La Commission Nationale de l'Informatique et des Libertés,
Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et le décret n° 78-774 du 17 juillet 1978, pris pour son application ;
Vu la loi n° 79-18 du 3 janvier 1979 sur les archives ;
Vu le code de la sécurité sociale, notamment les articles L. 225-1-1 et L. 242-1 et suivants ;
Vu le projet d'acte réglementaire du conseil d'administration de l'Agence Centrale des Organismes de Sécurité Sociale (ACOSS) ;
Après avoir entendu Monsieur André PERDRIAU en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ;
Considérant que l'ACOSS a saisi la Commission d'une demande d'avis relative à la généralisation d'une expérience télématique, dont la finalité est de permettre aux employeurs de satisfaire aux obligations déclaratives qui leur incombent au titre du paiement des cotisations sociales, ainsi qu'au paiement des cotisations dues ; que ce projet est intégré dans le programme général de simplification des rapports entre la sécurité sociale et ses usagers ;
Considérant que l'application dénommée COTITEL, qui est expérimentée depuis 1989 par les Unions de Recouvrement (URSSAF) d'Arras, Beauvais et Creil, permet la saisie sur Minitel, par les employeurs de salariés ou leur expert-comptable, puis l'envoi à l'URSSAF d'affiliation de la déclaration mensuelle ou trimestrielle de salaires et de l'ordre de paiement correspondant ; qu'à cette fin, les utilisateurs sont munis d'une carte à mémoire, dont l'objet est non seulement de garantir la sécurité des opérations d'enregistrement, mais aussi de fournir au cotisant la preuve des opérations auxquelles il aura procédé ; qu'ils doivent en revanche se munir d'un lecteur de carte LECAM ;
Considérant que la procédure de télédéclaration peut être mise en oeuvre par l'employeur ou par l'expert-comptable désigné par lui, dès lors que le cotisant a formellement adhéré au système par la signature d'une convention et reconnu par là même la valeur probante du procédé informatique utilisé ;
Considérant que les déclarations et ordres de paiement doivent être saisis à l'intérieur d'une période déterminée, au cours de laquelle le cotisant peut également modifier les informations déjà enregistrées ;
Considérant que les informations traitées sont relatives à l'identité du cotisant ou à la raison sociale de l'entreprise, à son numéro d'immatriculation par l'URSSAF, à son numéro SIRET, à son adresse, éventuellement à son expert comptable si celui-ci a été préalablement habilité par son client à recourir à la fonction de télédéclaration, à l'effectif de l'entreprise inscrit à la fin de la période considérée, à l'effectif payé, à l'effectif exonéré de cotisations, aux codes type de salariés, à la masse salariale globale, aux taux "sécurité sociale", "accident du travail" et "transport" applicables, au montant de la cotisation et de l'ordre de paiement, à la date d'exigibilité des cotisations, à celles de la déclaration et du prélèvement, aux références des comptes bancaires susceptibles d'être débités ;
Considérant que la carte à mémoire du cotisant doit contenir, dans une zone de transaction ineffaçable et non modifiable, son numéro d'immatriculation, son identité ou la raison sociale de l'entreprise, la date, le montant et la période concernée pour chaque déclaration et ordre de prélèvement ; que ces données peuvent être consultées grâce au LECAM ;
Considérant que l'enregistrement de l'ensemble de ces informations est adéquat, pertinent et non excessif au regard des finalités poursuivies ;
Considérant que la durée de conservation des informations dans le fichier du serveur est de trois mois pour une donnée mensuelle et de neuf mois pour une information trimestrielle ;
Considérant que les destinataires des informations portées dans le fichier télématique sont l'URSSAF de rattachement et, dans la mesure seulement où celles-ci les concernent, les établissements bancaires désignés par le cotisant ;
Considérant que l'ensemble des mesures de sécurité adoptées est de nature à assurer la fiabilité et la confidentialité des opérations effectuées par voie télématique ;
Considérant que l'employeur est informé, au moment de son adhésion à l'application, des conditions d'utilisation du serveur et des possibilités de sa consultation ; que cette consultation, qui nécessite l'indication d'un mot de passe confidentiel, porte sur les trois dernières déclarations souscrites et sur les ordres de paiement y afférents, et le met en mesure éventuellement de modifier la dernière déclaration pendant la durée de la période de validation ;
Considérant qu'il est informé en même temps de son droit d'accès et de rectification, qui s'exerce auprès de l'URSSAF d'affiliation ;
Considérant que les URSSAF mettant en oeuvre l'application devront au préalable adresser à la Commission une déclaration simplifiée de référence à ce modèle-type, accompagnée d'un engagement de conformité, puis procéder à l'affichage de l'acte réglementaire de l'ACOSS dans leurs locaux ouverts au public ;
EMET UN AVIS FAVORABLE au projet de traitement dit COTITEL présenté par le conseil d'administration de l'agence centrale des organismes de sécurité sociale.
LE PRESIDENT, Jacques FAUVET