AgentPublic/cnil huggingface dataset:
La Commission prend acte de ce que le ministère s’est engagé à compléter l’article R.15-33-64 pour mentionner les articles du code de procédure pénale et du code pénal fixant pour chacune des procédures concernées les délais de prescription.
Le I de cet article sera modifié comme suit :
« A vingt ans lorsqu’une condamnation a été prononcée en matière criminelle, conformément aux règles de prescription prévues par les dispositions de l’article 133-2 du code pénal ;
A vingt ans si la procédure porte sur des crimes mentionnés à l’article 706-47 ou le crime prévu par l’article 222-10 du code pénal commis sur un mineur, conformément aux règles de prescription prévues par les dispositions du 3ème alinéa de l’article 7 du présent code ;
A vingt ans si la procédure porte sur des délits de terrorisme ou de trafic de stupéfiants prévus par les articles 706-16 ou 706-26 ;, conformément aux règles de prescription prévues par les dispositions du deuxième alinéa des article 706-25-1 et 706-31 ;
à 30 ans si la procédure porte sur des crimes de terrorisme ou de trafic de stupéfiants prévus par les articles 706-16 ou 706-26., conformément aux règles de prescription prévues par les dispositions du premier alinéa des article 706-25-1 et 706-31 . »
S’agissant des procédures civiles et commerciales visées au II de l’article R-15-33-64 du projet de décret, la durée de conservation des données dans le traitement ne devrait pas excéder le délai de prescription des actions.
Sur les destinataires.
Les personnes habilitées à accéder au traitement ainsi que les destinataires sont définies à l’article R15-33-65 (nouveau) du code de procédure pénale.
Parmi les personnes habilitées à accéder au traitement, une distinction est établie selon qu’il s’agit d’informations relatives à des procédures pénales ou d’informations relatives aux autres procédures. Ainsi il n’est pas spécifié, s’agissant de ces dernières, que les personnes concernées ne seraient habilitées à y accéder que dans la mesure où elles seraient liées au traitement des procédures dont elles sont saisies, comme c’est le cas pour les informations relatives aux procédures pénales.
La Commission estime que cette distinction n’est pas justifiée et considère que cette garantie devrait concerner toutes les procédures et propose que le dernier paragraphe de l’article R.15-33-65 soit complété afin de préciser que « peuvent directement accéder aux autres informations enregistrées dans le traitement Cassiopée, pour les nécessités liées aux seules procédures dont ils sont saisis, les magistrats et les agents des greffes des tribunaux de grande instance ».
La Commission prend acte de ce que, à sa demande, le ministère s’est engagé à modifier l’article R.15-33-65 du code de procédure pénale, afin de différencier les destinataires suivant qu’ils interviennent dans le cadre d’une procédure pénale ou dans celui d’une procédure civile ou commerciale.
Cet article sera modifié comme suit :
Un I sera introduit au début du 1er alinéa
Un II ainsi rédigé sera  substitué au dernier alinéa :
« II. Peuvent directement accéder aux autres informations enregistrées dans le traitement Cassiopée, pour les nécessités des seules procédures dont ils sont saisis, les magistrats et les agents des greffes des tribunaux de grande instance ».
Sur les droits des personnes.
Selon l’article R.15-33-67 (nouveau) du code de procédure pénale, le droit d’accès et de rectification prévu aux articles 39 et 40 de la loi du 6 janvier 1978, modifiée par le loi du 6 août 2004, s’exerce auprès du procureur de la République pour les affaires civiles, commerciales et pénales et auprès du président de la dernière juridiction régulièrement saisie du dossier pour les affaires d’assistance éducative.
La Commission relève que le ministère de la justice n’envisage pas de modalités spécifiques d’information des personnes. Elle estime que, dans la mesure où est prévu un droit d’accès direct, les personnes concernées devraient être informées de l’existence même du traitement et des modalités d’exercice de leurs droits. 
Sur l’architecture du traitement et les sécurités.
Le traitement « Cassiopée » repose sur une base nationale centralisée de toutes les procédures judiciaires, alimentée par les 175 tribunaux de grande instance.
L’authentification des utilisateurs est basée sur la saisie d’un login et d’un mot de passe individuels. La politique de mot de passe prescrit une longueur de huit caractères, une durée de vie de trois mois, un blocage du compte au bout de trois essais infructueux ainsi que l’interdiction de réutiliser les trois mots de passe précédents.
