AgentPublic/cnil huggingface dataset:
Ce texte crée une série d’exceptions au secret fiscal, permettant à certains organismes sociaux d’accéder aux bases de données suivantes placées sous la responsabilité de la Direction générale des finances publiques (ci-après "DGFiP") :
 
"FICOVIE", recensant certaines informations relatives aux titulaires des contrats d'assurance vie, et notamment l’existence de tels contrats, le montant des versements et l’épargne constituée ;
La "base nationale des données patrimoniales" ("BNDP"), recensant les informations patrimoniales collectées dans le cadre des démarches liées à la publicité foncière, et notamment les dates et les montants des opérations enregistrées ;
L’outil "estimer un bien" ("PATRIM/PATUELA"), lequel permet notamment la visualisation des montants des ventes immobilières sur une carte.
 
Ces accès ne peuvent être utilisés qu’à des fins de :
 
réalisation des enquêtes liées à la constatation des seules infractions relatives à la fraude en matière sociale et dont la liste exhaustive figure à l’article L114-16-2 du Code de sécurité sociale , telles que par exemple l’escroquerie, le faux et l’usage du faux, etc. ;
recouvrement des sommes en lien avec ces mêmes infractions.
 
En particulier, la CNIL prend note du fait que ces accès ne seront pas utilisés à des fins d’appréciation de l’éligibilité des demandeurs aux aides et prestations en matière sociale.
En outre, seul un nombre limité des agents individuellement désignés et dûment habilités des organismes sociaux concernés, pourront bénéficier des habilitations correspondantes.
 
Un décret pris après avis de la CNIL (CNIL, SP, 20 juin 2019, délibération portant avis sur un projet de décret relatif aux modalités d’habilitation et de désignation des agents de plusieurs organismes et administrations à accéder aux informations issues des traitements automatisés dénommés Patrim, FICOBA, FICOVIE et BNDP, n° 2019-080, non-publiée) a fixé les modalités d’habilitation des agents des organismes sociaux concernés à accéder à ces bases, et sera modifié pour tenir compte de la modification projetée.
 
B. L’objet de la saisine
L’article L. 134 D du LPF contient actuellement deux listes différentes d’organismes sociaux, à savoir :
 
ceux dont les agents peuvent être habilités à consulter la base FICOVIE ;
ceux dont les agents peuvent consulter les bases BNDP et PATRIM/PATUELA.
La modification projetée prévoit de fondre les deux listes en une seule, en permettant à tous les organismes mentionnés d’accéder à l’ensemble de ces bases.
II. L’avis de la CNIL
 
A. Sur la finalité d’accès aux bases concernées
L’accès des agents habilités des organismes sociaux à l’ensemble de ces bases vise à leur faciliter l’accomplissement de leurs missions de contrôle et de recouvrement portant sur les infractions liées à la fraude aux prestations sociales, et plus spécialement sur les infractions mentionnées à l'article L. 114-16-2 du code de la sécurité sociale.
 
1. Une meilleure connaissance des revenus des personnes 
 
Les caisses primaires d’assurance maladie (CPAM), les caisses d’assurance retraite et de santé au travail (CARSAT), la caisse nationale d’assurance maladie (CNAM) et la caisse nationale d’assurance vieillesse (CNAV) sont actuellement chargées de gestion de plusieurs prestations sociales soumises à des plafonds de ressources.
 
Il s’agit par exemple de la complémentaire santé solidaire (C2S), de la pension d’invalidité (PI), de l’allocation spécifique d’invalidité (ASI), de l’allocation de solidarité aux personnes âgées (ASPA) ou encore de la pension de réversion.
 
Les revenus pris en compte pour le calcul de telles prestations peuvent notamment comprendre des produits de vente ou de location des biens immobiliers appartenant aux allocataires.
 
Or, le ministère indique que les agents chargés de mener des investigations sur les fraudes aux prestations des CPAM, des CARSAT, de la CNAM et de la CNAV n’ont actuellement pas accès aux bases recensant de tels revenus.
Les capitaux et les rentes versées au titre des contrats d’assurance vie peuvent également constituer des revenus pris en compte dans le cadre du calcul des revenus des bénéficiaires des prestations précitées.
 
