La Commission Nationale de l'Informatique et des Libertés,
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi 91-1383 du 31 décembre 1991 renforçant la lutte contre le travail clandestin et la lutte contre l'organisation de l'entrée et du séjour irréguliers d'étrangers en France ;
Vu la loi n° 92-1446 du 31 décembre 1992 relative à l'emploi, au développement du travail à temps partiel et à l'assurance chômage ;
Vu les articles L 320 et L 324-12 du code du travail ;
Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application de la loi du 6 janvier 1978 susvisée ;
Vu le projet de décret en Conseil d'Etat pris en application de l'article 18 de la loi du 6 janvier 1978 présenté par le Ministre des affaires sociales et de l'intégration ;
Vu le projet d'acte réglementaire présenté par le Président de l'Agence centrale des organismes de sécurité sociale ;
Après avoir entendu Monsieur Guy GEORGES en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;
Après avoir entendu le représentant du Ministre, chargé de la gestion du répertoire ;
- Sur le projet de traitement présenté :
Considérant que l'article L 320 du Code du Travail, modifié par la loi n° 92-1446 du 31 décembre 1992, soumet les employeurs, à compter du 1er septembre 1993, à l'obligation d'effectuer une déclaration préalable à l'embauche (DPE) d'un nouveau salarié auprès des organismes de sécurité sociale dont ils dépendent en fonction de leur activité et de leur situation géographique, dans le but d'éviter aux corps de contrôle habilités de se heurter, dans les opérations de lutte contre le travail clandestin, au problème de la preuve certaine de la date d'embauche d'un salarié ;
Considérant qu'à l'issue de l'expérimentation du traitement automatisé de la DPE, prévue par la loi n° 91-1383 du 31 décembre 1991 et qui venait à expiration le 31 décembre 1992, mise en oeuvre par les URSSAF de Haute-Garonne, d'Ille-et-Vilaine, du Var et de l'Aube, d'une part, et, d'autre part, par les caisses de mutualités sociales agricoles de la Gironde, de Haute-Vienne, du Tarn et des Vosges, l'ACOSS estime devoir procéder à un exercice de simulation sur 34 URSSAF réparties sur 27 départements destiné à tester théoriquement et techniquement le système dans la perspective de la généralisation de la DPE à l'ensemble des départements français au 1er septembre 1993, date à laquelle la déclaration préalable d'embauche deviendra obligatoire et sera pénalement sanctionnée ;
Considérant que le projet de traitement soumis à la Commission tel qu'il résulte du projet d'acte réglementaire concerne les unions pour le recouvrement des cotisations de sécurité sociale du régime général de Troyes, Charleville-Mezières, Reims, Chaumont, Toulon, Avignon, Montpellier, Béziers, Lyon, Villefranche, Rennes, Saint-Brieuc, Brest, Quimper, Vannes, Caen, Toulouse, Foix, Rodez, Auch, Cahors, Tarbes, Albi, Montauban, Bordeaux, Périgueux, Mont-de-Marsan, Agen, Bayonne, Pau, Douai, Tourcoing, Valenciennes, Lille, les centres régionaux de traitement de l'information de Nancy, Marseille, Montpellier, Lyon, Nantes, Caen, Toulouse, Lille et l'agence centrale des organismes de sécurité sociale ;
Considérant que cette simulation doit permettre d'apprécier le système de traitement de l'information mis au point par le Centre informatique du recouvrement du sud-ouest de TOULOUSE (CIRSO) où se situe l'ordinateur central ; que tous les aspects du traitement seront ainsi concernés : réception des déclarations sur les différents supports, constitution du fichier, traitement, édition et envoi des accusés de réception aux employeurs ;
Considérant que la simulation, objet du présent projet de traitement, prendra fin le 31 août 1993 ;
Considérant en outre que le droit d'opposition prévu par le 1er alinéa de l'article 26 est reconnu à toutes les personnes employeurs et salariés concernées par le traitement ;
Considérant que les seules destinataires des informations collectées sont les URSSAF ;
Considérant que les informations enregistrées sont relatives à l'identité de l'employeur (dénomination sociale ou nom et prénoms, code APE ou code NAF, adresse, numéro SIREN ou numéro sous lequel sont versées les cotisations), à l'identité du salarié (nom et prénoms, nationalité, date et lieu de naissance, numéro national d'identification (NIR) et à l'embauche (heure, jour, mois, année, code de l'organisme destinataire des déclarations, numéro de dossier et code d'origine de la déclaration) ;
Considérant que le traitement a pour finalité de constituer un enregistrement de la preuve certaine de la date d'embauche d'un salarié ; qu'à l'occasion de l'accomplissement de leur mission de lutte contre le travail clandestin les agents des corps de contrôle visés à l'article L 324-12 du code du travail peuvent avoir accès en qualité de tiers autorisés, aux données énumérées à l'article 3 du projet d'acte réglementaire.
