La Commission Nationale de l'Informatique et des Libertés,
Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et le décret n° 78-774 du 17 juillet 1978, pris pour son application ;
Vu la loi n° 79-18 du 3 janvier 1979 sur les archives ;
Vu le code de la sécurité sociale, notamment les articles L. 225-1-1 et L. 242-1 et suivants ;
Vu le projet d'acte réglementaire du conseil d'administration de l'Agence Centrale des Organismes de Sécurité Sociale (ACOSS) ;
Après avoir entendu Monsieur André PERDRIAU en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ;
Considérant que l'ACOSS a expérimenté depuis 1989, dans le cadre du programme général de simplification des rapports entre la sécurité sociale et ses usagers, une application de télématique déclarative dénommée COTITEL, qui permet la saisie sur Minitel, par les employeurs de salariés ou leur expert-comptable, puis l'envoi à l'URSSAF d'affiliation de la déclaration mensuelle ou trimestrielle de salaires et de l'ordre de paiement correspondant ; que ses utilisateurs sont munis d'une carte à mémoire et doivent disposer d'un lecteur de carte LECAM ;
Considérant qu'un premier bilan de cette expérimentation montre que les procédures techniques utilisées, qui garantissent un haut niveau de sécurité, ne semblent pas adaptées aux besoins de l'ensemble des catégories de cotisants, étant donné l'investissement financier qu'elles impliquent, et répond surtout aux souhaits des entreprises du commerce et de l'industrie qui emploient un nombre important de salariés et s'acquittent de leurs cotisations selon une périodicité mensuelle ;
Considérant en conséquence que l'ACOSS a saisi la Commission d'une demande d'avis relative à la mise en oeuvre d'une nouvelle expérience télématique, dénommée COTINORD, dont la finalité est également de permettre aux employeurs de satisfaire aux obligations déclaratives qui leur incombent pour le calcul des cotisations sociales et leur paiement, et dont l'accès est simplement sécurisé par l'obligation d'indiquer le numéro d'immatriculation à l'URSSAF ou le numéro SIRET, auquel est associé un mot de passe confidentiel ;
Considérant que le cotisant ayant ainsi saisi sa déclaration ou transmis un ordre de paiement disposera d'un numéro de certificat, résultant du traitement par un algorithme des principales données fournies ses soins, qui vaudra accusé réception et preuve de l'opération ;
Considérant que la procédure de télédéclaration peut être mise en oeuvre par tout cotisant qui a formellement adhéré au système par la signature d'une convention et reconnu par là même la valeur probante du procédé informatique utilisé ;
Considérant que l'ensemble de ces mesures est de nature à assurer la sécurité des opérations réalisées par voie télématique, tant sur la plan technique que juridique ;
Considérant que les déclarations et ordres de paiement doivent être saisis à l'intérieur d'une période déterminée, au cours de laquelle le cotisant peut également modifier les informations déjà enregistrées ;
Considérant que les informations traitées sont relatives à l'identité du cotisant ou à la raison sociale de l'entreprise, à son numéro d'immatriculation par l'URSSAF, à son numéro SIRET, à son adresse, éventuellement à son expert comptable si celui-ci a été préalablement habilité à recourir à la fonction de télédéclaration, à l'effectif de l'entreprise inscrit à la fin de la période considérée, à l'effectif payé, à l'effectif exonéré de cotisations, aux codes type de salariés, à la masse salariale globale, aux taux "sécurité sociale", "accident du travail" et "transport" applicables, au montant de la cotisation et de l'ordre de paiement, à la date d'exigibilité des cotisations, à celles de la déclaration et du prélèvement, aux références des comptes bancaires susceptibles d'être débités ;
Considérant que l'enregistrement de l'ensemble de ces informations est adéquat, pertinent et non excessif au regard des finalités poursuivies ;
Considérant que la durée de conservation des informations dans le fichier du serveur est de trois mois pour une donnée mensuelle et de neuf mois pour une information trimestrielle ;
Considérant que les destinataires des informations portées dans le fichier télématique sont l'URSSAF d'affiliation et, dans la mesure où celles-ci les concernent, les établissements bancaires désignés par le cotisant ;
Considérant que l'ensemble des mesures de sécurité adoptées est de nature à assurer la fiabilité et la confidentialité des opérations effectuées par voie télématique ;
Considérant que l'employeur est informé, au moment de son adhésion à l'application, des conditions d'utilisation du serveur et des possibilités de sa consultation ; que cette consultation porte sur les trois dernières déclarations souscrites et sur les ordres de paiement y afférents, et le met en mesure éventuellement de modifier la dernière déclaration pendant la durée de la période de validation ;
Considérant qu'il est informé en même temps de son droit d'accès et de rectification, qui s'exerce auprès de l'URSSAF d'affiliation ;
Considérant que les URSSAF mettant en oeuvre l'application devront au préalable adresser à la Commission une déclaration simplifiée de référence à ce modèle-type, accompagnée d'un engagement de conformité, puis procéder à l'affichage de l'acte réglementaire de l'ACOSS dans leurs locaux ouverts au public ;
EMET UN AVIS FAVORABLE au projet de traitement dit COTINORD présenté par le conseil d'administration de l'agence centrale des organismes de sécurité sociale.
LE PRESIDENT, Jacques FAUVET