AgentPublic/cnil huggingface dataset:
Elle prend également acte de l’ajout des agents des préfectures et des représentations de l’Etat outre-mer, aux fins de traitement des demandes de visa à destination des départements, collectivités et territoires d’outre-mer, ou à destination de l’espace Schengen pour les demandes déposées outre-mer. L’accès de ces agents sera limité aux seules données du traitement RMV 2 relatives aux personnes dont ils instruisent les demandes de visa, et il leur permettra uniquement de créer une demande de visa, de la renseigner et d’accéder à l’historique des demandes présentées par la même personne. La connexion au RMV 2 central aura lieu par l’intermédiaire du réseau du ministère de l’intérieur et inter-administrations SETI (ADER).
Les ministères concernés prévoient également de permettre l’accès au traitement RMV 2 des directions géographiques du ministère des affaires étrangères, qui sont en pratique déjà consultées par les autorités en charge de la délivrance des visas afin de donner leur avis sur des dossiers sensibles. Dans la mesure où cet accès sera réalisé via le réseau privé du ministère des affaires étrangères, la Commission prend acte de ces nouveaux destinataires du traitement, dont l’accès sera limité à des cas particuliers, mais demande à ce qu’il soit confirmé que les agents de ces directions ne pourront accéder qu’aux données du RMV 2 relatives aux personnes sur lesquelles elles sont expressément consultées par les autorités en charge de la délivrance des visas.
La Commission prend également acte de ce qu’il est envisagé de permettre l’accès au traitement pour les agents de la direction centrale du renseignement intérieur (ministère de l’intérieur), tout comme avait été autorisé l’accès des agents de la direction générale de la sécurité extérieure du ministère de la défense, par l’arrêté du 3 juin 2003 pris après avis favorable de la CNIL. Elle relève qu’aucune possibilité de modification ou de mise à jour de la base ne sera ouverte à ces agents, et que cet accès ne conduira pas à exploiter les données enregistrées dans RMV 2 par un traitement spécifique ou associé aux propres fichiers informatiques de la direction centrale du renseignement intérieur.
En ce qui concerne l’accès au traitement des agents de la commission de recours contre les décisions de refus de visa d’entrée en France, aux fins de décision relative aux recours déposés par les étrangers, la Commission relève que celui-ci aura lieu via le réseau sécurisé du système central RMV 2. Elle prend donc acte de ces nouveaux destinataires, qui n’auront accès qu’aux seules données relatives aux personnes dont ils ont à instruire les recours.
Elle prend également acte de ce que les agents de la direction générale des douanes et des droits indirects auront accès aux données du traitement RMV 2, aux fins de réalisation de leurs missions de contrôles aux frontières. La connexion au RMV 2 central aura lieu par l’intermédiaire du réseau du ministère de l’intérieur et inter-administrations SETI (ADER).
Enfin, la Commission prend acte de ce que les agents de l’office français de l’immigration et de l’intégration pourront accéder aux données enregistrées dans le traitement, aux fins de validation de la présence en France des titulaires d’un visa long séjour, qui dispense les étrangers concernés de l’obligation de détenir une carte de séjour temporaire, conformément aux dispositions du décret n° 2009-477 du 27 avril 2009. Cet accès aura lieu via un intranet sécurisé et ne leur permettra que de disposer d’un nombre limité d’informations. 
La Commission relève que l’ensemble de ces destinataires font l’objet d’une désignation individuelle et d’une habilitation spéciale par leur supérieur hiérarchique, expressément prévue par l’arrêté du 22 août 2001 modifié. 
Sur les droits des personnes concernées
La Commission prend acte de ce que le droit d’accès prévu à l’article 39 de la loi du 6 janvier 1978 modifiée peut désormais s’exercer non seulement auprès du consulat ou de l’ambassade où la demande a été déposée, mais également auprès de la préfecture ou de la représentation de l’Etat si la demande de visa y a été déposée, ainsi qu’auprès de la sous-direction des visas du ministère de l’immigration. 
Elle prend également acte de ce qu’un nouvel article 7-1 de l’arrêté du 22 août 2001 modifié prévoit que le droit d’opposition prévu à l’article 38 de la loi précitée ne s’applique pas au traitement RMV 2.
