AgentPublic/cnil huggingface dataset:
Les résultats de cette expérimentation permettront de décider, à la fin de l’année 2010, de supprimer ou non la DCR pour les assurés sociaux relevant du RSI. Si l’expérimentation était concluante, ce dispositif permettrait à terme une simplification des démarches des travailleurs indépendants bénéficiant de prestations sociales en les dispensant de déclarer leurs revenus chaque année auprès du RSI, à condition d’avoir déjà effectué leur déclaration de revenus auprès de l’administration fiscale.
La CNIL a déjà rendu un avis favorable le 25 octobre 2001 (délibération n°01-055) sur un transfert de données fiscales vers les organismes de protection sociale aux fins de contrôle des déclarations de ressources. Le présent traitement vise à permettre, à titre expérimental, le transfert de données fiscales des assurés sociaux relevant du régime des indépendants (RSI). 
La Commission prend acte que ce traitement n’a pas pour objet de permettre l’échange entre l’ACOSS et la DGFIP de fichiers dénonçant des faits susceptibles de constituer des infractions aux lois et règlements relatifs aux impôts et taxes en vigueur ou aux cotisations et contributions sociales.
L’ACOSS transmet au Centre national de transfert des données fiscales (CNTDF) un fichier d’appel regroupant l’ensemble des assurés sociaux dont elle souhaite obtenir les données fiscales. Les éléments d’identification suivants figurent dans le fichier d’appel : le nom de naissance et, le cas échéant, le nom d’usage, le ou les prénoms, les date et lieu de naissance, l’adresse, le numéro d’inscription au répertoire national d’identification des personnes physiques (NIR), le numéro Siret de l’organisme demandeur, un numéro de liaison de l’assuré. La Commission prend acte du fait que le NIR n’est pas inclus dans ce numéro de liaison. 
Les NIR transmis par l’ACOSS sont exclusivement conservés au CNTDF dans des fichiers informatisés dédiés, dénommés « table de correspondance NIR/Itip-SPI », qui permettent d'établir un lien entre, d’une part, le NIR, complété des quatre premiers caractères du nom de naissance, et, d’autre part, l’identifiant technique du système d’information de la DGFiP, l‘Itip, et l'identifiant fiscal national individuel utilisé par les administrations fiscales dans leurs traitements internes et dans leurs relations avec les contribuables, le SPI. 
Pour chaque fichier d’appels reçus, plusieurs fichiers de restitutions produits au CNTDF sont successivement adressés à l’ACOSS. Ces fichiers se rapportent soient à l’identification des assurés sociaux, soit aux situations fiscales initialement déclarées.
Les informations restituées à l’ACOSS par le traitement TDF sont les suivantes :
Un code indiquant que l’assuré est connu ou non des services fiscaux ;
Les catégories d’informations issues des déclarations d’ensemble des revenus, montants et codes associés, correspondant aux rubriques suivantes :
les traitements et salaires de la personne concernée et du conjoint ou partenaire du PACS ;
les revenus et plus-values des professions non salariées (pour la personne concernée et le conjoint ou partenaire du PACS) : revenus agricoles, revenus industriels et commerciaux professionnelles, revenus industriels et commerciaux non professionnels, revenus non commerciaux professionnels, revenus non commerciaux non professionnels ;
les revenus à imposer aux prélèvements sociaux de la personne concernée et du conjoint ou partenaire du PACS ;
le numéro d’ordre du traitement de l’imposition ;
le numéro du rôle d’émission ;
le numéro de liaison ;
le numéro SIRET de l’organisme demandeur.
Ces informations sont conservées pendant une durée de 3 ans à compter de l’exercice du paiement. Les informations contenues dans les fichiers d’appels ou de restitutions sont, quant à elles, conservées au CNTDF le temps nécessaire aux opérations de transfert. 
Les destinataires des informations sont les agents habilités de l’ACOSS.
Les droit d’accès et de rectification conférés aux assurés sociaux par la loi du 6 janvier 1978 modifiée s’exercent auprès du centre des impôts du domicile fiscal du requérant en ce qui concerne les informations détenues par la DGFIP, auprès de la caisse du RSI chargée du recouvrement des cotisations pour les informations transmises à l’ACOSS.
Le droit d’opposition ne s’applique pas à cette procédure dans la mesure où les informations relatives aux ressources sont indispensables à la détermination du montant des droits.
