(Demande d’autorisation n° 1611919)
La Commission nationale de l’informatique et des libertés ;
Saisie par IRCEM GESTION d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de proposer aux bénéficiaires de l’IRCEM GESTION des services personnalisés via la création d’un « WEB services » sur internet ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-6 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire et après avoir entendu les observations de  M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le Groupe IRCEM est le groupe de protection sociale des emplois de la famille, salariés de la famille, employeurs et retraités de ce secteur d’activité en France.
Le Groupe gère la retraite complémentaire, la prévoyance collective, la mutuelle et l’action sociale des services à la personne.
Le Groupe IRCEM est composé de 3 institutions.
L’Ircem Retraite est l’institution de retraite complémentaire des salariés du particulier employeur. Il s’agit d’une personne morale de droit privé à but non lucratif qui remplie une mission d'intérêt général. Elle relève de l’article L922-1 du code de la Sécurité sociale. Elle est sous contrôle des Fédérations AGIRC-ARRCO.
L’Ircem Prévoyance est une institution de prévoyance régie par les dispositions du code de la Sécurité Sociale relatif à la prévoyance collective complémentaire et obligatoire des salariés du particulier employeur. Il s’agit d’une personne morale de droit privé a but non lucratif relevant de l’article L931-1 du code de la Sécurité sociale.
L’Ircem Mutuelle est une mutuelle réservée aux salariés et anciens salariés du particulier employeur, aux assistantes maternelle en activité ou retraitées et aux particuliers employeurs. C’est une personne morale de droit privé à but non lucratif. Elle relève de l’article L111-1 du code de la mutualité.
L’IRCEM GESTION a saisi la Commission d’une demande d’autorisation sur le fondement de l’article 25-I-6 de la loi du 6 janvier 1978 modifié qui prévoit que sont mis en œuvre après autorisation de la Commission, les traitements portant sur des données parmi lesquelles figure le NIR.
Sur la finalité
Le traitement mis en œuvre a pour finalité de proposer aux bénéficiaires de l’IRCEM GESTION des services personnalisés via la création d’un « WEB services » sur internet.
Ils pourront accéder à leurs contrats et aux informations les concernant, directement en ligne (par exemple l’état d’avancement de leurs remboursements).
La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites.
Sur les données traitées
Les données à caractère personnel traitées sont les suivantes :
La Commission observe que l’IRCEM GESTION propose aux « particulier employeurs » certaines garanties et couvertures notamment santé (pour eux ou au bénéfice de leurs salariés), à ce titre le numéro URSSAF est collecté en leur qualité d’employeur.
Nom, prénom ;
Adresse postale ;
Date de naissance ;
Numéro URSSAF ;
Situation professionnelle ;
Identifiants de connexion
Numéro de sécurité sociale (NIR).
S’agissant du NIR, lors de l’inscription au service en ligne, les personnes renseignent leur NIR afin qu’IRCEM GESTION associe à leur compte les contrats dont ils disposent au sein de chaque institution (Retraite, Prévoyance et Mutuelle).
Le NIR n’est collecté que pour l’inscription au service, par la suite la personne est invitée à s’identifier avec son adresse mail et un mot de passe qui lui sera communiqué par courriel. Au préalable, un code sera envoyé par courrier postal pour l’activation du compte.
La Commission observe que l’IRCEM GESTION est habilitée à traité le NIR dans le cadre de ses missions d’intérêt général et de sécurité sociale.
En l’espèce, le NIR est utilisé pour une nouvelle finalité, à savoir la mise en œuvre d’un service en ligne. Il permet à l’IRCEM GESTION d’interconnecter les trois bases de données lorsqu’un bénéficiaire utilise le « Web service » afin de lui fournir une information exhaustive sur l’ensemble de ses contrats.
La Commission prend acte que le NIR ne servira pas d’identifiant de connexion.
Ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Seul ont accès aux informations concernant les bénéficiaires, le personnel habilité d’IRCEM GESTION dans le cadre de leurs missions.
Les destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées par une mention d’information sur le formulaire d’inscription et par les conditions générales d’utilisation du service en ligne.
Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes pour la Commission.
Sur les mesures de sécurité
Des mesures de sécurité sont prises afin de préserver la sécurité et la confidentialité des données et, notamment, empêcher que des tiers non autorisés y aient accès.
Les mots de passe pour l’accès au web service sont envoyés par messagerie électronique. Un courrier postal est au préalable adressé aux bénéficiaires avec le code d’activation.
Les mesures de sécurité envisagées n’appellent pas d’observations particulières.
Autorise, conformément à la présente délibération, IRCEM GESTION à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN