La Commission nationale de l’informatique et des libertés,
Saisie pour avis par la Caisse Nationale d’Assurance Vieillesse (CNAV) d’un projet d’Acte réglementaire relatif à l’accès aux services offerts par la CNAV sur l’Espace des Organismes Partenaires de la Protection Sociale (EOPPS) ;
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiées par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment son article 27-II-2° ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par le décret n°2007-401 du 25 mars 2007 ;
Vu la loi n°2007-1786 du 19 décembre 2007 de financement de la sécurité sociale pour 2008, et notamment son article 109 (créant l’article L.224-13 du Code de la Sécurité sociale) ;
Vu le décret n°2009-1577 du 16 décembre 2009, et notamment son article 1

Vu la délibération n°2009-211 du 30 avril 2009 portant avis sur un projet de décret en Conseil d’État relatif au Répertoire National Commun de la Protection Sociale (RNCPS) ;
Vu la délibération n°2009-562 du 24 septembre 2009 portant avis sur un projet de décret en Conseil d’État portant création d’un traitement de données à caractère personnel dénommé
échanges inter-régimes de retraite
Après avoir entendu M. Philippe GOSSELIN, Commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du gouvernement, en ses observations ;
Émet l’avis suivant :
En application des dispositions de l’article 27-II-2° de la loi du 6 janvier 1978 modifiée, la Commission a été saisie pour avis par la Caisse Nationale d’Assurance Vieillesse (CNAV) d’un projet d’acte réglementaire relatif à l’Espace des Organismes Partenaires de la Protection Sociale (EOPPS), créé sur le fondement de l’article L.224-14 du Code de la sécurité sociale.
L’article L.224-14 du Code de la sécurité sociale dispose que
les caisses nationales mentionnées aux articles L. 221-2, L. 222-4 et L. 223-2 mettent en œuvre ou coordonnent des actions de contrôle sur le service des prestations afin de détecter les fraudes et les comportements abusifs. Elles peuvent à ce titre utiliser des traitements automatisés des données relatives au service des prestations
Pour répondre à cette nouvelle finalité de lutte contre la fraude, le portail intranet PARN, qui avait pour objet de
mettre à disposition des partenaires de la sphère sociale, des informations utiles pour la gestion des retraites et l’identification des personnes
Le portail EOPPS permet aux partenaires de la CNAV dûment habilités d’accéder en consultation aux systèmes nationaux gérés par la Direction du Système d’Information National des Données Sociales de la CNAV aux traitements et services suivants :
- la consultation du




Identification Assuré


e-learning Identification

Consultation









Inscription déléguée
La Commission
prend acte qu’EOPPS sera un portail intranet permettant d’accéder, d’une part, aux traitements de données accessibles depuis 2005 via le portail PARN, et, d’autre part, au RNCPS et à l’EIRR.
Comme indiqué dans la délibération de la Commission relative au RNCPS (délibération n°2009-211 du 30 avril 2009), la Commission prend acte que le portail EOPPS se substituera au portail PARN par l’intermédiaire duquel l’accès au RNCPS sera garanti.
En outre, elle relève que le portail intranet EOPPS sera utilisé par l’ensemble des partenaires lorsque ceux-ci souhaitent, au cas par cas, confirmer l’identité d’un bénéficiaire, l’étendue de ses droits ou s’assurer de l’absence de toute fraude.
A cet égard, elle souligne que le portail EOPPS ne permet que la consultation des données, et qu’aucune interconnexion des données, ni aucune extraction ne seront possibles.
Sur les finalités
L’Espace des Organismes Partenaires de la Protection Sociale (EOPPS) permet à l’ensemble des partenaires de répondre à une triple finalité de vérification des droits ouverts, de confirmation des données d’identification des personnes et de vérification des informations dont elles disposent dans le cadre de la lutte contre la fraude.
Comme le portail intranet PARN, le portail EOPPS permet aux organismes partenaires de vérifier, au cas par cas, les informations figurant dans sa propre base de données, par la consultation des données mises à disposition par la Caisse Nationale d’Assurance Vieillesse.
Conformément à l’article 10 de la loi du 6 janvier 1978 modifiée, aucune décision produisant des effets juridiques à l’égard d’une personne ne sera prise sur le seul fondement de la consultation d’EOPPS.
Sur les données
Les catégories de données personnelles accessibles sur l’Espace des Organismes Partenaires de la Protection Sociale correspondent à des données d’identification et de prestations sociales des bénéficiaires.
Le projet d’acte réglementaire distingue cinq catégories de données, provenant des traitements de données à caractère personnel mis en œuvre par les différents organismes.
Parmi les catégories de données traitées, trois sont communes aux différents services accessibles via EOPPS : les données d’identification, les données de rattachement et les données de prestations.
Tandis que deux catégories de données sont propres à deux services accessibles via EOPPS : les données économiques et financières dans le service DNA Web et les données relatives à la vie professionnelle de la personne dans le service CCA.

données d'identification des bénéficiaires

données de rattachement
de mutation inter-régimes

données de prestations

données économiques et financières
Les données relatives à la
vie professionnelle
autres régimes
trimestres autres régimes de retraite de bases obligatoires
trimestres Institutions UE
majorations assurance, numéro assurance sociales
décisions commission de recours amiable
rentes autres régimes assimilés
La Commission prend acte qu’en application des articles R 115-1 et suivants du Code de la sécurité sociale, l’ensemble des organismes de protection sociale sont autorisés à utiliser le NIR dans le cadre de leurs missions (décret n°85-1343 du 16 décembre 1985 instituant un système de transfert de données sociales). Pôle Emploi est lui aussi habilité à utiliser ce numéro (comme l’ANPE et les Assedics y étaient eux-mêmes habilités depuis 1987).
Sur les durées de conservation
Comme le précise l’article 5.1 de la convention signée entre la CNAV et ses partenaires,
la conservation des données offertes en consultation sur l’espace EOPPS sont de la responsabilité de la CNAV
dans le système d’information du partenaire [est] de sa propre responsabilité
Les durées de conservation des données offertes en consultation sur le portail EOPPS sont les durées déterminées par les actes réglementaires ayant créé les traitements faisant l’objet des différentes consultations sur le portail. Elles varient en fonction de la catégorie visée.

données d'identification

informations de mutation inter-régimes

données de prestations

données économiques et financières

données relatives à la
vie professionnelle
Sur les destinataires
Les destinataires des données accessibles sur le portail EOPPS sont les agents individuellement désignés des partenaires préalablement identifiés
dans le cadre du traitement PARN
- l’Agence centrale des organismes de Sécurité sociale (ACOSS),
- la Caisse Nationale des Allocations Familiales (CNAF),
- la Caisse Nationale d’Assurance Maladie des Travailleurs Salariés (CNAMTS),
- la Caisse Centrale de la Mutualité Sociale Agricole (CCMSA),
- le Fonds d'indemnisation des victimes de l'amiante (FIVA).
L’application EOPPS permettra également à de nouveaux partenaires d’accéder aux services RNCPS, RFO et EIRR du portail Intranet, dans la limite de leurs habilitations. Ces nouveaux partenaires sont
- des organismes de l’assurance chômage (Pole Emploi),
- des organismes de protection sociale des ministres du culte ;
- des organismes du régime agricole ;
- des organismes du régime des professions non salariées agricoles ;
- des organismes gérant le régime des fonctionnaires et des agents non titulaires de l’Etat ;
- des organismes des régimes spéciaux ;
- des organismes gérant les régimes divers de retraites ;
- des organismes de caisses de congés payés ;
- des organismes mutualistes délégataires de la CNAMTS ;
- des sections locales mutualistes des étudiants ;
- des sections locales mutualistes des fonctionnaires hospitaliers ;
- des sections locales mutualistes des fonctionnaires territoriaux ;
- des sections locales mutualistes des fonctionnaires territoriaux et hospitaliers ;
- d’autres mutuelles relevant de l’article L 211-4.
Conformément à l’article 4 de l’acte réglementaire, la liste complète et exhaustive de ces organismes est rendue accessible sur le site www.cnav.fr.
A cet égard,
la Commission prend en considération que les partenaires de la CNAV ne pourront déroger aux règles fixées dans les actes réglementaires instituant les différents traitements et limitant le nombre des organismes consultants aux destinataires clairement identifiés par décret (RNCPS, EIRR) ou dûment habilités (SNGI).
Sur la sécurité
La Commission observe que l’application EOPPS est susceptible de permettre l’accès à des données à caractère personnel concernant l’ensemble de la population française et les personnes résidant de façon stable sur le territoire français.
Elle relève également que le nombre d’agents pouvant accéder au répertoire est susceptible d’être particulièrement élevé.
La protection physique des locaux de la CNAV présente des garanties acceptables en termes de sécurité physique et logique.
Compte tenu du nombre très important d’agents susceptibles d’accéder à l’ensemble des applications référencées par EOPPS, la Commission considère que le suivi et le contrôle des habilitations constituent un point essentiel pour garantir la sécurité
Au sein de chaque organisme, seuls les agents habilités à contrôler l’identification des personnes et à organiser la lutte contre la fraude ont accès au portail.
Les modalités de consultation d’EOPPS sont fixées par la convention signée par la CNAV avec chaque organisme partenaire.
La Commission indique que, pour permettre de détecter d’éventuelles tentatives d’authentification frauduleuses, les données de connexion seront enregistrées dans un journal permettant notamment la remontée d’alertes aux techniciens habilités de la CNAV. Ce journal sera conservé un an.
Ces données de connexion comprendront la date, l’heure, l’information, l’adresse IP, l’authentification unique et le message lié à la connexion (échec à la connexion, échec à l’authentification, tentative de connexion, tentative de changement de mot de passe, déconnexion).
Sur les droits des personnes
Concernant l’article 32 de la loi du 6 janvier 1978 modifiée en 2004, l’information des personnes sera faite par voie d’affichage et par une mention spécifique sur le site Internet des organismes partenaires.
Le droit d’accès pourra être exercé auprès de la personne en charge des habilitations dans leur organisme et auprès de la CNAV.
Le droit de rectification pourra être exercé, pour les données communes d’identification, auprès de la CNAVTS et, pour les données centralisées de rattachement et les données de prestations, auprès de l’organisme servant la prestation concernée.
Conformément au troisième alinéa de l’article 38 de la loi du 6 janvier 1978 modifiée, le droit d’opposition ne s’applique pas au présent traitement.
Sur la mise en place d’un bilan d’EOPPS
La Commission demande qu’un
bilan annuel
- de mesurer les résultats obtenus en matière de contrôle et de lutte contre la fraude ;
- de visualiser le schéma des procédures d’habilitations au sein des organismes partenaires, et le nombre d’agents habilités à consulter EOPPS ;
- de dresser un tableau récapitulatif des demandes de consultation des différents organismes ;
- de dresser un état des lieux relatif aux actions menées pour informer les personnes de leurs droits.
Le Président,