AgentPublic/cnil huggingface dataset:
Un processus d'identification et de réduction des risques liés aux vulnérabilités les plus graves du téléservice a été mis en œuvre. Une surveillance en temps réel du réseau local est réalisée et les principaux points critiques du système seront redondés afin d'en assurer la résilience.
Des sauvegardes régulières sont réalisées. La commission rappelle que celles-ci doivent être testées régulièrement afin de vérifier leur intégrité. Une journalisation des opérations est en outre réalisée, les journaux étant conservés six mois. La commission rappelle la nécessité de journaliser à la fois les consultations, modifications et suppressions de données du traitement et de procéder périodiquement à l'analyse des informations journalisées, voire de mettre en place un système de détection automatique de signaux faibles.
Enfin, une procédure spécifique de gestion des violations de données anticipant celle imposée, à compter du 1er mai 2018, par le règlement (UE) n° 2016/679 du 27 avril 2016 relatif à la protection des données personnelles est prévue.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des solidarités et de la santé d'une demande d'avis concernant un projet de décret autorisant la mise en œuvre d'un traitement de données à caractère personnel destiné au calcul de la cotisation prévue par l'article L. 380-2 du code de la sécurité sociale et d'un traitement de données à caractère personnel destiné au contrôle de la prise en charge des frais de santé et modifiant le décret n° 2015-390 du 3 avril 2015 ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la sécurité sociale, notamment ses articles L. 380-2 et L. 114-10-1 ;
Vu le livre des procédures fiscales, notamment son article L. 152 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-I (1°) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2009-1305 du 26 octobre 2009 autorisant la création d'un traitement de données à caractère personnel relatif au contrôle de la condition de résidence des ressortissants du régime général d'assurance maladie ;
Vu le décret n° 2015-390 du 3 avril 2015 autorisant les traitements de données à caractère personnel par les organismes gestionnaires des régimes obligatoires de base de l'assurance maladie pour l'accomplissement de leurs missions d'affiliation, d'immatriculation, d'instruction des droits aux prestations et de prise en charge des soins, produits et services ;
Vu le décret n° 2016-979 du 19 juillet 2016 relatif aux modalités de calcul de la cotisation prévue à l'article L. 380-2 du code de la sécurité sociale ;
 
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
La commission a été saisie par la ministre des solidarités et de la santé d'une demande d'avis concernant un projet de décret autorisant la mise en œuvre, d'une part, d'un traitement de données à caractère personnel destiné au calcul de la cotisation prévue par l'article L. 380-2 du code de la sécurité sociale (CSS) et, d'autre part, d'un traitement de données à caractère personnel destiné au contrôle de la prise en charge des frais de santé et modifiant le décret n° 2015-390 du 3 avril 2015.
Concernant le traitement de données à caractère personnel destiné au calcul de la cotisation prévue par l'article L. 180-2 du code de la sécurité sociale
Sur les finalités :
La commission n'a pas d'observations sur ce point.
Sur la nature et le mode de collecte des données traitées :
Les catégories de données à caractère personnel qui seront traitées sont listées à l'article 1er-II du projet qui distingue les données relatives à l'état civil, l'identité ou l'identification des personnes, des données d'ordre économique et financier.
En pratique, l'Agence centrale des organismes de sécurité sociale (ACOSS) recevra les données en provenance de la direction générale des finances publiques (DGFIP). En effet, les personnes étant assujetties à la cotisation subsidiaire maladie sous conditions de ressources spécifiques, seule la DGFIP est en mesure de connaître la population des résidents fiscaux et peut vérifier les conditions d'assujettissement afin d'en soustraire la population assujettie.
La commission prend acte que seules les données à caractère personnel relatives à des personnes identifiées, par la DGFIP, comme redevables de cette cotisation seront transmises à l'ACOSS.
La commission relève que le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) figurera parmi les catégories de données transmises afin de renforcer la fiabilité de l'identification des redevables de la cotisation, ce qui n'appelle pas d'observations de la part de la commission.
Il en va de même des autres catégories de données mentionnées par le projet soumis à la commission, qui apparaissent adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément à l'article 6 (3°) de la loi du 6 janvier 1978 modifiée (ci-après la loi Informatique et Libertés ).
Sur les destinataires des données :
L'article 1er-IV du projet de décret prévoit que seront destinataires des données à caractère personnel, à raison de leurs attributions et du besoin d'en connaître :
- les agents habilités de l'ACOSS ;
- les agents habilités des organismes mentionnés aux articles L. 213-1 et L. 752-2 du CSS en charge du calcul, du recouvrement et du contrôle de la cotisation. S'agissant de ces organismes, la commission prend acte de ce qu'ils ne seront destinataires que des données concernant les cotisants pour lesquels ils sont territorialement compétents.
