La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des finances et des comptes publics d'une  demande d'avis concernant un projet d'arrêté relatif à la mise en  service à la direction générale des finances publiques et à la Caisse  d'assurance maladie des industries électriques et gazières d'une  procédure automatisée de transfert de données fiscales ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection  des personnes à l'égard du traitement automatisé des données à caractère  personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24  octobre 1995 relative à la protection des personnes physiques à l'égard  du traitement des données à caractère personnel et à la libre  circulation de ces données ;
Vu le  code général des impôts ;
Vu le  code de la sécurité sociale ;
Vu le  livre des procédures fiscales, notamment ses articles L. 152, L. 288, R. 152-1, R. 287, R. 288-1 et suivants ;
Vu la  loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la  loi n° 2003-775 du 21 août 2003 portant réforme des retraites ;
Vu le  décret n° 46-2769 du 27 novembre 1946 portant organisation de la sécurité sociale dans les mines ;
Vu le  décret n° 99-1047 du 14 décembre 1999  pris pour l'application de l'article 107 de la loi de finances pour  1999 (n° 98-1266 du 30 décembre 1998) relatif à l'utilisation du numéro  d'inscription au répertoire national d'identification des personnes  physiques par la direction générale des impôts, la direction générale de  la comptabilité publique et la direction générale des douanes et droits  indirects ;
Vu le  décret n° 2000-8 du 4 janvier 2000 pris pour l'application de l' article L. 288 du livre des procédures fiscales ;
Vu le  décret n° 2002-771 du 3 mai 2002 portant création d'une procédure de transfert des données fiscales ;
Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la  loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le  décret n° 2007-489 du 30 mars 2007 modifiant les articles 23, 25 et 31 du statut national du personnel des industries électriques et gazières ;
Vu l'arrêté du 30 mars 2007 relatif au régime spécial d'assurance maladie et maternité des industries électriques et gazières ;
Vu la délibération n° 01-055 du 25 octobre 2001 relative à la  création d'une procédure de transfert de données fiscales pour le compte  de l'Etat et des organismes de protection sociale visés à l' article L. 152 du livre des procédures fiscales ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir  entendu les observations de M. Jean-Alexandre SILVY, commissaire du  Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été  saisie pour avis par le ministre des finances et des comptes publics  d'un projet d'arrêté relatif à la mise en service à la direction  générale des finances publiques (DGFiP) d'une procédure automatisée de  transfert de données fiscales avec la Caisse d'assurance maladie des  industries électriques et gazières (CAMIEG).
La procédure de transfert de données fiscales (dite  TDF ) a été créée par le  décret n° 2002-771 du 3 mai 2002 susvisé,  pris après avis de la commission, afin de permettre aux agents des  administrations fiscales de communiquer aux organismes et services  chargés de la gestion d'un régime obligatoire de sécurité sociale ou  d'un régime de retraite complémentaire obligatoire, sur support  informatique, les informations fiscales nécessaires à l'exécution des  finalités décrites à l' article L. 152 du livre des procédures fiscales (LPF) en vigueur.
Ce même article précise également que le numéro d'inscription au  répertoire national d'identification des personnes physiques (NIR) peut  être utilisé pour les demandes, échanges et traitements nécessaires à la  communication des informations qui y sont mentionnées, lorsqu'elles  concernent des personnes physiques.
La procédure est mise en œuvre dans le cadre d'un centre de services  informatiques unique, hébergé par la DGFiP et dénommé Centre national  de transfert de données fiscales  (CNTDF), qui reçoit les demandes des  organismes sociaux qui fournissent un  fichier d'appels , les transmet  à la DGFiP et adresse les réponses reçues de celle-ci.
L' article 2 du décret n° 99-1047 du 14 décembre 1999  prévoit expressément que des arrêtés ministériels pris après avis de la  Commission nationale de l'informatique et des libertés devront fixer   la liste des informations pouvant être obtenues  par les organismes de  sécurité sociale et  les règles auxquelles doivent satisfaire les  traitements opérés pour le recueil et l'exploitation de ces informations  .
