La Commission Nationale de l'Informatique et des Libertés,
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe sur la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et le décret n° 78-774 du 17 juillet 1978, pris pour son application ;
Vu le décret n° 85-1343 du 16 décembre 1985 modifié instituant un système de transfert de données sociales ;
Vu les délibérations n° 84-27 du 26 juin 1984, 85-34 du 9 juillet 1985, 88-27 du 8 mars 1988, 92-048 du 21 avril 1992, 93-057 du 6 juillet 1993 et 94-023 du 29 mars 1994 relatives au Transfert des Données Sociales ;
Vu le projet d'acte réglementaire présenté par la Caisse Nationale d'Assurance Vieillesse des Travailleurs Salariés ;
Après avoir entendu Monsieur Maurice VIENNOIS, Commissaire en son rapport, et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;
Considérant que la Caisse Nationale d'Assurance Vieillesse des Travailleurs Salariés a saisi la Commission Nationale de l'Informatique et des Libertés d'une demande d'avis portant sur la transmission, à titre expérimental, par le moyen du réseau Internet, des déclarations annuelles de données sociales établies par les employeurs ; que l'expérimentation consiste en un traitement fictif des données sociales portant sur l'année 1996 ; que cette expérimentation a pour seul objet de tester la faisabilité de ce mode de transmission de données entre les entreprises et leur interlocuteur unique, le centre de transfert de données sociales ; que, pour l'expérimentation, seules seront concernées cinq à dix entreprises volontaires, ainsi que les services de la Caisse Nationale d'Assurance Vieillesse des Travailleurs Salariés ;
Considérant que les données transmises ne seront conservées sur des fichiers spécifiques que pendant la durée de l'expérimentation, soit pendant six mois ;
Considérant qu'eu égard au caractère confidentiel des informations traitées, la Caisse Nationale d'Assurance Vieillesse des Travailleurs Salariés a pris un certain nombre de précautions afin d'assurer la sécurité des données transmises sur le réseau Internet ; qu'ainsi, en particulier, une procédure d'authentification entre les sites, de chiffrement des données et de signature électronique est destinée à éviter que les données transférées ne soient déformées, endommagées ou communiquées à des tiers non autorisés ; que ce protocole sécurisé dénommé SSL a été autorisé par le service central de la sécurité des systèmes d'information (SCSSI) ;
Considérant que la protection du site central de la Caisse Nationale d'Assurance Vieillesse des Travailleurs Salariés est assurée par un dispositif de filtrage, de type pare-feu, destiné à garantir l'accès contre les risques d'intrusion sur le réseau ;
Considérant que les mesures de sécurité adoptées sont satisfaisantes ;
Considérant qu'il apparaît nécessaire que les salariés des entreprises concernées par l'expérimentation soient informés de sa mise en place et des droits qui leur sont reconnus par la loi du 6 janvier 1978 ;
EMET un AVIS FAVORABLE au projet d'acte réglementaire présenté par la Caisse nationale d'Assurance Vieillesse des Travailleurs Salariés décidant de la mise en place d'une expérimentation limitée à six mois destinée à évaluer la fiabilité des transmissions des déclarations annuelles de données sociales par le moyen du réseau Internet,
DEMANDE à être destinataire du bilan de l'expérimentation.
Jacques FAUVET