AgentPublic/cnil huggingface dataset:
Cette procédure a été créée par le décret n° 2002-771 du 3 mai 2002 susvisé, pris après l’avis de la Commission en date du 25 octobre 2001, afin de permettre aux agents des administrations fiscales de communiquer aux organismes et services chargés de la gestion d’un régime obligatoire de sécurité sociale ou d’un régime de retraite complémentaire obligatoire, sur support informatique, les informations fiscales nécessaires à l’exécution des finalités mentionnées à l’article L. 152 du livre des procédures fiscales (LPF). Ces finalités concernent, à titre général, le contrôle des déclarations des allocataires aux fins d’ouverture, de maintien et de calcul des droits.
Ce même article précise que le NIR peut être utilisé pour les demandes, échanges et traitements nécessaires à la communication des informations qui y sont mentionnées, lorsqu’elles concernent des personnes physiques.
La procédure TDF est mise en œuvre dans le cadre d’un centre de services informatiques unique, hébergé par la direction générale des Finances publiques (DGFiP) et dénommé Centre national de transfert des données fiscales (CNTDF). Celui-ci reçoit les demandes des organismes sociaux qui fournissent un " fichier d’appels " concernant certains de leurs assurés, les transmet à la DGFiP et adresse les réponses reçues de cette dernière (" fichiers de restitutions "). Cette procédure permet ainsi de ne communiquer aux organismes sociaux en faisant la demande que les données qui leur sont nécessaires.
L’article R* 152-1 du LPF définit les conditions dans lesquelles les organismes et autorités chargés de l’application de la législation sociale peuvent obtenir de la DGFiP des informations nominatives sur la situation fiscale des personnes.
En application des textes susvisés, un arrêté du 25 septembre 2008 a d’ores et déjà autorisé le transfert de données fiscales résultant des déclarations de revenus effectuées par les intéressés eux-mêmes, par la DGFiP vers la CNAF et la CCMSA.
Le projet d’arrêté soumis pour avis à la Commission prévoit que durant l’année 2019, la DGFiP pourra également communiquer aux CNAF et CCMSA des données fiscales résultant des déclarations accomplies par des tiers et concernant les revenus touchés par les intéressés en 2018. Plus spécifiquement, seront utilisées à cette fin les données en provenance du flux " déclaration pré-remplie " (DPR).
Pour rappel, le dispositif DPR a fait l’objet de deux délibérations de la Commission :
délibération n° 2006-129 du 9 mai 2006 portant avis sur les modifications des traitements de la direction générale des impôts rendues nécessaires par la généralisation du processus de pré-remplissage des déclarations de revenus, quel qu'en soit le support ;
délibération n° 2007-029 du 13 février 2007 portant avis sur un projet de décret en Conseil d’Etat fixant le contenu et les modalités de transmission à la direction générale des impôts, aux fins de préimpression sur leur déclaration de revenus, des revenus perçus par les personnes employées à domicile et payées par chèque emploi service ou dans le cadre de la prestation d’accueil du jeune enfant.
La Commission constate que les modifications projetées de l’arrêté du 25 septembre 2008 n’ont pas pour conséquence de modifier les finalités du traitement " TDF ".
Concernant les données traitées, la Commission observe que le NIR sera traité dans le cadre du dispositif.
En l’espèce, le recours à cet identifiant est conforme aux dispositions de l’article 2-D-4° du décret n° 2019-341 du 19 avril 2019 précité.
Le projet d’arrêté prévoit que pour obtenir les informations relatives aux revenus des demandeurs ou bénéficiaires d’une allocation de logement, la CNAF et le CCMSA devront adresser à la DGFiP des fichiers d’appel constitués selon les mêmes modalités et comprenant les mêmes catégories d’informations que celles qui ont d’ores et déjà fait l’objet d’une autorisation de la Commission, dans la version initiale de l’arrêté.
Les données de restitution seront conservées pendant deux ans à la DGFiP. Elles ne seront conservées par la CNAF et la CCMSA que le temps nécessaire à la réalisation des finalités des traitements.
Le projet d’arrêté ne modifie pas les mesures de sécurité qui entourent le fonctionnement du dispositif.
Pour la Présidente,
La Vice-Présidente déléguée
Sophie LAMBREMON
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’économie et des finances d’une demande d’avis concernant un projet de décret pris pour l’application de l’article 145 de la loi n° 2018-1021 du 23 novembre 2018 portant évolution du logement, de l’aménagement et du numérique ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code du tourisme, notamment ses articles L. 324-1-1 et L. 324-2-1 ;
Vu le code de la construction et de l’habitat, notamment ses articles L. 631-7 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a);
Vu la loi n° 2018-1021 du 23 novembre 2018 portant évolution du logement, de l’aménagement et du numérique, notamment son article 145 ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de M. Philippe GOSSELIN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l’avis suivant :
La loi n° 2018-1021 du 23 novembre 2018 portant évolution du logement, de l'aménagement et du numérique a modifié les dispositions de l’article L. 324-2-1 du code du tourisme. 
Cet article prévoit une transmission d’informations entre les intermédiaires de location de meublés de tourisme et les communes ayant mis en place une procédure d’enregistrement des meublés de tourisme, telle que définie par l’article L. 324-2-1 du code du tourisme.
Le présent projet de décret crée les articles R. 324-2 et suivants du code du tourisme afin de préciser les fréquences et les modalités techniques de la transmission des informations.
Sur la finalité du traitement :
Cette transmission d’informations a pour objectif de contrôler la réglementation applicable.
 
