AgentPublic/cnil huggingface dataset:
La Commission Nationale de l'Informatique et des Libertés,   Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;   Vu la loi 91-1383 du 31 décembre 1991 renforçant la lutte contre le travail clandestin et la lutte contre l'organisation de l'entrée et du séjour irréguliers d'étrangers en France ;   Vu la loi n° 92-1446 du 31 décembre 1992 relative à l'emploi, au développement du travail à temps partiel et à l'assurance chômage ;   Vu les articles L 320 et L 324-12 du code du travail ;   Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application de la loi du 6 janvier 1978 susvisée ;   Vu le projet de décret en Conseil d'Etat pris en application de l'article 18 de la loi du 6 janvier 1978 présenté par le Ministre des affaires sociales et de l'intégration ;   Vu le projet d'acte réglementaire présenté par le Président de l'Agence centrale des organismes de sécurité sociale ;   Après avoir entendu Monsieur Guy GEORGES en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;   Après avoir entendu le représentant du Ministre, chargé de la gestion du répertoire ;
- Sur le projet de traitement présenté :   Considérant que l'article L 320 du Code du Travail, modifié par la loi n° 92-1446 du 31 décembre 1992, soumet les employeurs, à compter du 1er septembre 1993, à l'obligation d'effectuer une déclaration préalable à l'embauche (DPE) d'un nouveau salarié auprès des organismes de sécurité sociale dont ils dépendent en fonction de leur activité et de leur situation géographique, dans le but d'éviter aux corps de contrôle habilités de se heurter, dans les opérations de lutte contre le travail clandestin, au problème de la preuve certaine de la date d'embauche d'un salarié ;   Considérant qu'à l'issue de l'expérimentation du traitement automatisé de la DPE, prévue par la loi n° 91-1383 du 31 décembre 1991 et qui venait à expiration le 31 décembre 1992, mise en oeuvre par les URSSAF de Haute-Garonne, d'Ille-et-Vilaine, du Var et de l'Aube, d'une part, et, d'autre part, par les caisses de mutualités sociales agricoles de la Gironde, de Haute-Vienne, du Tarn et des Vosges, l'ACOSS estime devoir procéder à un exercice de simulation sur 34 URSSAF réparties sur 27 départements destiné à tester théoriquement et techniquement le système dans la perspective de la généralisation de la DPE à l'ensemble des départements français au 1er septembre 1993, date à laquelle la déclaration préalable d'embauche deviendra obligatoire et sera pénalement sanctionnée ;   Considérant que le projet de traitement soumis à la Commission tel qu'il résulte du projet
d'acte réglementaire concerne les unions pour le recouvrement des cotisations de sécurité sociale du régime général de Troyes, Charleville-Mezières, Reims, Chaumont, Toulon, Avignon, Montpellier, Béziers, Lyon, Villefranche, Rennes, Saint-Brieuc, Brest, Quimper, Vannes, Caen, Toulouse, Foix, Rodez, Auch, Cahors, Tarbes, Albi, Montauban, Bordeaux, Périgueux, Mont-de-Marsan, Agen, Bayonne, Pau, Douai, Tourcoing, Valenciennes, Lille, les centres régionaux de traitement de l'information de Nancy, Marseille, Montpellier, Lyon, Nantes, Caen, Toulouse, Lille et l'agence centrale des organismes de sécurité sociale ;
Considérant que cette simulation doit permettre d'apprécier le système de traitement de l'information mis au point par le Centre informatique du recouvrement du sud-ouest de TOULOUSE (CIRSO) où se situe l'ordinateur central ; que tous les aspects du traitement seront ainsi concernés : réception des déclarations sur les différents supports, constitution du fichier, traitement, édition et envoi des accusés de réception aux employeurs ;   Considérant que la simulation, objet du présent projet de traitement, prendra fin le 31 août 1993 ;   Considérant en outre que le droit d'opposition prévu par le 1er alinéa de l'article 26 est reconnu à toutes les personnes employeurs et salariés concernées par le traitement ;   Considérant que les seules destinataires des informations collectées sont les URSSAF ;   Considérant que les informations enregistrées sont relatives à l'identité de l'employeur (dénomination sociale ou nom et prénoms, code APE ou code NAF, adresse, numéro SIREN ou numéro sous lequel sont versées les cotisations), à l'identité du salarié (nom et prénoms, nationalité, date et lieu de naissance, numéro national d'identification (NIR) et à l'embauche (heure, jour, mois, année, code de l'organisme destinataire des déclarations, numéro de dossier et code d'origine de la déclaration) ;   Considérant que le traitement a pour finalité de constituer un enregistrement de la preuve certaine de la date d'embauche d'un salarié ; qu'à l'occasion de l'accomplissement de leur
mission de lutte contre le travail clandestin les agents des corps de contrôle visés à l'article L 324-12 du code du travail peuvent avoir accès en qualité de tiers autorisés, aux données énumérées à l'article 3 du projet d'acte réglementaire.
