La Commission Nationale de l'Informatique et des Libertés,
Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et le décret n° 78-774 du 17 juillet 1978, pris pour son application ;
Vu la loi n° 79-18 du 3 janvier 1979 sur les archives ;
Vu le code de la sécurité sociale, notamment le titre III du livre VI et les articles L. 115-2, R. 115-1, L. 243-14 et L. 351-1 ;
Vu le projet d'acte réglementaire du conseil d'administration de la caisse autonome nationale de compensation de l'assurance vieillesse des artisans (CANCAVA) ;
Après avoir entendu Monsieur André PERDRIAU en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ;
Considérant que la CANCAVA a saisi la Commission d'une demande d'avis portant création d'un modèle-type relatif aux traitements automatisés, qui sont mis en oeuvre par les caisses de base du régime des assurances vieillesse artisanales (AVA), à compétence géographique ou professionnelle ; que leur finalité est de permettre la gestion du régime obligatoire des AVA ;
Considérant que ces traitements ont plus précisément pour objet la gestion des comptes individuels des artisans, l'encaissement des cotisations, le recouvrement pré-contentieux et contentieux, la conservation de l'historique des droits acquis, l'instruction des demandes de retraite, la liquidation automatique des pensions, la gestion de l'indemnité de départ à la retraite et de l'action sociale individuelle des caisses, la réalisation de statistiques nationales, la préparation des élections aux conseils d'administration, l'information des artisans sur le régime AVA, notamment par l'envoi de la revue "Contacts AVA", et sur la mutuelle nationale de retraite des artisans, ainsi que la réalisation d'enquêtes sur la perception du régime AVA ;
Considérant que, dans ce but, un système informatique national, géré par le centre informatique de la CANCAVA et recourant à un réseau privé de télégestion, assure la gestion des comptes de chacune des caisses de base, qui sont seules responsables des informations contenues dans leurs fichiers, sauf pour ce qui concerne les données relatives aux procédures contentieuses engagées par les services nationaux du contentieux (SNC) ;
Considérant en outre que, pour l'exécution de leurs missions respectives, les caisses de base peuvent demander au centre informatique national la constitution, sous leur seule responsabilité, de traitements bureautiques autonomes, conduisant soit à l'établissement de listes de travail exclusivement utilisées pour le suivi interne de la gestion des dossiers, soit à l'édition d'étiquettes destinées à personnaliser les relations entre la caisse et les cotisants et retraités ; que toute création de traitement local ayant une finalité ne correspondant pas à ce cadre général devra être précédée d'une demande d'avis présentée à la CNIL ;
Considérant enfin, que deux applications indépendantes sont mises à la disposition des caisses gestionnaires pour la gestion de l'indemnité de départ à la retraite ainsi que diverses actions sociales individuelles ;
Considérant que les catégories d'informations enregistrées à ces différentes occasions concernent :
- l'identité des ressortissants : nom, prénom, numéro d'inscription au RNIPP, nationalité, dates de naissance et de décès du cotisant et de son conjoint, adresse, situation familiale, durée de chaque mariage, nombre d'enfants,
- la vie professionnelle : nom, catégorie et nature juridique de l'entreprise, n° SIRET, adresse, profession, dates de création et radiation, motif de sortie de la profession,
- le recouvrement des cotisations : coordonnées bancaires, accord de paiement, détail des cotisations par risque, code respect de l'échéancier, majorations, code primo-débiteur, annulation de créances, numéro d'huissier, montant total des arriérés de cotisations de sécurité sociale transmis par la Banque de France,
- l'historique des carrières : nombre de points par période, trimestres exonérés ou non retenus, nombre de trimestres validés par année auprès d'autres organismes de retraite,
- les droits à la retraite et autres droits : droits contributifs et non contributifs, régimes de base et complémentaire, invalidité-décès, revenus professionnels, autres revenus (en cas de demande d'allocations versées sous condition de ressources), indemnité de départ à la retraite, adhésion à l'ARIA, FNS, secours viager, AVTNS ...
