La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’action et des comptes publics d’une demande d’avis concernant la modification de l’arrêté du 25 septembre 2008 relatif à la mise en service à la direction générale des finances publiques, à la Caisse nationale des allocations familiales (CNAF) et à la Caisse centrale de mutualité sociale agricole d'une procédure automatisée de transfert des données fiscales ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le livre des procédures fiscales, notamment son article L. 152 ;
Vu le code de sécurité sociale ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 2018-1203 du 22 décembre 2018 de financement de la sécurité sociale pour 2019 (LFSS 2019), notamment son article 78 ;
Vu le décret n° 99-1047 du 14 décembre 1999 pris pour l'application de l'article 107 de la loi de finances pour 1999 (n° 98-1266 du 30 décembre 1998) relatif à l'utilisation du numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) par la direction générale des impôts, la direction générale de la comptabilité publique et la direction générale des douanes et droits indirects ;
Vu le décret n° 2002-771 du 3 mai 2002 portant création d'une procédure de transfert des données fiscales ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l'usage du numéro d'inscription au répertoire national d'identification des personnes physiques ou nécessitant la consultation de ce répertoire ;
Vu l’arrêté du 25 septembre 2008 modifié relatif à la mise en service à la direction générale des finances publiques, à la Caisse nationale des allocations familiales (CNAF) et à la Caisse centrale de mutualité sociale agricole (CCMSA) d'une procédure automatisée de transfert des données fiscales ;
Vu la délibération n° 99-033 du 24 juin 1999 portant avis sur un premier projet de décret en Conseil d’Etat pris pour l’application de l’article 107 de la loi du 30 décembre 1998 ;
Vu la délibération n° 01-055 du 25 octobre 2001 relative à la création d’une procédure de transfert de données fiscales pour le compte de l’Etat et des organismes de protection sociale visés à l’article L. 152 du livre des procédures fiscales ;
Sur la proposition de M. Philippe GOSSELIN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie pour avis par le ministre de l’action et des comptes publics, en application de l’article 2 du décret n° 99-1047 du 14 décembre 1999 pris pour l'application de l'article 107 de la loi de finances pour 1999 (n° 98-1266 du 30 décembre 1998) relatif à l'utilisation du numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) par la direction générale des impôts, la direction générale de la comptabilité publique et la direction générale des douanes et droits indirects, d’un projet de modification de l’arrêté du 25 septembre 2008 relatif à la mise en service à la direction générale des finances publiques, à la CNAF et à la CCCMSA d'une procédure automatisée de transfert des données.
Dans le même temps, elle a été saisie d’une autre demande d’avis relative à la modification de ce même décret n° 99-1047 aux fins précisément de supprimer l’obligation de saisine de la CNIL pour avis lors des modifications du traitement " TDF ", aux fins de mettre en cohérence les mécanismes de saisine de la Commission avec la modification de la loi " Informatique et Libertés " du 20 juin 2018 et les allègements de formalités qu’elle emporte.
La version initiale du décret étant toutefois toujours en vigueur, c’est sur le fondement de ce texte que la Commission rend le présent avis.
Cette saisine intervient dans le cadre d’un projet de réforme du système des prestations sociales.
Pour rappel, la réforme aura notamment pour conséquence la création de trois nouveaux traitements (" base DSN individus ", " base PASRAU individus " et " service de restitution ") permettant aux organismes chargés de la gestion des prestations sociales, d’avoir accès aux données générées par les flux " déclaration sociale nominative " (DSN) et " Prélèvement A la Source – Revenus AUtres " (PASRAU).
Ces traitements auront notamment pour finalité de permettre aux Caisses d’allocations familiales (CAF) et aux caisses de mutualité sociale agricole (MSA) d’apprécier les montants des ressources des demandeurs et des bénéficiaires d’une aide au logement, en vue de se prononcer sur l’ouverture ou le maintien des droits correspondants, ainsi que sur le calcul des quantums de ces derniers.
Dans le cadre de la réforme, l’appréciation des droits s’effectuera sur la base des ressources perçues par les personnes concernées pendant les douze mois précédant la date de l’examen des droits.
Or, les flux DSN et PASRAU, mis en place récemment et de manière progressive, n’ont pas à ce jour la profondeur historique suffisante pour répondre à un tel besoin.