- Sur la collecte et l'utilisation du NIR -   Considérant que l'information relative au NIR figure tant sur des documents qui ont servi à l'établissement de la déclaration préalable que dans le fichier automatisé ;   Considérant qu'en application de l'article 18 de la loi du 6 janvier 1978, toute utilisation du répertoire national d'identification des personnes physiques en vue d'effectuer des traitements nominatifs, est autorisée par décret en Conseil d'Etat pris après avis de la Commission ;   Considérant que si l'enregistrement et l'utilisation du numéro national d'identification des personnes physiques s'avère nécessaire pour assurer la fiabilité du système en ce qui concerne la vérification de l'identité du salarié, cet enregistrement ne peut en aucun cas être utilisé à d'autres fins et ne doit pas être en conséquence communiqué aux agents visés à l'article précité, à l'occasion de l'exercice de leurs pouvoirs d'investigation ;   Considérant que le projet de décret en Conseil d'Etat autorisant l'utilisation du NIR ou du numéro de sécurité sociale par les organismes de sécurité sociale participant à l'exercice de simulation, et pour cette période seulement, limite cette autorisation à la phase de vérification de l'identité du salarié et exclut toute communication à des organismes ou administrations autres que les personnes qui mettent en oeuvre le traitement ;
- Sur le droit d'accès des personnes concernées -   Considérant que le droit d'accès et de rectification est assuré par l'envoi d'un accusé de réception à l'employeur par l'organisme dont il dépend, récapitulant l'ensemble des informations enregistrées et lui donnant la possibilité de les rectifier ; que ce document mentionne dans la partie détachable à remettre au salarié les prescriptions de l'article 27 de la loi du 6 janvier 1978 ; que l'information est dès lors assurée de manière satisfaisante ;
   - Sur les dispositions relatives à la sécurité et à l'exercice du droit d'accès et de rectification :   Considérant que les sécurités du système ont été définies par le centre informatique du recouvrement du sud-ouest (CIRSO) où se situe la base de données centrale ; que la procédure d'accès sur minitel par l'employeur est sécurisée par l'attribution d'un mot de passe personnel ;   Considérant qu'il résulte du dossier que le droit d'accès et de rectification prévu par la loi du 6 janvier 1978 s'exerce pendant la durée de la simulation pour les employeurs et les personnes faisant l'objet d'une déclaration préalable à l'embauche au siège de l'ACOSS et des URSSAF concernées par la simulation ;   Considérant que l'ensemble des données collectées au cours de la simulation seront détruites à l'issue de celle-ci ;
- Sur les conditions d'accès des tiers autorisés -   Considérant que la base de données pourra être consultée dans le strict respect des conditions qui suivent par les corps de contrôle habilités suivants : les officiers et, sous leur contrôle, les agents de police judiciaire, les agents de la Direction générale des impôts, les agents de la Direction générale des douanes, les agents agréés à cet effet assermentés des organismes de sécurité sociale et des caisses de mutualité sociale agricole, les inspecteurs et les contrôleurs du travail placés sous l'autorité du ministre du travail, de l'emploi et de la formation professionnelle et du ministère de l'équipement, du logement, du transport et de l'espace, les inspecteurs du travail et contrôleurs des lois sociales en agriculture, les fonctionnaires de contrôle assimilés au sens de l'article L 611-10 du code du travail placés sous l'autorité du ministre délégué à l'industrie et au commerce extérieur, les officiers et agents assermentés des affaires maritimes ;   Considérant que les agents des corps de contrôle susvisés peuvent avoir accès aux informations enregistrées dans le traitement mis en oeuvre par les URSSAF par un serveur télématique, les consultations ainsi faites faisant l'objet d'un enregistrement qui permettra de vérifier la régularité de la consultation ; qu'à cet effet, la consultation est mémorisée par le jour, l'heure, le code d'accès de l'agent et son nom ;   Considérant que les codes d'accès ne peuvent être
délivrés que sous le contrôle du comité restreint institué par l'article 6 du décret n° 91-1134 du 30 octobre 1991 présidé par le Procureur de la République, en contrepartie d'une attestation écrite par laquelle ces personnes s'engagent à ne consulter les informations que dans le cadre de leurs missions de lutte contre le travail clandestin et dans le respect des pouvoirs d'investigation qui leur sont accordés par les textes particuliers qui leur sont applicables ;