- Sur la collecte et l'utilisation du NIR -
Considérant que l'information relative au NIR figure tant sur des documents qui ont servi à l'établissement de la déclaration préalable que dans le fichier automatisé ;
Considérant qu'en application de l'article 18 de la loi du 6 janvier 1978, toute utilisation du répertoire national d'identification des personnes physiques en vue d'effectuer des traitements nominatifs, est autorisée par décret en Conseil d'Etat pris après avis de la Commission ;
Considérant que si l'enregistrement et l'utilisation du numéro national d'identification des personnes physiques s'avère nécessaire pour assurer la fiabilité du système en ce qui concerne la vérification de l'identité du salarié, cet enregistrement ne peut en aucun cas être utilisé à d'autres fins et ne doit pas être en conséquence communiqué aux agents visés à l'article précité, à l'occasion de l'exercice de leurs pouvoirs d'investigation ;
Considérant que le projet de décret en Conseil d'Etat autorisant l'utilisation du NIR ou du numéro de sécurité sociale par les organismes de sécurité sociale participant à l'exercice de simulation, et pour cette période seulement, limite cette autorisation à la phase de vérification de l'identité du salarié et exclut toute communication à des organismes ou administrations autres que les personnes qui mettent en oeuvre le traitement ;
- Sur le droit d'accès des personnes concernées -
Considérant que le droit d'accès et de rectification est assuré par l'envoi d'un accusé de réception à l'employeur par l'organisme dont il dépend, récapitulant l'ensemble des informations enregistrées et lui donnant la possibilité de les rectifier ; que ce document mentionne dans la partie détachable à remettre au salarié les prescriptions de l'article 27 de la loi du 6 janvier 1978 ; que l'information est dès lors assurée de manière satisfaisante ;
- Sur les dispositions relatives à la sécurité et à l'exercice du droit d'accès et de rectification :
Considérant que les sécurités du système ont été définies par le centre informatique du recouvrement du sud-ouest (CIRSO) où se situe la base de données centrale ; que la procédure d'accès sur minitel par l'employeur est sécurisée par l'attribution d'un mot de passe personnel ;
Considérant qu'il résulte du dossier que le droit d'accès et de rectification prévu par la loi du 6 janvier 1978 s'exerce pendant la durée de la simulation pour les employeurs et les personnes faisant l'objet d'une déclaration préalable à l'embauche au siège de l'ACOSS et des URSSAF concernées par la simulation ;
Considérant que l'ensemble des données collectées au cours de la simulation seront détruites à l'issue de celle-ci ;
- Sur les conditions d'accès des tiers autorisés -
Considérant que la base de données pourra être consultée dans le strict respect des conditions qui suivent par les corps de contrôle habilités suivants : les officiers et, sous leur contrôle, les agents de police judiciaire, les agents de la Direction générale des impôts, les agents de la Direction générale des douanes, les agents agréés à cet effet assermentés des organismes de sécurité sociale et des caisses de mutualité sociale agricole, les inspecteurs et les contrôleurs du travail placés sous l'autorité du ministre du travail, de l'emploi et de la formation professionnelle et du ministère de l'équipement, du logement, du transport et de l'espace, les inspecteurs du travail et contrôleurs des lois sociales en agriculture, les fonctionnaires de contrôle assimilés au sens de l'article L 611-10 du code du travail placés sous l'autorité du ministre délégué à l'industrie et au commerce extérieur, les officiers et agents assermentés des affaires maritimes ;
