La Commission nationale de l'informatique et des libertés,
Saisie par le groupement d'intérêt public "modernisation des déclarations sociales" de trois demandes d'avis concernant la mise en oeuvre des téléservices net-DUCS-I (n° 829385), net-DADS-U (n° 829386) et net-DCR (n° 829387) prévus à l'article L. 133-5 du code de la sécurité sociale ;
Vu la directive n° 95-46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection les personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le code de la sécurité sociale et le code du travail ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 78-774 du 17 juillet 1978 modifié pris pour l'application de la loi du 6 janvier 1978 susvisée ;
Vu le projet de décret d'application de l'article L. 133-5 du code de la sécurité sociale soumis concomitamment par le ministère des affaires sociales, du travail et de la solidarité (saisine n° 02013599) ;
Vu l'article 21 de la convention constitutive du groupement d'intérêt public "modernisation des déclarations sociales" du 21 février 2000, approuvée par arrêté interministériel du 17 mars 2000, autorisant son directeur à représenter le groupement ;
Après avoir entendu Monsieur Hubert BOUCHET, commissaire en son rapport, et Madame Catherine POZZO DI BORGO, commissaire adjoint du Gouvernement en ses observations ;
FORMULE LES OBSERVATIONS SUIVANTES :
La loi de financement de la sécurité sociale pour 2002 a introduit dans le code de la sécurité sociale un article L. 133-5 afin de permettre aux employeurs et aux professions indépendantes de réaliser leurs déclarations sociales obligatoires par voie électroniqu e et de bénéficier d'un service d'aide à l'élaboration des déclarations sociales et des bulletins de paie baptisé "DUCS-I" (déclaration unifiée de cotisations sociales individualisée).
Le groupement d'intérêt public "modernisation des déclarations sociales" (GIP-MDS) a été choisi par les organismes gestionnaires de régimes de protection sociale pour gérer ces téléservices dans le cadre du portail www.net-entreprises.fr déjà mis en oeuvre par ce groupement.
La Commission est amenée à se prononcer sur une demande d'avis présentée par le GIP-MDS concernant la mise en oeuvre du téléservice net-DUCS-I.
Sur la finalité du traitement et les destinataires des informations nominatives
Créé par l'article L. 133-5 du code de la sécurité sociale, le téléservice net-DUCS-I est destiné à simplifier les déclarations des entreprises en regroupant, en une déclaration unique, l'ensemble des obligations déclaratives des employeurs en matière de déclarations de cotisations sociales : établissement de la déclaration unifiée de cotisations sociales (DUCS), acquittement du montant des cotisations par téléréglement, élaboration de déclarations connexes (DADS, attestation employeur ...) et enfin aide à l'élaboration des bulletins de paie.
Les différentes phases de traitement des informations nominatives nécessaires à l'établissement de la DUCS-I seront les suivantes :
1)inscription de l'établissement à net-entreprises (en se connectant sur www.net-entreprises.fr) ;
2)inscription au service DUCS-1 (sélection des organismes de protection sociale destinataires des déclarations et des comptes bancaires à utiliser pour le téléréglement, vérification de l'appartenance de l'établissement au périmètre DUCS-I) ;
3) inscription des salariés de l'établissement au service DUCS-I par le déclarant ;
4) calcul mensuel du montant des cotisations dues sur le mois pour chacun des salariés ;
5) aide à l'édition chaque mois d'une fiche de calcul des cotisations sociales et d'un bulletin de paie par salarié ;
6) calcul et envoi en fin de trimestre de la déclaration des cotisations sociales (déclaration de masse non nominative) de l'établissement pour chaque organisme de protection sociale destinataire (URSSAF, Assedic, CCP BTP, ARRCO, AGIRC, institutions de prévoyance) ;
7) envois du paiement des cotisations par téléréglement en fin de trimestre (un paiement par organisme de protection sociale) ;
8) et d'ici la fin de l'année 2003, envois en fin d'année de la déclaration annuelle à chaque organisme de protection sociale destinataire.
Sur la pertinence des données traitées
Le NIR sera utilisé dans le cadre de cette télédéclaration afin de contribuer à L'identification des salariés concernés.
La Commission observe que cette utilisation ne soulève pas de difficulté dans la mesure où, d'une part le décret n° 91-1404 du 27 décembre 1991 pris après avis de la CNIL prévoit que les employeurs publics ou privés sont autorisés à utiliser le NIR pour les opérations de déclarations sociales et, d'autre part, l'article L. 133-5 du code de la sécurité sociale et le projet de décret soumis concomitamment à la Commission par le ministère du travail ont précisément pour objet d'autoriser le traitement du NIR par le GIP-MDS dans le strict cadre de la réalisation des déclarations sociales par voie électronique.
Les catégories d'informations traitées seront celles-ci déjà recueillies dans le cadre des déclarations obligatoires existantes, auxquelles seront ajoutées des données permettant d'apporter une aide à l'élaboration des bulletins de paie des salariés concernés, et en particulier des informations relatives à la situation familiale des salariés.