- l'action sociale individuelle : charges locatives, aides antérieures, nature de la demande, décision, dates d'hospitalisation (en cas de versement de la majoration pour tierce personne),
- les paiements : versements effectués, précomptes et retenues opérés, paiement à un tiers (maison de retraite ...),
- la gestion du compte : annotations (zone libre qui devra exclusivement comporter des informations de gestion), code "non publicité ARIA", code "non réception CONTACTS AVA",    - les huissiers : identité, numéro, adresse, téléphone et coordonnées bancaires.
Considérant que les informations relatives à l'adresse, ainsi qu'à l'émission et au recouvrement des cotisations sont effacées un an après la cessation d'activité professionnelle lorsque le compte est soldé ; qu'un fichier "recouvrement pré-contentieux" n'est conservé que six mois par la caisse gestionnaire ; que les données portant sur les recouvrements opérés par les SNC sont effacées dès le règlement des dettes ;
Qu'en ce qui concerne les cotisants radiés, seuls sont enregistrés dans le fichier "historique des droits acquis", l'identité, la vie professionnelle, et par année, le montant global des cotisations versées par risque, le revenu de base déclaré et les trimestres exonérés et non retenus ; qu'après réception de la demande de retraite, les seules données conservées concernent l'identité, l'adresse, les droits acquis et les modalités de paiement ; que leur conservation est assurée aussi longtemps que des droits dérivés peuvent être servis ;
Que, par ailleurs, ne sont détaillées, dans les fichiers comptables, que les écritures correspondant aux années débitrices et aux trois dernières années, s'il s'agit de l'encaissement des cotisations, ou des quinze derniers mois, pour le versement des pensions ;
Qu'en matière d'action sociale individuelle et d'indemnité de départ, les informations relatives aux seules personnes dont la demande a été acceptée, sont conservées pendant deux années ; qu'enfin, s'agissant de l'indemnité de départ, les informations sont enregistrées pendant la seule phase d'instruction des demandes ;
Considérant toutefois que le recueil de la nationalité n'est nécessaire que pour l'instruction des demandes d'allocations dont l'attribution s'effectue sous condition de l'existence d'une convention de réciprocité, et que son enregistrement ne doit être effectué que dans la mesure où elle constitue un élément justifiant l'attribution d'un droit ;
Considérant que, sous cette réserve, l'ensemble des données traitées et les modalités de leur conservation sont adéquates, pertinentes et non excessives au regard des finalités des traitements ;
Considérant qu'il est prévu que les informations précitées relatives au compte individuel d'un artisan soient directement consultables par les agents de la seule caisse de base en charge de sa gestion, et seulement en ce qui concerne les comptes individuels débiteurs qui font l'objet d'une procédure contentieuse, par le service du contentieux national compétent ; que notamment un système VIDEOTEX permet aux agents des AVA de consulter par minitel les informations dont ils sont destinataires ;
Considérant que l'accès aux différents fichiers mis à la disposition des destinataires précités doit, en toute hypothèse, être protégé par la mise en place d'un système de mots de passe personnels alphanumériques, composés d'au moins six caractères et changés régulièrement ; que l'habilitation des agents des organismes susmentionnés à consulter l'ensemble des informations relevant de leur compétence ne saurait dispenser ceux-ci de mesures de sécurité logique destinées à assurer la confidentialité des données nominatives traitées ;
Considérant, par ailleurs, qu'aucune des missions confiées à la caisse nationale ne justifie que ceux de ses personnels qui n'appartiennent pas à l'un des services nationaux du contentieux disposent d'un accès à l'ensemble des fichiers des caisses AVA ;
Considérant que des transmissions d'informations sont réalisées entre, d'une part, le régime AVA, et d'autre part :
