AgentPublic/cnil huggingface dataset:
Sur la pertinence des données traitées   Le formulaire de collecte des données DADS-U a été défini sur la base du cahier technique et du guide d'utilisation DADS-U (norme DADS-U V06 R02), dans le respect des textes réglementaires relatifs au dispositif "transfert de données sociales".   Le NIR sera utilisé dans le cadre de cette télédéclaration afin de contribuer à l'identification des salariés concernés.   L'ensemble des organismes sociaux sont autorisés par les articles R. 115-1 et R. 115-2 du code de la sécurité sociale à détenir le NIR de leurs ressortissants dans leurs fichiers.   La Commission observe également que cette utilisation du NIR ne soulève pas de difficulté dans là mesure où, d'une part, le décret n° 91-1404 du 27 décembre 1991 pris après avis de la CNIL prévoit que les employeurs publics -ou privés sont autorisés à utiliser cet identifiant pour les opérations de déclarations sociales et, d'autre part, l'article L.133-5 du code de la sécurité sociale et le projet de décret soumis concomitamment à la Commission par le ministère du travail ont précisément pour objet d'autoriser le traitement du NIR par le GIP-MDS dans le strict cadre de la réalisation des déclarations sociales par voie électronique.   Le NIR serait également utilisé au sein des bilans d'anomalies produits dans le cadre des contrôles de conformité à la norme DADS-U dans les cas où l'anomalie serait relative à une information au niveau du salarié (le bilan préciserait uniquement les nom,
prénom et NIR du salarié concerné). La Commission considère que cette intégration du NIR dans les bilans ne soulève pas de difficultés compte tenu du fait que seuls les personnels habilités de l'entreprise déclarante ou de l'organisme de protection sociale concernés pourrait ainsi accéder aux bilans relatifs à cette entreprise afin de faciliter la correction des erreurs liées à la situation d'un salarié pour la bonne prise en compte de ses droits par les organismes sociaux.
Les catégories d'informations traitées seront celles déjà recueillies dans le cadre des déclarations obligatoires existantes, et en particulier des informations relatives à la situation familiale des salariés.   La collecte de cette dernière donnée ne serait opérée qu'auprès des déclarants ayant préalablement indiqué relever d'un régime de prévoyance pour lequel cette donnée est nécessaire.   Dans ces conditions, la Commission n'a pas d'observation à formuler sur la pertinence des données traitées.   Sur les sécurités mises en oeuvre   Le téléservice net-DADS-U devrait entraîner la constitution par le GIP-MDS d'une base de données nominatives sur les salariés des entreprises ayant souhaité adhérer au dispositif.   Dès lors, la Commission considère que la sécurisation des échanges, des sessions de télédéclaration ou de consultation, et du stockage des données est un objectif qui revêt en l'espèce une importance particulière.   La Commission observe à cet égard que l'hébergement des différents sites Internet du dispositif net-entreprises est réparti entre la CNAVTS (pour l'inscription des déclarants), la société Matra global net services (pour la gestion du site portail www.net-entreprises.fr) et la société France Telecom-Equant (pour l'hébergement des sites déclaratifs).   La Commission prend acte des mesures de sécurité physiques et logiques adoptées pour garantir la confidentialité et l'intégrité des données traitées dans le cadre du service DADS-U.
