La Commission nationale de l'informatique et des libertés,
Saisie pour avis par le Directeur général de Pôle emploi d'un projet de décision du conseil d'administration de Pôle emploi relative à la mise en œuvre d'un traitement automatisé portant acquisition et exploitation de données à caractère personnel provenant des déclarations préalables à l'embauche et constitution d'une base de données à caractère personnel à finalité statistique ;
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code du travail, notamment ses articles L.1221-10 et R.1221-17 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II-2° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2011-681 du 16 juin 2011 relatif à la fusion de la déclaration préalable à l'embauche et de la déclaration unique d'embauche ;
Après avoir entendu Monsieur Emmanuel de GIVRY, vice-président, en son rapport, et
Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Emet l'avis suivant :
La Commission a été saisie le 1er février 2012 par le Directeur général de Pôle emploi, sur le fondement de l'article 27-II-2° de la loi du 6 janvier modifiée, d'une demande d'avis sur une décision de son organe délibérant relative à la mise en œuvre d'un traitement automatisé portant acquisition et exploitation de données à caractère personnel provenant des déclarations préalables à l'embauche (DPAE) et constitution d'une base de données à caractère personnel  DPAE  à finalité statistique.
En application de l'article L.1221-10 du code du travail, un employeur qui embauche un salarié est tenu d'adresser, préalablement au recrutement et au plus tôt dans les huit jours précédant la date prévisible d'embauche, une déclaration nominative à l'organisme de protection sociale compétent. La liste des informations qu'un employeur doit ainsi transmettre a été fixée par arrêté des ministres chargés du travail et de la sécurité sociale et, pour les déclarations concernant un salarié relevant du régime de protection sociale agricole, du ministre chargé de l'agriculture.
L'article R.1221-1 du code du travail, modifié par le décret n° 2011-681 du 16 juin 2011 relatif à la fusion de la DPAE et de la déclaration unique d'embauche (DUE), prévoit ainsi qu'une DPAE doit comporter les mentions suivantes :
- dénomination sociale ou nom et prénoms de l'employeur, code APE, adresse de l'employeur, numéro du système d'identification du répertoire des entreprises et de leurs établissements ainsi que le service de santé au travail dont l'employeur dépend s'il relève du régime général de sécurité sociale ;
- nom, prénoms, sexe, date et lieu de naissance du salarié ainsi que le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (NIR) si ce dernier est déjà immatriculé à la sécurité sociale ;
- date et heure d'embauche ;
- nature, durée du contrat ainsi que durée de la période d'essai éventuelle pour les contrats à durée indéterminée et les contrats à durée déterminée dont le terme ou la durée minimale excède six mois ;
- lorsqu'il s'agit de l'embauche d'un salarié agricole, les données nécessaires au calcul par les caisses de mutualité sociale agricole des cotisations dues pour l'emploi de salariés agricoles, à l'affiliation de ces derniers aux institutions de retraite complémentaire et de prévoyance et, enfin, à l'organisation de l'examen médical d'embauche.
La Commission relève que seule une partie de ces données doit être communiquée à Pôle emploi par l'organisme de protection sociale compétent, en application de l'article R.1221-17 du code du travail dans sa rédaction actuelle. Il s'agit des éléments d'identification de l'employeur, de la date d'embauche du salarié, de son sexe, de sa date de naissance, de la nature et de la durée du contrat de travail et, enfin, de la durée de la période d'essai. Les données d'identification des personnes concernées par une DPAE, à l'exception de leurs dates de naissance, ne sont quant à elles pas transmises à Pôle emploi.
Elle prend acte que l'article R.1221-17 du code du travail doit être modifié, par décret pris en Conseil d'Etat après avis de la Commission sur le fondement de l'article 11-2-d de la loi du 6 janvier 1978 modifiée, pour ajouter le NIR aux données transmises à Pôle emploi par l'agence centrale des organismes de sécurité sociale (ACOSS) et la caisse centrale de mutualité sociale agricole (CCMSA) dans le cadre de la DPAE.
Sur la finalité du traitement
À compter de la publication au journal officiel de la République du décret modifiant l'article R.1221-17 du code du travail, Pôle emploi envisage la création d'un traitement automatisé de données à caractère personnel, dénommé  DPAE , pour exploiter l'intégralité des données des DPAE qui lui seront transmises par les organismes de protection sociale.