La commission relève que c'est sur ce fondement que le présent  projet d'arrêté lui a été soumis, lequel vise à faire bénéficier un  nouvel organisme, la CAMIEG, de la procédure TDF.
La commission relève que la CAMIEG est un organisme de sécurité  sociale de droit privé chargé d'une mission de service public, chargé,  depuis le 1 er janvier 2008, de la gestion du régime spécial d'assurance  maladie maternité des industries électriques et gazières (IEG). Dotée  d'une compétence nationale, ses prestations peuvent bénéficier aux  agents statutaires en activité, aux pensionnés (ou inactifs) ainsi qu'à  tout ayant droit. Les prestations délivrées, qui comprennent une part de  base (couverture maladie maternité du régime général) et une part  complémentaire (couverture supplémentaire), sont susceptibles de couvrir  deux types de bénéficiaires :
- les assurés couverts pour la part de base et pour la base complémentaire ;
- les bénéficiaires couverts pour la seule part complémentaire au  titre de conditions particulières tenant à leur situation sociale,  sanitaire, ou à leurs faibles ressources.
La CAMIEG doit assurer la gestion des droits d'une population  soumise à condition de ressources. Conformément aux termes du paragraphe  IX de l'article 1er de l'arrêté du 30 mars 2007 susvisé, les conditions  de ressources sont examinées sur la base des revenus déclarés par les  intéressés lors de l'exercice fiscal précédent. Suite à l'examen de ces  revenus, les droits au régime complémentaire sont soit prolongés, soit  fermés.
L'article 2 du projet d'arrêté énonce à cet égard que les   informations transmises à la CAMIEG servent exclusivement à  l'appréciation de l'ouverture ou du maintien des droits des allocataires  pouvant bénéficier ou bénéficiant des prestations sous conditions de  ressources et, s'il y a lieu, le calcul de ces derniers .
La commission relève qu'afin de procéder à cet examen, la CAMIEG  adresse chaque année un courrier à ses assurés, leur demandant de  fournir leur avis d'imposition. La mise en service à la direction  générale des finances publiques et à la CAMIEG de la procédure TDF a  ainsi vocation à se substituer à l'envoi d'un avis d'imposition.
Elle prend acte que la finalité du transfert est aujourd'hui limitée  au contrôle de la condition de ressources pour la prolongation annuelle  des droits des personnes déjà bénéficiaires du régime de prestation  servi par la CAMIEG et affiliées à cet organisme. Elle demande donc à ce  que le projet d'arrêté soit précisé sur ce point.
La commission relève que l'ajout de ce nouvel organisme s'effectuera dans le strict respect des conditions fixées par le  décret n° 2002-771 du 3 mai 2002.  A ce titre, elle rappelle que seules les informations fiscales  nécessaires à l'exécution des finalités décrites à l'article L. 152 du  LPF pourront être traitées.
L'article 3 du projet d'arrêté énumère les informations contenues  dans le  fichier d'appels  transmis par la CAMIEG au CNTDF,  lorsqu'elle demande à avoir communication d'informations fiscales issues  de la déclaration de revenus concernant certains de ces assurés.
La commission relève que la constitution d'un  fichier d'appels   s'effectue sous le contrôle de l'organisme demandeur. Tout  fichier  d'appels  est ainsi accompagné des nom et coordonnées du correspondant  CNTDF de l'organisme pour le compte duquel il est présenté.