Or, si les agents des CPAM, des CAF des CARSAT, de la CNAV, des caisses générales de sécurité sociale (CGSS), des caisses de mutualité sociale agricole (CMSA) et de France Travail peuvent aujourd’hui être habilités à accéder à la base FICOVIE, et par là-même aux informations liées aux revenus tirés des contrats d’assurance vie, la CNAM, elle, ne dispose actuellement pas de tels accès.
 
2. Une meilleure connaissance du patrimoine des personnes
 
Par ailleurs, le ministère indique que la connaissance de la fortune immobilière et des contrats d’assurance vie dont bénéficient les allocataires, permettrait non seulement de mieux détecter l’existence d’éventuels revenus non-déclarés, mais aussi d’appréhender les actifs non connus des organismes versant des prestations, et qui peuvent être utilisés à des fins de recouvrement des indus versés.
 
Pour l’ensemble de ces raisons, le ministère estime que la modification projetée de l’article L. 134 D du LPF aura pour effet de rendre plus efficientes les opérations de contrôle et de lutte contre la fraude menées par les organismes sociaux concernés.
La CNIL constate que la lutte contre la fraude en matière de protection sociale constitue un objectif de valeur constitutionnelle. Par conséquent, une telle finalité est déterminée et légitime au regard de la réglementation en matière de protection des données à caractère personnel.
 
B. Sur la proportionnalité des nouveaux accès
 
La CNIL observe que les données figurant dans les traitements FICOVIE, BNDP et PATRIM/PATUELA présentent une sensibilité particulière et sont protégées par le secret fiscal.
 
En prévoyant l’accès direct des agents des administrations sociales aux fichiers de l’administration fiscale, le projet de mesure législative apporte au régime du secret fiscal une nouvelle et substantielle dérogation.
 
Ainsi que l’a relevé le Conseil d’Etat dans son avis n° 394 440 du 22 mars 2018, "avis sur un projet de loi relatif à la lutte contre la fraude", l’article L 134 D du LPF, que la disposition législative projetée ne modifie pas sur ce point, instaure une garantie en prévoyant que les agents concernés seront individuellement désignés et dûment habilités selon des modalités fixées par décret.
Partant, le Conseil d’Etat rappelle que la mesure législative projetée ne peut être proportionnée au but poursuivi que si les conditions, le champ et les modalités d’accès aux informations couvertes par le secret fiscal par les personnes ainsi désignées et habilitées, sont définies de manière à ce que cet accès soit strictement limité aux besoins des missions des agents compétents en matière de lutte contre les infractions prévues à l'article L. 114-16-2 du code de la sécurité sociale.
 
A cet égard, il résulte du dossier communiqué dans le cadre de la saisine, que :
 
le champ et les modalités d’accès aux informations couvertes par le secret fiscal par les personnes désignées et habilitées sur la base des dispositions législatives projetées, seront définis de manière à ce que cet accès soit strictement limité aux besoins des missions des agents de contrôle individuellement désignés et dûment habilités ;
les actes réglementaires encadrant chacun des traitements concernés seront mis à jour, pour certains après avis de la CNIL, en vue de préciser les catégories d’agents concernés, les catégories de données auxquelles ils pourront avoir accès, ainsi que les modalités d’accès à chacune des bases seront par ailleurs précisées par arrêtés ;
enfin, la CNIL sera consultée pour avis sur le projet d’acte règlementaire d’application de la mesure législative projetée et modifiant l’actuel article R. 134 D-1 du livre des procédures fiscales.
Dans contexte actuel de multiplication des violations des données, elle restera particulièrement vigilante dans l’évaluation de leur mise en œuvre concrète dans le cadre des saisines relatives à la modification des actes réglementaires d’application.
 
La CNIL prend acte de ces précisions et considère que sous ces réserves, la disposition législative projetée est proportionnée à l’objectif poursuivi.
 
Les autres dispositions du projet de mesure législative n’appellent pas d’observations de la part de la CNIL. 
 
La présidente,
 
 
M.-L. Denis
N° de demande d’avis : 25012272
Thématiques : SI-CPF, formation, lutte contre la fraude, présence aux épreuves
Organisme(s) à l’origine de la saisine : Ministère du Travail, de la Santé, des Solidarités et des Familles
Fondement de la saisine :
Article 8.I.4°.a 
de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
L’essentiel :
1. La mesure législative projetée vise à lutter contre la fraude au financement des formations éligibles à une prise en charge au titre du CPF,
par le traitement des informations relatives à l’inscription aux épreuves ou certifications d’une part, et relatives à la présentation à l’épreuve ou à la certification, d’autre part. 
 
 
2. Le projet n’appelle pas d’observations particulières au regard de la règlementation en matière de protection des données à caractère personnel.
­­­­­­­­­­­­­­­­­­­­­­­­­­­­___________________
 
La Commission nationale de l'informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ("loi informatique et libertés"), notamment son article 8.I.4°.a ;
Après avoir entendu le rapport de M. Philippe Latombe, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
 
Adopte la délibération suivante :
 
I. La saisine
 
Le projet de disposition législative soumis à la CNIL pour avis est destiné à figurer dans le projet de loi relatif à la lutte contre la fraude sociale, fiscale et douanière.
 
Il concerne le compte personnel de formation ("CPF"), encadré par les articles L6323-1 et suivants du Code du travail, et consiste à modifier les conditions de prise en charge des frais de formation par les organismes financeurs.
L’objectif est à la fois de limiter certains schémas de fraude aux financements des formations, et de faciliter la réalisation des contrôles correspondants.
 
A ce titre, le projet met à la charge des ministères et des organismes de certification professionnelle l’obligation de communiquer au système d’information "compte professionnel de formation" (ci-après "SI-CPF"), mis en œuvre par la Caisse des dépôts et consignations (CDC), de nouvelles informations, ce qui se traduit par une modification de la liste des catégories de données susceptibles de faire l’objet de ce traitement.
 
La mesure projetée vise ainsi à modifier deux dispositions législatives existantes :
l’article L. 6113-8 du code du travail qui, en l’état, contient une liste de données qui doivent être communiquées par les ministères et les organismes certificateurs au "SI-CPF" pour chaque personne ayant obtenu une certification ou une validation d’un bloc de compétences.
 
La mesure projetée ajoutera de nouvelles catégories de données, à savoir les informations sur l’inscription et sur la présentation aux épreuves de certification ou de validation des blocs de compétences, pour chaque personne qui a bénéficié d’une formation prise en charge dans le cadre du CPF, qu’elle ait, ou non, obtenu la certification ou la validation en question.
 
l’article L. 6323-6 du code du travail qui, en l’état, contient la liste des critères d’éligibilité des formations à la prise en charge au titre du CPF.
 
La mesure projetée vise à ajouter la précision selon laquelle la non-présentation, sans motif légitime, aux épreuves de certification ou de validation des blocs des compétences conduit au rejet de la prise en charge des actions de formation correspondantes.
 
II. L’avis de la CNIL
 
A. Sur la finalité poursuivie par la mesure
 
Le projet soumis à l’avis de la commission implique la collecte de nouvelles catégories de données dans le cadre du traitement "SI-CPF". Conformément à l’article 5 du RGPD, les données à caractère personnel doivent être collectées pour des finalités déterminées, explicites et légitimes.
En l’espèce, le ministère indique que la collecte projetée vise à lutter contre certains scénarios de fraude à la prise en charge des coûts de formation et de certification via le dispositif CPF dont notamment :
 
la cession à des tiers, par des titulaires légitimes, de leurs droits à la formation;
l’inscription de complaisance à des formations non-dispensées en vue de percevoir des rétrocommissions de la part des organismes de formation ;
l’inscription à des formations réellement dispensées, mais non éligibles à la prise en charge au titre de CPF, moyennant une fausse déclaration sur la nature de la formation suivie.
 
Selon le ministère, "il est attendu [des mesures projetées] que les titulaires, responsabilisés grâce à cette obligation, ne voudront pas risquer un remboursement à la CDC des sommes indûment mobilisées et donc souscriront à des formations qui mènent réellement à la certification visée. Les titulaires de CPF seront sensibilisés, grâce à cette mesure, au fait que la mobilisation de leur CPF engage des fonds publics et, qu’à ce titre, ils ont également des devoirs à respecter."
 
Outre cet effet dissuasif, la mesure devrait également permettre aux agents de la CDC de mieux cibler les contrôles de la réalité et de l’éligibilité des formations suivies, en leur fournissant des indices susceptibles de faciliter la détection des incohérences dans le parcours de formation.
La CNIL relève que la lutte contre la fraude en matière de protection sociale constitue un objectif de valeur constitutionnelle. Une telle finalité est déterminée et légitime au regard de la réglementation en matière de protection des données à caractère personnel.
 