La Commission prend acte des mesures de sécurité prévues pour garantir la confidentialité des échanges d’informations. Elle relève en particulier que les fichiers d’appels (ACOSS vers la DGFIP) et de restitutions (DGFIP vers ACOSS) seront chiffrés. Il est prévu que des profils d’habilitation définissent pour chaque utilisateur, les fonctions autorisées ou les catégories d’informations accessibles. Les accès à l’application font l’objet d’une journalisation des données de connexion.
Le Président
Alex TURK
REPUBLIQUE FRANCAISE
Ministère du budget, des comptes publics et de la réforme de l'Etat
NOR :
ARRETE du
relatif à la mise en service à la direction générale des finances publiques et à l'agence centrale des organismes de sécurité sociale d'une procédure automatisée de transfert de données fiscales
Le ministre du travail, de la solidarité et de la fonction publique et le ministre du budget, des comptes publics et de la réforme de l'Etat,
Vu le livre des procédures fiscales, notamment ses articles L. 152, L. 288, R.* 152-1, R.* 287, R.* 288-1 et suivants ;
Vu le code de la sécurité sociale, notamment ses articles L 133-6-4 et R 133-20 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi n° 2000-32 1 du 12 avril 2000 relative aux droits des citoyens dans leurs relations avec les administrations, notamment ses articles 24 et 25 ;
Vu le décret n° 99-1047 du 14 décembre 1999 pris pour l'application de l'article 107 de la loi de finances pour 1999 (n° 98-1266 du 30 décembre 1998) relatif à l'utilisation du numéro d'inscription au répertoire national d'identification des personnes physiques par la direction générale des impôts, la direction générale de la comptabilité publique et la direction générale des douanes et droits indirects ;
Vu le décret n° 2000-8 du 4 janvier 2000 pris pour l'application de l'article L. 288 du livre des procédures fiscales ;
Vu le décret n° 2002-77 1 du 3 mai 2002 portant création d'une procédure de transfert des données fiscales ;
Vu la délibération n°duportant avis de la Commission nationale de l'informatique et des libertés,
ARRETENT
Article 1er
La direction générale des finances publiques (DGFiP) et l’agence centrale des organismes de sécurité sociale (ACOSS), par délégation du régime social des indépendants (RSI) sont autorisées à mettre en œuvre, à titre expérimental, la procédure automatisée de transfert de données fiscales prévue par le décret du 3 mai 2002 susvisé et nécessaire à l'exécution des finalités décrites à l'article L. 152 du livre des procédures fiscales pour la partie concernant la gestion des cotisations sociales des travailleurs indépendants.
Article 2
Les informations transmises à l’ACOSS sont exclusivement utilisées pour calculer les cotisations sociales des assurés sociaux relevant du RSI.
Article 3
Lorsqu'elle demande à avoir communication d'informations fiscales, issues de la déclaration de revenus, concernant les assurés sociaux relevant du RSI, l’ACOSS transmet au CNTDF un « fichier d'appels » comprenant les informations suivantes :
- le nom de naissance et, le cas échéant, le nom d'usage ; - le ou les prénoms ;
- les date et lieu de naissance ;
- l'adresse ;
- le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) ;
- le numéro SIRET de l'organisme demandeur ; - un numéro de liaison de l’assuré.
Tout fichier d'appels est accompagné également des noms et coordonnées du correspondant CNTDF de l'organisme pour le compte duquel il est présenté.
Les NIR transmis par l'organisme susvisé sont exclusivement rapprochés par le centre serveur unique de la table de correspondance NIR/Itip-SPI, qui permet d'établir un lien fixe entre, d'une part, le NIR, complété des quatre premiers caractères du nom de naissance, et d'autre part,l'identifiant technique du système d'information de la DGFiP – l'Itip et l'identifiant fiscal national individuel le numéro SPI , qui est utilisé par les administrations fiscales dans leurs traitements internes et dans leurs relations avec les contribuables. Ce fichier ainsi que les «fichiers d'appels » visés ci-dessus sont enregistrés sur des supports informatiques spécifiques et font l'objet de mesures de sécurité renforcées.
Après vérification de la concordance suffisante des éléments d'identification des personnes physiques qui font l'objet d'une demande avec ceux de la table CNTDF de correspondance, puis éventuellement avec les éléments d'état civil et d'adresses conservés dans l'application
PERS de la direction générale des finances publiques, les demandes sont enrichies du numéro SPI des contribuables concernés.