La Commission estime néanmoins que le dispositif de journalisation des connexions existant devrait être amélioré en prévoyant une exploitation régulière des données de connexion et un recueil de données sur la nature des opérations effectuées à chaque connexion de façon à permettre une détection et une correction d'éventuelles intrusions dans le système d'information.4    La Commission relève par ailleurs que le GIP-MDS met en oeuvre une procédure de jeton sécurisé après authentification des déclarants par login et mot de passe afin de sécuriser les sessions d'accès au téléservice.   La Commission n'a pas, en l'Etat, d'observations à formuler sur le dispositif d'authentification par login et mot de passe aujourd'hui déployé par le GIP-MDS, sans préjudice des avis ou recommandations qu'elle, sera amenée à émettre ultérieurement sur le recours à des dispositifs alternatifs.   A cet égard, la Commission observe qu'une étude est en cours de réalisation par le GIP-MDS visant à la mise en oeuvre, dans le cadre du programme net-entreprises, d'un procédé d'authentification des déclarants reposant sur l'émission de certificats électroniques personnels normalisés, projet dans lequel l'utilisation du NIR ne serait pas exclue.   La Commission estime qu'une utilisation du NIR à de telles fins ne peut qu'appeler de sa part une réserve de principe dans la mesure où la concrétisation d'un tel projet constituerait un précédent en faveur de l'utilisation généralisée de cet identifiant
particulier dans le cadre de dispositifs de certificats électroniques délivrés aux citoyens souhaitant acheter ou vendre sur Internet, voter à distance, consulter leur e-dossier, etc., et aurait pour conséquence la constitution, par les sociétés de certification prestataires, de bases de données contenant les références de plusieurs millions d'employeurs ou de leurs délégataires identifiés par leur NIR.   Enfin, la Commission considère que la sécurité du traitement devrait être renforcée sur le plan juridique par l'intégration dans les contrats de prestation de service, au-delà des clauses de confidentialité et de réversibilité déjà introduites, d'une clause de non-détournement de finalité.
Sur les durées de conservation des données   Le GIP-MDS assurera la destruction des données recueillies dans le cadre du téléservice net-DADS-U, trente jours après la déclaration, et le stockage des bilans des contrôles de conformité après une année.   La Commission considère que ces durées ne sont pas excessives au regard des finalités poursuivies.
   Sur l'information des personnes concernées   L'information des déclarants sera réalisée sur le site www.net-entreprises.fr et notamment sur les pages où la collecte des informations nominatives sera opérée.   Dans la mesure où cette information ne pourra être reçue que par les personnes chargées des déclarations des entreprises, alors même que les traitements concernent au premier chef les salariés de ces entreprises, la Commission considère qu'il convient de rappeler aux entreprises leur obligation d'informer leurs salariés de la transmission d'informations les concernant aux organismes sociaux net-DADS-U, conformément à l'article 27 de la loi du 6 janvier 1978.
EMET UN AVIS FAVORABLE à la demande d'avis présentée par le GIP-MDS sous réserve que :   - le dispositif de journalisation des connexions existant prévoie une exploitation régulière des données de connexion et un recueil de données sur la nature des opérations effectuées à chaque connexion ;   - une clause de non-détournement de finalité soit intégrée dans le contrat liant le GIP-MDS à l'entreprise assurant l'hébergement du site net-DADS-U ;   DEMANDE à être rendue destinataire d'un bilan de la mise en oeuvre du téléservice dans un délai d'un an.   Le Président, Michel GENTOT.
La Commission nationale de l'informatique et des libertés,   Saisie par le groupement d'intérêt, public "modernisation des déclarations sociales" de trois demandes d'avis concernant la mise en oeuvre des téléservices net-DUCS-I (n° 829385), net-DADS-U (n° 829386) et net-DCR (n° 829387) prévus à l'article L. 133-5 du code de la sécurité sociale ;   Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu le code de la sécurité sociale et le code du travail ;   Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;   Vu le décret n° 78-774 du 17 juillet 1978 modifié pris pour l'application de la loi du 6 janvier 1978 susvisée ;   Vu le projet de décret d'application de l'article L. 133-5 du code de la sécurité sociale soumis concomitamment par le ministère des affaires sociales, du travail et de la solidarité (saisine n° 02013599) ;   Vu l'article 21 de la convention constitutive du groupement d'intérêt public "modernisation des déclarations sociales" du 21 février 2000, approuvée par arrêté interministériel du 17 mars 2000, autorisant son directeur à représenter le groupement
FORMULE LES OBSERVATIONS SUIVANTES :   La loi de financement de la sécurité sociale pour 2002 a introduit dans le code de la sécurité sociale un article L. 133-5 afin de permettre aux employeurs et aux professions indépendantes de réaliser leurs déclarations sociales obligatoires par voie électronique et de bénéficier d'un service d'aide à l'élaboration des déclarations sociales et des bulletins de paie.   Le groupement d'intérêt public "modernisation des déclarations sociales" (GIP-MDS) a été choisi par les organismes gestionnaires de régimes de protection sociale pour gérer ces téléservices dans le cadre du portail www.net-entreprises.fr déjà mis en oeuvre par ce groupement.   La Commission est amenée à se prononcer sur une demande d'avis présentée par le GIP-MDS concernant la mise en oeuvre du téléservice net-DCR.