B. Sur les données traitées
 
En l’état, les modifications projetées prévoient deux nouvelles catégories de données dans le SI-CPF, à savoir les données relatives à l’inscription des personnes aux épreuves d’une part, et de la présentation aux épreuves, d’autre part.
 
Le traitement de ces données supplémentaires ne présente pas de sensibilité particulière.
 
La CNIL relève que les titulaires du CPF pourront, le cas échéant, invoquer certains motifs considérés comme légitimes en vue de justifier de l’absence de présentation aux épreuves pour l’obtention de la certification.
 
Les précisions fournies par le ministère indiquent qu’à ce stade, la liste des motifs considérés comme légitimes n’est pas finalisée et sera précisée "dans les conditions générales d’utilisation du service MonCompteFormation".
Sur ce point, dans l’hypothèse où la collecte des motifs d’absence aux épreuves de certification (et des justificatifs associés) conduirait à la conservation, au sein du traitement SI-CPF, de nouvelles catégories de données, particulièrement des données sensibles au sens de l’article 9.1 du RGPD, la CNIL attire l’attention du ministère sur la nécessité de mettre à jour les actes règlementaires encadrant ce traitement.
 
En effet, dans contexte actuel de multiplication des violations des données, elle reste particulièrement vigilante dans l’évaluation des garanties prévues en ce sens dans le cadre de la saisine à venir.
 
C. Sur la proportionnalité 
 
Conformément à l’article 5.1.c du RGPD, les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données).
 
S’agissant des traitements ayant pour finalité la lutte contre la fraude, l’appréciation de cette condition nécessite en principe une mise en balance entre le bénéfice résultant de la mise en place du traitement projeté, d’une part, et l’évaluation de la nature et du volume des données traitées, ainsi que de l’atteinte que le traitement pourrait potentiellement apporter aux droits et intérêts des personnes concernées, d’autre part.
Invité à produire une estimation chiffrée des montants des fraudes que le dispositif projeté vise à endiguer, et de l’impact attendu de la mesure projetée sur ces montants, le ministère a indiqué ne pas pouvoir fournir d’estimation fiable de ces deux éléments. 
 
Il a toutefois communiqué à la CNIL une synthèse des contrôles réalisés par la CDC en 2024. Réalisés sur un échantillon non-représentatif au sens statistique du terme, ces contrôles ont permis de sauvegarder environ 50 M € au titre des déréférencements de formations et de blocages de paiement en lien avec différents schémas de fraude.
 
Au demeurant, la CNIL constate, au cas d’espèce, que les deux catégories de données dont le traitement est projeté ne présentent pas de sensibilité particulière, et que leur traitement n’est pas de nature à affecter des droits autres que celui à la prise en charge financière du coût des formations, des certifications et des validations des blocs de compétences.
 
Dans ces conditions, la CNIL estime que les nouvelles catégories de données collectées sont adéquates, pertinentes et ne dépassent pas ce qui est nécessaire à la réalisation de la finalité poursuivie de lutte contre la fraude.
 
Les autres dispositions du projet de mesure législative n’appellent pas d’observations de la part de la CNIL. 
La présidente,
 
 
M.-L. Denis
N° de demande d’avis : 25012321
Thématiques : lutte contre la fraude ; Assurance maladie, échanges de données entre opérateurs
Organisme à l’origine de la saisine : la Direction de la sécurité sociale
Fondement de la saisine : Article 8 I 4° a de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
L’essentiel :
Les dispositions législatives sécurisent et encadrent les flux de données et les traitements mis en œuvre par les organismes d’assurance maladie complémentaire (OCAM) nécessaires à la prise en charge des dépenses de santé dans le cadre du tiers payant. Elles renforcent la coopération entre les organismes d’assurance maladie obligatoire (OAMO) et les OCAM en matière de lutte contre la fraude.
Au titre de la lutte contre la fraude, il convient de distinguer les opérations menées par les OAMO, qui sont encadrées par les articles L. 114-9 et suivants du code de la sécurité sociale (CSS), des opérations menées par les OCAM qui consistent à rechercher des incohérences et des indices de fraudes contractuelles dans le cadre des conventions conclues avec les personnes.
Les garanties associées à ces traitements sont, dans l’ensemble, de nature à protéger les droits et libertés fondamentaux des personnes concernées. Certaines garanties devraient, toutefois, être précisées et d’autres ajoutées.
Si l’intermédiaire envisagé entre les OAMO et les OCAM pouvait être amené à disposer de données relatives à l’ensemble des assurés sociaux, la CNIL estime que cette faculté devrait être prévue par la loi, avec les garanties adéquates.
­­­­­­­­­­­­­­­­­­­­­­­­­­­­___________________
 