L'application « fichier d'imposition des personnes » (FIP) permet la constitution d'une « table de correspondance n° SPI/n° FIP » pour l'attribution aux demandes susvisées du numéro FIP des foyers fiscaux, nécessaire à l'interrogation de l'application « traitement informatisé de l'impôt sur le revenu » (IR), qui fournit les informations disponibles pertinentes relatives à la taxation à l'impôt sur le revenu.
Pour chaque fichier d'appels reçu, plusieurs fichiers de restitutions produits au CNTDF sont successivement adressés à l'organisme partenaire ; ils se rapportent soit à l'identification des allocataires, soit aux situations fiscales initialement déclarées. Les informations contenues dans les fichiers d'appels ou de restitutions sont conservées au CNTDF le temps nécessaire aux traitements.
Les informations sont transmises entre les partenaires de la procédure selon des modalités propres à en assurer la confidentialité. A cette fin, le chiffrement des fichiers d'appels et de restitutions est assuré.
Article 4
Les informations restituées par le traitement TDF en ce qui concerne le foyer fiscal des assurés sociaux sont :
- un code indiquant que l'assuré est connu ou non des services fiscaux. Il est utilisé pour définir la population inconnue du RSI dont une déclaration de revenus est attendue ;
- les informations issues des déclarations de revenus de l'année N-1 énumérées dans l'annexe au présent arrêté ;
- le numéro d'ordre du traitement de l'imposition ; - le numéro du rôle d'émission ;
- le numéro de liaison visé à l'article 3 ;
- le numéro SIRET de l'organisme demandeur.
Ces informations sont conservées au maximum trois ans à partir de l'exercice de paiement. Leurs destinataires sont les agents habilités de l'ACOSS.
Les fichiers de restitution des données fiscales ne sont conservés dans les centres informatiques de l’ACOSS que le temps nécessaire à la réalisation des traitements.
Article 5
Les droits d'accès et de rectification prévus par la loi du 6 janvier 1978 susvisée s'exercent :
- pour les informations issues de traitements relevant de la direction générale des finances publiques, auprès du service des impôts du domicile fiscal du requérant ;
- pour les informations transmises à l’ACOSS, auprès de la caisse du RSI de l’assuré chargée du recouvrement des cotisations.
En outre, le droit d'opposition prévu par l'article 38 de la loi du 6 janvier 1978 susvisée ne s'applique pas aux présents traitements.
Article 6
Le directeur directeur général des finances publiques et le directeur de la sécurité sociale sont chargés, chacun en ce qui le concerne, de l’exécution du présent arrêté qui sera publié au Journal officiel de la République française.
Fait à Paris, le
Le ministre du travail, de la solidarité et de la fonction publique
Le ministre du budget, des comptes publics et de la réforme de l'Etat
A N N E X E
Catégories d'informations transmises à l’ACOSS, provenant de la déclaration d'ensemble des revenus, montants et codes associés correspondant aux rubriques suivantes :
- traitements et salaires ;
- revenus et plus-values des professions non salariées : revenus agricoles, revenus industriels et commerciaux professionnels, revenus industriels et commerciaux non professionnels, revenus non commerciaux professionnels, revenus non commerciaux non professionnels ;
- revenus à imposer aux prélèvements sociaux.
(demande d’avis n°1428095)
La Commission nationale de l’informatique et des libertés ;
Saisie pour avis par le Directeur général des médias et des industries culturelles du ministère de la Culture et de la Communication d’un projet d’arrêté portant création du traitement automatisé de données à caractère personnel dénommé « Carte musique » ; 
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 27-II-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Sur le rapport de Monsieur Emmanuel de GIVRY, Vice-président délégué et les observations de Madame Elisabeth ROLIN, commissaire du gouvernement ; 
Emet l’avis suivant :
La Commission nationale de l’informatique et des libertés a été saisie, le 22 avril 2010, d’une demande d’avis sur un projet d’arrêté relatif à la création d’un système d’administration du portail d’attribution d’aides dénommé « carte musique ».