Sur la finalité du traitement et les destinataires des informations nominatives   Le téléservice net-DCR permettra la numérisation de la déclaration commune des revenus des professions indépendantes existant sur support papier (sans entraîner de modification sur le fond) et la simplification de la procédure déclarative (grâce à un pré-remplissage des déclarations).   L'article L. 133-5 du code de la sécurité sociale et l'arrêté du 29 juillet 2002 pris pour son application permettent le traitement par voie électronique de cette déclaration.   Les traitements d'informations nominatives opérés dans le cadre de net-DCR seront les suivants :   1) inscription au téléservice ;   2) amorçage des déclarations (la CANAM envoie au site les données connues de son système d'information nécessaires au pré-remplissage des déclarations et à leur contrôle) ;   3) déclaration par EFI (saisie des données sur un formulaire préalablement personnalisé avec les données transmises par la CANAM) ;   4) contrôle de forme et production d'un accusé de réception (qui dégage le déclarant de son obligation déclarative) ;   5) transmission des données à la CANAM qui les retransmet aux organismes partenaires DCR ;   6) historisation des déclarations sur le site net-DCR sur quatre années (afin de permettre aux déclarants d'apporter aisément la preuve du contenu de leur déclaration durant les délais de prescription légaux) ;   7) traçabilité des actions opérées sur le site.   Les destinataires finaux des
informations n'excéderont pas ceux déjà visés dans les dossiers relatifs à la DCR antérieurement soumis à la Commission, à savoir les gestionnaires nationaux et locaux de la CANAM, de PACOSS, de PORGANIC et de la CANCAVA.
Sur la pertinence des données traitées   Le NIR sera utilisé afin de contribuer à l'identification des cotisants par les organismes sociaux partenaires dans la mesure où certains travailleurs indépendants ont plusieurs SIRET correspondant à leurs différentes activités.   La Commission observe que les articles R. 115-1 et R. 115-2 du code de la sécurité sociale autorisent l'ensemble des organismes sociaux partenaires de net-DCR à utiliser le NIR.   S'agissant des autres catégories d'informations traitées dans le cadre de net-DCR, celles-ci apparaissent conformes aux données figurant dans, le modèle du formulaire "déclaration commune des revenus des professions indépendantes pour l'année 2002" fixé par un arrêté du 25 avril 2002.   Dans ces conditions, la Commission n'a pas d'observation à formuler sur la pertinence des données traitées.
Sur les sécurités mises, en oeuvre   Le téléservice net-DCR devrait entraîner la constitution par le GIP-MDS d'une base de données nominatives sur les professions indépendantes ayant souhaité adhérer au dispositif.   Dès lors, la Commission considère que la sécurisation des échanges, des sessions de télédéclaration ou de consultation, et du stockage des données est un objectif revêt en l'espèce une importance particulière.   La Commission observe à cet égard que l'hébergement des différents sites Internet du dispositif net-entreprises est réparti entre la CNAVTS (pour l'inscription des déclarants), la société Matra global net services (pour la gestion du site portail www.net-entreprises.fr) et la société France Telecom-Equant (pour l'hébergement des sites déclaratifs).   La Commission prend acte des mesures de sécurité physiques et logiques adoptées pour garantir la confidentialité et l'intégrité des données traitées dans le cadre du service net-DCR.   La Commission estime néanmoins que le dispositif de journalisation des connexions existant devrait être amélioré en prévoyant une exploitation régulière des données de connexion et un recueil de données sur la nature des opérations effectuées à chaque connexion de façon à permettre une détection et une correction d'éventuelles intrusions dans le système d'information.   La Commission relève par ailleurs que le GIP-MDS met en oeuvre une procédure de jeton sécurisé après authentification des déclarants par login et mot de
passe afin de sécuriser les sessions d'accès au téléservice.   La Commission n'a pas, en l'état, d'observations à formuler sur le dispositif d'authentification par login et mot de passe aujourd'hui déployé par le GIP-MDS, sans préjudice des avis ou recommandations qu'elle sera amenée à émettre ultérieurement sur le recours à des dispositifs alternatifs.   A cet égard, la Commission observe qu'une étude est en cours de réalisation par le GIP-MDS visant à la mise en oeuvre, dans le cadre du programme net-entreprises, d'un procédé d'authentification des déclarants reposant sur l'émission de certificats électroniques personnels normalisés, projet dans lequel l'utilisation du NIR ne serait pas exclue.   La Commission estime qu'une utilisation du NIR à de telles fins ne peut qu'appeler de sa part une réserve de principe dans la mesure où la concrétisation d'un tel projet constituerait un précédent en faveur de l'utilisation généralisée de cet identifiant particulier dans le cadre de dispositifs de certificats électroniques délivrés aux citoyens souhaitant acheter ou vendre sur Internet, voter à distance, consulter leur e-dossier, etc., et aurait, pour conséquence la constitution, par les sociétés de certification prestataires, de bases de données contenant les références de plusieurs millions d professionnels ou de leurs délégataires identifiés par leur NIR.   Enfin, la Commission considère que la sécurité du traitement devrait être renforcée sur le plan juridique par
l'intégration dans les contrats de prestation de service, au-delà des clauses de confidentialité et de réversibilité déjà introduites, d'une clause de non-détournement de finalité.
