La Commission Nationale de l'Informatique et des Libertés,
Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et le décret n° 78-774 du 17 juillet 1978, pris pour son application ;
Vu la loi n° 79-18 du 3 janvier 1979 sur les archives ;
Vu le code de la sécurité sociale, notamment les articles L. 225-1-1 et L. 242-1 et suivants ;
Vu le projet d'acte réglementaire du conseil d'administration de l'Agence Centrale des Organismes de Sécurité Sociale (ACOSS) ;
Après avoir entendu Monsieur André PERDRIAU en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ;
Considérant que l'ACOSS a saisi la Commission d'une demande d'avis relative à la mise en oeuvre d'une expérience télématique, dont la finalité est de permettre aux employeurs de personnel de maison de saisir la déclaration nominative trimestrielle qui est à leur charge, ainsi que les ordres de paiement correspondant aux cotisations dues ; que ce projet est intégré dans le programme général de simplification des rapports entre la sécurité sociale et ses usagers ;
Considérant que l'accès au serveur est sécurisé par l'obligation d'indiquer le numéro d'immatriculation à l'URSSAF, auquel est associé un mot de passe confidentiel ;
Considérant que le cotisant ayant ainsi saisi sa déclaration ou transmis un ordre de paiement disposera d'un numéro de certificat, résultant du traitement par un algorithme des principales données fournies par ses soins, qui vaudra accusé réception et preuve de l'opération ;
Considérant que la procédure de télédéclaration peut être mise en oeuvre par tout cotisant qui a formellement adhéré au système par la signature d'une convention et reconnu par là même la valeur probante du procédé informatique utilisée ;
Considérant que l'ensemble de ces mesures est de nature à assurer la sécurité des opérations réalisées par voie télématique, tant sur le plan technique que juridique ;
Considérant que les déclarations et ordres de paiement doivent être saisis à l'intérieur d'une période déterminée, au cours de laquelle le cotisant peut également modifier les informations déjà enregistrées ;
Considérant que les informations traitées se rapportent à l'identité et à l'adresse du cotisant, au type d'emploi et de salarié, à l'identité, au numéro de sécurité sociale (ou aux date et lieu de naissance), à l'adresse de ce dernier, à ses dates d'embauche et de départ, au salaire horaire net, au nombre d'heures effectuées chaque mois, aux bases de calcul des cotisations ainsi qu'à leur montant ;
Considérant que l'enregistrement de l'ensemble de ces informations est adéquat, pertinent et non excessif au regard des finalités poursuivies ;
Considérant que la durée de conservation des informations dans le fichier du serveur est de neuf mois pour une information trimestrielle ; que les informations relatives aux salariés n'étant nécessaires à l'URSSAF que pour préparer la déclaration trimestrielle suivante, leur conservation sera limitée à une durée de trois mois à compter de la date d'échéance ; que l'acte réglementaire devra être complété sur ce point ;
Considérant que les destinataires des informations portées dans le fichier télématique sont l'URSSAF d'affiliation et, dans la mesure seulement où celles-ci les concernent, les établissements bancaires désignés par le cotisant, ainsi que la caisse régionale d'assurance maladie pour les seules informations relatives aux salariés personnels de maison ;
Considérant que l'ensemble des mesures de sécurité adoptées est de nature à assurer la fiabilité et la confidentialité des opérations effectuées par voie télématique ;
Considérant que l'employeur est informé, au moment de son adhésion à l'application, des conditions d'utilisation du serveur et des possibilités de sa consultation ; que cette consultation porte sur les trois dernières déclarations souscrites et sur les ordres de paiement y afférents, et le met en mesure éventuellement de modifier la dernière déclaration pendant la durée de la période de validation ;
Considérant qu'il est informé en même temps de son droit d'accès et de rectification, qui s'exerce auprès de l'URSSAF d'affiliation ;
Considérant que les URSSAF mettant en oeuvre l'application devront au préalable adresser à la Commission une déclaration simplifiée de référence à ce modèle-type, accompagnée d'un engagement de conformité, puis procéder à l'affichage de l'acte réglementaire de l'ACOSS dans leurs locaux ouverts au public ;
EMET UN AVIS FAVORABLE au projet de traitement dit JEMPLOIE présenté par le conseil d'administration de l'agence centrale des organismes de sécurité sociale, sous réserve que l'article 2 de l'acte réglementaire précise que les données relatives aux salariés ne seront conservées par les URSSAF que pendant trois mois.
LE PRESIDENT, Jacques FAUVET