L'article 1er du projet de décision du conseil d'administration de Pôle emploi prévoit que ce traitement vise à :
- acquérir et exploiter les données à caractère personnel provenant des DPAE transmises par l'ACOSS et la CCMSA ;
- constituer une base de données à caractère personnel à finalité statistique permettant à Pôle emploi de mesurer l'impact de son offre de service sur le chômage et l'emploi ainsi qu'à mieux caractériser le retour à l'emploi des demandeurs d'emploi ;
- enrichir les traitements automatisés de Pôle emploi relatifs à la gestion des demandeurs d'emploi et leur indemnisation, dénommés  GIDE  et  ALADIN , afin d'améliorer le suivi et l'accompagnement des demandeurs d'emploi ;
- enrichir le traitement automatisé de Pôle emploi dénommé  Authentification des données  permettant de prévenir les indus et de limiter les fraudes.
La Commission considère que ces finalités, qui impliquent la création d'interconnexions de fichiers ne correspondant pas à des intérêts publics différents, sont déterminées, explicites et légitimes.
Elle rappelle toutefois qu'  aucune décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données destiné à définir le profil de l'intéressé ou à évaluer certains aspects de sa personnalité , en application du deuxième alinéa de l'article 10 de la loi du 6 janvier 1978 modifiée. Il apparaît ainsi à la Commission que la suspension du versement d'une allocation ne pourrait automatiquement résulter du seul traitement  DPAE  sans l'intervention d'une personne physique habilitée chargée de vérifier, notamment, que les personnes concernées par une DPAE ont effectivement été embauchées.
Par ailleurs, s'agissant de l'enrichissement de traitements du Pôle emploi par l'exploitation des données des DPAE, la Commission estime que seules les données dont la fiabilité est certaine doivent être intégrées. Il lui apparaît ainsi que les numéros d'inscription des personnes au répertoire national d'identification des personnes physiques (NIR) non certifiés de façon certaine, par les organismes habilités à cet effet, ne doivent pas être intégrés dans les traitements de Pôle emploi relatifs à la gestion des demandeurs d'emploi et de leur indemnisation.
Sur les données traitées
Les articles 2 et 3 du projet de décision du conseil d'administration de Pôle emploi précisent les données à caractère personnel traitées dans le traitement  DPAE  et la base de données à caractère personnel à finalité statistique.
Il s'agit de données relatives :
- à l'identification des personnes physiques concernées : nom, prénom, nom d'époux, sexe, pays ou commune de naissance, département et date de naissance, code commune INSEE de résidence, NIR et statut, numéro identifiant Pôle emploi et statut de ce numéro, numéro identifiant de la base nationale des individus demandeurs d'emploi (BNI) ;
- à la vie professionnelle : code qualité du salarié, date et heure d'embauche, nature de l'emploi et qualification, type de contrat de travail, durée du contrat de travail et date de fin de contrat, durée de la période d'essai, durées hebdomadaire, mensuelle et annuelle de travail en heures ;
- aux employeurs : nom ou raison sociale, n° de SIRET, code NAF, code postal, coordonnées, code commune INSEE, taille de l'établissement.
La Commission relève que l'agence nationale pour l'emploi (ANPE) a été autorisée, par le décret n°87-1025 du 17 décembre 1987, à collecter le NIR des demandeurs d'emploi et le transmettre aux institutions gestionnaires du régime d'assurance chômage, aux organismes de sécurité sociale, aux organismes de retraite complémentaire ou encore aux directions départementales du travail, de l'emploi et de la formation professionnelle.
L'article 7 du décret n° 2008-1010 du 29 septembre 2008, relatif à l'organisation du service public de l'emploi, ayant prévu que  dans tous les textes réglementaires en vigueur les mots "ANPE" sont remplacés par les mots "institution mentionnée à l'article L.5312-1 du code du travail" , la Commission en déduit que Pôle emploi est autorisé à traiter le NIR des demandeurs d'emploi sur la base du décret n°87-1025 du 17 décembre 1987.