Sur les durées de conservation des données   Le GIP-MDS assurera une historisation des déclarations sur le site net-DCR sur quatre années afin de permettre aux déclarants d'apporter aisément la preuve du contenu de leur déclaration durant les délais de prescription légaux.   La Commission considère que cette durée n'est pas excessive au regard des finalités poursuivies,
   Sur l'information des personnes concernées   L'information des cotisants sera réalisée sur le site www.net-entreprises.fr et notamment sur les pages où la collecte des informations, nominatives sera opérée.   La Commission prend acte de ces mesures d'information des personnes concernées.
   EMET UN AVIS FAVORABLE à la demande d'avis présentée par le GIP-MDS sous réserve que :   - le dispositif de journalisation des connexions existant prévoie une exploitation régulière des données de connexion et un recueil de données sur la nature des opérations effectuées à chaque connexion ;   - une clause de non-détournement de finalité soit intégrée dans le contrat liant le GIP-IVMS à l'entrepri se assurant l'hébergement du site net-DCR ;   DEMANDE à être rendue destinataire d'un bilan de la mise en oeuvre du téléservice dans un délai d'un an.   Le Président, Michel GENTOT.
La Commission nationale de l'informatique et des libertés ;   Saisie par le ministère de la Justice d'un projet de modification de la loi du 9 juillet 1991 portant réforme des procédures civiles d'exécution, et notamment de son article 39, ayant pour objet de permettre aux huissiers de justice de s'adresser directement à la direction générale des impôts pour interroger. le fichier des comptes bancaires (FICOBA) ;   Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la,protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la fibre circulation des données ;   Vu la convention du 28 janvier l981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu ensemble la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés et le décret n° 78-774 du 17 juillet 1978 modifié pris pour l'application de la loi du 6 janvier 1978 précitée ;   Vu ensemble la loi n° 91-650 du 9 juillet 1991 portant réforme des procédures civiles d'exécution et le décret du 31 juillet 1992 instituant de nouvelles règles relatives aux procédures civiles d'exécution pour l'application de la loi n° 91-650 du 9 juillet 1991 portant réforme des procédures civiles d'exécution ;   Vu l'arrêté du 14 juin 1982 modifié fixant les modalités d'un système automatisé de gestion du fichier des comptes bancaires ;   Vu la
délibération n° 88-072 du 28 juin 1988 portant avis sur un projet de loi de réforme des procédures d'exécution en matière mobilière ;   Après avoir entendu Monsieur Philippe NOGRIX, commissaire, en son rapport et Madame Catherine POZZO DI BORGO, commissaire du gouvernement adjoint, en ses observations ;
FORMULE LES OBSERVATIONS SUIVANTES :   La direction des affaires civiles et du sceau du ministère de la Justice a saisi pour avis la Commission nationale de l'informatique d'un projet de modification de la loi du 9 Juillet 1991 portant réforme des procédures civiles d'exécution, et notamment de son article 39, ayant pour objet de permettre aux huissiers de justice de s'adresser directement à la direction générale des impôts pour interroger le fichier des comptes bancaires (FICOBA).   L'article 39 de cette loi ne permet en effet l'accès des huissiers de justice à certaines informations concernant le débiteur (références bancaires, domicile et adresse de l'employeur) que par l'intermédiaire du procureur de la République.   La modification envisagée permettrait aux huissiers de s'adresser directement à l'administration fiscale détentrice du fichier des comptes bancaires (FICOBA) pour obtenir l'adresse des organismes auprès desquels un compte est ouvert au nom du débiteur. En revanche l'adresse personnelle du débiteur et de celle de son employeur ne pourraient, comme dans le texte en vigueur, être recherchées que sur demande préalable au procureur de la République.   Selon les indications fournies par le ministère de la Justice, qui a réalisé un bilan de cette procédure de recherche d'informations, cette modification trouve sa justification dans la trop grande lenteur et la faible efficacité de cette procédure.   La Commission rappelle qu'elle avait, lors de son avis rendu,le
28 juin 1988 sur le projet de loi qui instituait la procédure dont la modification est aujourd'hui souhaitée, considéré que l'intervention systématique du procureur de la République constituait une garantie importante de nature à limiter la communication de ces informations aux seuls cas où elle serait nécessaire.