La Commission relève cependant que le droit de rectification des données prévu à l’article 40 de la loi du 6 janvier 1978 modifiée n’est pas mentionné dans l’arrêté du 22 août 2001, et demande donc à ce que le projet d’arrêté modificatif prévoie expressément l’ajout de cette mention.
Elle appelle en outre l’attention des ministères concernés sur la nécessité d’informer par écrit les personnes qui ont exercé leur droit de rectification et obtenu la modification ou l’effacement des données erronées ou enregistrées de façon illicite qui les concernent, conformément aux dispositions de l’article 38 du règlement VIS du 9 juillet 2008.
Enfin, elle demande à ce qu’une note d’information à destination des demandeurs de visa dont les données personnelles seraient collectées par des prestataires extérieurs, leur soit remise et affichée dans les locaux de ces prestataires. Cette note devrait notamment préciser que les droits d’accès et de rectification des personnes aux données qui les concernent s’exercent auprès de la seule section des visas du consulat concerné, afin d’éviter que les personnes concernées ne s’adressent au prestataire pour exercer ces droits.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le ministère du travail, de la famille, de la solidarité et de la ville, le ministère du budget, des comptes publics, de la fonction publique et de la réforme de l’Etat, le ministère de la santé et des sports le 4 août 2009 d’un projet de décret en Conseil d’Etat portant création d’un traitement de données à caractère personnel dénommé « échanges inter-régimes de retraite » ;
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé de données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment son article 27-I ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-401 du 25 mars 2007 ;
Vu la loi du financement de la sécurité sociale n°2008-1330 du 17 décembre 2008 ;
Vu le décret n°2009-788 du 23 juin 2009 relatif aux conditions d’attribution de la majoration de pension de réversion et à certaines conditions d’attribution du minimum contributif et de l’allocation de solidarité aux personnes âgées ;
Après avoir entendu M. Philippe GOSSELIN, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant : 
Le projet de décret en Conseil d’Etat présenté par le ministère du travail, de la famille, de la solidarité et de la ville, le ministère du budget, des comptes publics, de la fonction publique et de la réforme de l’Etat, le ministère de la santé et des sports vise à créer un traitement de données à caractère personnel dénommé « échanges inter-régimes de retraite ».
L’article L161-6 du code de la sécurité sociale (article 76 de la loi de financement de la sécurité sociale pour 2009 du 17 décembre 2008) prévoit que « les organismes et services chargés de la gestion des régimes de retraite de base et complémentaires légaux ou rendus légalement obligatoires communiquent par voie électronique les informations nécessaires à la détermination du droit au bénéfice des prestations de retraite et, s'il y a lieu, au calcul de ces dernières, notamment pour la mise en œuvre des articles L. 173-2 et L. 353-6 du présent code et L. 732-51-1 et L. 732-54-3 du code rural. Un décret en Conseil d'Etat fixe les modalités d'application du présent article. Ce décret peut, aux mêmes fins, prévoir la création d'un répertoire national ».
La Commission prend acte, à la lecture du dossier technique, que le projet de décret concerne le répertoire visé à l’article susmentionné qui sera créé de façon transitoire pour répondre à l’exigence du législateur, ainsi que les échanges qui seront développés postérieurement dans le cadre du Répertoire National Commun de la Protection Sociale (RNCPS) qui se substituera au répertoire « échanges inter-régimes de retraite » à horizon 2014. Il est précisé que le dit-répertoire doit être opérationnel au 1er décembre 2009 afin que les régimes puissent instruire les droits à majoration de pension de réversion des conjoints survivants âgés d’au moins 55 ans au 1er janvier 2010
La Caisse Nationale d’Assurance Vieillesse des travailleurs salariés est en charge de la création et de la mise en œuvre du répertoire.
Sur les finalités
Le traitement a pour finalités la simplification des démarches administratives des bénéficiaires ainsi que l’appréciation du droit à la majoration de la pension de réversion, le recentrage du minimum contributif et la revalorisation des pensions servies par le régime des exploitants agricoles. 