La Commission considère, dès lors, que le traitement des données ci-dessus visées est légitime, pertinent et non excessif au regard des finalités poursuivies.
Sur la durée de conservation
À la lumière des précisions apportées par Pôle emploi, la Commission relève que les données relatives à la DPAE enregistrées dans la base de données à finalité statistique sont conservées pendant 5 ans, puis archivées pendant 5 années supplémentaires afin de disposer de données permettant de réaliser des analyses statistiques longitudinales sur le parcours des demandeurs d'emploi.
Elle observe également que les données issues de la transmission des DPAE enregistrées par la suite dans les traitements de Pôle emploi dénommés  GIDE  et  ALADIN  sont conservées pendant 10 ans, conformément aux dispositions légales et réglementaires relatives aux délais de déchéance des droits et de prescription ainsi qu'au droit de communication de l'administration fiscale, d'une part, et aux dispositions réglementaires relatives à la recherche des périodes d'activité nécessaires pour l'ouverture d'un droit au titre du régime de solidarité géré pour le compte de l'État, d'autre part.
La Commission note enfin que les données relatives à la DPAE enregistrées dans le traitement de Pôle emploi dénommé  Authentification des données  sont supprimées un an après la radiation ou la cessation d'inscription du demandeur d'emploi.
La Commission considère que ces durées de conservation n'excèdent pas celles qui sont nécessaires à l'accomplissement des finalités poursuivies.
Sur les destinataires des données
L'article 4 du projet de décision du conseil d'administration de Pôle emploi mentionne les destinataires des données à caractère personnel du traitement  DPAE .
Plus précisément, cet article vise :
- s'agissant de la base de donnée  DPAE , les agents de Pôle emploi dûment habilités en charge des études statistiques ;
- s'agissant des traitements automatisés dénommés  GIDE ,  ALADIN  et  Authentification des données , les agents de Pôle emploi dûment habilités en charge des missions d'indemnisation, de suivi et d'accompagnement des demandeurs d'emploi, ainsi que de la prévention des fraudes.
La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données du traitement dénommé  DPAE .
Sur les droits des personnes concernées
Les personnes concernées par le traitement  DPAE  seront informées de leur droit d'accès au moyen d'une mention sur le site internet de Pôle emploi.
L'article 5 du projet de décision du conseil d'administration de Pôle emploi mentionne que les droits d'accès et de rectification s'exercent :
- auprès du correspondant informatique et libertés de Pôle emploi pour les données enregistrées dans la base de données  DPAE  ;
- auprès de l'agence de Pôle emploi territorialement compétente pour les données enregistrées dans les traitements  GIDE ,  ALADIN  et  Authentification des données .
La Commission relève, par ailleurs, que l'article 6 du projet de décision du conseil d'administration de Pôle emploi écarte le droit d'opposition pour motif légitime.
La Commission estime que les mesures prévues au titre de l'information des personnes sont satisfaisantes.
Sur les mesures de sécurité
L'authentification des agents de Pôle emploi est assurée par l'utilisation de mots de passe d'au moins huit caractères régulièrement renouvelés, contenant obligatoirement une lettre minuscule, un chiffre et un caractère spécial. Des mesures opérationnelles sont également mises en place au sein des structures locales afin de garantir que les habilitations sont gérées de façon rigoureuse.
Des profils d'habilitation définissant les fonctions ou les types d'informations accessibles à un utilisateur sont définis en fonction des métiers des agents de Pôle emploi.
Des mesures permettant d'assurer la traçabilité des opérations effectuées dans les applicatifs métiers doivent également être mises en œuvre.
S'agissant de la base de données permettant de réaliser des statistiques, la Commission relève que les accès à cette base sont journalisés mais que les requêtes permettant de réaliser les statistiques ne sont pas conservées. Toutefois, compte tenu du nombre limité d'agents ayant accès à des données et de leur obligation consistant à garantir la confidentialité de ces dernières, ces mesures apparaissent suffisantes.
La Commission note enfin que les échanges de données entre les différents acteurs sont réalisés au moyen de réseaux privés virtuels chiffrés de type  IPsec .
Ces mesures de sécurité apparaissent satisfaisantes à la Commission.
La Présidente
Isabelle FALQUE-PIERROTIN