Considérant que les agents des corps de contrôle susvisés peuvent avoir accès aux informations enregistrées dans le traitement mis en oeuvre par les URSSAF par un serveur télématique, les consultations ainsi faites faisant l'objet d'un enregistrement qui permettra de vérifier la régularité de la consultation ; qu'à cet effet, la consultation est mémorisée par le jour, l'heure, le code d'accès de l'agent et son nom ;
Considérant que les codes d'accès ne peuvent être délivrés que sous le contrôle du comité restreint institué par l'article 6 du décret n° 91-1134 du 30 octobre 1991 présidé par le Procureur de la République, en contrepartie d'une attestation écrite par laquelle ces personnes s'engagent à ne consulter les informations que dans le cadre de leurs missions de lutte contre le travail clandestin et dans le respect des pouvoirs d'investigation qui leur sont accordés par les textes particuliers qui leur sont applicables ;
Considérant en outre que les seules informations auxquelles pourront accéder par voie télématique ces tiers autorisés sont exclusivement : le numéro SIRET, le nom et les prénoms de l'employeur ou la raison sociale de l'entreprise, l'adresse de l'établissement, le nom et les prénoms du salarié, sa date de naissance, l'heure, le jour, le mois et l'année d'embauche du salarié, le code de l'organisme de recouvrement destinataire de la déclaration, et le numéro de dossier ; que sont ainsi, notamment, exclues de la communication par les moyens télématiques, outre le RNIPP, les données relatives à la nationalité ;
Considérant que les autres informations figurant au fichier, à l'exclusion du RNIPP, pourront être obtenues sur demande écrite à l'organisme destinataire ;
Considérant que les conditions d'interrogation ainsi que les sécurités mentionnées dans l'annexe 13 sont de nature à garantir le respect des dispositions légales encadrant l'exercice par les tiers autorisés de leur droit de communication ; qu'ainsi, les utilisateurs sont invités à modifier leurs mots de passe tous les trois mois pour pouvoir accéder au système ; qu'ils bénéficient de trois tentatives pour donner un mot de passe correct ; que dans le cas où elles aboutissent à un échec, l'usager se voit interdit d'accès au système pendant une heure ;
Considérant que les mots de passe sont gérés directement par les utilisateurs et sont cryptés en machine ; que, seul l'utilisateur peut en avoir connaissance ;
Considérant que la durée maximum de consultation du fichier automatisé des déclarations préalables d'embauche dont pourront disposer les tiers habilités dans le cadre de leur mission de lutte contre le travail clandestin est limitée à 10 minutes ; que, passé ce délai, la consultation sera interrompue automatiquement et ne pourra reprendre qu'après déroulement complet de la procédure d'identification et à l'issue d'une période de 10 minutes ; qu'enfin, si une ou plusieurs tentatives de connexion étaient constatées durant cette période, une nouvelle plage d'indisponibilité de 10 minutes s'ouvrirait et ainsi de suite ;
Considérant que l'exercice de simulation doit permettre de tester la pertinence du traitement et de vérifier les conditions de sa mise en oeuvre ;
EMET un avis favorable au projet de décret en Conseil d'Etat pris en application de l'article 18 de la loi du 6 janvier 1978 et portant autorisation de l'utilisation du Répertoire national d'identification des personnes physiques, présenté par le Ministère des Affaires sociales et de l'intégration ;
EMET un avis favorable au projet d'acte réglementaire présenté par l'ACOSS concernant un exercice de simulation d'un traitement automatisé de la déclaration préalable d'embauche.
PREND ACTE de l'engagement de l'ACOSS d'associer la CNIL au déroulement et à l'évaluation de l'opération.
Jacques FAUVET