Un tel accès aux données apparaît justifié au regard des finalités du traitement.
Sur l'information et les droits des personnes :
Le projet demeure silencieux sur les modalités d'information des personnes concernées.
La commission observe dans le dossier joint à la saisine que le ministère renvoie au décret visant à autoriser le traitement mis en œuvre par la DGFIP relatif au transfert de données fiscales concernant les redevables de la cotisation annuelle subsidiaire.
Elle rappelle toutefois que, si la DGFIP a pour obligation d'informer les personnes en ce qui concerne le traitement automatisé de transfert de données fiscales dont elle est responsable de traitement, l'ACOSS devra également assurer l'information des personnes concernées pour le traitement qu'elle met en œuvre.
Aux termes de l'article 1er-V° du projet, les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi Informatique et Libertés s'exerceront auprès du directeur de l'organisme mentionné aux articles L. 213-1 et L. 752-2 du CSS auquel la personne est rattachée au vu de l'adresse de domicile qu'elle a déclarée à l'administration fiscale.
En outre, le projet prévoit que le droit d'opposition prévu à l'article 38 de la loi ne s'appliquera pas au traitement, ce qui n'appelle pas d'observations de la part de la commission.
Sur les durées de conservation :
L'article 1er-V° du projet prévoit que les données à caractère personnel seront conservées :
- pendant quatre ans à dater de leur réception par l'ACOSS ;
- pendant quatre ans à compter de leur réception, ou jusqu'à expiration des délais de recours en cas de contentieux portant sur la cotisation calculée par les organismes mentionnés aux articles L. 213-1 et L. 752-2 du CSS.
La commission prend acte de ce que ces durées correspondent au délai de prescription de la dette de cotisations sociales mentionné à l'article L. 244-3 du CSS.
Sur les mesures de sécurité :
La commission observe que les échanges de données entre la DGFIP et l'ACOSS seront réalisés par l'intermédiaire de canaux de communication chiffrés, et assurant l'authentification de la source et de la destination.
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. Les permissions d'accès sont supprimées pour tout utilisateur n'étant plus habilité.
Chaque utilisateur disposera d'un identifiant qui lui est propre. Le responsable de traitement a prévu une politique de mot de passe conforme à la délibération n° 2017-190 du 22 juin 2017.
Une journalisation des opérations de création, modification et suppression du traitement sera réalisée. La commission recommande de journaliser également les opérations de consultation et rappelle que la durée de conservation des journaux ne peut excéder six mois, sauf contrainte légale ou règlementaire. La commission recommande de réaliser un contrôle des traces de manière automatique, afin de détecter les comportements anormaux et lever des alertes.
Des mesures sont prévues pour assurer le cloisonnement du traitement et assurer la sécurité du réseau. Celui-ci fait l'objet de mesure de filtrage ayant pour but de restreindre l'émission et la réception des flux réseau aux machines identifiées et autorisées. Les accès distants seront sécurisés via un VPN chiffré.
Un logiciel antivirus est installé et régulièrement mis à jour sur tous les postes intervenant dans le traitement.
La commission observe qu'à ce jour, il n'est pas prévu un chiffrement des données. Compte tenu de leur nature, notamment le NIR et les données d'ordre économique et financier, elle recommande que les bases de données et leurs sauvegardes soient chiffrées.
L'accès aux locaux est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel.
Sous réserve des précédentes observations, la commission considère que les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi Informatique et Libertés . La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Concernant le traitement de données à caractère personnel destiné au contrôle de la prise en charge des frais de santé dénommé Contrôle de la condition de résidence par l'assurance maladie 
Sur les finalités :
Aux termes de l'article 2 du projet, le traitement, qui doit être mis en œuvre par les organismes gestionnaires des régimes obligatoires de base de l'assurance maladie, a pour finalités :
- de faciliter le contrôle par la caisse de rattachement de l'assuré, de la condition de résidence, tel que prévu à l'article L. 114-10-1 du CSS ;
- de produire des statistiques relatives aux procédures de contrôle de la condition de résidence mises en place dans le réseau des caisses de chaque organisme. Sur ce point, le ministère a précisé que les statistiques produites seront anonymes. La commission en prend acte.
La commission observe que le courrier de saisine précise que le traitement sera mis en œuvre par la Caisse nationale de l'assurance maladie des travailleurs salariés (CNAMTS), le régime social des indépendants (RSI) et la mutualité sociale agricole (MSA).