A titre liminaire, la Commission relève que le projet de décret relatif à la « Carte musique » instituant l’aide d'Etat et fixant les conditions d'éligibilité des bénéficiaires de cette aide, validé au niveau interministériel, a été notifié à la Commission européenne au titre des aides d’Etat. En cas d’évolution de ce texte réglementaire conduisant à une modification substantielle du traitement de données à caractère personnel créé par le projet d’arrêté, objet du présent avis, la Commission devra être saisie du nouveau texte.    
La Commission prend acte que ce traitement est la première des vingt-deux propositions du rapport « Création et Internet » remis le 6 janvier 2010 au Ministre de la Culture et de la Communication. 
La mise en œuvre de ce dispositif par le Ministre de la Culture et de la Communication vise à inciter les internautes âgés de 12 à 24 ans à consommer des offres de musique légale et payante. 
Le traitement mis en œuvre dans ce cadre constituant un téléservice de l’administration, il relève de la procédure prévue au 4° du II de l’article 27 de la loi du 6 janvier 1978 modifiée.
Sur les finalités
Le traitement a pour « finalité de permettre l’attribution d’une aide de l’Etat destinée à favoriser la consommation légale et payante de musique numérique dématérialisée par les personnes âgées de 12 à 24 ans ». La Commission prend acte que les bénéficiaires de cette aide sont des plateformes proposant l’écoute ou l’achat de musique et que leurs conditions d’éligibilité doivent être définies par un décret. 
La mise en œuvre du traitement suppose la création d’un téléservice : l’inscription de l’usager et la création d’un compte personnel par le biais d’un mot de passe qui lui permet d’obtenir des codes d’activation utilisables auprès des plateformes de musique en ligne. 
Les finalités poursuivies par le traitement n’appellent pas d’observations particulières.
Sur les risques d’usurpation d’identité 
La Commission observe que le traitement présente des risques d’usurpation d’identité dans la mesure où il repose sur une simple déclaration des usagers. La Commission relève en effet qu’aucun mécanisme n’est prévu pour vérifier l’identité de la personne qui crée un compte « Carte Musique », qu’il sera donc très aisé pour une personne de créer de nombreux codes de réduction par l’interface du portail et qu’une partie de l’aide risque donc d’être détournée du public visé.
La Commission reconnaît toutefois qu’introduire un mécanisme de vérification de l’identité à l’inscription renchérirait le coût de ce service et présenterait potentiellement plus de risques vis-à-vis de la protection des données personnelles dans la mesure où elle pourrait conduire, par exemple, au stockage par le ministère de la Culture et de la Communication des pièces d’identité des jeunes. 
En outre, la Commission relève que les usagers dont l’identité aurait été usurpée peuvent s’adresser aux services du ministère de la Culture et de la Communication pour demander la désactivation du compte, en fournissant une copie de pièce d’identité.
En tout état de cause, la Commission recommande que le ministère de la Culture et de la Communication détaille sur le portail « carte musique » la procédure à suivre pour traiter les cas d’usurpation d’identité. La Commission préconise que toutes demandes relatives à un problème d’usurpation d’identité soient traitées dans les plus brefs délais par le ministère. 
Sur les données à caractère personnel enregistrées 
Les articles 2, 3 et 4 du projet d’arrêté énumèrent les données à caractère personnel enregistrées. 
Pour les demandes d’aides concernant un usager âgé de 18 à 24 ans sont collectés et traités les éléments suivants : identification de l’usager (nom, prénom, sexe, date et commune de naissance, commune de résidence, code postal, adresse électronique), un mot de passe et des codes d’activation.
Pour les demandes d’aides concernant un usager âgé de 12 à 17 ans sont collectés et traités les éléments suivants : identification de l’usager (nom, prénom, sexe, date et commune de naissance, commune de résidence, code postal, adresse électronique), un mot de passe et des codes d’activation ainsi que les nom de famille et prénom de la personne exerçant l’autorité parentale.   
La Commission estime que les données susmentionnées sont adéquates, pertinentes et non excessives au regard des finalités définies à l’article 1 du projet d’arrêté.
La Commission prend acte que les données collectées auprès de l’usager à partir du portail « carte musique » ne sont pas transmises vers les platesformes bénéficiaires de l’aide. Celles-ci ne connaissent que les codes d’activation générés par le site de la Carte Musique. La Commission relève également qu’aucun paiement n’est effectué à partir du site internet « Carte Musique ». 
