La Commission nationale de, l'informatique et des libertés,
Saisie pour avis par le ministère des affaires sociales, du travail et de la solidarité, d'un projet de décret pris en application de l'article L. 133-5, du code de la sécurité sociale ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le code de la sécurité sociale et le code du travail ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 78-774 du 17 juillet 1978 modifié pris pour l'application de la loi du 6 janvier 1978 susvisée ;
Vu les demandes d'avis présentées par le groupement d'intérêt public "modernisation des déclarations sociales" pour la mise en oeuvre des téléservices net-DUCS-I (n° 829385), net-DADS-U (n° 829386) et net-DCR (n° 829387) ;
Après avoir entendu Monsieur Hubert BOUCHET, commissaire en son rapport, et Madame Catherine POZZO DI BORGO, commissaire adjoint du Gouvernement en ses observations ;
FORMULE LES OBSERVATIONS SUIVANTES :
La loi de financement de la sécurité sociale pour 2002 a introduit dans le code de la sécurité sociale un article L. 133-5 afin de permettre aux employeurs et aux professions indépendantes de réaliser leurs déclarations sociales obligatoires par voie électronique et de bénéficier d'un service d'aide à l'élaboration des déclarations sociales et des bulletins de paie baptisé "DUCS-I" (déclaration unifiée de cotisations sociales individualisée).
Le groupement d'intérêt public "modernisation des déclarations sociales" (GIP-MDS) a été choisi par les organismes gestionnaires de régimes de protection sociale pour gérer ce service dans le cadre du portail de téléservices www.net-entreprises.fr déjà mis en oeuvre par ce groupement.
L'article L. 133-5 du code de la sécurité sociale prévoit que, pour assurer ce service et sa sécurisation, les organismes sociaux ou un organisme désigné par eux - en l'occurrence, le GIP-MDS - sont autorisés à collecter et conserver le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) des personnes concernées, dans des conditions fixées par décret en Conseil d'Etat pris après avis de la CNIL.
La Commission est donc amenée à se prononcer sur les garanties apportées par le projet de décret qui lui est soumis par le ministère des affaires sociales, du travail et de la solidarité, sur la base des éléments transmis par le ministère et par le GIP-MDS dans le cadre de trois demandes d'avis concernant les téléservices net-DUCS-I, net-DADS-U et net-DCR.
Sur les finalités d'utilisation du NIR
Les articles 1 et 2 du projet de décret prévoient d'introduire une modification des articles R. 115-1 et R. 115-2 du code de la sécurité sociale afin de définir limitativement les organismes susceptibles d'utiliser le NIR dans le cadre des téléprocédures visées à l'article L. 133-5 du même code.
Seraient ainsi autorisés à utiliser le NIR dans le cadre du dispositif net-entreprises les organismes chargés de la gestion d'un régime obligatoire de base de la sécurité sociale, (déjà visés au 1° de l'article R. 115-1), les organismes visés par les articles L. 223-16 (caisses de congés payés) et L. 351-2 (UNEDIC et ASSEDIC) du code du travail, ainsi que le GIP-NMS en tant qu'organisme désigné par les organismes de protection sociale précités pour gérer ce dispositif.
La Commission observe que les organismes visés par les articles 1 et 2 du projet de décret sont expressément habilités par l'article L. 133-5 du code de la sécurité sociale à recevoir les déclarations obligatoires des employeurs ou des cotisants, qui intègrent le NIR, par le téléservice net-entreprises.
La Commission prend acte de ce que le NIR ne serait ni utilisé dans le cadre de l'inscription aux différents téléservices du portail net-entreprises, ni dans le cadre de la procédure actuelle d'authentification des utilisateurs de ces téléservices, mais uniquement pour l'établissement des déclarations sociales nécessitant le recueil du NIR.
La Commission a toutefois été informée de la réalisation d'une étude visant à la mise en oeuvre, dans le cadre du programme net-entreprises, d'un procédé d'authentification des déclarants reposant sur l'émission de certificats électroniques personnels normalisés, projet dans lequel L'utilisation du NIR personnel de l'employeur pourrait ne pas être exclue.
La Commission estime qu'une utilisation du NIR à de telles fins ne peut qu'appeler de sa part une réserve de principe dans la mesure où la concrétisation d'un tel projet constituerait un précédent en faveur de l'utilisation généralisée de cet identifiant particulier dans le cadre de dispositifs de certificats électroniques délivrés aux citoyens souhaitant acheter ou vendre sur Internet, voter à distance, consulter leur e-dossier, etc., et aurait pour conséquence la constitution, par les sociétés de certification prestataires, de bases de données contenant les références de plusieurs millions d'employeurs ou de leurs délégataires identifiés par leur NIR.
Sur les conditions de traitement du NIR
L'article 3 du projet de décret précise que la collecte des informations traitées dans le cadre de la DUCS-I, dont le NIR, seraient recueillies par le GIP-NIDS soit directement auprès des déclarants, soit auprès des organismes sociaux lorsqu'une procédure de pré-établissement des déclarations par les organismes sociaux concernés est prévue.
L'article 4 prévoit que,la transmission électronique de ces informations ferait l'objet d'un chiffrement.
L'article 5 prévoit que la collecte et la conservation des données devraient être réalisées dans des conditions qui permettent d'en assurer leur sécurité. Afin de s'assurer de la mise en oeuvre de moyens adéquats pour atteindre cet objectif, la Commission serait rendue destinataire chaque année d'un rapport d'évaluation de la sécurité du dispositif, rapport dont la Direction centrale de la sécurité des systèmes d'information serait également rendue destinataire.
Enfin, l'article 6 prévoit que les informations recueillies dans le cadre des téléservices visés à l'article L. 133-5 du code de la sécurité sociale seront conservées, pour chaque déclaration concernée, jusqu'à extinction des délais de recours contentieux ou pendant trente jours s'agissant des déclarations entrant dans le champ de la DADS-U, date à laquelle elles feront l'objet d'un archivage définitif dans les conditions prévues par la loi du 3 janvier 1979 sur les archives.
La Commission prend acte de ces dispositions. Elle considère cependant que l'intention du législateur n'a pas été de limiter les garanties apportées autour du traitement du NIR au seul cadre du téléservice DUCS-I et qu'il convient, en conséquence, d'étendre ces garanties à l'ensemble des téléservices mis en oeuvre sur le fondement de l'article L. 133-5 du code de la sécurité sociale nécessitant une utilisation du NIR des personnes concernées.
EMET UN AVIS FAVORABLE au projet de décret sous réserve que :
- l'article 3 soit ainsi rédigé :
"Les informations nécessaires à la mise en oeuvre des services prévus par l'article L. 133-5 du code de la sécurité sociale sont collectées par le groupement d'intérêt public "Modernisation des déclarations sociales" directement auprès des déclarant ou de leurs mandataires ou, le cas échéant, recueillies auprès des organismes constituant le groupement" ;
l'article 5 soit ainsi rédigé :
"Le groupement d'intérêt public "Modernisation des déclarations sociales" collecte conserve les données qu'il recueille, dans le cadre de ces services, dans des conditions qui permettent d'en assurer leur sécurité.
Il rend compte chaque année des conditions dans lesquelles la sécurisation de la collecte et la conservation des données est assurée, au moyen d'un rapport d'évaluation remis à la Commission nationale de l'informatique et des libertés et à la Direction centrale de la sécurité des systèmes d'information. Le premier rapport sera établi un an après la mise en oeuvre des services."
Le Président, Michel GENTOT.