La Commission Nationale de l'Informatique et des Libertés,
Vu la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé de données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le code du travail et notamment le titre IV du livre 1er, relatif au salaire ;
Vu la Convention collective nationale de travail du 8 février 1957 "Employés et cadres de sécurité sociale" ;
Vu la Convention collective nationale de travail du 25 juin 1968 des agents de direction et agents comptables de sécurité sociale ;
Vu la loi n° 79-18 du 3 janvier 1979 sur les archives ;
Vu la loi n° 92-1446 du 31 décembre 1992 relative à l'emploi, au développement du travail à temps partiel et à l'assurance chômage, notamment le titre V ;
Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application des chapitres I à IV et VII de la loi du 6 janvier 1978 ;
Vu le décret n° 91-1404 du 27 décembre 1991 autorisant l'utilisation du RNIPP par les employeurs dans les traitements automatisés de la paie et de la gestion du personnel ;
Vu la délibération n° 90-120 du 4 décembre 1990 portant avis sur le projet d'acte réglementaire présenté par la caisse nationale d'assurance maladie concernant un modèle-type de paie et gestion du personnel "GDP II" ;
Vu le projet d'acte réglementaire de l'Agence centrale des organismes de sécurité sociale relatif à la création d'un modèle-type de traitement automatisé d'informations nominatives destiné à la paie et à la gestion du personnel des unions de recouvrement des cotisations de sécurité sociale et d'allocations familiales ;
Après avoir entendu Monsieur Guy GEORGES en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du gouvernement en ses observations ;
Considérant que l'Agence centrale des organismes de sécurité sociale soumet à l'avis de la Commission un modèle-type national de paie et gestion du personnel, qui permettra d'assurer les fonctions suivantes :
- le contrôle d'accès logique à la base de données au moyen d'une carte à microprocesseur ;
- la gestion administrative du personnel ;
- la gestion des absences, déroulement de carrière, gestion du temps de présence, gestion prévisionnelle du personnel, gestion de la formation professionnelle, gestion en relation avec la médecine du travail.
- Le traitement de la paie comprenant :
. le calcul de la rémunération et de ses accessoires,
. la réalisation des opérations résultant des dispositions législatives et contractuelles y afférentes (cotisations de toutes natures).
- La gestion budgétaire ;
- La gestion spécifique concernant les titres restaurant, les frais de déplacements, les prêts aux agents ;
- La production de statistiques administratives ;
- La production des informations nécessaires aux institutions de prévoyance et de protection sociale.
Considérant que toute extension de fonctionnalité de la carte à microprocesseur, notamment contrôle des horaires ou des accès physiques, devra faire l'objet d'une demande d'avis modificative ;
Considérant que les catégories d'informations nominatives enregistrées concernent l'identité de l'agent, sa situation familiale et sa situation au regard du service national, sa vie professionnelle, ainsi que les données économiques et financières permettant la liquidation et le paiement de sa rémunération ;
Considérant que la réalisation de produits statistiques locaux ne donnera pas lieu à la définition d'un profil individuel d'un salarié personnellement identifié ; qu'ainsi, ces produits ne seront que collectifs et anonymes ;
Considérant, en outre, que la réalisation de produits anonymes ne donnera pas lieu à l'établissement de profils professionnels types dans le domaine de l'absentéisme, appelés à être utilisés à l'occasion des actes de gestion du personnel, et notamment lors d'opérations de recrutement ;
Considérant que le numéro de sécurité sociale de l'agent est enregistré afin de permettre l'édition et la transmission aux seuls agents et organismes sociaux pour le compte desquels sont effectués le calcul des cotisations et les retenues diverses sur salaires des documents liés à la rémunération du personnel ; que cette utilisation est conforme aux dispositions du décret du 27 décembre 1991 susvisé ;
Considérant que la durée de conservation des informations recueillies n'excédera pas deux années calendaires ; qu'en effet, si l'enregistrement des données relatives aux motifs d'absence est nécessaire au calcul de la rémunération et à la prise en compte des droits des salariés, conformément aux dispositions du code du travail et de la Convention collective applicable, cet enregistrement ne doit cependant pas avoir pour conséquence la conservation de données sensibles sur support magnétique ; que par suite la durée de conservation de ces informations doit être limitée au temps indispensable à l'accomplissement des fonctions précitées, sans préjudice de l'application des dispositions de l'article R. 143-2 - 2ème alinéa du code du travail ;
Considérant qu'au sein de chaque organisme, le droit d'accès et de rectification des agents s'exercera auprès du service de gestion du personnel de l'organisme dont ils dépendent ; qu'une note d'information sera remise à cet effet à chaque salarié ;
Considérant que les organismes qui mettront en oeuvre le traitement, objet de la présente délibération présenteront à la CNIL, une déclaration de conformité se référant audit traitement et comportant un engagement de conformité, ainsi qu'une description des mesures de sécurité et le lieu où doit s'exercer le droit d'accès ; qu'ils seront tenus en outre d'assurer l'affichage de l'acte réglementant le traitement.
EMET, dans ces conditions, et sous le bénéfice des observations qui précèdent, un avis favorable à la mise en oeuvre du traitement "GDP II".
Jacques FAUVET.