Conformément aux dispositions de l'article R. 152-1 susvisé, le NIR  peut également être communiqué par l'organisme demandeur quand il en a  connaissance. La commission rappelle que les MIR transmis par la CAMIEG  sont exclusivement conservés au CNTDF dans des fichiers informatisés  dédiés, dénommés  table de correspondance NIR/ITIP-SPI , permettant  d'établir un lien entre le NIR complété des quatre premiers caractères  du nom de famille, d'une part, et l'identifiant technique du système  d'information de la DGFiP (numéro ITIP) et l'identifiant fiscal national  individuel utilisé par les administrations fiscales dans leurs  traitements internes et dans leurs relations avec les contribuables  (numéro SPI), d'autre part.
L'article 4 du projet d'arrêté énumère les informations restituées  par le traitement TDF en ce qui concerne le foyer fiscal des  allocataires, ce qui n'appelle pas d'observation particulière.
Elle prend acte que les informations contenues dans les fichiers  d'appels ou de restitutions ne sont conservées au CNTDF que le temps  strictement nécessaire aux traitements.
Les destinataires des informations, conservées au maximum deux ans à  partir de l'exercice de paiement, sont les agents habilités de  l'organisme demandeur. La commission observe que cette durée de  conservation, qui permet de disposer de justificatifs afin d'instruire  les éventuelles contestations des bénéficiaires de ces aides, correspond  au délai de prescription biennale visé à l' article L. 332-1 du code de la sécurité sociale.
S'agissant des modalités d'information des personnes, la commission  observe qu'une mention particulière figure dans la notice de déclaration  de revenus, sous l'intitulé  Données fiscales : accès et transmission  , visant à informer l'ensemble des usagers de l'existence de la  procédure de transfert de données fiscales. Elle relève par ailleurs que  la CAMIEG adresse à l'ensemble des assurés concernés un courrier  spécifique les informant de la mise en œuvre de la procédure TDF.
La commission considère que ces modalités d'information sont satisfaisantes.
Les droits d'accès et de rectification prévus aux articles 39 et 40  de la loi du 6 janvier 1978 modifiée s'exercent auprès du centre des  finances publiques du domicile fiscal du requérant pour les informations  issues de traitements relevant de la DGFiP et auprès de la CAMIEG pour  les informations qui lui sont transmises.
La commission relève que le droit d'opposition, prévu par l'article  38 de la loi du 6 janvier 1978 modifiée, ne s'applique pas au traitement  projeté, comme le prévoit expressément l'article 5 du projet d'arrêté.
S'agissant des mesures de sécurité, le CNTDF est situé au sein de  l'établissement de services informatiques (ESI) de Nevers et répond aux  conditions de sécurité en application du  décret n° 2000-8 du 4 janvier 2000 susvisé.
Les transmissions des données sont effectuées sous forme chiffrée  dans le cadre du réseau privé et sécurisé de la DGFiP ou  exceptionnellement par CD-ROM.
Une copie de la  table de correspondance NIRJITIP  est constituée  dans l'ESI de Clermont-Ferrand puis transmise sous forme chiffrée au  CNTDF par le réseau sécurisé. Cette table est conservée dans des  fichiers dédiés sur des supports informatiques distincts permettant leur  destruction physique. En cas de nécessité, un dispositif informatique  permet de déclencher à distance l'effacement de la table de  correspondance.
Une politique de gestion des habilitations est mise en œuvre. Le  contrôle d'accès logique s'effectue par mot de passe. La commission  prend acte que le ministère s'engage à respecter ses recommandations  concernant la gestion des mots de passe.
Une traçabilité des actions des utilisateurs, individuellement  habilités, est également assurée (identifiant, horodatage de  connexion/déconnexion, commandes lancées). Il en va de même pour les  accès à la  table de correspondance NIR/ITIP  qui font également  l'objet d'une journalisation. L'ensemble des données de journalisation  est conservé un an.
La commission considère que les mesures de sécurité mises en place  sont conformes à l'exigence de sécurité prévue par l'article 34 de la  loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette  obligation nécessite la mise à jour des mesures de sécurité au regard de  la réévaluation régulière des risques.
Pour la présidente :
La vice-présidente déléguée,
M.-F. Mazars