Considérant en outre que les seules informations auxquelles pourront accéder par voie télématique ces tiers autorisés sont exclusivement : le numéro SIRET, le nom et les prénoms de l'employeur ou la raison sociale de l'entreprise, l'adresse de l'établissement, le nom et les prénoms du salarié, sa date de naissance, l'heure, le jour, le mois et l'année d'embauche du salarié, le code de l'organisme de recouvrement destinataire de la déclaration, et le numéro de dossier ; que sont ainsi, notamment, exclues de la communication par les moyens télématiques, outre le RNIPP, les données relatives à la nationalité ;   Considérant que les autres informations figurant au fichier, à l'exclusion du RNIPP, pourront être obtenues sur demande écrite à l'organisme destinataire ;   Considérant que les conditions d'interrogation ainsi que les sécurités mentionnées dans l'annexe 13 sont de nature à garantir le respect des dispositions légales encadrant l'exercice par les tiers autorisés de leur droit de communication ; qu'ainsi, les utilisateurs sont invités à modifier leurs mots de passe tous les trois mois pour pouvoir accéder au système ; qu'ils bénéficient de trois tentatives pour donner un mot de passe correct ; que dans le cas où elles aboutissent à un échec, l'usager se voit interdit d'accès au système pendant une heure ;   Considérant que les mots de passe sont gérés directement par les utilisateurs et sont cryptés en machine ; que, seul l'utilisateur peut en avoir connaissance ;
Considérant que la durée maximum de consultation du fichier automatisé des déclarations préalables d'embauche dont pourront disposer les tiers habilités dans le cadre de leur mission de lutte contre le travail clandestin est limitée à 10 minutes ; que, passé ce délai, la consultation sera interrompue automatiquement et ne pourra reprendre qu'après déroulement complet de la procédure d'identification et à l'issue d'une période de 10 minutes ; qu'enfin, si une ou plusieurs tentatives de connexion étaient constatées durant cette période, une nouvelle plage d'indisponibilité de 10 minutes s'ouvrirait et ainsi de suite ;   Considérant que l'exercice de simulation doit permettre de tester la pertinence du traitement et de vérifier les conditions de sa mise en oeuvre ;
EMET un avis favorable au projet de décret en Conseil d'Etat pris en application de l'article 18 de la loi du 6 janvier 1978 et portant autorisation de l'utilisation du Répertoire national d'identification des personnes physiques, présenté par le Ministère des Affaires sociales et de l'intégration ;   EMET un avis favorable au projet d'acte réglementaire présenté par l'ACOSS concernant un exercice de simulation d'un traitement automatisé de la déclaration préalable d'embauche.   PREND ACTE de l'engagement de l'ACOSS d'associer la CNIL au déroulement et à l'évaluation de l'opération.   Jacques FAUVET
La Commission Nationale de l'Informatique et des Libertés,   Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et le décret n° 78-774 du 17 juillet 1978, pris pour son application ;   Vu la loi n° 79-18 du 3 janvier 1979 sur les archives ;   Vu le code de la sécurité sociale, notamment les articles L. 221-1, L. 222-3, R. 115-1 et R. 115-2 ;   Vu le projet d'acte réglementaire du conseil d'administration de la caisse nationale d'assurance vieillesse des travailleurs salariés (CNAV) ;   Après avoir entendu Monsieur André PERDRIAU en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ;
Considérant que la CNAV a saisi la Commission d'une demande d'avis relative à un traitement automatisé, dont la finalité est de gérer une prestation d'action sociale qui est destinée à apporter une aide financière en cas de recours à un service de garde à domicile pour personnes âgées ; que la CNAV, qui n'assure le service de cette aide que pour la région parisienne, souhaite ainsi constituer un modèle-type auquel pourront se référer les caisses régionales d'assurance maladie qui sont chargées, à l'intérieur de leur ressort, de décider de l'attribution de la prestation ;   Considérant que cette application permet la gestion des demandes d'ouverture de droits et de paiement de l'aide, jusqu'à l'envoi aux établissements bancaires des moyens de paiement ; qu'elle apporte notamment une aide à la prise de décision, en proposant au liquidateur un projet de décision de rejet ou d'accord, qu'il lui appartient de confirmer selon son appréciation ; que les informations déclarées par le ou les demandeurs, sur la base desquelles ce projet est établi, sont complétées par celles retenues par le liquidateur en ce qui concerne les ressources à prendre en compte, ou extraites d'autres traitements automatisés de la caisse ;   Considérant qu'à ce titre, le traitement est interconnecté avec le "Système National de Gestion des Prestations d'Assurance Vieillesse" (SNGP) et les fichiers "Aide ménagère à domicile" et "Aide aux vacances", dans le seul but de préafficher certaines informations
déjà en la possession de l'organisme et relatives au bénéficiaire potentiel de l'aide et à son conjoint, et ainsi de procéder à un premier contrôle de conformité de la demande ;
Considérant que les informations traitées portent sur :   - l'identité du bénéficiaire potentiel ou, en cas de couple, des deux conjoints, sans toutefois distinguer selon que la demande d'aide est présentée pour le couple ou seulement pour l'un des conjoints : noms, prénoms, numéro d'inscription au répertoire de l'INSEE,   - le numéro et la nature des pensions qui leur sont servies par le régime général,   - les trois dernières échéances qui leur ont été payées à ce titre,   - le nombre de trimestres de cotisations qui leur ont été validés, d'une part, par le régime général, d'autre part, par les autres régimes,   - le montant des ressources déclarées pour le bénéficiaire isolé ou le couple, après calcul des déductions par le liquidateur,   - l'existence d'une allocation compensatrice des handicapés,   - l'adresse,   - la date de décès du bénéficiaire,   - l'objet de la demande,   - les conditions de vie (cohabitation, famille d'accueil),   - l'habitat (logement seul, hébergement en établissement),   - la domiciliation bancaire,   - le résultat des enquêtes complémentaires,   - la période de prise en charge, les dates de l'intervention effective de garde à domicile, le nombre d'heures effectuées et remboursées,   - la décision, la date et le montant du remboursement,   - le montant des droits restant ouverts,   - les coordonnées du prestataire de service de garde à domicile.
Considérant que s'il est pertinent que des renseignements sur les ressources propres du conjoint non bénéficiaire de l'aide soient demandés et exploités, les conditions d'attribution de l'allocation prenant en compte les ressources globales du ménage, en revanche, le recueil et la conservation dans l'application d'autres informations concernant le conjoint ne devront pas avoir lieu sans son consentement éclairé ; que le formulaire de demande d'intervention devra être modifié en ce sens ;   Considérant que la durée de conservation en ligne directe des données devra être réduite à trois années, observation faite que les informations relatives aux demandes ayant conduit à la notification d'une décision de rejet ne devront être enregistrées que pendant six mois à compter de la décision ; que cependant les informations relatives aux paiements effectués par la CNAV seront archivées jusqu'à apurement définitif des comptes de la caisse par la Cour des comptes, du fait de son statut d'établissement public ;   Considérant que les destinataires des informations sont, d'une part, les agents assermentés du service d'action sociale et les contrôleurs de l'agence comptable de l'organisme en charge du dossier, c'est-à-dire soit la CNAV, soit la caisse régionale du lieu de domicile du bénéficiaire, et d'autre part, les établissements bancaires mais seulement pour les indications relatives à la mise en paiement ;   Considérant que les formulaires de demande d'aide pour garde à domicile
doivent être complétés afin de contenir les indications prévues à l'article 27 de la loi du 6 janvier 1978 ; qu'en outre, les notifications de décisions d'attribution ou de rejet devront faire mention du droit d'accès ;   Considérant que les caisses régionales d'assurances maladie mettant en oeuvre l'application devront au préalable adresser à la Commission une Déclaration simplifiée de référence à ce modèle-type, comprenant un engagement de conformité et une annexe technique 12-2, puis procéder dans leurs locaux ouverts au public à l'affichage de l'acte réglementaire de la CNAV, accompagné des références du service auprès duquel s'exerce le droit d'accès ;
