La Commission nationale de l'informatique et des libertés,
Saisie par la direction de la recherche, des études, de l'évaluation  et des statistiques du ministère des affaires sociales, de la santé et  des droits des femmes d'une demande d'avis concernant la réalisation  d'études statistiques relatives aux revenus des retraités ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection  des personnes à l'égard du traitement automatisé des données à caractère  personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24  octobre 1995 relative à la protection des personnes physiques à l'égard  du traitement des données à caractère personnel et à la libre  circulation de ces données ;
Vu l'article L. 1350 du livre des procédures fiscales ;
Vu la  loi n° 51-711 du 7 juin 1951 modifiée sur l'obligation, la coordination et le secret en matière de statistiques ;
Vu la  loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-I (1°) ;
Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la  loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après  avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire  du Gouvernement,
Emet l'avis suivant :
La ministre des affaires sociales, de la santé et des droits des  femmes a saisi la commission d'un projet de décret en Conseil d'Etat  autorisant la mise en œuvre d'un traitement automatisé de données à  caractère personnel à partir de l'échantillon interrégimes de retraités  (EIR) et de données fiscales en vue de la constitution de statistiques.
Responsable du traitement
La direction de la recherche, des études, de l'évaluation et des  statistiques du ministère des affaires sociales et de la santé (DREES)
Sur la finalité
Le traitement a pour finalité la réalisation d'études à caractère  statistique relatives aux revenus des retraités au-delà de la seule  pension de retraite au moyen de l'appariement des données de  l'échantillon interrégimes de retraités (EIR) de la DREES avec les  données fiscales de la direction générale des finances publiques  (DGFIP).
Les informations collectées permettront d'avoir une vue d'ensemble  des revenus des retraités au-delà des montants individuels des pensions.
La commission considère que la finalité poursuivie est déterminée,  explicite et légitime, conformément aux dispositions de l'article 6 (2°)  de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
L'extraction du fichier issu des caisses de retraite comporte des données relatives :
- à l'identification des personnes : nom, prénom, adresse, date et lieu de naissance ;

L'extraction du fichier issu de la direction générale des finances publiques (DGF [P) comporte des données relatives :
- à la situation familiale des personnes ;
- aux revenus des personnes.
La DREES transmet un numéro d'ordre aux caisses de retraite à chaque vague de l'EIR.
Les caisses de retraite extraient de leurs bases de données les  noms, prénoms, adresses, sexe, date et lieu de naissance à partir de la  liste de NIR issue de l'EIR.
Elles y accolent un numéro d'ordre à partir d'un appariement avec le numéro d'ordre fourni par la DREES.
Les caisses de retraite transmettent au Pôle revenus fiscaux de  l'insee les identifiants utiles à l'appariement (nom, prénom, sexe,  année, mois et département de naissance, adresse) et le numéro d'ordre.  Le NIR n'est pas transmis et sert uniquement à identifier les individus  appartenant à l'EIR.
L'INSEE réalise l'appariement avec les données fiscales à partir des  identifiants précités. Il retourne à la DREES les variables issues des  fichiers fiscaux et le numéro d'ordre. Les variables nominatives (nom,  prénom, adresse) sont préalablement supprimées.
Les variables issues des fichiers fiscaux transmises à la DREES sont  relatives aux éléments généraux d'identification de l'individu (sexe,  situation familiale, tranche d'âge, année de naissance de l'individu, du  conjoint, nombre d'enfants et de personnes à charge et lien avec la  personne de référence, nombre de personnes dans le logement, décès,  mariage ou séparation dans l'année, département de l'adresse fiscale,  parents isolés, etc.), aux revenus au niveau de l'individu (traitement  et salaire, chômage et préretraite, retraites et pensions, revenus non  commerciaux, revenus agricoles, pensions alimentaires reçues, etc.) et  aux revenus au niveau du foyer (mêmes informations que précédemment mais  au niveau du foyer, pensions alimentaires versées, avoirs fiscaux et  crédits d'impôts, revenus fonciers nets, impôts sur le revenu,  plus-values et gains divers, contribution sur les loyers, prime pour  l'emploi, etc.).
La DREES apparie les données fiscales avec les données de l'EIR en  combinant les deux numéros d'ordre et ne dispose pas de données  directement identifiantes car celles-ci ne sont pas transmises.
Compte tenu de ces éléments, les données traitées sont adéquates,  pertinentes et non excessives au regard de la finalité poursuivie,  conformément aux dispositions de l'article 6 (3°) de la loi du 6 janvier  1978 modifiée.
Sur les destinataires
Seuls les agents habilités de la l'INSEE et de la DREES peuvent  avoir accès, chacun pour ce qui les concerne, à ces informations.
Le NIR n'est pas transmis à l'INSEE par les caisses de retraite.
Ces destinataires n'appellent pas d'observation de la part de la commission.
Sur l'information et le droit d'accès
Le droit à l'information des personnes concernées par le présent  traitement est exercé par voie d'affichage dans les différentes caisses  de retraite.
Conformément à l' article R. 161-68 du code de la sécurité sociale,  le droit d'accès et de rectification s'exerce auprès de la DREES par  l'intermédiaire des caisses de retraite pour les fichiers qu'ils  détiennent dans le cadre de la mise en œuvre de l'échantillon.
Pour les données fiscales, le droit d'accès et de rectification est exercé auprès de la DGFIP.
La commission prend acte du fait que le droit d'opposition des  personnes au traitement de leurs données ne s'applique pas à cette  procédure en application du troisième alinéa de l'article 38 de la loi  du 6 janvier 1978 modifiée.
En effet, l'article 4 du projet de décret énonce que  le droit  d'opposition (...) ne s'applique pas au traitement mentionné à l'article  1er.
Sur les mesures de sécurité
La commission prend acte de ce que le projet de décret a été modifié  afin de ne plus indiquer que le numéro d'ordre personnel, visé à  l'article 2-1, du projet de décret, est anonyme.
L'article 6 du projet prévoit que le service chargé de la mise en  œuvre du traitement  met en place des restrictions d'accès aux seules  personnes habilitées à en assurer l'exploitation .
A cet égard, la commission relève que c'est l'INSEE, qui détient les  éléments directement identifiants, qui est chargée de gérer les droits  d'accès au fichier.
S'agissant de la DREES, les données sont stockées sur un serveur dont l'accès est réservé aux agents de la DREES.
Les accès aux données au niveau de l'INSEE sont réalisés après  authentification des personnes habilitées par l'utilisation d'un  identifiant et d'un mot de passe.
La politique de sécurité en vigueur à l'INSEE prévoit que les mots  de passe doivent être d'au moins huit caractères choisis parmi trois  types différents.
La commission prend acte que l'INSEE envisage de modifier la règle  sur les mots de passe d'ici à un an afin que ceux-ci soient composés  d'un minimum de dix caractères.
Les agents de la DREES habilités accèdent aux postes de travail par  l'intermédiaire d'une carte à puce associée à un code secret.
En outre, l'accès au serveur sur lequel sont stockées les données  nécessite une nouvelle authentification basée sur un identifiant et un  mot de passe composé de huit caractères avec au moins un chiffre et un  caractère spécial.
L'INSEE est chargé d'assurer la traçabilité des opérations liées au traitement.
A cet égard, les accès et actions (consultation, création, mise à  jour et suppression) aux fichiers au sein de l'INSEE sont tracés. Les  utilisateurs sont informés qu'une telle mesure est mise en œuvre par la  signature d'une charte.
En revanche, les actions réalisées par le personnel de la DREES ne sont pas tracées.
La commission estime que la Dress devrait mettre en place des  mesures permettant de détecter les incidents concernant des données à  caractère personnel de façon précoce, et de disposer d'éléments  exploitables pour les étudier ou pour fournir des preuves dans le cadre  d'enquêtes.
Les transferts sont sécurisés par le recours au protocole TLS.
Les données conservées par l'INSEE sont chiffrées par l'algorithme AES-128.
La Commission rappelle qu'une politique de gestion des clés de  chiffrement, précisant notamment les modalités de création, conservation  et modification des clés de chiffrement ainsi que les habilitations  nécessaires pour accéder aux clés, devra être documentée et implémentée.
Sous réserve des précédentes observations, les autres mesures de  sécurité décrites par le responsable de traitement sont donc conformes à  l'exigence de sécurité prévues par l'article 34 de la loi du 6 janvier  1978 modifiée.
La commission rappelle toutefois que cette obligation nécessite la  mise à jour des mesures de sécurité au regard de la réévaluation  régulière des risques.
Sur les autres caractéristiques du traitement
Les durées de conservation sont les suivantes ;
- six ans pour les données d'identification (nom, prénom, date et lieu de naissance) collectées par l'INSEE ;
- six mois pour les données relatives à la vie personnelle et les  informations relatives aux revenus issues des fichiers fiscaux,  collectées par l'INSEE ;
- deux ans pour le NIR collecté par l'INSEE.
La commission prend acte que ces durées de conservation sont  justifiées par les durées administratives de la collecte des  informations du présent traitement.
La commission considère que ces durées de conservation ne sont pas excessives au regard de la finalité poursuivie.
Pour la présidente :
La vice-présidente déléguée,
M.-F. Mazars