AgentPublic/cnil huggingface dataset:
En outre, sont également collectées les données relatives aux infractions, condamnations et mesures de sûreté (extrait du bulletin n°2 du casier judiciaire) conformément aux dispositions de l’article L. 421-3 du code de l’action sociale et des familles.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée en août 2004, dès lors qu’elles s’avèrent nécessaires et proportionnées dans le cadre du présent traitement.
Compte tenu de la nature des données collectées, la Commission considère qu’il y a lieu de faire application des dispositions de l’article 9-1 et 25-I-3° de la loi du 6 janvier 1978 modifiée en août 2004, qui soumettent à autorisation les traitements comportant des données relatives aux infractions.
Sur les destinataires
Les services en charge de l’instruction de l’agrément des assistants maternels ou familiaux au sein du Conseil départemental de la Seine-Maritime ont accès à l’ensemble des informations mentionnées ci-dessus, à raison de leurs attributions respectives et dans la limite du besoin d’en connaître.
Sont destinataires des informations relatives à l’identité de la personne (nom, prénoms, adresse, date et lieu de naissance, courriel, numéro de téléphone), à raison de leurs attributions respectives et dans la limite du besoin d’en connaître :
la CAF et PAJEMPLOI, conformément à l’article L. 421-9 du code de l’action sociale et des familles ;
les mairies, les communautés de communes (CDC), les relais des assistantes maternelles et les organisations syndicales, conformément à l’article L. 421-8 du code de l’action sociale et des familles.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes sont informées conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée en août 2004 par des mentions légales figurant sur les formulaires de demande d’agrément d’assistant maternel et familial (CERFA n°13394*04 et CERFA n°13395*02) qui sont complétés lors des demandes initiales et des renouvellements des agréments.
Les assistants maternels agréés sont également informés par des mentions légales figurant sur les formulaires coupon-réponse relatif au site mon-enfant.fr émis par les services du département.
Les droits d’accès et de rectification prévus aux articles 39 et 40 de la loi Informatique et Libertés du 6 janvier 1978 modifiée en août 2004 s’exercent auprès du Correspondant Informatique et Libertés du Conseil départemental de la Seine-Maritime.
Dans la mesure où le présent traitement répond à l’obligation légale prévue à l’article L. 421-3 du code de l’action sociale et des familles, le droit d’opposition est écarté conformément aux dispositions de l’article 38 de la loi du 6 janvier 1978 modifiée en août 2004.
Toutefois, elles disposent d’un droit d’opposition s’agissant de la transmission, par les services du département de la Seine-Maritime à la Caisse nationale des allocations familiales, des informations les concernant pour publication sur le site www.mon-enfant.fr .
La Commission considère que ces modalités d’information et d’exercice des droits des personnes, décrites ci-dessus, sont satisfaisantes.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.
L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules, majuscules et des chiffres lorsque l’authentification prévoit une restriction de l’accès au compte.
Les habilitations d’accès au système d’information sont définies en fonction des attributions des utilisateurs.
La Commission recommande que les accès à l’application fassent l’objet d’une journalisation. Elle rappelle que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée en août 2004.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les modalités d’octroi ainsi que la durée de l’agrément sont définies par le décret n° 2006-1153 du 14 septembre 2006 relatif à l'agrément des assistants maternels et des assistants familiaux et modifiant le code de l'action sociale et des familles (partie réglementaire). Cette durée peut être différente selon que l’agrément est délivré pour l’exercice de la profession d’assistant maternel ou d’assistant familial.
Les données sont conservées en base active le temps de la gestion des demandes et des renouvellements des agréments des assistants maternels et familiaux, à l’exception des données relatives aux infractions (extrait du bulletin n°2 du casier judiciaire) qui sont conservées trois mois en base active, et sont ensuite supprimées de manière sécurisée.
Elles font ensuite l’objet d’un archivage intermédiaire pour une durée de cinq ans à compter de la date de la cessation d’activité de l’assistant maternel ou familial conformément aux dispositions de la circulaire AD 98-6 du 6 juillet 1998 relative au traitement des archives produites dans le cadre de l’aide sociale en faveur des mineurs.
A l’expiration de cette période, les données sont détruites de manière sécurisée.
Certains dossiers sont conservés de manière définitive à des fins d’archivage patrimonial par la Direction des Archives Départementales conformément aux dispositions du Code du patrimoine.
Lorsqu’il existe un recours contre un tiers ou un contentieux, les données sont conservées jusqu’à l’intervention de la décision définitive.
La Commission considère que ces durées de conservation sont pertinentes au regard des finalités poursuivies.