Or, le ministère a précisé, dans le dossier joint à la saisine, que le RSI n'aura pas à mettre en œuvre ce traitement dans la mesure où ce dernier a vocation à disparaître à compter du 1er janvier 2018. La commission en prend acte.
Sur la nature et le mode de collecte des données traitées :
Dans le cadre de ce dispositif, la DGFIP transmettra annuellement à la Caisse nationale d'assurance vieillesse des travailleurs salariés (CNAVTS) les données des personnes figurant sur le fichier des personnes ayant déclaré à l'administration fiscale avoir quitté le territoire ( fichier des non-résidents ). La CNAVTS complètera le fichier de l'identification de l'assuré, au moyen du NIR, ainsi que de l'organisme de sécurité sociale de rattachement de l'assuré avant de l'adresser aux organismes gestionnaires des régimes obligatoires de base de l'assurance maladie.
La commission relève que le NIR figurera parmi les catégories de données traitées afin de renforcer la fiabilité de l'identification des assurés. Dès lors, l'utilisation du NIR n'appelle pas d'observation de la part de la commission.
Il en va de même des autres catégories de données mentionnées par le projet soumis à la commission, qui apparaissent adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément à l'article 6 (3°) de la loi Informatique et Libertés .
Sur les destinataires des données :
La commission n'a pas d'observations sur ce point.
Sur l'information et les droits des personnes :
Le projet demeure silencieux sur les modalités d'information des personnes concernées.
La commission observe dans le dossier joint à la saisine que le ministère renvoie au décret visant à autoriser le traitement mis en œuvre par la DGFIP relatif au transfert de données.
Elle rappelle toutefois que si la DGFIP a pour obligation d'informer les personnes en ce qui concerne le traitement automatisé de transfert de données dont elle est responsable de traitement, les organismes gestionnaires des régimes obligatoires de base de l'assurance maladie devront également assurer l'information des personnes concernées pour le traitement qu'ils mettent en œuvre.
Aux termes de l'article 2-V° du projet, les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi s'exerceront auprès du directeur de la caisse d'assurance maladie de rattachement de l'assuré.
En outre, le projet prévoit que le droit d'opposition prévu à l'article 38 de la loi ne s'applique pas au traitement, ce qui n'appelle pas d'observation de la part de la commission.
Sur les durées de conservation :
La commission n'a pas d'observations sur ce point.
Sur les mesures de sécurité :
Le traitement est caractérisé par de nombreux échanges entre les organismes prenant part au traitement.
La commission recommande que les échanges de données entre la DGFIP et la CNAVTS, ainsi que ceux entre la CNAVTS et la CNAMTS et la CNAVTS et la MSA, soient réalisés via des canaux de communication chiffrés et assurant l'authentification de la source et de la destination.
Des profils d'habilitation sont prévus au sein de la DGFIP, de la CNAVTS, de la CNAMTS et de la MSA, afin de gérer les accès aux données en tant que de besoin. Les permissions d'accès sont supprimées pour tout utilisateur n'étant plus habilité.
Au sein de chaque organisme, chaque utilisateur dispose d'un identifiant qui lui est propre. Des politiques de mot de passe conformes à la délibération n° 2017-190 du 22 juin 2017 sont mises en œuvre.
Une journalisation des opérations de création, modification et suppression du traitement est réalisée. La commission recommande de journaliser également les opérations de consultation et rappelle que la durée de conservation des journaux ne peut excéder six mois, sauf contrainte légale ou règlementaire.
Elle recommande également de réaliser un contrôle des traces de manière automatique, afin de détecter les comportements anormaux et lever des alertes.
Des mesures sont prévues pour assurer le cloisonnement du traitement et assurer la sécurité des réseaux. Ainsi, les réseaux font l'objet de mesure de filtrage ayant pour but de restreindre l'émission et la réception des flux réseau aux machines identifiées et autorisées.
Des logiciels antivirus sont installés et régulièrement mis à jour sur tous les postes intervenant dans le traitement.
La commission observe, qu'à ce jour, il n'est pas prévu un chiffrement des données. Compte tenu de leur nature, notamment le NIR, elle recommande que les bases de données et leurs sauvegardes soient chiffrées.
L'accès aux locaux est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel.