Sur les données collectées
Les données collectées, et le cas échéant enregistrées, par le traitement sont les données communes d’identification (nom, prénoms, NIR) ainsi que les données relatives aux affiliations et avantages, qui comportent notamment la liste des régimes d’affiliation du bénéficiaire et de son conjoint ou ex-conjoint décédé, ainsi que le montant de chacun des avantages de retraite servi au bénéficiaire, sous réserve de la mention d’un code spécifique lorsque l’avantage de retraite est supérieur à un seuil fixé par arrêté, et la mention  que l’assuré a fait valoir tous ses droits auprès de l’organisme. 
Ces informations sont fournies par les organismes dits contributeurs (ceux des régimes légaux ou rendus légalement obligatoires de base ou complémentaires).
Les données collectées n’appellent pas d’observation particulière. 
Sur les destinataires
Les organismes dits utilisateurs sont la Caisse Nationale d’Assurance Vieillesse des travailleurs salariés, le Régime Social des Indépendants, la Mutualité Sociale Agricole, les sections professionnelles de la Caisse Nationale d’Assurance Vieillesse des professions libérales, les régimes spéciaux qui servent des pensions de réversion de coordination calculées selon les règles du régime général en application de l’article L173-1 du code de la sécurité sociale. 
Les destinataires de ces données au sein des organismes utilisateurs sont  les agents individuellement habilités en charge de l’instruction, du calcul et du versement de la majoration mentionnée à l’article 1er  2°, 3°, 4° (à savoir pour l’appréciation du droit à la majoration de la pension de réversion, le recentrage du minimum contributif, la revalorisation des pensions servies par le régime des exploitants agricoles). 
Sur les durées de conservation
La Commission prend acte que le nom de famille et les prénoms ne sont pas conservés, mais seulement utilisés aux fins de consultation du SNGI. Seul le NIR est conservé dans le répertoire national le temps durant lequel les informations relatives aux affiliations et avantages sont conservées, soit cinq ans à compter de la date à laquelle l’avantage de retraite cesse d’être servi.
Les informations relatives aux affiliations et avantages sont conservées pendant un délai de cinq ans à compter de la date à laquelle l’avantage de retraite cesse d’être servi.
Le Ministère a souhaité allonger à cinq ans la durée de conversation initialement proposée dans le projet de décret à trois ans, afin de se conformer aux durées de conservation prévues dans le RNCPS. 
La Commission constate que cette durée de conservation apparait justifiée au regard des finalités pour lesquelles les données sont collectées, que les données centralisées de rattachement du RNCPS seront également conservées pendant cinq années civiles suivant la date de fin de rattachement et qu’à horizon 2014, la plate-forme RNCPS se substituera au répertoire « échanges inter-régimes de retraite ».
Les mises à jour et les échanges, de même que les traces de ces opérations, sont conservés dans un journal pendant un an à compter de ces opérations.
Sur les sécurités
Il ressort des éléments transmis par le Ministère que les garanties relatives à la sécurité des données sont conformes à l’état de l’art. 
Sur les droits des personnes
En ce qui concerne les droits des personnes, les droits d’accès et de rectification s’exercent auprès de chacun des organismes dits utilisateurs, alors que le droit de rectification ne s’exerce qu’auprès de l’organisme dit contributeur.
La Commission prend acte que le droit d’opposition des personnes à figurer dans ce fichier ne s’appliquera pas et de l’engagement du Ministère de procéder à l’information des personnes, sur l’existence du répertoire et de leurs droits conformément à la loi informatique et libertés, par une mention sur le courrier de notification ou par une lettre jointe à la notification de la majoration de réversion. 
La Commission rappelle qu’en cas de demande d’accès, les codes, signes et abréviations figurant dans les documents communiqués doivent être expliqués, si nécessaire à l’aide d’un lexique.
Sur la convention avec la CNAV-TS
Une convention entre la CNAV-TS et chaque organisme devra déterminer les modalités de participation des organismes, les caractéristiques des systèmes d’informations mis en œuvre pour assurer une alimentation et une consultation sécurisées, les règles d’habilitation définies par les organismes pour chaque mode de consultation et de traitement des données ainsi que les exigences relatives à la qualité des données fournies par les organismes contributeurs. 