Cette transmission ne concerne que les communes où le changement d’usage des locaux destinés à l’habitation est soumis à autorisation préalable et enregistrement auprès d’elles au sens de l’article L. 631-7 du code de la construction et de l’habitat.
 
La commune peut adresser une demande d’informations afin d’assurer le contrôle :
de la présence, au sein de chaque annonce, du numéro de déclaration ;
 
pour les résidences principales, du maximum de 120 jours de location par an prévu par le code du tourisme (sauf raisons professionnelles, médicales ou cas de force majeure) ;
pour les autres meublés de tourisme, de la conformité au règlement de changement d’usage adopté par la commune prévu par les articles L. 631-7 et suivants du code de la construction et de l’habitat.
La Commission considère que la finalité poursuivie par le traitement est déterminée, explicite et légitime conformément aux dispositions de l’article 5-1-b) du règlement général sur la protection des données (RGPD).
 
Sur la nature des données traitées et la fréquence des échanges :
La commune adresse, une fois par an et par voie électronique, une demande d’informations portant soit sur une liste déterminée de meublés de tourisme, soit sur une zone géographique.
 
Dans le premier cas, la commune transmet à l’intermédiaire le numéro de déclaration obligatoire (mentionné au III de l’article L. 324-1-1 du code du tourisme). A défaut, peut figurer dans la demande l’adresse du local meublé ou l’adresse réticulaire de l’annonce (lien " URL ").
Pour une demande portant sur une zone géographique, la commune précise le ou les codes postaux correspondants.
 
L’article 3 du projet de décret prévoit que les intermédiaires transmettent les données relatives :
à l’adresse du local meublé (code postal, commune, numéro de voie, nom de la voie, bâtiment, escalier, étage, numéro de porte, identification du lot) ; 
au numéro de déclaration tel que défini au III de l’article L. 324-1-1 du code du tourisme ;
au nombre de jours au cours desquels le meublé de tourisme a fait l’objet d’une location par son intermédiaire.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 5-1-c) du RGPD.
Sur la sécurité des données :
La Commission prend acte de l’engagement du ministère d’intégrer dans le projet de décret la nécessité de sécuriser tout échange d’informations comportant des données à caractère personnel entre les différentes parties prenantes.
 
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par SGS ICS d’une demande d’agrément pour la certification des compétences du délégué à la protection des données (DPO) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-2° h) ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment son article 74 ;
Vu la délibération n° 2018-317 du 20 septembre 2018 portant adoption des critères du référentiel d’agrément d’organismes de certification pour la certification des compétences du délégué à la protection des données (DPO) ;
Vu la délibération n° 2018-318 du 20 septembre 2018 portant adoption des critères du référentiel de certification des compétences du délégué à la protection des données (DPO) ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement
Formule les observations suivantes :
L’article 8-I-2° h) de la loi n° 78-17 telle que modifiée par la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles dispose que la CNIL " peut décider de certifier des personnes, des produits, des systèmes de données ou des procédures aux fins de reconnaître qu'ils se conforment au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité et à la présente loi. 
Elle prend en considération, à cette fin, les besoins spécifiques des collectivités territoriales, de leurs groupements et des micro-entreprises, petites entreprises et moyennes entreprises. 
Elle agrée, aux mêmes fins, des organismes certificateurs, sur la base, le cas échéant, de leur accréditation par l'organisme national d'accréditation mentionné au b du 1 de l'article 43 du même règlement ou décide, conjointement avec cet organisme, que ce dernier procède à leur agrément, dans des conditions précisées par décret en Conseil d'Etat pris après avis de la Commission nationale de l'informatique et des libertés. La commission élabore ou approuve les critères des référentiels de certification et d'agrément ".
La Commission a été saisie le 28 juin 2019 d’une demande d’agrément de SGS ICS conformément à la délibération n°2018-317 du 20 septembre 2018 portant adoption des critères du référentiel d’agrément d’organismes de certification pour la certification des compétences du DPO.
Conformément à l’article 74 du décret n°2019-536 du 29 mai 2019, la demande d’agrément a fait l’objet d’une évaluation par les services de la CNIL.
La Commission reconnaît que la demande d’agrément présentée est conforme aux référentiels d’agrément et de certification des compétences du DPO, dans leur version du 20 septembre 2018.
Décide :
De la délivrance de l’agrément pour la certification des compétences du DPO pour la certification intitulée " Certification des compétences du Délégué à la Protection des Données (DPO)" de SGS ICS.
Cet agrément est délivré pour une durée de cinq ans à compter de la présente délibération.
SGS ICS s’engage à fournir à la CNIL :
- sans délai, toute modification de son statut d'accréditation telle que la suspension ou le retrait de l'accréditation ISO/IEC 17024 : 2012 ;
- un rapport annuel d'activité sur la certification des compétences du DPO comprenant le cas échéant les plaintes et réclamations à son encontre dans le cadre de la certification des compétences du DPO ainsi que toute difficulté rencontrée dans l'application des critères de certification des compétences du DPO adoptés dans la délibération n° 2018-318 du 20 septembre 2018 ;
- tous les six mois à compter de la date de la présente délibération, les statistiques de réussite de l'épreuve écrite ainsi que le registre actualisé des personnes certifiées DPO comprenant les noms, prénoms, la date de délivrance de la certification et la date d'expiration.
 