La Commission nationale de l'informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ("loi informatique et libertés" ), notamment son article 8 I 4° a ;
Après avoir entendu le rapport de Mme Marie Zins, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
 
Adopte la délibération suivante :
 
I. La saisine
 
A. Le contexte
 
La prise en charge des dépenses de santé fait intervenir deux catégories d’organismes :
 
les organismes d’assurance maladie obligatoire (OAMO), qui participent aux dépenses de santé des personnes au titre de la solidarité nationale ;
les organismes d’assurance maladie complémentaire (OCAM), qui interviennent au titre du contrat, individuel ou collectif, conclu avec la personne.
Ces interventions conduisent au traitement de données à caractère personnel et plus particulièrement des données de santé (numéro de codage des actes et prestations, ordonnances, etc.) protégées par le secret professionnel visé à l’article L. 1110-4 du code de le santé publique (CSP) dans le but de s’assurer que les conditions règlementaires et contractuelles sont respectées et de liquider les dépenses.
 
Afin de faciliter l’accès aux soins et de maitriser les dépenses de santé, plusieurs initiatives ont été mises en place ces dernières années :
une généralisation du dispositif de tiers-payant qui conduit à un paiement par les OAMO et/ou les OCAM directement aux professionnels ayant pris en charge la personne ;
des mécanismes de régulation des prix et des niveaux de prise en charge, comme par exemple la réforme du "100% santé" pour les secteurs de l’optique, du dentaire et de l’audioprothèse ainsi que la pratique des réseaux de santé/de professionnels agréés.
 
Ces initiatives proviennent tant des pouvoirs publics que des OCAM et de leurs prestataires.
Le Gouvernement souhaite renforcer la mobilisation et la coopération de l’ensemble des acteurs concernés par cette prise en charge afin de lutter plus efficacement contre la fraude en matière sociale et la fraude contractuelle dans la sphère sociale. En effet, bien que le niveau de participation financière des OAMO et des OCAM varie suivant les postes de dépenses (optique, hospitalisation, etc.), les pratiques frauduleuses entrainent un préjudice pour les deux types d’organismes.
 
Selon le Gouvernement, le dispositif d’échange d’informations entre les OAMO et les OCAM prévu par l’article L. 114-9 du code de la sécurité sociale (CSS) n’est pas pleinement satisfaisant en raison de l’impossibilité pour les OAMO de transmettre aux OCAM impliqués les informations nécessaires notamment à la vérification de la bonne exécution des conventions conclues et la défense de leurs droits.
 
 
Les dispositions législatives envisagées visent donc à :
consolider le cadre juridique applicable aux traitements mis en œuvre par les OCAM à des fins de liquidation des dépenses et de vérification de la bonne exécution des conventions conclues ;
renforcer la coopération entre les OAMO et les OCAM en matière de lutte contre la fraude.
Cette saisine est l’occasion pour le Gouvernement de répondre à la demande de la CNIL d’adopter des dispositions législatives précisant le cadre juridique applicable au(x) traitement(s) de données de santé par les OCAM. La CNIL accueille très favorablement le principe des dispositions législatives dont elle est saisie, qui permettent de sécuriser et d’encadrer des traitements existants. 
 
B. L’objet de la saisine
La CNIL est saisie de dispositions pouvant être regroupées en trois catégories.
 
Une première catégorie concerne des dispositions créant de nouveaux articles au sein du CSS, du code des assurances et du code de la mutualité afin de :
sécuriser juridiquement et faciliter la vérification et le contrôle des demandes de remboursement adressées aux OCAM avant leur liquidation notamment pour limiter des erreurs non intentionnelles ou des fraudes potentielles ;
reconnaître une dérogation au secret professionnel au bénéfice des OCAM en cas de tiers payant permettant ainsi aux professionnels et aux établissements de santé de leur transmettre directement les données nécessaires notamment relatives à la santé ;
déterminer les garanties appropriées pour la protection des droits et libertés fondamentaux des personnes concernées. A cet égard, si certaines garanties sont déjà précisées dans les dispositions envisagées, celles-ci renvoient à un décret en Conseil d’Etat, pris après avis de la CNIL.