Sous réserve des précédentes observations, la commission considère que les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'économie et des finances d'une demande d'avis concernant un projet d'arrêté portant création à la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel de reconnaissance des usagers et de restitutions enrichies dans le cadre du prélèvement à la source ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le livre des procédures fiscales, notamment son article L. 169 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II (2°) ;
Vu la loi n° 2016-1917 du 29 décembre 2016 de finances pour 2017, notamment son article 60 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 22 avril 2016 portant création par la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel dénommé DSN ;
Vu l'arrêté du 16 juin 2017 portant création par la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel de gestion du prélèvement à la source mis en œuvre par les collecteurs n'entrant pas dans le champ de la déclaration sociale nominative ou versant des revenus de remplacement ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie pour avis, par le ministre de l'économie et des finances, d'un projet d'arrêté portant création à la direction générale des finances publiques (DGFiP) d'un traitement automatisé de données à caractère personnel de reconnaissance des usagers et de restitutions enrichies dans le cadre du prélèvement à la source.
L'article 60 de la loi du 29 décembre 2016 de finances pour 2017, qui instaure le prélèvement à la source de l'impôt sur le revenu, prévoit que la mise en œuvre de cette contribution s'appuie sur la communication à l'administration fiscale, par le tiers versant le revenu, des informations nécessaires à la détermination du taux de prélèvement applicable à chaque bénéficiaire de revenus, taux que la DGFiP transmet en retour au tiers versant.
Dans ce contexte, le traitement projeté vise à permettre à la DGFiP de procéder à la reconnaissance des individus qui font l'objet des déclarations par les collecteurs afin de transmettre en retour le taux aux collecteurs, qui auront l'obligation de l'appliquer.
Dans la mesure où ce traitement porte sur des données parmi lesquelles figure le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) et compte tenu du fait qu'il est utilisé par des services ayant pour mission d'établir l'assiette, de contrôler et de recouvrer des impositions, sa mise en œuvre doit être autorisée par arrêté pris après avis motivé et publié de la commission, conformément aux dispositions de l'article 27-II (2°) de la loi du 6 janvier 1978 modifiée.
Sur les finalités du traitement :
Les articles 1er et 2 du projet d'arrêté prévoient d'autoriser la DGFiP à mettre en œuvre un traitement dénommé SRE-SZU de reconnaissance des usagers et de restitutions enrichies dans le cadre du prélèvement à la source.
Ce traitement a pour finalité :
- la reconnaissance, par le système d'information de la DGFiP, des bénéficiaires de revenu soumis au prélèvement à la source qui font l'objet des déclarations des collecteurs ;
- la restitution enrichie des données des bénéficiaires de revenu soumis au prélèvement à la source ;
- le suivi statistique du traitement des données.
La commission a d'ores et déjà été consultée sur les modalités d'échange de ces informations entre les tiers collecteurs et l'administration fiscale dans le cadre des dispositifs DSN , dont les conditions de mise en œuvre sont prévues par l'arrêté du 22 avril 2016 susvisé, et PASRAU , régi par l'arrêté du 16 juin 2017 également susvisé. Le présent traitement concerne uniquement l'application interne mise en œuvre par la DGFiP pour répondre aux déclarations des tiers collecteurs en assurant la reconnaissance des bénéficiaires de revenu par le système d'information de la DGFiP pour permettre la communication en retour au tiers collecteur du taux d'imposition propre à chaque individu. La reconnaissance des bénéficiaires de revenu concernés par les déclarations de tiers collecteurs est nécessaire pour s'assurer de l'identité des contribuables et prévenir toute erreur dans la détermination du taux de prélèvement applicable.
Les finalités du traitement SRE-SZU s'inscrivent ainsi dans le cadre des missions de l'administration fiscale et, en particulier, de l'établissement de l'assiette de l'impôt. Elles participent également de l'objectif général de simplification des démarches administratives et, en l'espèce, des obligations déclaratives des contribuables en matière de situations fiscales.
La commission considère dès lors que ces finalités sont déterminées, explicites et légitimes au sens de l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :
L'article 3 du projet d'arrêté énumère les données personnelles traitées. Ces données concernent les données d'identification de l'établissement collecteur et de l'individu, notamment son NIR, les données de la déclaration, les données relatives aux anomalies d'identification ainsi que les données relatives aux versements sur prélèvement.
L'article 5 du projet d'arrêté précise que les données personnelles traitées sont issues d'autres traitements régulièrement mis en œuvre par la DGFiP, ce qui n'appelle pas d'observation particulière. La commission prend acte que les données figurant dans les restitutions enrichies qui sont communiquées au tiers collecteur sont également transmises aux applications concernées de la DGFiP en vue de leur mise à jour.
S'agissant du recours au NIR des bénéficiaires de revenu dans le cadre du prélèvement à la source, l'article 60 de la loi précitée du 29 décembre 2016 prévoit la création d'un article L. 288 A du livre des procédures fiscales (LPF), qui dispose que les échanges entre le tiers collecteur et l'administration fiscale s'opèrent sur la base du numéro d'inscription au répertoire national d'identification des personnes physiques .