La Présidente 
Marie-Laure DENIS
La Commission nationale de l’informatique et des libertés,
Saisie par le ministère du budget, des comptes publics et de la fonction publique d’une demande d’avis sur le projet de décret pris en application de l’article L 107 A du Livre des procédures fiscales ;
Vu la convention n° 108 du 28 janvier 1981 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel ;
Vu la loi n° 78-753 du 17 juillet 1978 portant diverses mesures d’amélioration des relations entre l’administration et le public et diverses dispositions d’ordre administratif, social et fiscal ;
Vu le Livre des procédures fiscales, notamment son article L. 107 A ;
Vu la loi n° 2009-526 du 12 mai 2009 de simplification et de clarification du droit et d’allègement des procédures ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Après avoir entendu M. Philippe GOSSELIN, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du gouvernement, en ses observations ;
 
Emet l’avis suivant :
La Commission a été saisie par le ministère du budget, des comptes publics, de la fonction publique et de la réforme de l’Etat d’une demande d’avis portant sur le projet de décret pris en application de l’article L. 107 A du Livre des procédures fiscales (LPF). Ledit article, créé par la loi du 12 mai 2009 susvisée, a redonné un fondement législatif au principe de libre accès à la documentation cadastrale, qui ne ressortait plus que de la jurisprudence. Il dispose ainsi que toute personne peut obtenir communication ponctuelle, le cas échéant par voie électronique, d’informations relatives aux immeubles sur lesquels une personne désignée dans la demande dispose d’un droit réel immobilier. Le législateur a en outre souhaité que les modalités de cette communication soient précisées par décret en Conseil d’Etat pris après avis de la CNIL.
La Commission relève en premier lieu que les informations communicables sont expressément mentionnées à l’article L. 107 A du LPF, qui précise que seules les références cadastrales, l’adresse ou les autres éléments d’identification cadastrale des immeubles, la contenance cadastrale de la parcelle, la valeur locative cadastrale des immeubles, et les noms et adresses des titulaires de droit sur ces immeubles, peuvent être communiqués aux demandeurs. L’article 1er du projet de décret précise à cet égard que la communication de ces informations a lieu sous la forme d’un relevé de propriété issu de la matrice cadastrale.
Elle relève en outre que le législateur a limité l’accès aux informations cadastrales susmentionnées en précisant le caractère ponctuel de cette communication, dont l’appréciation sera faite au regard du nombre d’informations sollicitées et de la fréquence des demandes. La Commission observe à cet égard que le contrôle du caractère ponctuel des demandes de communication d’informations cadastrales, adressées aux centres des impôts fonciers, nécessitera la mise en œuvre d’un traitement de données à caractère personnel, enregistrant notamment l’identité des usagers demandeurs, leurs adresses électroniques le cas échéant, ainsi que les informations demandées. Le ministère compétent a en outre précisé que les demandes de communication seront conservées au maximum deux ans, et que les adresses électroniques seront détruites après l’envoi du relevé de propriété demandé.
La Commission prend acte de ces précisions, et de ce que le traitement mis en œuvre à cet effet par la direction générale des finances publiques fera l’objet d’une déclaration auprès de la Commission, conformément à l’article 22 de la loi du 6 janvier 1978 modifiée. Elle estime en outre que les modalités précises d’établissement des demandes et de contrôle de leurs volumes, qui, aux termes de l’article 1er du projet de décret, seront fixées par le directeur général des finances publiques, constituent des modalités d’application importantes de l’article L. 107 A du LPF. Dans la mesure où le législateur a expressément souhaité que ces modalités soient précisées par décret en Conseil d’Etat pris après avis de la Commission, il conviendrait que la déclaration susmentionnée soit accompagnée des instructions fixant ces modalités.
 
