La Commission nationale de l'informatique et des libertés,
Saisie les 14 janvier, 28 janvier et 11 février 2005 de quatre projets de décret présentés par le ministère de l'emploi, du travail et de la cohésion sociale dans le cadre des dispositifs de contrats aidés et de maisons de l'emploi,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel,
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données,
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 27,
Après avoir entendu M. Hubert Bouchet, commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La loi du 18 janvier 2005 de programmation pour la cohésion sociale comporte un volet consacré à la "mobilisation pour l'emploi".
A ce titre, elle prévoit notamment la mise en place de quatre nouveaux dispositifs d'insertion professionnelle (contrats aidés) : le contrat d'avenir et le contrat insertion-revenu minimum d'activité à destination des bénéficiaires de certains minima sociaux (revenu minimum d'insertion, allocation de parent isolé, allocation spécifique de solidarité), le contrat initiative emploi et le contrat d'accompagnement dans l'emploi à destination des personnes sans emploi rencontrant des difficultés sociales et professionnelles particulières d'accès à l'emploi.
La CNIL est saisie par le ministère de l'emploi, du travail et de la formation professionnelle de trois projets de décret pris en application des dispositions de la loi du 18 janvier 2005.
Ces projets de décret sont relatifs au contrat d'avenir et à certaines dispositions en matière de contrat insertion-revenu minimum d'activité, à la modification du décret n° 2004-300 du 29 mars 2004 relatif au contrat insertion-revenu minimum d'activité, et enfin aux contrats initiative emploi et aux contrats d'accompagnement dans l'emploi.
Ils sont accompagnés de quatre dossiers de formalités destinés à décrire le système d'information national envisagé pour la gestion, le contrôle et l'évaluation des dispositifs de contrats aidés.
La loi du 18 janvier 2005 a également prévu la mise en oeuvre de "maisons de l'emploi "afin de contribuer à la coordination des actions menées localement dans le cadre du service public de l'emploi.
Ces structures doivent exercer des actions en matière de prévision des besoins de main d'oeuvre et de reconversion des territoires, notamment en cas de restructurations. Elles participent aussi à l'accueil et à l'orientation des demandeurs d'emploi, à l'insertion, à l'orientation en formation, à l'accompagnement des demandeurs d'emploi et des salariés et à l'aide à la création d'entreprise.
Le ministère de l'emploi a saisi la CNIL pour avis d'un quatrième projet de décret concernant les modalités d'attribution de l'aide de l'Etat à ces maisons de l'emploi.
S'agissant des quatre déclarations présentées pour la gestion des contrats aidés
Ces déclarations envisagent la mise en oeuvre de systèmes d'information complexes entre l'ensemble des acteurs de l'insertion professionnelle (services centraux et déconcentrés du ministère de l'emploi, Conseils généraux, communes, centre national pour l'aménagement des structures des exploitations agricoles-CNASEA, Agence nationale pour l'emploi, caisses d'allocations familiales, caisses de la mutualité sociale agricole, Assédic, etc.).
En particulier, des bases de données personnelles nationales, gérées par le CNASEA en sa qualité d'organisme chargé du versement des aides de l'Etat, seraient ouvertes aux partenaires des dispositifs de contrats aidés, via des connexions internet sécurisées (extranet), à des fins tout à la fois de gestion, de contrôle et de production statistique.
De tels systèmes d'information, recourant au numéro de sécurité sociale des bénéficiaires et mis en oeuvre par des organismes publics grâce à l'interconnexion de traitements correspondant à des intérêts publics différents, relèvent du 1 de l'article 27 de loi du 6 janvier 1978 modifiée et devraient donc être autorisés par décret en Conseil d'Etat pris après avis motivé et publié de la CNIL.
Les projets de décret présentés à la Commission devraient ainsi constituer les actes autorisant la création de traitements de données à caractère personnel au sens des articles 27 et 29 de la loi précitée.
Conformément à l'article 29 de la loi du 6 janvier 1978 modifiée, ces projets de décret devraient préciser la dénomination et la finalité du traitement, le service auprès duquel s'exerce le droit d'accès, les catégories de données à caractère personnel enregistrées et les destinataires ou catégories de destinataires habilités à recevoir communication de ces données.
Or, la Commission observe que les projets de décret qui lui sont présentés ne respectent pas ces prescriptions en ne présentant pas les traitements envisagés, leurs finalités précises, les données ou catégories de données effectivement enregistrées, les services précisément destinataires de ces données, et le lieu d'exercice du droit d'accès.
La Commission relève en particulier que les projets de texte se bornent à fixer le contenu minimal des données recueillies par le biais des conventions de contrat aidé (articles R. 322-16-2, R. 322-17-5 et R. 322-17-11) ou évoquent différents types de données transmises par le CNASEA en renvoyant à un arrêté dont le projet ne lui a pas été communiqué (articles R. 322-16-3 et R. 322-17-12).
La Commission observe en outre que les déclarations présentées ne comportent pas de précisions suffisantes sur l'architecture technique des dispositifs ainsi que sur les mesures de sécurité envisagées au niveau du CNASEA ou du ministère de l'emploi et lors des transmissions de données aux différents intervenants. Elle n'est, de ce fait, pas en mesure d'évaluer le niveau de sécurité assuré par les systèmes d'information envisagés.
Par conséquent, la Commission demande à être saisie de projets de décret en Conseil d'Etat portant autorisation des traitements envisagés conformes aux prescriptions de l'article 29 de la loi du 6 janvier 1978 modifiée, accompagnés de la description précise de l'architecture technique et des mesures de sécurité prévues dans le cadre de la gestion informatisée des dispositifs de contrats aidés.
S'agissant du projet de décret concernant les modalités d'attribution de l'aide de l'Etat aux maisons de l'emploi
La Commission observe que le ministère de l'emploi, du travail et de la cohésion sociale n'a pas été en mesure, à ce jour, de présenter à la CNIL le cadre précis de l'intervention des différents partenaires du dispositif (services de l'Etat, de l'ANPE, de l'Unédic et de la collectivité ou de l'établissement public concernés).
Conformément à l'article L. 311-10 du code du travail, le décret présenté à la CNIL a pour simple objet de préciser les conditions dans lesquelles les maisons de l'emploi peuvent bénéficier d'une aide de l'Etat.
Dans la mesure où ce projet de texte ne comporte pas de dispositions intéressant la protection des données personnelles, la Commission ne formule pas d'observation à son égard.
Elle rappelle toutefois ses précédentes demandes en vue de bénéficier d'une information précise sur ce dispositif et sur les mesures envisagées afin de garantir le respect des principes "informatique et libertés" à l'occasion de sa mise en oeuvre.
Le président, Alex TURK.
Guy ROSIER, Vice-Président Délégué.