La collecte de cette dernière donnée ne sera opérée qu'auprès des déclarants ayant préalablement indiqué relever d'un régime de prévoyance pour lequel cette donnée est nécessaire.
Dans ces conditions, la Commission n'a pas d'observation à formuler sur la pertinence des données traitées.
Sur les sécurités mises en oeuvre
Le téléservice net-DUCS-I devrait entraîner la constitution par le GIP-MDS d'une base de données nominatives sur les salariés des entreprises ayant souhaité adhérer au dispositif
Dès lors, la Commission considère que la sécurisation des échanges, des sessions de télédéclaration ou de consultation, et du stockage des données est un objectif qui revêt en l'espèce une importance particulière.
La Commission observe à cet égard que l'hébergement des différents sites Internet du dispositif net-entreprises est réparti entre la CNAVTS (pour l'inscription des déclarants), la société Matra global net services (pour la gestion du site portail www.net-entreprises.fr) et la société France Telecom-Equant (pour l'hébergement des sites déclaratifs).
La Commission prend acte des mesures de sécurité physiques et logiques adoptées pour garantir la confidentialité et l'intégrité des données traitées dans le cadre du service DUCS-I.
La Commission estime néanmoins que le dispositif de journalisation des connexions existant devrait être amélioré en prévoyant une exploitation régulière des données de connexion et un recueil de données sur la nature des opérations effectuées à chacun de façon à que connexion permettre une détection et une correction d'éventuelles intrusions dans le système d'information.
La Commission relève par ailleurs que le GIP-MDS met en oeuvre une procédure de jeton sécurisé après authentification des déclarants par login et mot de passe afin de sécuriser les sessions d'accès au téléservice.
La Commission n'a pas, en l'état, d'observations à formuler sur le dispositif d'authentification par login et mot de passe aujourd'hui déployé par le GIP-MDS, sans préjudice des avis ou recommandations qu'elle sera amenée à émettre ultérieurement sur le recours à des dispositifs alternatifs.
A cet égard, la Commission observe qu'une étude est en cours de réalisation par le GIP-MDS visant à la mise en oeuvre, dans le cadre du programme net-entreprises, d'un procédé d'authentification des déclarants reposant sur l'émission de certificats électroniques personnels normalisés, projet dans lequel l'utilisation du NIR de l'employeur ne serait pas exclue.
La Commission estime qu'une utilisation du NIR à de telles fins ne peut qu'appeler de sa part une réserve de principe dans la mesure où la concrétisation d'un tel projet constituerait un précédent en faveur de l'utilisation généralisée de cet identifiant particulier dans le cadre de dispositifs de certificats électroniques délivrés aux citoyens souhaitant acheter ou vendre sur Internet, voter à distance, consulter leur e-dossier, etc., et aurait pour, conséquence la, constitution, par les sociétés de certification prestataires, de bases de données contenant les références de plusieurs millions d'employeurs ou de leurs délégataires identifiés par leur NIR.
Enfin, la Commission considère que la sécurité du traitement devrait être renforcée sur le plan juridique par l'intégration dans les contrats de prestation de service, au-delà des clauses de confidentialité et de réversibilité déjà introduites, d'une clause de non-détournement de finalité.
Sur les durées de conservation des données
Le GIP-MDS assurera un service d'archivage des déclarations au bénéfice des déclarants et des organismes sociaux pendant une durée de trois années à compter de la date à laquelle les sommes dues au titre des cotisations concernées par net-DUCS-I deviennent exigibles.
La Commission considère que cette durée n'est pas excessive au regard des finalités poursuivies.
Sur l'information des personnes concernées
L'information des déclarants sera réalisée sur le site www.net-entreprises.fr et notamment sur les pages où la collecte des informations nominatives sera opérée.
Dans la mesure où cette information ne pourra être reçue que par les personnes chargées des déclarations des entreprises, alors même que les traitements concernent au premier chef les salariés de ces entreprises, la Commission considère qu'il convient de rappeler aux entreprises leur obligation d'informer leurs salariés de la transmission d'informations les concernant aux organismes sociaux par net-DUCS-I, conformément à l'article 27 de la loi du 6 janvier 1978.
EMET UN AVIS FAVORABLE à la demande d'avis présentée par le GIP-MDS sous réserve que :
- le dispositif de journalisation des connexions existant prévoie une exploitation régulière des données de connexion et, un recueil de données sur la nature des opérations effectuées à chaque connexion ;
- une clause de non-détournement de finalité soit intégrée dans le contrat liant le GIP-MDS à l'entreprise assurant l'hébergement du site net-DUCS-I ;
DEMANDE à être rendue destinataire d'un bilan de la mise en oeuvre du téléservice dans un délai d'un an.
Le Président, Michel GENTOT