Le ministère a été interrogé sur l’opportunité qu’il y aurait à mettre en place des mécanismes d’authentification forts. En réponse, il a été indiqué à la Commission que cette hypothèse avait été écartée, essentiellement pour des raisons de coût financier.
Par ailleurs, le dossier technique transmis à l’appui de la demande d’avis indique qu’une politique d’habilitation sera mise en place afin de limiter l’accès aux données en fonction des profils des utilisateurs. Il est également indiqué que les accès au système seront journalisés. Il n’est cependant pas précisé quelles actions seront menées afin de détecter les usages anormaux du traitement « Cassiopée ».
Les données ne feront pas l’objet de mesures de chiffrement pendant leur stockage que ce soit en base de production ou lors des sauvegardes. Techniquement possibles, elles ont été jugées inappropriées par le ministère de la justice au regard du rendement attendu de l’application (performances, mise en œuvre et coût).
La Commission déplore dès lors, que de tels dispositifs n’aient pas été envisagés, compte tenu de la sensibilité des données enregistrées dans le traitement et du grand nombre d’agents habilités à y accéder.
Elle rappelle l’importance qu’elle attache à la mise en œuvre de mesures de sécurité fortes et appropriées au traitement et estime en conséquence que le ministère doit mettre en place le plus rapidement possible et à tout le moins lors de la prochaine évolution du système, les dispositifs nécessaires pour assurer le chiffrement de la base, permettre l’analyse des journaux d’exploitation ainsi qu’une remontée d’alertes et enfin instaurer un mécanisme d’authentification fort.
         Le Président,
Alex TURK.
(Demande d’autorisation n°105364 v.16)
La Commission nationale de l’informatique et des libertés ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiées par la loi n°2004-801 du 6 août 2004, notamment son article 25-5° ;
Vu les articles L. 152 et suivants du Livre des procédures fiscales ;
Vu les articles L. 114-12 et suivants du Code de la sécurité sociale ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu le décret n° 2007-354 du 14 mars 2007 relatif aux modalités d’application de la condition de résidence pour le bénéfice de certaines prestations ; 
Vu la demande d’autorisation présentée par le Ministère du budget et le Ministère de l’économie concernant la mise en œuvre d’un traitement automatisé de données à caractère personnel destiné à transmettre la liste des personnes ayant déclaré n'avoir plus leur domicile en France ;
Après avoir entendu M. Jean MASSOT et M. Philippe GOSSELIN, commissaires, en leur rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par le Ministère du budget et par le Ministère de l’économie d’un traitement automatisé de données à caractère personnel destiné à transmettre la liste des personnes ayant déclaré n'avoir plus leur domicile en France à la Caisse nationale d'assurance vieillesse des travailleurs salariés (CNAVTS).
La DGFIP transmet à la CNAVTS les coordonnées des personnes figurant sur le fichier des personnes ayant déclaré à l’administration fiscale avoir quitté le territoire. 
La liste des non-résidents transmise par la DGFIP à la CNAVTS contient les données à caractère personnel suivantes : 
le numéro FIP (identifiant fiscal)
les noms et prénoms
la date de naissance
la commune et département de naissance
l’adresse de correspondance (en France ou à l’étranger)
l’année du déménagement.
Ces données sont collectées via la déclaration de revenu adressée par les contribuables et saisies dans l’application ILLIAD de la DGFIP. Elles ne sont pas conservées au delà du temps nécessaire à leur transmission.
La Commission prend acte que le numéro de sécurité sociale n’est pas collecté et utilisé par la DGFIP. 
Les destinataires de ces données sont les agents habilités de la CNAVTS et la CNAMTS.
La Commission observe que le format des données utilisé par la DGFIP, la CNAV et la CNAMTS sont identiques à ceux qui ont été définis dans le cadre du répertoire national commun de la protection sociale (RNCPS). 
Tout comme le RNCPS, les données échangées transitent via le réseau ADVENIR qui repose sur l’utilisation du protocole CFT. Une fois le RNCPS mis en œuvre, le dispositif de gestion des échanges sera utilisé pour transmettre le fichier des non-résidents.