Autorise, conformément à la présente délibération, le Conseil départemental de la Seine-Maritime à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par la délégation générale à l'emploi et à la formation professionnelle d'une demande d'avis concernant l'échange de données dématérialisées relatives à la formation professionnelle ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code du travail, notamment ses articles L. 6323-8 et suivants, L. 6353-10 et R. 6323-13 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27 (I-1°) ;
Vu la loi n° 2016-1088 du 8 août 2016 relative au travail, à la modernisation du dialogue social et à la sécurisation des parcours professionnels ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2014-1717 du 30 décembre 2014 portant création d'un traitement automatisé de données à caractère personnel dénommé Système d'information du compte personnel de formation relatif à la gestion des droits inscrits ou mentionnés au compte personnel de formation ;
Vu le décret n° 2015-1224 du 2 octobre 2015 autorisant les traitements automatisés de données à caractère personnel permettant la connexion au système d'information du compte personnel de formation pour la gestion des droits inscrits ou mentionnés au compte personnel de formation ;
Vu la délibération n° 2014-434 du 23 octobre 2014 portant avis sur un projet de décret relatif à la mise en œuvre d'un traitement de données à caractère personnel dénommé système d'information du compte personnel de formation ;
Après avoir entendu Mme Marie-France Mazars, commissaire, en son rapport, et Mme Nacima Belkacem, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La loi n° 2016-1088 du 8 août 2016 relative au travail, à la modernisation du dialogue social et à la sécurisation des parcours professionnels a créé un article L. 6353-10 dans le code du travail. Cet article prévoit que des informations relatives aux parcours de formations des bénéficiaires sont partagées entre divers acteurs intervenant dans la formation professionnelle pour permettre une meilleure gestion du parcours de formation des titulaires de compte personnel de formation (CPF). D'une part, l'organisme financeur de la formation professionnelle disposera de l'ensemble des informations relatives au parcours de formation, c'est-à-dire aux actions de formation dont a bénéficié le titulaire du compte. Ces informations lui permettront d'avoir notamment une meilleure connaissance des compétences acquises par le bénéficiaire et de cibler les formations les plus adaptées à son profil. D'autre part, les partages d'informations renforceront également la connaissance, par le conseil en évolution professionnelle, du parcours de formation du bénéficiaire.
L'article L. 6353-10, alinéa 2, énonce plus précisément que les organismes financeurs, la Caisse des dépôts et consignations (CDC) qui est l'organisme gestionnaire du système d'information du compte personnel de formation (SI-CPF) et les entités chargées du conseil en évolution professionnelle partagent des données relatives aux actions de formation des titulaires du CPF. L'article indique que ces échanges de données interviennent par voie dématérialisée.
Afin de mettre en application ces dispositions, la délégation générale à l'emploi et à la formation professionnelle (DGEFP) envisage de recourir au SI-CPF comme outil de transmission des données. Les informations relatives au parcours de formation seront collectées par les organismes financeurs et les entités chargées du conseil en évolution professionnelle et viendront alimenter le passeport d'orientation, de formation et de compétences dont chaque titulaire de compte dispose dans son CPF.
Dans ces conditions, le présent projet de décret, soumis à la commission pour avis sur le fondement de l'article 27 (l-2°) de la loi du 6 janvier 1978 modifiée, procède à la mise à jour de l'encadrement juridique du dispositif du SI-CPF s'agissant des finalités du traitement, des données traitées et des destinataires de ces données. Sont intégrées les références au partage des données de la formation professionnelle pour la gestion des parcours de formation des titulaires d'un CPF.
Sur la finalité du traitement :
Le traitement vise à permettre, via le SI-CPF, l'échange de données relatives à l'ensemble des formations suivies par les titulaires de CPF, afin d'améliorer la gestion du parcours de formation du titulaire du compte.
Le projet de décret modifie l'article R. 6323-13 en ce qu'il précise désormais que le SI-CPF a pour fonction, outre la gestion des droits inscrits ou mentionnés sur le CPF, la gestion du parcours de formation du titulaire du compte .
L'acte réglementaire modifie également la liste des finalités poursuivies par le SI-CPF énoncée à l' article R. 6323-13 du code du travail pour y ajouter celle relative à l'organisation du partage des données mentionné à l'article L. 6353-10 .
La commission considère que cette finalité est déterminée, explicite et légitime.
Sur les données collectées :
Le projet de décret liste les catégories de données échangées en application de l' article L. 6353-10 du code du travail. Elles sont relatives aux interruptions et à l'achèvement de la formation des stagiaires, à leur emploi et à leur parcours de formation professionnelle ainsi qu'aux coûts des actions de formation.
Elle relève que le projet de décret distingue clairement les données traitées dans le cadre de cet échange de celles traitées pour la gestion du CPF.
