La Commission Nationale de l'Informatique et des Libertés,
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe sur la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et le décret n° 78-774 du 17 juillet 1978, pris pour son application ;
Vu le décret n° 85-1343 du 16 décembre 1985 modifié instituant un système de transfert de données sociales ;
Vu l'arrêté du 10 mai 1996 pris en application de l'article 1er du décret n° 85-1343 du 16 décembre 1985 instituant un système de transfert de données sociales ;
Vu les délibérations n° 84-27 du 26 juin 1984, 85-34 du 9 juillet 1985, 88-27 du 8 mars 1988, 92-048 du 21 avril 1992, 93-057 du 6 juillet 1993 et 94-023 du 29 mars 1994 relatives au Transfert des Données Sociales ;
Vu la délibération n° 97-017 du 11 mars 1997 relative à une expérimentation de transfert de données sociales par le réseau Internet (tds-internet) ;
Vu le projet d'acte réglementaire présenté par la Caisse Nationale d'Assurance Vieillesse des Travailleurs Salariés ;
Après avoir entendu Monsieur Maurice VIENNOIS, Commissaire en son rapport, et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;
Considérant que la Caisse Nationale d'Assurance Vieillesse des Travailleurs Salariés a saisi la Commission Nationale de l'Informatique et des Libertés d'une demande d'avis portant sur la transmission par le réseau Internet, des déclarations annuelles de données sociales établies par les employeurs en 1999 pour l'exercice 1998 ; que cette procédure sera proposée aux entreprises volontaires de moins de 3.000 salariés dans le ressort de chaque caisse régionale d'assurance maladie, dans la limite de cinquante entreprises ;
Considérant que les données transmises seront conservées par la CNAV pendant la durée nécessaire à la transmission aux différents partenaires énumérés par l'arrêté du 10 mai 1996 pris en application de l'article 1er du décret n° 85-1343 du 16 décembre 1985, soit au maximum trois mois ;
Considérant qu'eu égard au caractère confidentiel des informations traitées, la Caisse Nationale d'Assurance Vieillesse des Travailleurs Salariés a pris un certain nombre de précautions afin d'assurer la sécurité des données transmises sur le réseau Internet ; qu'ainsi, en particulier, une procédure d'authentification entre les sites, de chiffrement des données et de signature électronique est destinée à éviter que les données transférées ne soient déformées, endommagées ou communiquées à des tiers non autorisés ; que ce protocole sécurisé dénommé SSL a été autorisé par le service central de la sécurité des systèmes d'information (SCSSI) ;
Considérant que la protection du site central de la Caisse Nationale d'Assurance Vieillesse des Travailleurs Salariés est assurée par un dispositif de filtrage, de type pare-feu, destiné à garantir l'accès contre les risques d'intrusion sur le réseau ;
Considérant que la Caisse Nationale d'Assurance Vieillesse des Travailleurs Salariés a transmis à la Commission le bilan des deux précédentes expérimentations qui ont eu lieu en 1997 et 1998 ; qu'elle a également adressé deux rapports d'audit réalisés en octobre et novembre 1998 par un organisme extérieur et relatifs à la sécurité des dispositifs et des techniques utilisées ;
Considérant que le rapport d'audit réalisé en novembre 1998 conclut que "l'application TDSNET a désormais un niveau de sécurité suffisant pour l'ouverture du service" ;
Considérant que, eu égard aux éléments du dossier, les mesures de sécurité adoptées sont satisfaisantes en l'état actuel des solutions techniques disponibles ;
Considérant que les salariés des entreprises concernées par la procédure TDS-Internet seront informés de sa mise en place et des droits qui leur sont reconnus par la loi du 6 janvier 1978 ;
EMET un AVIS FAVORABLE au projet d'acte réglementaire présenté par la Caisse Nationale d'Assurance Vieillesse des Travailleurs Salariés décidant de la mise en place d'une procédure destinée à permettre à une cinquantaine d'entreprises volontaires de moins de 3.000 salariés par ressort de caisse régionale d'assurance maladie de s'affranchir de leurs formalités obligatoires (déclaration annuelle de données sociales) pour l'exercice 1998 par le moyen du réseau Internet ;
PREND ACTE de ce que la CNAV, dans une phase de généralisation, envisage de passer à un chiffrement plus fort (de 40 bits à 56 bits et plus) dans la mesure des dispositions législatives et réglementaires en vigueur ;
DEMANDE à être destinataire du bilan de la procédure qui sera réalisée en 1999.
Le Président, Jacques FAUVET