La Commission relève néanmoins que ces données ne sont pas chiffrées, ce qui signifie qu’elles transitent en clair sur l’infrastructure du prestataire de télécommunications.
Dès lors, elle estime que des mesures de sécurité appropriées devraient être prises telles que le chiffrement des données échangées par un algorithme réputé fort afin de garantir la confidentialité des échanges.
Les droits d’accès et de rectification conférés aux allocataires par la loi du 6 janvier 1978 modifiée s’exercent auprès du centre des impôts du domicile fiscal du requérant pour la DGFIP.
Le droit d’opposition ne s’applique pas à ce traitement.
La Commission autorise, dans les conditions prévues par le dossier du demandeur et la présente délibération, le Ministère du budget, des comptes publics et de la fonction publique et le Ministère de l'économie, de l'industrie et de l'emploi, à mettre en œuvre un traitement dont la finalité est de transmettre la liste des personnes ayant déclaré n'avoir plus leur domicile en France à la Caisse nationale d'assurance vieillesse des travailleurs salariés (CNAVTS).
Le Président
Alex TURK
(dossiers n°1361327, n°759541)
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le Haut Commissaire aux solidarités actives contre la pauvreté le 27 avril 2009 d’un projet de décret en Conseil d’Etat relatif au Revenu de Solidarité Active (RSA) accompagné du dossier technique associé et par le Ministre du travail, des relations sociales, de la famille, de la solidarité et de la ville et le Ministre de l’économie, de l’industrie et de l’emploi. 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiées par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment son article 27-I ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par le décret n°2007-401 du 25 mars 2007 ;
Vu la loi n°2008-1249 du 1er décembre 2008 généralisant le revenu de solidarité active et réformant les politiques d’insertion ;
Vu le décret n°2002-240 du 20 février 2002 relatif à l’échantillon national interrégimes d’allocataires de minima sociaux ;
Vu l’arrêté du 26 février 2002 relatif à des traitements automatisés de données à caractère personnel pour la mise en œuvre de l’échantillon national interrégimes d’allocataires de minima sociaux ;
Vu la délibération n°01-044 du 4 septembre 2001 de la Commission nationale de l’informatique et des libertés portant avis sur un projet de décret en Conseil d’Etat relatif à l’utilisation du RNIPP et sur un projet d’arrêté interministériel concernant la réalisation d’un échantillon interrégimes d’allocataires de minima sociaux ;
Après avoir entendu M. Jean MASSOT, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant :
La Commission a été saisie par le Haut Commissaire aux solidarités actives contre la pauvreté d’un projet de décret en Conseil d’Etat relatif au Revenu de Solidarité Active (RSA) accompagné d’un dossier technique précisant notamment les traitements envisagés, le détail des catégories de données, et les mesures de sécurité envisagées ainsi que d’un projet d’arrêté par le Ministre du travail, des relations sociales, de la famille, de la solidarité et de la ville et le Ministre de l’économie, de l’industrie et de l’emploi.
La loi n°2007-1223 du 21 août 2007 en faveur du travail, de l’emploi et du pouvoir d’achat prévoyait une expérimentation dans certains départements d’un mécanisme d’intéressement à la reprise d’activité dénommé Revenu de Solidarité Active (RSA). 
Le RSA garantit un revenu minimum aux personnes privées d’emploi et apporte un complément de revenus à celles en situation d’emploi précaire et disposant de revenus trop faibles.
La loi n° 2008-1249 du 1er décembre 2008 a généralisé le RSA et réformé les politiques d’insertion. Son article 1er précise que le RSA remplace le Revenu Minimum d’Insertion (RMI), l’Allocation de Parent Isolé (API) et les différents mécanismes d’intéressement à la reprise d’activité. 
Cette loi a fait l’objet d’un premier décret d’application (décret n° 2009-404 du 15 avril 2009) qui a permis de fixer l’ensemble des règles régissant la nouvelle prestation, de préciser les conditions d’attribution de l’Aide Personnalisée de Retour à l’Emploi (APRE) et d’adapter les dispositions applicables aux bénéficiaires du Revenu Minimum d’Insertion (RMI) et de l’Allocation de Parent Isolé (API).
