La Commission nationale de l'informatique et des libertés,
Saisie le 9 juillet 2004 par le ministre des solidarités, de la santé et de la famille d'une part d'un projet de décret en Conseil d'Etat relatif aux modalités et au calendrier de mise en oeuvre progressive du droit des assurés à l'information sur leur retraite et modifiant le code de la sécurité sociale, et d'autre part, d'un projet de décret relatif au droit à l'information des assurés sur leur retraite,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel,
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données,
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004, et notamment son article 11-4°,
Vu l'article 10 de la loi n° 2003-775 du 21 août 2003 portant réforme des retraites, créant l'article L. 161-17 du code de la sécurité sociale,
Après avoir entendu Mademoiselle Anne Debet, commissaire, en son rapport, et Madame Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
L'article L. 161-17 du code de la sécurité sociale, issu de la loi du 21 août 2003 portant réforme des retraites a créé un droit à l'information des assurés sur les droits qu'ils se sont constitués dans les régimes de retraite obligatoires.
La commission est saisie par la direction des retraites et des institutions de la protection sociale complémentaire du ministère des solidarités, de la santé et de la famille, conformément aux dispositions de l'article L. 161-17 du code de la sécurité sociale et de l'article 11-4° a) de la loi du 6 janvier 1978 modifiée, de deux projets de décret relatifs respectivement :
- aux modalités et au calendrier de mise en oeuvre progressive du droit des assurés à l'information sur leur retraite et modifiant le code de la sécurité sociale (décret en conseil d'Etat) ;
- et au droit à l'information des assurés sur leur retraite (décret simple).
Le droit pour chaque assuré d'obtenir une information individuelle sur sa retraite se matérialise par l'envoi à l'intéressé :
- d'une part, d'un relevé individuel de situation (RSI).  Ce document d'information périodique contiendra le récapitulatif exhaustif de l'ensemble des régimes dans lesquels l'assuré s'est constitué des droits à retraite ;
- d'autre part, d'une estimation indicative globale (EIG).  Ce document contiendra notamment les mêmes données que celles contenues dans le RSI, ainsi qu'une estimation du montant total et du montant de chacune des pensions susceptibles d'être versées au bénéficiaire.
Les projets de décret présentés par le ministère ont pour principal objet de définir le cadre réglementaire de l'obligation nouvelle pour les régimes de retraite concernés de s'échanger les données à caractère personnel nécessaires à la mise en oeuvre du droit à l'information sur les retraites, sans toutefois que les modalités exactes de ces échanges ne soient encore fixées.
La Commission relève que la loi renvoie à un décret en Conseil d'Etat le soin de préciser les conditions dans lesquelles, pour la mise en oeuvre du droit à l'information des assurés, les membres du groupement mettent notamment à sa disposition les informations relatives aux durées d'assurance et périodes correspondantes, aux salaires et revenus non salariés et au nombre de points pris en compte pour la détermination des droits à pension de la personne intéressée.
La Commission prend toutefois acte de l'impossibilité pour le ministère de définir aujourd'hui avec suffisamment de précision les modalités exactes de traitement et d'échange de données de nature à satisfaire aux prescriptions de la loi, en raison notamment de la complexité et de la diversité des règles de calcul à appliquer en vue d'obtenir des informations consolidées sur les droits à retraite acquis par un assuré dans les différents régimes dont il relève ou a relevé.
Dans la mesure où la Commission relève qu'aucun dossier de formalités préalables ne lui est présenté, elle estime que les projets de décret soumis à son examen ne sauraient être considérés comme les actes réglementaires constitutifs de traitements de données à caractère personnel exigés par la loi du 6 janvier 1978 modifiée.
La Commission rappelle également qu'elle devra, en tout état de cause, être saisie des traitements appelés à être mis en oeuvre dans le cadre du droit à l'information créé par l'article L. 161-17 du code de la sécurité sociale, qui devront faire l'objet de dossiers de formalités préalables conformément aux dispositions de la loi précitée.
Sur les dispositions du projet de décret en Conseil d'Etat relatif aux modalités et au calendrier de mise en oeuvre progressive du droit des assurés à l'information sur leur retraite et modifiant le code de la sécurité sociale La Commission est saisie de l'insertion, au code de la sécurité sociale, des articles R. 161-10 à R. 161-10-0-5.
Ces textes posent, en premier lieu, une obligation pour les régimes de retraite d'échanger les données à caractère personnel nécessaires pour établir le relevé de situation individuelle et l'estimation indicative globale d'un assuré.
A cette fin, l'article R. 161-10-0-1 du projet de décret en Conseil d'Etat prévoit que, pour l'établissement du relevé et de l'estimation, les organismes ou services visés à l'article L. 161-17 sont "autorisés à collecter et conserver le NIR des personnes physiques concernées".