EMET un avis favorable au projet de traitement présenté par le conseil d'administration de la caisse nationale d'assurance vieillesse des travailleurs salariés, sous réserve que :   - à l'exception des données sur les ressources globales du ménage, aucune autre information relative au conjoint ne soit recueillie ou transmise à l'application sans son consentement éclairé, s'il ne demande pas pour lui-même le bénéfice de l'aide,   - le formulaire de demande d'intervention soit modifié en ce sens,   - la durée de conservation des données en ligne directe soit réduite à six mois, en cas de décision de rejet, et à trois années, en cas d'accord,   - à l'issue de cette durée, les demandes ayant donné lieu à paiement qui ont été traitées par la CNAV, soient archivées jusqu'à apurement définitif des comptes de la caisse par la Cour des comptes,   - le projet d'acte réglementaire soit modifié sur ces différents points,   - les mentions de l'article 27 de la loi du 6 janvier 1978 soient portées sur les formulaires de demande d'aide et les conditions d'exercice du droit d'accès et de rectification précisées sur les notifications de décision.   LE PRESIDENT Jacques FAUVET
La Commission Nationale de l'Informatique et des Libertés,   Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; ensemble le décret n° 78-774 du 17 juillet 1978 pris pour l'application des chapitres Ier à IV de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés en son article 20 ;   Vu les lois n° 92-683, 92-684, 92-685 et 92-686 du 22 juillet 1992 portant réforme des dispositions du code pénal ;   Vu la loi n° 92-1336 du 16 décembre 1992 relative à l'entrée en vigueur du nouveau code pénal, notamment en ses articles 115, 117, 119, 121, 123 et 125 ;   Vu la loi n° 80-02 du 4 juin 1980 relative à l'automatisation du casier judiciaire ;   Vu le code de procédure pénale, en ses articles 768, 768-1, 769, 769-1, 769-2 et 779 ;   Vu les dispositions du projet de décret présenté par le Ministre de la Justice portant réforme de la partie réglementaire du code de procédure pénale relatives au casier judiciaire ;   Après avoir entendu Monsieur Michel MONEGIER du SORBIER, en son rapport et Madame Charlotte-Marie PITRAT, commissaire du gouvernement, en ses observations ;
Considérant que le projet de décret objet de la présente demande d'avis a pour objet de modifier les dispositions réglementaires relatives à l'organisation et au fonctionnement du casier judiciaire ; que les modifications envisagées, d'une part, résultent des dispositions de la loi n° 92-1336 du 16 décembre 1992 qui instituent un casier judiciaire des personnes morales dont la responsabilité pénale a été reconnue par l'article 121-2 du Livre Ier annexé à la loi n° 92-683 du 22 juillet 1992 et d'autre part ont pour objet d'inclure la téléinformatique au titre des supports de communication autorisés entre le casier judiciaire national et les personnes ou services qui y ont accès ;   Considérant que l'institution du casier judiciaire des personnes morales, qui ne figurait pas dans le projet de loi déposé par le Gouvernement, résulte de l'adoption d'un amendement présenté par la Commission des Lois de l'Assemblée Nationale ; que dès lors la CNIL n'a pas été mise en mesure de se prononcer sur ce point ;   Considérant que la loi du 16 décembre 1992 institue en ses articles 115, 117, 119, 121, 123 et 125, un casier judiciaire des personnes morales géré par le service national du casier judiciaire à Nantes ; que les informations enregistrées seront pour certaines d'entre elles indirectement nominatives, notamment celles relatives à des sociétés en nom unipersonnel ; que la Commission ne peut que rappeler qu'elle devra, précédemment à la mise en oeuvre du casier judiciaire
automatisé des personnes morales, être saisie d'une demande d'avis ;   Considérant que l'article 779 du code de procédure pénale prévoit que toute disposition d'ordre réglementaire modifiant le fonctionnement du casier sera soumise pour avis à la CNIL ; qu'en conséquence, la Commission est compétente pour se prononcer sur les dispositions du présent projet de décret concernant le casier judiciaire ;   Considérant que le projet de décret prévoit que la téléinformatique pourra servir de moyen de communication pour les échanges d'informations entre le Casier Judiciaire National et l'INSEE d'une part, pour la seule alimentation du Casier par les autorités compétentes d'autre part ;