La Commission est saisie d’un projet de décret qui est le second décret d’application et qui autorise les quatre traitements automatisés suivants :
le traitement « @-RSA » concernant le recueil et la transmission par les organismes auprès desquels les personnes peuvent déposer leur demande, d’une part, des données administratives aux départements et aux organismes assurant le service du RSA (Caisses d’Allocations Familiales, Mutualité Sociale Agricole) et, d’autre part, des données socio-professionnelles destinées à une meilleure insertion de l’allocataire et adressées aux seuls départements ;
l’utilisation du NIR dans le cadre des actes d’instruction, de service et du contrôle du RSA, ainsi qu’à des fins statistiques par les CAF et les MSA, les services du département, Pôle emploi ainsi que les structures qui versent des rémunérations ou des aides à l’emploi ou à la formation ;
la « transmission au président du conseil général des inscriptions, cessations d’inscription et radiations sur la liste des demandeurs d’emploi » consistant en une liste des bénéficiaires du RSA mise en place et actualisée chaque mois par Pôle emploi à l’intention des conseils généraux ;
la modification de l’Echantillon National Interrégimes d’Allocataires de Minima Sociaux (ENIAMS), destiné à l’établissement de statistiques.
Le Commission déplore avoir été saisie tardivement du présent projet de décret alors même que le dispositif RSA est entré en vigueur le 1er juin 2009.
Sur le traitement @-RSA
Le projet de décret soumis à la Commission crée une télé-procédure dénommée @-RSA dont les objectifs principaux sont les suivants :
renforcer la qualité du service, réduire le nombre de contacts, limiter les pièces justificatives demandées, fluidifier le processus de traitement des demandes, dans le contexte du développement de l’administration électronique (recueil des informations relatives aux conditions d’ouverture du droit au RSA dans le module d’instruction) ;
faciliter la mise en œuvre du volet de la loi « orientation des bénéficiaires soumis au devoir d’insertion » (recueil d’informations complémentaires et proposition de décision d’orientation, dans le module d’aide à l’orientation).
La Caisse Nationale d’Allocations Familiales (CNAF) est le maître d’œuvre du traitement @-RSA qui est mis à la disposition des organismes en charge de l’instruction du RSA mentionnés à l’article D262-26 : les Centres Communaux ou Intercommunaux d’Action Sociale (CCAS, CIAS), les services du département, les associations ou organismes qui ont reçu délégation du président du conseil général, les CAF, les MSA, et Pôle emploi.
Le traitement @-RSA n’est qu’une interface de saisie pour les organismes instructeurs de la demande initiale qui y accèdent soit par un intranet (pour les CAF), soit par un extranet (les CCAS ou CIAS, les services du département, les associations ou organismes qui ont reçu délégation du président du conseil général, les MSA, et Pôle emploi).
La Commission constate qu’il appartiendra à chaque département de décider de l’opportunité de recourir ou non à ce traitement sur son territoire et qu’il lui incombera en conséquence d’accomplir les formalités préalables à la mise en œuvre du traitement de gestion du RSA. Il lui apparaît souhaitable que l’attention des départements soit appelée sur ce point. 
Sur les finalités
Le traitement @-RSA a pour objectif de simplifier pour les demandeurs du RSA la procédure de demande de la prestation et d’adapter à leurs besoins l’accompagnement social et professionnel, notamment par la mise en commun de données à caractère personnel et d’informations détenues par les organismes instructeurs du RSA et Pôle Emploi. 
Le projet de décret mentionne également une finalité statistique (article R.262-105). Ces statistiques devraient notamment permettre de connaître les caractéristiques des allocataires du RSA et de mieux identifier les freins éventuels à l’emploi dans le cadre des besoins généraux d’évaluation du RSA.
La Commission considère que les finalités décrites ci-dessus sont légitimes. 
Sur les données traitées
Le NIR est collecté dans le module administratif dit « d’instruction » et utilisé par les organismes instructeurs lorsqu’ils assurent la liquidation du RSA (détermination de l’éligibilité et calcul du droit) ainsi que son versement. Cette utilisation du NIR ayant déjà été autorisée pour la gestion du RMI par la Commission, elle n’appelle dès lors pas d’observations particulières. 
Outre le NIR, les données d’identification concernent l’état civil des membres du foyer, le NIR de l’allocataire, mais aussi de son conjoint et de ses enfants. Il est également procédé à la collecte de nationalité sous la forme « français, ressortissant d’un Etat de l’Espace économique européen, ressortissant d’un Etat tiers », et à l’adresse et à la situation au regard du logement.