Le Président,
Alex TURK
(avis n°1391302)
La Commission nationale de l’informatique et des libertés,
Saisie par le ministère du budget, des comptes publics, de la fonction publique et de la réforme de l’Etat, le 16 octobre 2009 d’une demande d’avis portant sur un projet d’arrêté portant création d’un fichier de comptes bancaires détenus hors de France par des personnes physiques ou morales ; 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004, et notamment son article 26 ;
Vu le code général des impôts, notamment ses articles 1649A, 1649AA et 1741 et suivants ;
Vu le livre des procédures fiscales, notamment ses articles L10 B, L. 82C, L. 96A, L. 101 et L169 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par le décret n°2007-401 du 25 mars 2007 ;
Après avoir entendu M. Philippe GOSSELIN, commissaire, en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant :
La Commission a été saisie par le ministère du budget, des comptes publics, de la fonction publique et de la réforme de l’Etat, d’une demande d’avis relative à un projet d’arrêté portant création par la direction générale des finances publiques (DGFiP) d’un fichier de comptes bancaires détenus hors de France par des personnes physiques ou morales, sur le fondement de l’article 26 I-2° de la loi du 6 janvier 1978 modifiée par la loi du 6 août 2004. 
Ce traitement s’inscrit dans le cadre de la politique de lutte contre la fraude fiscale conduite par les pouvoirs publics. Il permet de recenser et de traiter les informations laissant présumer de la détention de comptes bancaires hors de France par des personnes physiques ou morales et sur cette base de mener des actions de prévention, de recherche, de constatation ou de poursuite de manquements fiscaux et d’infractions pénales.
Sur les finalités
Aux termes de l’article 2 du projet d’arrêté, le traitement a pour finalité de recenser des informations laissant présumer de la détention de comptes bancaires hors de France par des personnes physiques ou morales et sur cette base :
de mener des actions de prévention, de recherche, de constatation ou de poursuite d’infractions pénales ;
d’analyser et de vérifier la situation des personnes concernées en vue de procéder le cas échéant à des régularisations de situations fiscales ;
de programmer et mener des opérations de recherche, de constatation et de poursuite de manquements fiscaux ;
d’inciter les usagers à déclarer spontanément la détention de comptes bancaires hors de France.
La Commission estime que les finalités poursuivies par l'administration fiscale en créant ce traitement découlent des missions qui lui sont dévolues et sont par conséquent légitimes.
Sur les données traitées
Les données à caractère personnel traitées sont les suivantes :
l’identité de la personne : nom, prénoms, date et lieu de naissance, numéro fiscal (SPI) pour une personne physique et raison sociale, catégorie juridique, SIREN/SIRET, activité pour une personne morale ;
l’adresse ;
l’établissement de crédit ;
le numéro du ou des comptes ;
la date d’ouverture de ceux-ci ;
le montant des soldes et virements.
La Commission prend acte de ce que les informations relatives aux comptes détenus (établissement de crédit, numéro du (des) compte(s), date d’ouverture du (des) comptes et montant des soldes et virements) ne constituent avant validation que des présomptions.
Les opérations de validation consistent à vérifier l’exactitude des informations listées ci-dessus relatives à la détention de comptes bancaires notamment par les moyens suivants :
consultation des autres traitements de la direction générale des finances publiques ; 
interrogation des établissements bancaires dans le cadre du droit de communication prévu par l’article L.96A du Livre des procédures fiscales ;
transmission d’informations dans le cadre de l’assistance administrative internationale.
Le projet d’arrêté prévoit également une zone commentaires destinée à enregistrer des « informations directement liées à l’instruction des dossiers, à l’exclusion de toute appréciation subjective ». En particulier, ces zones commentaires mentionneront le fait qu’un compte bancaire a été validé.  
La Commission rappelle que les zones commentaires ne doivent comporter que des informations adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées ou traitées, conformément à la loi du 6 janvier 1978 modifiée.
Elle relève qu’il ressort du dossier de formalités que les données sont issues de diverses sources :
informations collectées lors des procédures de contrôle fiscal et d’enquête conduites par la DGFiP (droit d’enquête, de visite et de saisie) ;
mise en œuvre du droit de communication (notamment en application de l’article L96 A du Livre des procédures fiscales) ;
assistance administrative internationale ; 
transmission d’informations par les autorités judiciaires (notamment articles L82 C et L101 du Livre des procédures fiscales) ;
toute information portée à la connaissance de l’administration conformément aux missions qui lui sont dévolues par les lois et règlements en vigueur.
