement, et pour les employeurs entrant dans son champ, à l'ensemble des déclarations et formalités sociales effectuées à partir des données de la paie. 
La phase 1, qui permet la substitution des déclarations pour indemnités journalières, l'attestation employeur et la déclaration mention de mouvement de main-d'œuvre (DMMO), doit prendre fin en octobre 2014. Elle est encadrée par le décret n° 2013-266 du 28 mars 2013 relatif à la déclaration sociale nominative, rendu après avis de la Commission par délibération 2012-403 en date de 15 novembre 2012. 
Le projet de décret a pour objet de compléter le décret de 2013 précité afin de prendre en compte les évolutions mises en place par la phase 2. 
Comme pour la première phase, le projet de décret est accompagné d'un arrêté dit  filtre , précisant les destinataires des données.
La phase 2 permet uniquement la substitution de nouvelles déclarations et seuls sont modifiés les données traitées et les destinataires de la DSN.
Pus précisément, la phase 2 est constituée des éléments déjà prévus de la phase 1 complétés des éléments suivants :-	les éléments nécessaires pour que le recouvrement de l'Union de Recouvrement des cotisations de Sécurité Sociale et d'Allocations Familiales (URSSAF) s'effectue sur la base de la DSN, permettant le remplacement de la déclaration unifiée des cotisations sociales (DUCS), du bordereau récapitulatif de cotisations (BRC) et du tableau récapitulatif des cotisations (TR) Urssaf dès octobre 2014, -	les éléments nécessaires pour que les entreprises de travail temporaire utilisent la DSN, en tant que pilotes à partir de l'automne 2014 (quelques entreprises seulement) et avec un palier de montée en charge significatif en 2015, grâce à la substitution du relevé mensuel des contrats de mission (RMM).
Le champ couvert par la DSN phase 2 concerne, les catégories d'employeurs et de salariés de la phase 1, ainsi que les entreprises de travail temporaire, et les entreprises avec des salariés employés hors de France.
Le reste des modalités du traitement DSN demeure les mêmes que celles définies dans le décret du 28 mars 2013 précité.
Enfin, le projet de décret soumis à la Commission intègre des modifications relatives au traitement DPAE (article R-1221-18 du code du travail). Cette modification a pour objet d'ajouter un circuit de vérification du NIR par la Caisse Nationale Vieillesse des travailleurs salariés.
La déclaration préalable à l'embauche (DPAE) est une déclaration qui doit impérativement être faite par un employeur à l'URSAFF avant toute embauche de salarié.Elle permet d'accomplir les formalités afin de régulariser l'employeur auprès de la Sécurité sociale, et d'ouvrir des droits sociaux au salarié (assurance chômage, assurance maladie, visite médicale, etc.). Depuis le décret n° 2011-681 du 16 juin 2011 relatif à la fusion de la déclaration préalable à l'embauche et de la déclaration unique d'embauche, la DPAE est l'unique formalité à accomplir auprès des organismes de recouvrement à la suite d'une embauche. Auparavant, l'employeur devait effectuer séparément une DPAE et une déclaration unique d'embauche (DUE).
La phase 3 ou phase de généralisation, est prévue pour 2016. Elle concernera essentiellement l'intégration de la Déclaration Annuelle de Données Sociales (DADS). A partir de cette date, la DSN deviendra obligatoire pour les employeurs entrant dans son champ.
Sur le régime juridique applicable
Les traitements mis en œuvre pour la DSN comportant le numéro de sécurité sociale (NIR), la Commission est saisie d'une demande d'avis concernant le projet de décret relatif à la déclaration sociale nominative, conformément à l'article 27-I-1° de la loi du 6 janvier 1978 modifiée. 
La Commission prend acte qu'elle sera à nouveau saisie pour avis sur la base d'une nouvelle version du projet de décret encadrant la phase 3 de généralisation.
Le recours facultatif à la DSN du 1er janvier 2013 au 31 décembre 2015 constituant de facto une phase d'expérimentation du dispositif, la Commission rappelle qu'elle souhaite un bilan détaillé relatif à la mise en œuvre du dispositif avant le 31 décembre 2015, comme elle l'avait déjà demandé dans sa délibération 2012-403 du 15 novembre 2012. 
Sur la finalité : 
La mise en œuvre des traitements relatifs à la DSN, a pour finalités de :1° simplifier les démarches pour les entreprises dans le domaine social ;2° faciliter les démarches des salariés relatives à leur protection sociale ; 3° assurer la concordance des informations entre les montants déclarés pour l'ouverture des droits, le calcul des prestations et les montants soumis à cotisations sociales ;4° détecter les erreurs déclaratives, éviter les indus et erreurs prévenir les fraudes aux prestations et aux cotisations sociales ;5° produire des statistiques anonymes à des fins de suivi de l'évolution de l'emploi ;6° Permettre le recouvrement des cotisations et contributions sociales dont l'employeur est redevable et la prise en compte des exonérations dont il bénéficie ;7° Calculer les effectifs de l'employeur.
La Commission rappelle que les cinq premières finalités sont déjà prévues par l'article 3 du décret du 28 mars 2013, et que le projet de décret ajoute les deux dernières finalités.
En outre, la Commission relève que la finalité de prévention des fraudes était prévue dans le décret précité Cependant, l'article 2-II du projet de décret apporte des précisions sur cette finalité et ajoute la possibilité de  détecter les erreurs déclaratives, éviter les indus et erreurs  ce qui participe de la prévention des fraudes aux prestations et aux cotisations sociales.
La Commission rappelle que les mécanismes automatisés de détection des erreurs et des indus ne doivent pas être contraires à l'article 10 de la loi Informatique et Libertés et nécessitent avant toute décision produisant des effets juridiques, une analyse humaine. La Commission prend acte que le Gouvernement s'engage à mettre en place cette procédure.
S'agissant de la troisième finalité, et comme la Commission l'avait relevé dans sa délibération précédente, la DSN doit permettre de réduire les risques d'erreur concernant la gestion des droits sociaux des salariés et des demandeurs d'emploi. La Commission prend acte de l'engagement du Gouvernement de modifier le décret en ce sens. 
Par ailleurs, afin de faciliter la mise en œuvre de la DSN, un traitement permettant à l'employeur d'identifier correctement ses salariés dès la première paye est ajouté dans le cadre de la Déclaration Préalable à l'Embauche (DPAE).En effet, l'article 4 du projet de décret prévoit une modification de l'article R. 1221-17 du code du travail, en insérant un article R. 1221-18.