Les données relatives à l’ensemble des ressources du foyer sont aussi recueillies. 
Les articles L.262-2 et suivants du code de l’action sociale et des familles disposent en effet que « l’ensemble des ressources du foyer » doit être pris en compte dans le calcul du RSA. Le RSA fonctionne sur un principe de subsidiarité impliquant que le foyer doit faire valoir l’intégralité de ses droits aux prestations sociales ainsi que ses droits à créances d’aliments ou pensions alimentaires. 
Sur la conservation des données
L’article R.262-105 du code susvisé précise qu’aucune donnée recueillie par l’organisme instructeur n’est conservée par celui-ci et que la caisse nationale des allocations familiales conserve les données pendant une durée de deux ans. 
La Commission prend acte que selon les précision apportées par le Haut Commissaire, le dispositif technique sera le suivant : 
les données sont hébergées temporairement à la CNAF dans la base @-RSA le temps nécessaire à la validation de l'instruction du dossier par les organismes auprès desquels les personnes peuvent déposer leur demande et au recueil des données socio-professionnelles. Au cas où le demandeur n’aurait pas l’intégralité des pièces justificatives, il dispose d’un délai maximal de trois mois pour finaliser sa demande. Passé ce délai de trois mois, les données sont supprimées et il doit réitérer sa demande. Lorsque la demande est complète, les données sont transférées aux organismes en charge de la décision d’attribution (départements) et de la prestation (CAF et MSA). Cette transmission est en pratique réalisée chaque soir. Dans l’hypothèse d’éventuelles demandes de réémissions de fichiers liées à des dysfonctionnements, le dossier complet est conservé pendant un délai maximum de deux mois. Par conséquent, la CNAF conserve les données pendant une durée maximale de cinq mois ;
les informations saisies dans l’application @-RSA sont transmises aux organismes servant le RSA, qui sont, en pratique, les CAF et MSA qui conservent les données pendant trois ans, conformément aux durées de conservation précédemment autorisées pour leurs traitements de gestion des prestations (CRISTAL et AGORA).
La Commission considère en conséquence que compte tenu des précisions ainsi apportées, le projet de décret devra être modifié afin d’indiquer que la CNAF héberge temporairement les données saisies dans les deux modules le temps nécessaire à la validation du dossier et à la réalisation des opérations de transfert des données pendant un délai maximal de cinq mois et que les organismes en charge du service du RSA conservent pendant une durée de trois ans maximum les données relatives à l’instruction. 
Sur les destinataires
Aux termes de l’article R.262-105 du code de l’action sociale et des familles, les destinataires des données recueillies dans le module d’instruction de la demande sont les CAF et les MSA en tant qu’organismes chargés du service de la prestation, assurant, pour le compte du conseil général, la liquidation et le versement du RSA.
Les départements sont, quant à eux, destinataires des informations collectées dans le cadre des deux modules (instruction et aide à l’orientation). 
Sur les interconnexions
Le projet de décret mentionne dans son article R.262-103 de possibles interconnexions automatiques des données collectées dans le cadre du premier module relatif à l’instruction.
Les données recueillies dans le cadre de l’instruction de la demande font l’objet d’un rapprochement avec le Répertoire National des Bénéficiaires (RNB) géré par la CNAF afin de permettre de détecter les incompatibilités de situation et les divergences d’identité et de permettre aux bénéficiaires d’obtenir en n’importe quel point du réseau des CAF des renseignements individualisés. 
Ces données seront également rapprochées avec le fichier national des bénéficiaires du RMI, également géré par la CNAF, afin de prévenir les affiliations multiples au titre du RMI et du RSA, et leur signalement aux CAF et MSA. 
Conformément à l’article L.262-40 du code de l’action sociale et des familles, les organismes de contrôle pourront accéder au traitement de Pôle Emploi afin de connaître la situation du demandeur au regard de l’assurance chômage. 
La Commission estime que ces interconnexions sont légitimes. 
Sur l’établissement de statistiques et l’anonymisation des données
Le projet de décret prévoit que la CNAF recueille à des fins statistiques des données socio-professionnelles anonymisées concernant un échantillon restreint de demandeurs.