Elle estime dès lors que la modification souhaitée ne peut être envisagée que si elle est accompagnée de mesures assurant une protection équivalente et réaffirme son souhait de voir instituer un contrôle rigoureux de ses modalités pratiques de mise en oeuvre et de fonctionnement, tout particulièrement lors de la refonte en cours du fichier des comptes bancaires.   Une attention particulière devra notamment être apportée à la vérification de la qualité de l'auteur de la requête, de la validité du titre exécutoire dont il est porteur, de la présence d'un relevé certifié sincère de recherches infructueuses, ainsi qu'à celle de la conformité de la demande aux conditions légales de transmission des renseignements.   La Commission considère, à cet égard, que la centralisation des demandes des huissiers et leur traitement par le service central du fichier FICOBA constitueraient des garanties supplémentaires.   La Commission prend également acte qu'aux termes de l'article 41 de la loi du 9 juillet 1991 les renseignements obtenus ne peuvent être utilisés que dans la seule mesure nécessaire à l'exécution du ou des titres pour lesquels ils ont été demandés et qu'ils ne peuvent, en aucun cas, être communiqués à des tiers ni faire l'objet d'un fichier d'informations nominatives.
AU BENEFICE DES OBSERVATIONS QUI PRECEDENT, la Commission émet un avis favorable à la modification de la loi du 9 juillet 1991 portant réforme des procédures civiles d'exécution et des textes modifiés en conséquence.   DEMANDE à être consultée sur les modifications réglementaires qui devront en conséquence être apportées au décret du 31 juillet 1992 instituant de nouvelles règles relatives aux procédures civiles d'exécution pour l'application de la loi n° 91-650 du 9 juillet 1991 portant réforme des procédures civiles d'exécution, et notamment son article 54, ainsi qu'à l'arrêté du 14 juin 1982 portant création du fichier des comptes bancaires mis en oeuvre par l'administration fiscale.   Le Président, Michel GENTOT.
La Commission Nationale de l'Informatique et des Libertés,   Saisie pour avis par le Premier Ministre, d'un projet de décret concernant le recensement de la population, portant création de traitements automatisés d'informations nominatives et portant application des dispositions du troisième alinéa de l'article 31 de la loi du 6 janvier 1978 ;   Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la loi n° 51-711 du 7 juin 1951 modifiée sur l'obligation, la coordination et le secret en matière de statistiques ;   Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 15 et 31 ;   Vu la loi n° 79-18 du 3 janvier 1979 sur les archives ;   Vu la loi n° 2002-276 du 27 février 2002 relative à la démocratie de proximité, et notamment son titre V relatif aux opérations de recensement ;   Vu le décret n° 78-774 du 17 juillet 1978 modifié pris pour l'application de la loi du 6 janvier 1978 susvisée ;   Vu le décret n° 84-628 du 17 juillet 1984 modifié fixant les attributions, la composition et le fonctionnement du Conseil National de l'Information Statistique
et portant application de la loi du 7 juin 1951 susvisée ;   Après avoir entendu Monsieur Guy ROSIER, commissaire en son rapport et Madame Catherine POZZO DI BORGO, commissaire-adjoint du Gouvernement en ses observations ;