La Commission nationale de l'informatique et des libertés,
Saisie par le Centre des liaisons européennes et internationales de Sécurité sociale  d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’une plateforme d’échanges d’informations en matière de lutte contre le travail illégal ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le Règlement (CE) n° 883/2004 du Parlement Européen et du Conseil du 29 avril 2004 portant sur la coordination des systèmes de sécurité sociale ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la Sécurité sociale, notamment ses articles L. 767-1 et R. 767-1 et suivants ;
Vu le code du travail, notamment ses articles L. 8271-1-2, L. 8271-2 et L. 8271-5-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le traitement est mis en œuvre par le Centre des liaisons européennes et internationales de Sécurité sociale (Cleiss) qui est un établissement public à caractère administratif, placé sous la tutelle du ministre chargé de la Sécurité sociale et du ministre chargé du budget.
Le Cleiss a pour mission principale d’assurer la liaison, d’une part, entre les organismes français de Sécurité sociale et les organismes étrangers de Sécurité sociale (sous réserve de l’article L. 221-1-10° du CSS), pour permettre l'application de la règlementation européenne et des accords internationaux en matière de Sécurité sociale, et d’autre part, entre les organismes des territoires et collectivités territoriales français disposant d’une autonomie en matière de Sécurité sociale, pour assurer leur coordination. Il intervient également dans le cadre des accords dérogatoires en matière de détachement de salariés.
La loi n° 2016-1088 du 8 août 2016 relative au travail, à la modernisation du dialogue social et à la sécurisation des parcours professionnels a créé l’article L. 8271-5-1 dans le code du travail. Cet article dispose que les agents de contrôle intervenant en matière de lutte contre le travail illégal et énumérés à l’article L. 8271-1-2 du même code, peuvent transmettre aux agents du Cleiss tous renseignements et documents utiles à l'accomplissement par ces derniers de leurs missions pour l'application des règlements et accords internationaux et européens de Sécurité sociale.
L’alinéa 2 de ce même article précise également que les agents du Cleiss peuvent transmettre à ces agents de contrôle tous renseignements et documents utiles à l'accomplissement de leur mission de lutte contre le travail illégal.
Enfin, l’article L. 8271-2 du code du travail énonce que les agents de contrôle se communiquent réciproquement tous renseignements et tous documents utiles à l'accomplissement de leur mission de lutte contre le travail illégal.
Afin de pouvoir réaliser une centralisation des données et ainsi faciliter les échanges d’informations précités, le Cleiss souhaite mettre en œuvre un traitement de données à caractère personnel.
Ce traitement, en ce qu’il intervient dans le cadre de la lutte contre le travail illégal, est susceptible de comporter des données relatives à des infractions, condamnations ou mesures de sûreté et sa mise en œuvre est soumise à autorisation de la Commission en application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée.
Sur la finalité
La plateforme a pour but de permettre aux organismes de contrôle français compétents en matière de lutte contre le travail illégal, parmi lesquels figurent les organismes de Sécurité sociale,  d’effectuer des demandes d’accès aux informations déposées et recueillies s’agissant de la situation de sociétés ou de travailleurs non-salariés identifiés lors de contrôles.
Via cette plateforme, ces organismes pourront, dans le cadre de leurs procédures de contrôle, consulter les éléments qui auront été recueillis et mis à disposition par le Cleiss ainsi que par les différents acteurs compétents en matière de lutte contre le travail illégal.
Ont vocation à être communiqués par le biais de cette plateforme tous les documents visés par l’article L. 8271-5-1 du code du travail et notamment des actes de procédure  et les résultats des décisions de justice.
L’outil a également pour objectif de proposer un fonds documentaire comportant les arrêts de juridictions nationales, européennes et internationales, ainsi que des guides métiers et les textes nationaux, européens et internationaux relatifs à la détermination de la législation applicable en matière de sécurité sociale et à la lutte contre le travail illégal.
La Commission considère, dès lors, que les finalités du traitement sont déterminées, explicites et légitimes.
Sur les données traitées
Les données collectées dans le cadre du présent traitement  concerneront majoritairement les employeurs et les travailleurs indépendants et seront les suivantes :
Numéro de dossier fourni par le Cleiss;
Personne en charge du dossier au sein du Cleiss ;
Organisme demandeur (corps de contrôle ou Cleiss) avec les coordonnées téléphoniques et électroniques ;
Coordonnées de l’interlocuteur ;
Date de la demande ;
Société d’accueil ainsi que le pays ;
Société d’envoi ainsi que le pays ;
Identité du dirigeant ou du travailleur indépendant ;
Domaine d’activité ;
Actions du Cleiss (dates, réponse, organismes saisis par le Cleiss) ;
Suites données à la procédure avec un choix fermé : enquête, procédure judiciaire, pénale et/ou civile en cours, close, abandon (le cas échéant, les raisons), demande de retrait de formulaires, relevé d’infraction, suite donnée à l’établissement du procès-verbal d’infraction  et si aucune suite n’a été donnée, les raisons le cas échéant ;
Mention d’une éventuelle transmission à un autre organisme de contrôle.