- la caisse nationale d'assurance maladie des travailleurs non salariés non agricoles, qui doit communiquer les déclarations communes de revenus reçues des artisans, et recevoir en contrepartie, en même temps que l'URSSAF compétent géographiquement, les revenus ayant été directement portés à la connaissance du régime artisan, en dehors de la procédure de déclaration commune des revenus des employeurs et travailleurs indépendants ;
- La caisse nationale d'assurance vieillesse, qui doit recevoir l'identification de tout nouveau ressortissant du régime artisan, ainsi que les adresses des artisans âgés de plus de 54 ans et les périodes d'assurance ou assimilées qui leur ont été validées par le régime AVA, et transmettre en échange, les périodes validées par les autres régimes de sécurité sociale pour les personnes exerçant ou ayant exercé une activité artisanale ;
- les établissements bancaires et les services des chèques postaux pour les informations nécessaires aux prélèvements automatiques des cotisations et aux virements et mandats effectués pour le paiement des pensions ;
- le service central des risques de la Banque de France, qui doit être informé des dettes de cotisations de sécurité sociale exigibles supérieures à un montant fixé par arrêté, et signaler en retour la créance globale relative aux mêmes débiteurs ;
- la direction générale des impôts, pour la transmission des déclarations fiscales de pensions et rentes ;
- les auxiliaires de justice, dans le cadre de leur mission de recouvrement de créances ;
Considérant que le droit d'accès et de rectification s'exerce auprès des caisses vieillesse des artisans qui gèrent les comptes individuels ; qu'une mention relative à son exercice sera portée sur les avis d'appel de cotisations, les demandes de revenus, les demandes de retraite, les déclarations de ressources et les demandes d'exonération à la cotisation maladie et à la CSG ;
Considérant en outre qu'il résulte de l'article 27 de la loi du 6 janvier 1978 que les personnes doivent être informées des organismes extérieurs habilités à recevoir des informations nominatives les concernant détenues dans les fichiers de leur caisse de base ; que les documents qui leur sont envoyés par les AVA doivent être complétés conformément à cette disposition ;
Considérant que, pour tenir compte des dispositions de l'article 31 de la loi, la rubrique 8 du formulaire de demande de pension doit être modifiée en ses rubriques E et F, par la suppression de toute donnée faisant apparaître indirectement les origines raciales ou les opinions politiques des personnes ;
Considérant que l'acte réglementaire doit être publié dans le bulletin officiel du ministère des affaires sociales, mais aussi dans la revue "Contacts AVA" et affiché dans les locaux ouverts au public des organismes et services mettant en oeuvre les traitements ;
Considérant enfin que la CANCAVA devra présenter une demande d'avis concernant les applications qui lui sont propres, notamment pour l'accomplissement des procédures de recouvrement effectuées par les SNC, la préparation des élections aux conseils d'administration et la réalisation de statistiques ;
Considérant que les caisses du régime AVA mettant en oeuvre l'application devront adresser à la Commission une déclaration simplifiée de référence à ce modèle-type, comprenant un engagement de conformité ;
EMET un avis favorable au projet d'acte réglementaire présenté par le conseil d'administration de la CANCAVA, sous réserve que :
- Il ne soit procédé au recueil de la nationalité des ressortissants que pour l'instruction des demandes d'allocations qui sont attribuées sous condition de réciprocité, et à son enregistrement dans la seule mesure où elle constitue un élément justifiant l'attribution d'un droit,
- tout accès à un fichier nominatif informatisé soit protégé par un système de mots de passe personnels,
- les personnes soient informées, au moyen des documents qui leur sont adressés, des organismes extérieures habilités à avoir communication d'informations nominatives les concernant issues des fichiers de leur caisse de base,
- la rubrique 8 du formulaire de demande de pension soit modifiée comme indiqué précédemment,
- l'acte réglementaire soit publié dans la revue "Contacts AVA" et affiché dans les locaux ouverts au public des caisses et services mettant en oeuvre les traitements.
LE PRESIDENT, Jacques FAUVET