La Commission Nationale de l'Informatique et des Libertés, Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, particulièrement ses articles 6, 17, 21 paragraphe 1 habilitant la Commission Nationale de l'Informatique et des Libertés à édicter, en vertu de son pouvoir réglementaire, des normes simplifiées concernant certains traitements automatisés d'informations nominatives ; Vu les dispositions du code du travail notamment le titre IV du livre 1er ; Après avoir entendu Monsieur Guy GEORGES en son rapport et Madame Charlotte-Marie PITRAT Commissaire du Gouvernement en ses observations ;
Considérant que pour l'application de l'article 17 susvisé, il faut entendre par norme simplifiée l'ensemble des conditions que doivent remplir certaines catégories les plus courantes de traitements pour être regardées comme ne comportant manifestement pas de risque d'atteinte à la vie privée et aux libertés et comme pouvant dès lors faire l'objet d'une déclaration simplifiée ; Considérant que certains traitements informatisés portant sur la paie des personnels des personnes physiques et morales autres que celles gérant un service public sont de ceux qui peuvent, sous certaines conditions, relever de l'article 17 susmentionné.
DECIDE : Article 1er Pour pouvoir faire l'objet de la procédure de déclaration simplifiée, les traitements automatisés d'informations nominatives relatifs à la paie des personnels des personnes physiques et morales autres que celles gérant un service public doivent : Ne porter que sur des données objectives aisément contrôlables par les intéressés grâce à l'exercice du droit individuel d'accès ; N'appliquer à ces données que des logiciels ou progiciels dont les résultats puissent être facilement contrôlés ; Ne pas  donner lieu à des interconnexions et des cessions autres que celles nécessaires à l'accomplissement des fonctions énoncées à l'article 2 ci-dessous. Comporter des dispositions propres à assurer la sécurité des traitements et des informations et la garantie des secrets protégés par la loi ; Satisfaire en outre aux conditions énoncées aux articles 2 à 6 ci-dessous.
Article 2 Finalité du traitement Le traitement ne doit pas avoir d'autres fonctions que : a) Le calcul et le paiement des rémunérations et accessoires et des frais professionnels ainsi que le calcul des retenues déductibles ou indemnisables opérées conformément aux dispositions légales et conventionnelles applicables ; b) La réalisation des opérations résultant de dispositions légales, de conventions collectives ou de stipulations contractuelles concernant : - Les déclarations à l'administration fiscale et aux organismes de protection sociale, de retraite et de prévoyance - Le calcul des cotisations et versements donnant lieu à retenue à la source. c) La tenue, conformément aux dispositions du titre IV du Livre IV du Code du Travail, des comptes individuels relatifs à l'intéressement et à la participation des travailleurs à l'entreprise ; d) La réalisation de tous traitements statistiques non nominatifs, liés à l'activité salariée dans l'entreprise ; e) La fourniture des écritures de paie à la comptabilité ; f) La fourniture des informations et la réalisation des états relatifs à la situation du personnel permettant de satisfaire à des obligations légales.
Article 3 Catégories d'informations traitées Les informations traitées ne doivent pas relever de celles mentionnées aux articles 30 et 31 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. Dès lors que les dispositions de l'article 27 de la loi n° 78-17 du 6 janvier 1978 ont été respectées lors du recueil ou de la mise à jour des informations traitées, celles-ci doivent relever seulement des catégories suivantes dans la mesure où elles sont nécessaires à l'exécution des finalités énumérées à l'article 2 ; a) Identité : nom, nom marital, prénoms, sexe, date et lieu de naissance, numéro de sécurité sociale, adresse, taux d'invalidité ; numéros attribués par les organismes d'assurances sociales, de retraite et de prévoyance, nationalité : français, étranger ; b) situation familiale, situation matrimoniale, enfants à charge ; éléments déterminant l'attribution d'un complément de rémunération ; c) Vie professionnelle : lieu de travail, numéro d'identification interne, date d'entrée dans l'entreprise, ancienneté, emploi occupé et coefficient hiérarchique, section comptable, nature du contrat de travail ; d) Eléments de rémunération : régime et base de calcul de la rémunération ; nature, taux et base des cotisations sociales, congés et absences donnant lieu à retenues déductibles ou indemnisables ainsi que toute retenue légalement opérée par l'employeur ; frais professionnels, mode de règlement, identité bancaire ou postale.
Article 4 Durée de conservation La durée de conservation des informations ne pourra excéder celle prévue par les dispositions légales applicables. Les informations relatives aux motifs des absences ne doivent pas être conservées au-delà du temps nécessaire à l'établissement des bulletins de paie. Les informations nécessaires à l'établissement des droits du personnel, notamment des droits à la retraite, peuvent être conservées sans limitation de durée.
Article 5 Destinataires des informations Peuvent seuls dans les limites de leurs attributions respectives être destinataires des informations : - les services chargés de l'administration et de la paie du personnel ; - les services chargés du contrôle financier dans l'entreprise ; - les organismes gérant les différents systèmes d'assurances sociales, d'assurances chômage, de retraite et de prévoyance, les caisses de congés payés, les organismes publics et administrations légalement habilités à les recevoir ; - les organismes financiers intervenant dans la gestion des comptes de l'entreprise et du salarié.
Article 6 Enregistrement et traitements complémentaires Les traitements dont les finalités sont celles prévues à l'article 2 ci-dessus qui comportent l'enregistrement d'informations n'appartenant pas aux catégories énumérées à l'article 3 ou aboutissent à la transmission d'informations à des destinataires autres que ceux définis à l'article 5, doivent faire l'objet de déclaration ordinaire. Les traitements dont les finalités excèdent celles qui sont prévues à l'article 2 ci-dessus, notamment, les traitements relatifs à la gestion des horaires variables et au suivi historique et individuel des absences, ainsi que les modifications des traitements déclarés en référence à la présente norme et portant sur des finalités autres que celles définies à l'article 2 ci-dessus, doivent faire l'objet d'une déclaration ordinaire pour l'ensemble du traitement. Le Président, Jacques FAUVET.