Partant, le législateur a introduit dans la loi n° 2018-1203 du 22 décembre 2018 de financement de la sécurité sociale pour 2019, un article 78.VI.C selon lequel "
au cours de l'année 2019, pour les revenus de l'année 2018, l'administration fiscale communique à la caisse nationale des allocations familiales et à la caisse centrale de la mutualité sociale agricole, selon les modalités prévues pour l'application de l'article L. 152 du livre des procédures fiscales, les informations nominatives nécessaires pour déterminer, parmi les allocataires de ces caisses, ceux pouvant bénéficier des aides au logement
L’arrêté projeté vise à mettre en application ces dispositions. A cette fin, il prévoit une modification temporaire de la procédure de transfert de données fiscales (" TDF ").
Cette procédure a été créée par le décret n° 2002-771 du 3 mai 2002 susvisé, pris après l’avis de la Commission en date du 25 octobre 2001, afin de permettre aux agents des administrations fiscales de communiquer aux organismes et services chargés de la gestion d’un régime obligatoire de sécurité sociale ou d’un régime de retraite complémentaire obligatoire, sur support informatique, les informations fiscales nécessaires à l’exécution des finalités mentionnées à l’article L. 152 du livre des procédures fiscales (LPF). Ces finalités concernent, à titre général, le contrôle des déclarations des allocataires aux fins d’ouverture, de maintien et de calcul des droits.
Ce même article précise que le NIR peut être utilisé pour les demandes, échanges et traitements nécessaires à la communication des informations qui y sont mentionnées, lorsqu’elles concernent des personnes physiques.
La procédure TDF est mise en œuvre dans le cadre d’un centre de services informatiques unique, hébergé par la direction générale des Finances publiques (DGFiP) et dénommé Centre national de transfert des données fiscales (CNTDF). Celui-ci reçoit les demandes des organismes sociaux qui fournissent un " fichier d’appels " concernant certains de leurs assurés, les transmet à la DGFiP et adresse les réponses reçues de cette dernière (" fichiers de restitutions "). Cette procédure permet ainsi de ne communiquer aux organismes sociaux en faisant la demande que les données qui leur sont nécessaires.
L’article R* 152-1 du LPF définit les conditions dans lesquelles les organismes et autorités chargés de l’application de la législation sociale peuvent obtenir de la DGFiP des informations nominatives sur la situation fiscale des personnes.
En application des textes susvisés, un arrêté du 25 septembre 2008 a d’ores et déjà autorisé le transfert de données fiscales résultant des déclarations de revenus effectuées par les intéressés eux-mêmes, par la DGFiP vers la CNAF et la CCMSA.
Le projet d’arrêté soumis pour avis à la Commission prévoit que durant l’année 2019, la DGFiP pourra également communiquer aux CNAF et CCMSA des données fiscales résultant des déclarations accomplies par des tiers et concernant les revenus touchés par les intéressés en 2018. Plus spécifiquement, seront utilisées à cette fin les données en provenance du flux " déclaration pré-remplie " (DPR).
Pour rappel, le dispositif DPR a fait l’objet de deux délibérations de la Commission :
délibération n° 2006-129 du 9 mai 2006 portant avis sur les modifications des traitements de la direction générale des impôts rendues nécessaires par la généralisation du processus de pré-remplissage des déclarations de revenus, quel qu'en soit le support ;
délibération n° 2007-029 du 13 février 2007 portant avis sur un projet de décret en Conseil d’Etat fixant le contenu et les modalités de transmission à la direction générale des impôts, aux fins de préimpression sur leur déclaration de revenus, des revenus perçus par les personnes employées à domicile et payées par chèque emploi service ou dans le cadre de la prestation d’accueil du jeune enfant.
La Commission constate que les modifications projetées de l’arrêté du 25 septembre 2008 n’ont pas pour conséquence de modifier les finalités du traitement " TDF ".
Concernant les données traitées, la Commission observe que le NIR sera traité dans le cadre du dispositif.
En l’espèce, le recours à cet identifiant est conforme aux dispositions de l’article 2-D-4° du décret n° 2019-341 du 19 avril 2019 précité.
Le projet d’arrêté prévoit que pour obtenir les informations relatives aux revenus des demandeurs ou bénéficiaires d’une allocation de logement, la CNAF et le CCMSA devront adresser à la DGFiP des fichiers d’appel constitués selon les mêmes modalités et comprenant les mêmes catégories d’informations que celles qui ont d’ores et déjà fait l’objet d’une autorisation de la Commission, dans la version initiale de l’arrêté.
Les données de restitution seront conservées pendant deux ans à la DGFiP. Elles ne seront conservées par la CNAF et la CCMSA que le temps nécessaire à la réalisation des finalités des traitements.
Le projet d’arrêté ne modifie pas les mesures de sécurité qui entourent le fonctionnement du dispositif.
Pour la Présidente,
La Vice-Présidente déléguée
Sophie LAMBREMON