Sur les droits des personnes
S’agissant de l’information des personnes concernées, la Commission prend acte que les utilisateurs sont informés de leurs droits par un message d’avertissement présent sur le site Internet « Carte Musique ». Ce message est délivré préalablement à l’inscription et la création d’un compte d’un usager. 
La Commission recommande que les mentions d’information prescrites à l’article 32 de la loi du 6 janvier 1978 modifiée soient également accessibles dans une rubrique dédiée du site internet.
Les droits d’accès et de rectification s’exercent auprès de la direction générale des médias et des industries culturelles du ministère de la culture et de la communication. 
Sur la durée de conservation
La Commission relève que les données sont conservées deux ans par le ministère de la Culture et de la Communication à compter de la date de leur collecte. L’article 4 du projet d’arrêté précise également que les consultations du traitement « Carte Musique » font l’objet d’un enregistrement pour une durée de 3 mois comprenant le mot de passe du consultant autre que l’usager, la date, l’heure et l’objet de la consultation. 
Les durées de conservations paraissent pertinentes au regard de la finalité poursuivie par le traitement et n’appellent pas d’observations particulières.
Sur les mesures de confidentialité et de sécurité mises en place
La Commission prend acte de ce que moins de 10 personnes sont habilitées à accéder au traitement de données à caractère personnel. En particulier, les personnels du prestataire ont un accès limité, pour effectuer les opérations requises (maintenance des logiciels système, administration de la base de données, exploitation des scripts de traitement). La Commission recommande que la politique de mots de passe des personnes habilitées prévoie un renouvellement régulier des mots de passe et une interdiction de réutilisation d’anciens mots de passe.
S’agissant de l’accès à son dossier par l’usager, la confidentialité des échanges est assurée au moyen du protocole sécurisé SSL. L’authentification de l’usager est établie à partir d’un couple identifiant/mot de passe librement choisi par lui. La Commission recommande que le mot de passe soit d’une longueur d’au moins huit caractères.
Hormis les points soulevés dans les alinéas précédents, la Commission constate que le dispositif présente un niveau de sécurité globalement satisfaisant.
Le Président 
Alex TURK
(Dossier n° 1442011)
La Commission nationale de l’informatique et des libertés,
Saisie par le ministère du budget, des comptes publics et de la fonction publique d’une demande d’avis sur le projet d’arrêté autorisant la mise en œuvre par la direction générale des douanes et droits indirects (DGDDI) d’un téléservice de traitement des demandes d’agrément des opérateurs
Vu la convention n° 108 du 28 janvier 1981 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement n°648/2005/CE du Parlement européen et du Conseil du 13 avril 2005 modifiant le règlement n°2913/92/CEE du Conseil établissant le code des douanes communautaires ;
Vu le règlement n°1875/2006/CE de la Commission du 18 décembre 2006 modifiant le règlement n°2454/93/CEE fixant certaines dispositions d’application du règlement n°2913/92/CEE du Conseil établissant le code des douanes communautaires ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et notamment son article 27. II 4°
Vu l’arrêté du 24 octobre 2005 portant création d’un traitement automatisé d’informations nominatives relatif à l’ouverture d’un site internet dénommé Prodouane ;
Après avoir entendu M. Philippe GOSSELIN, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du gouvernement, en ses observations ;
Emet l’avis suivant :
La Commission a été saisie par le ministère du budget, des comptes publics, de la fonction publique et de la réforme de l’Etat d’une demande d’avis portant sur le projet d’arrêté pris en application de l’article 27. II 4° de la loi du 6 janvier 1978 autorisant la mise en œuvre par la DGDDI d’un téléservice de traitement des demandes d’agrément des opérateurs économiques dénommé OPERA.
La Commission relève en premier lieu que conformément aux dispositions du règlement (CE) n°648/2005/CE du 13 avril 2005, les opérateurs économiques souhaitant bénéficier de simplifications dans le cadre des procédures douanières peuvent solliciter, auprès de l’administration de l’Etat membre dont ils relèvent, un agrément dit « OEA » (opérateur économique agréé). Ce statut d’OEA, entré en vigueur le 1er janvier 2008, permet aux entreprises de bénéficier, outre la simplification des démarches douanières, d’un allègement des contrôles douaniers et s’inscrit dans une démarche de labellisation « qualité » visant à faciliter le commerce légitime en distinguant les opérateurs les plus actifs en matière de fiabilisation de la chaine logistique internationale.