Il convient de noter que le présent traitement porte sur l'ensemble des formations suivies par les titulaires du CPF et non pas sur les seules formations éligibles au CPF. Ainsi, toutes les formations suivies par les stagiaires figureront dans le SI-CPF sans pour autant qu'elles n'ouvrent de droits dans le CPF.
La commission relève également que le fonctionnement du SI-CPF repose sur le traitement du NIR à partir duquel sont notamment effectués les échanges de données et les appariements pour mettre à jour les données du CPF. Or, les données relatives aux entrées et sorties des stagiaires des formations sont transmises par les organismes de formation, en application de l'article L. 6353-10, alinéa 1er, dont certains ne collectent pas le NIR (lorsque la formation est prise en charge par Pôle emploi ou par les OPCA hors champ du CPF).
S'agissant de ces derniers, la commission rappelle que le NIR ne pourra être traité qu'en vue des échanges avec l'organisme financeur dans le cadre du présent traitement.
Sous ces réserves, la commission estime que les données collectées dans le cadre de ce traitement sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie par le responsable de traitement.
Sur la durée de conservation des données :
Les données échangées via le SI-CPF, dans le cadre de l' article L. 6353-10 du code du travail, sont conservées pendant une durée de trois ans après le décès du stagiaire bénéficiaire du compte, conformément à la durée de conservation prévue pour les données présentes dans le SI-CPF.
La commission estime que les données enregistrées dans le traitement sont conservées pour une durée qui n'excède pas la durée nécessaire à la finalité pour laquelle elles sont collectées et traitées.
Sur les destinataires des données :
Les données sont échangées, dans les limites de leurs attributions légales, entre les organismes chargés du financement de la formation (les OPCA, les organismes paritaires agréés au titre du congé individuel de formation - OPCACIF-, les régions, Pôle emploi, les fonds de développement pour l'insertion professionnelle des handicapés), la CDC et les organismes de conseil en évolution professionnelle mentionnés à l' article L. 6111-6 du code du travail. Ces catégories de destinataires sont déjà prévues par le décret encadrant le SI-CPF.
La commission prend acte que les destinataires se trouvant hors du champ du dispositif du CPF n'ont accès qu'aux seules informations du CPF se rapportant aux échanges de données de l' article L. 6353-10 du code du travail et à la gestion du parcours de formation.
La commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement, dans la limite de leurs attributions et sous réserve que les données effectivement accessibles présentent un lien direct et nécessaire avec leurs fonctions et avec la finalité du traitement.
Sur l'information et les droits des personnes :
La commission prend acte que les modalités d'information des personnes et d'exercice de leurs droits sont identiques à celles prévues dans le cadre du SI-CPF. Ainsi, les stagiaires bénéficiaires du CPF sont informés, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, par une mention insérée sur le portail d'accès au site internet www.moncompteformation.gouv.fr.
S'agissant des droits d'accès et de rectification, prévus par les articles 39 et 40 de la loi du 6 janvier 1978modifiée, conformément au décret encadrant le SI-CPF, ils s'exercent directement auprès du correspondant informatique et libertés de la Caisse des dépôts et consignations.
Le droit d'opposition pour motif légitime est écarté par le décret encadrant le SI-CPF, en application du dernier alinéa de l'article 38 de la loi du 6 janvier 1978 modifiée.
Ces dispositions du projet de décret relatives aux droits d'accès, de rectification et d'opposition n'appellent pas d'observation de la part de la commission.
Sur les mesures de sécurité et de confidentialité des données :
La commission souligne qu'elle a déjà rendu un avis sur le SI-CPF et précise que les modalités techniques de mise en œuvre du traitement ne sont pas impactées par les modifications énoncées précédemment.
S'agissant toutefois des modalités de transmission des informations entre l'organisme de formation et l'organisme financeur, la commission insiste sur la nécessité, pour l'organisme financeur, de s'assurer que ces transmissions sont réalisées de manière sécurisée. La commission rappelle à cet égard que toute transmission d'information via un canal de communication non sécurisé, par exemple internet, doit s'accompagner de mesures adéquates permettant de garantir la confidentialité des données échangées, telles qu'un chiffrement des données.
La commission rappelle que l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur la mise à jour de l'acte réglementaire unique n° 049 :
Le projet de décret procède à la mise à jour de l'acte réglementaire unique n° 049 ( décret n° 2015-1224 du 2 octobre 2015 autorisant les traitements automatisés de données à caractère personnel permettant la connexion au système d'information du compte personnel de formation pour la gestion des droits inscrits ou mentionnés au compte personnel de formation) qui autorise les traitements de données à caractère personnel permettant la connexion au SI-CPF.
La commission relève que l'acte réglementaire unique prévoit désormais que la connexion au SI-CPF peut également avoir pour fin de permettre les échanges de données prévus à l' article L. 6353-10 du code du travail, conformément à la rédaction du présent projet de décret. Néanmoins, il conviendrait également de modifier le titre du décret de manière qu'il ne soit plus exclusivement rattaché à la gestion du CPF.