L'article R. 161-10-0-3 précise par ailleurs que pour l'établissement du relevé et de l'estimation, chaque organisme est autorisé à conserver le NIR du bénéficiaire du droit à l'information à compter de son affiliation à l'un des régimes dont il a la charge et jusqu'à la liquidation des pensions de droit direct dues par ce régime.
La Commission estime justifiée la demande du ministère visant à autoriser, en vertu des dispositions des projets de décret présentés, les organismes concernés par la mise en oeuvre du droit à l'information des assurés sur leur retraite à collecter et à conserver le NIR des personnes bénéficiaires et considère que ces dispositions n'appellent pas d'observations.
Le décret énumère, en deuxième lieu, les organismes de retraite concernés ainsi que, de manière limitative, la nature des données susceptibles d'être échangées et conservées par eux.
Sur les dispositions des projets de décrets tendant à la prise en compte des droits et principes prévus par la loi du 6 janvier 1978 modifiée :
Les projets de décret prévoient le renvoi de la définition des modalités de recueil, d'échange et de conservation des données à des décisions ultérieures du GIP approuvées par arrêté pris après avis de la CNIL.
Cette garantie procédurale d'encadrement des échanges de données par des décisions ultérieures du GIP approuvées par arrêté pris après avis de la CNIL concerne le recueil des données nécessaires à l'établissement du relevé de situation, les échanges d'informations et plus particulièrement l'échange des adresses postales personnelles des bénéficiaires, ainsi que la durée de conservation des données par les organismes concernés.
Ces données, énumérées par l'article R. 161-10-0-2 du projet de décret, sont relatives principalement :
- à la situation personnelle (état-civil et NIR) ;
- à l'affiliation à un ou plusieurs régimes de retraite (dates de début et de fin d'affiliation, durées d'affiliation) ;
- aux différents employeurs successifs (nom, raison sociale, adresse, n° SIRET) ;
- aux paramètres, propres à chaque régime, permettant le calcul des droits (durées d'assurance, montant des rémunérations, nombre de points, etc...).
La Commission prend acte de ce qu'il sera toutefois possible aux organismes ou services concernés de recueillir, avec l'accord préalable du bénéficiaire, des données complémentaires pertinentes au regard de ses droits à retraite et mentionnées dans l'accord relatives aux avantages sociaux et au service militaire.
La Commission prend acte de ce que l'organisme ou le service auprès desquels pourront s'exercer les droits d'accès et de rectification sont d'ores et déjà identifiés.
La Commission prend également acte de ce que l'envoi du relevé ou de l'estimation ne pourra être accompagné d'aucun autre document ni comporter d'autres mentions que celles relatives à son objet, à l'expéditeur et au destinataire.
La Commission relève en outre que les organismes ou services concernés ne sont habilités à échanger les données pertinentes qu'aux seules fins d'établissement du relevé et de l'estimation et rappelle, à cet égard, que cette habilitation est exclusive de tout autre utilisation des données échangées.
La Commission demande en outre que ces projets de décrets soient complétés par une disposition rappelant aux partenaires l'obligation d'information des assurés découlant de l'article 32 de la loi "informatique et libertés".
La Commission considère, compte tenu des garanties apportées visant notamment à soumettre la détermination des conditions et modalités de recueil, d'échange et de conservation des données à son avis préalablement à la mise en oeuvre des traitements futurs, que ces dispositions n'appellent pas d'autres observations.
La Commission prend acte de ce qu'elle sera en conséquence saisie des projets d'arrêtés précisant les modalités de recueil, d'échange et de conservation des données mises en oeuvre dans le cadre du droit à l'information des assurés sur leur retraite.
Compte tenu de ces éléments, la Commission, sur les projets de décrets présentés par le ministère des solidarités, de la santé et de la famille visant à mettre en oeuvre le droit à l'information des assurés sur leur retraite :
- considère que la collecte et la conservation du NIR des bénéficiaires du droit à l'information sur les retraites par les organismes concernés par la mise en oeuvre du droit à l'information des assurés sur leur retraite est légitime ;
- rappelle au ministère, au groupement d'intérêt public, et aux organismes concernés, que les projets de décret présentés ne sauraient être considérés comme les actes réglementaires constitutifs de traitements de données à caractère personnel et que la Commission devra, en tout état de cause, être saisie en temps utile des traitements appelés à être mis en oeuvre ;
- prend acte qu'elle sera saisie des projets d'arrêtés précisant les modalités de recueil, d'échange et de conservation des données mises en oeuvre dans le cadre du droit à l'information des assurés sur leur retraite ;
- demande à ce que les projets de texte présentés soient complétés par une disposition rappelant aux partenaires l'obligation d'information des assurés découlant de l'article 32 de la loi "informatique et libertés" ;
Le Président, Alex TURK.