Sur la durée de conservation 
L’article 4 de l’arrêté prévoit que les données collectées seront conservées pendant une durée de dix ans à compter de leur enregistrement, éventuellement prolongée en cas de recours contentieux.
La Commission considère que cette durée est justifiée compte tenu des délais de prescription qui s’appliquent en matière fiscale et notamment ceux prévus à l’article L169 du Livre des procédures fiscales.
Elle prend acte du fait que les données relatives aux comptes bancaires détenus qui seraient inexactes à l’issue des travaux de validation seront supprimées. 
Elle observe toutefois qu’aucune purge automatique n’est prévue à l’issue du délai de conservation de dix ans et demande qu’un tel dispositif soit mis en place par la DGFiP.
De même, la Commission considère que des vérifications régulières sur la base du nom, du lieu et de la date de naissance, ainsi que du numéro fiscal (SPI) devraient être opérées systématiquement pour éviter notamment des erreurs d’homonymie. 
Sur les destinataires
Les destinataires sont les agents habilités de la direction nationale des enquêtes fiscales et des directions compétentes en matière de contrôle : Direction Nationale des Vérifications de Situations Fiscales (DNVSF), Direction des Vérifications Nationales et Internationales (DVNI), Direction des Résidents à l'Etranger et des Services Généraux (DRESG), Directions de Contrôle Fiscal (DIRCOFI) et les directions territoriales concernées.
Il est également envisagé dans le cadre des conventions fiscales signées par la France et afin de lutter contre la fraude et l’évasion fiscale, que l’administration fiscale communique certaines des informations figurant à l’article 3 du projet d’arrêté aux autorités des autres Etats co-signataires. Dans cette hypothèse, des transferts de données vers des pays situés en dehors de l’Union européenne sont susceptibles d’être effectués.
A cet égard, l’article 5 du projet d’arrêté précise : « Les données visées à l’article 3 pourront être transférées ponctuellement dans le cadre de l’assistance administrative internationale ».
Par ailleurs, la Commission relève que si le principe de ces transferts est prévu par différents traités bilatéraux conclus et ratifiés par la France avec les pays concernés, aucune disposition spécifique relative à la protection des données à caractère personnel n’est prévue dans ces conventions.
Il y a lieu dès lors de s’assurer que les transferts de données s’effectueront conformément aux dispositions du deuxième alinéa de l’article 68 de la loi du 6 janvier 1978 modifiée, qui dispose que « le caractère suffisant du niveau de protection assuré par un Etat s’apprécie en fonction notamment des dispositions en vigueur dans cet Etat, des mesures de sécurité qui y sont appliquées, des caractéristiques propres du traitement, telles que ses fins et sa durée, ainsi que de la nature, de l’origine et de la destination des données traitées ».
La Commission demande, dans la mesure où d’autres échanges d’informations seraient envisagés à l’avenir, à pouvoir être associée à la préparation et à la définition de la position française dans les négociations internationales relatives aux échanges de données en matière fiscale, en application des dispositions de l’article 11-4-d) de la loi du 6 janvier 1978, modifiée par la loi du 6 août 2004, et à être consultée sur les éventuels projets de loi de ratification des traités conclus à la suite desdites négociations, conformément aux dispositions de l’article 11-4-a) de la même loi. 
Sur les sécurités
Le traitement est stocké sur un disque dur amovible (une copie de sauvegarde de secours étant réalisée sur un second disque dur après chaque mise à jour du fichier). Les deux disques ainsi que les documents transmis sous format papier ou magnétique à la DGFiP sont conservés dans des coffres forts. Les disques durs sont chiffrés et protégés par un mot de passe.
La Commission recommande, dans un souci de traçabilité des accès au traitement, que soit mis en œuvre un registre des consultations physiques ou logiques des disques.
Elle rappelle la nécessité de sécuriser la transmission des mots de passe et de prévoir un mécanisme d’effacement des données stockées au delà du délai de dix ans. 
S’agissant des transferts réalisés en dehors de l’Union européenne, la Commission considère que les mesures de sécurité prévues n'appellent pas, en l’espèce, d'observations particulières.