S'agissant des autres champs de l'acte réglementaire unique, ils ne sont pas impactés par l'ajout de la finalité.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des finances et des comptes publics d'une demande d'avis concernant un projet d'arrêté relatif à la mise en service à la direction générale des finances publiques, à l'Agence centrale des organismes de sécurité sociale d'une procédure automatisée de transfert des données fiscales ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code général des impôts ;
Vu le livre des procédures fiscales, notamment ses articles L. 152, L. 288, R. 152-1, R. 287 et R. 288-1 et suivants ;
Vu le code de la sécurité sociale, notamment ses articles L. 244-3, L. 380-1, L. 380-3-1, R. 380-3 et D. 380-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 99-1047 du 14 décembre 1999 pris pour l'application de l'article 107 de la loi de finances pour 1999 (n° 98-1266 du 30 décembre 1998) relatif à l'utilisation du numéro d'inscription au répertoire national d'identification des personnes physiques par la direction générale des impôts, la direction générale de la comptabilité publique et la direction générale des douanes et droits indirects ;
Vu le décret n° 2000-8 du 4 janvier 2000 modifié pris pour l'application de l' article L. 288 du livre des procédures fiscales ;
Vu le décret n° 2002-771 du 3 mai 2002 modifié portant création d'une procédure de transfert de données fiscales ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2014-516 du 22 mai 2014 relatif aux modalités de liquidation et de recouvrement de la cotisation maladie due par les personnes affiliées au régime général sur critère de résidence et à diverses dispositions relatives aux soins dispensés hors de France ;
Vu le décret n° 2014-517 du 22 mai 2014 relatif au taux et aux modalités de calcul de la cotisation maladie due par les personnes affiliées au régime général sur critère de résidence ;
Vu la délibération n° 01-055 du 25 octobre 2001 relative à la création d'une procédure de transfert de données fiscales pour le compte de l'Etat et des organismes de protection sociale visés à l' article L. 152 du livre des procédures fiscales ;
Vu la délibération n° 2011-323 du 13 octobre 2011 portant avis sur un projet d'arrêté généralisant une procédure automatisée de transfert de données fiscales préalablement expérimentée entre la direction générale des finances publiques et l'Agence centrale des organismes de sécurité sociale et relative aux travailleurs affiliés au régime social des indépendants ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie pour avis par le ministre des finances et des comptes publics d'un projet d'arrêté relatif à la mise en service, à la direction générale des finances publiques (DGFiP), d'une procédure automatisée de transfert des données fiscales avec l'Agence centrale des organismes de sécurité sociale (ACOSS).
La procédure de transfert de données fiscales (dite TDF ) a été créée par le décret n° 2002-771 du 3 mai 2002 susvisé, pris après l'avis de la commission en date du 25 octobre 2001, afin de permettre aux agents des administrations fiscales de communiquer aux organismes et services chargés de la gestion d'un régime obligatoire de sécurité sociale ou d'un régime de retraite complémentaire obligatoire, sur support informatique, les informations fiscales nécessaires à l'exécution des finalités mentionnées à l' article L. 152 du livre des procédures fiscales (LPF). Ces finalités concernent, à titre général, le contrôle des déclarations des allocataires aux fins d'ouverture, de maintien et de calcul des droits.
Ce même article précise que le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) peut être utilisé pour les demandes, échanges et traitements nécessaires à la communication des informations qui y sont mentionnées, lorsqu'elles concernent des personnes physiques.
La procédure TDF est mise en œuvre dans le cadre d'un centre de services informatiques unique, hébergé par la DGFiP et dénommé Centre national de transfert de données fiscales (CNTDF). Celui-ci reçoit les demandes des organismes sociaux qui fournissent un fichier d'appels concernant certains de leurs assurés, les transmet à la DGFiP et adresse les réponses reçues de cette dernière ( fichiers de restitutions ). Cette procédure permet ainsi de communiquer uniquement les données des personnes concernées par la demande adressée par ces organismes et à transmettre les seules informations qui leur sont nécessaires.
L' article 2 du décret n° 99-1047 du 14 décembre 1999 susvisé prévoit expressément que des arrêtés ministériels pris après avis de la Commission nationale de l'informatique et des libertés fixent la liste des informations pouvant être obtenues par les organismes de sécurité sociale et les règles auxquelles doivent satisfaire les traitements opérés pour le recueil et l'exploitation de ces informations .
C'est dès lors sur le fondement de ce décret que le présent projet d'arrêté est soumis pour avis à la commission. Il vise à faire bénéficier l'ACOSS, déjà adhérente à la procédure TDF, d'un nouveau type de transfert de données.