La Commission souligne que la limitation de la communication d’informations cadastrales peut cependant être levée dans certaines conditions. Ainsi, l’article 2 du projet de décret précise que les titulaires de droits réels immobiliers, ou leurs mandataires, les personnes chargées de la mesure de protection ou de l’autorité parentale pour les immeubles des personnes protégées ou des mineurs, ainsi que les autorités ou administrations agissant dans le cadre de procédures
judiciaires ou réglementaires, ne peuvent être limités dans le nombre de leurs demandes. De même, la Commission prend acte de ce que les dispositions du projet de décret ne s’opposent pas à la délivrance des informations littérales du cadastre sous forme de fichiers informatiques à des tiers habilités exerçant ou délégataires d’une mission de service public.
 
L’article 4 du projet de décret prévoit que la communication du relevé de propriété par voie électronique est réalisée, à l’exclusion de tout autre moyen, par courrier électronique si le demandeur en a choisi l’option et a fourni une adresse électronique unique et valide, ou dans le cadre d’une application informatique à accès contrôlé. Dans la mesure où cette application constituerait un téléservice de l’administration, la Commission devrait être saisie par le ministère d’un projet d’arrêté en portant création, préalablement à sa mise en œuvre, conformément aux dispositions de l’article 27-II-4° de la loi du 6 janvier 1978 modifiée.
 
Le Président
Alex TÜRK
La Commission nationale de l'informatique et des libertés,
 
Saisie pour avis par la Direction Générale
 de l’Administration et de la Fonction Publique le 16 septembre 2010 d’un projet de décret en Conseil d’Etat relatif à la gestion du dossier des agents publics sur support électronique ;
 
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
 
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 11-2-d) ;
 
Vu la loi n°83-634 du 13 juillet 1983 portant droits et obligations des fonctionnaires, et notamment son article 18 ;
 
Vu la loi n°2009-972 du 3 août 2009 relative à la mobilité et aux parcours professionnels dans la fonction publique, et notamment son article 29 ;
 
Vu le décret n°2007-284 du 2 mars 2007 fixant les modalités d'élaboration, d'approbation, de modification et de publication du référentiel général d'interopérabilité ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 modifiée ;
 
Vu le décret n°2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ; 
 
Vu l’arrêté du 9 novembre 2009 portant approbation du référentiel général d'interopérabilité ; 
 
Après avoir entendu M. Philippe GOSSELIN, commissaire, en son rapport, et Mme Elisabeth Rolin, commissaire du Gouvernement, en ses observations ;
 
Emet l’avis suivant : 
 
L’article 29 de la loi du 3 août 2009 relative à la mobilité et aux parcours professionnels dans la fonction publique a modifié l’article 18 de la loi du 13 juillet 1983 portant droits et obligations des fonctionnaires.
L’article 18 de la loi de 1983 modifiée est ainsi rédigé : " Dans des conditions fixées par décret en Conseil d'Etat pris après avis de la Commission nationale de l'informatique et des libertés, le dossier du fonctionnaire peut être géré sur support électronique s'il présente les garanties prévues par les alinéas précédents ".
En application de ces dispositions législatives, le projet de décret qui est soumis à la Commission a vocation à identifier des principes communs à l’ensemble des administrations mettant en œuvre la dématérialisation du dossier des agents publics.
Aussi, la Commission prend acte que le projet de décret constitue " un cadre juridique commun aux trois fonctions publiques " (fonction publique de l’Etat, fonction publique territoriale et fonction publique hospitalière), " afin qu’un même niveau de garantie soit offert aux agents, quelle que soit leur administration ou leur fonction publique d’appartenance ".
Elle prend en considération que ce projet de décret n’a pas vocation à fixer l’ensemble des normes techniques qui permettront d’assurer notamment la sécurité, l’interopérabilité et la pérennité des outils et des organisations choisis par les collectivités publiques.
Par ailleurs, elle relève qu’un arrêté du ministre de la Fonction publique détermine, via une nomenclature-cadre, les types de documents pouvant figurer au dossier selon un plan de classement défini (article 1 du projet de décret).
En outre, les modalités de dématérialisation des dossiers individuels feront l’objet d’un arrêté, ou d’une décision, pris par l’autorité administrative ou territoriale compétente, après avis du comité technique compétent (article 4 du projet de décret).
Cet arrêté, ou cette décision, permettra de préciser la nature des documents, les catégories de personnels concernés et le calendrier de mise en œuvre de la dématérialisation. Il sera également l’instrument d’une harmonisation de la gestion des dossiers dans toutes les administrations, facilitant d’autant leur consultation par les agents concernés.
 
Sur les finalités