La Commission estime que ces données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie par le responsable de traitement.
Sur les destinataires
La plateforme étant un outil métier à destination des organismes de contrôle compétents en matière de lutte contre le travail illégal,  seuls les agents du Cleiss amenés à recueillir les demandes et à y répondre,  ainsi que les agents des autorités de contrôle compétentes en matière de lutte contre le travail illégal, pourront effectivement utiliser la plateforme et accéder aux données, dans le cadre de l'accomplissement de leurs missions et dans les limites du besoin d’en connaître.
La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement.
Sur l’information et le droit d’accès
Les personnes seront informées de la mise en place du traitement via une mention d’information présente sur le site internet du Cleiss.
Chacune des autorités recueillant des informations via la plateforme et mettant en œuvre un traitement de données à caractère personnel pour les traiter, sera tenue d’informer les personnes qu’elles peuvent recueillir des informations auprès des autres organismes de contrôle ainsi qu’auprès du Cleiss.
Les personnes concernées pourront exercer leurs droits d’accès, de rectification et d’opposition pour motif légitime auprès du Cleiss par courrier postal ou courriel électronique.
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
La Commission rappelle que le responsable d’un traitement de données à caractère personnel doit, en application de l’article 34 de la loi du 6 janvier 1978 modifiée, prendre toutes les précautions utiles pour préserver la sécurité des données collectées et traitées, au regard de la nature de ces dernières et des risques présentés par le traitement, et notamment empêcher que des tiers non autorisés y aient accès par l’intermédiaire de mesures de sécurité physiques, logiques et organisationnelles.
Le traitement prend la forme d’une plateforme en ligne dont les accès sont limités et encadrés par une politique de gestion des habilitations définissant les fonctions et les types d’informations auxquels un agent peut avoir accès pour l’exercice de ses missions. L’habilitation prévoira trois types de profils : un profil administrateur, un profil contributeur et un profil consultation qui permettra respectivement un accès en lecture, écriture et configuration de l’outil, un accès en lecture et écriture et un accès en lecture seulement.
Le Cleiss n’ouvrira de compte contributeurs qu’à un nombre limité de personnes que sont ses interlocuteurs en matière de lutte contre le travail illégal au niveau national, ainsi que les agents expressément désignés par les autorités nationales de lutte contre le travail illégal.
Les titulaires de compte contributeurs pourront ensuite créer des comptes en consultation aux agents de contrôle de leur circonscription, si l’accès à la plateforme s’avère nécessaire pour l’accomplissement des fonctions de ces derniers.
Le Cleiss n’ouvrira de profils administrateur qu’à certains agents nommément désignés par le directeur du Cleiss.
L’accès à la plateforme sera encadré par le couplage d’un identifiant et d’un mot de passe qui devront respecter les exigences posées par la Commission dans la  délibération du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe.
Cette plateforme est hébergée sur un serveur interne au Cleiss.
Les échanges de données s’effectueront via un canal chiffré TLS.
Un mécanisme de journalisation des accès à l’application et des opérations effectuées permet de détecter d’éventuels accès ou opérations non souhaités ou interdits, avec une conservation des « logs » de journalisation qui ne doit pas excéder la durée de six mois glissants.
Enfin, des mesures nécessaires doivent permettre d’assurer la maintenance du matériel et sa mise au rebut dans des conditions de sécurité satisfaisantes, en particulier s’agissant de l’absence de données à caractère personnel stockées dans les matériels remisés.
La Commission rappelle que l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données échangées seront conservées sur la plateforme pendant la durée de la procédure justifiant la communication des informations et jusqu’à l’expiration des voies de recours.
A la clôture du dossier et durant cinq années, les données feront l’objet d’une fiche synthétique récapitulative qui sera consultable sur la plateforme par les corps de contrôle. Les documents déposés par les différents corps de contrôle seront supprimés de la plateforme à l’issue de la procédure.
Autorise, conformément à la présente délibération, le Centre des liaisons européennes et internationales de Sécurité sociale à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS