La Commission nationale de l'informatique et des libertés,
Saisie pour avis par le ministère de l'économie, des finances et de l'industrie d'un projet d'arrêté portant création du traitement "Hélios" de la direction générale de la comptabilité publique (DGCP),
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel ;
Vu les articles R. 115-1 et R. 115-2 du Code de la sécurité sociale ;
Après avoir entendu M. Jean-Pierre de Longevialle, commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
Sur les finalités du traitement et les informations traitées
Le progiciel comptable "Hélios" doit remplacer la quasi-totalité des traitements informatiques auxquels le Trésor public recourt actuellement pour tenir la comptabilité des organismes du secteur public local et exécuter les budgets locaux en dépense et en recette.
Application évolutive et fortement paramétrable, "Hélios" vise à tenir compte de la diversité des situations des ordonnateurs (collectivités locales, établissements publics de coopération intercommunale, offices publics d'HLM, hôpitaux, établissements médicosociaux, centres communaux d'action sociale, caisses des écoles, associations syndicales autorisées ...) et des choix d'organisation des postes comptables.
Au-delà des fonctionnalités habituelles d'un progiciel de gestion comptable, budgétaire et financière, l'application "Hélios" a été conçue pour rendre un service de meilleure qualité :
- au réseau du Trésor, en contribuant à l'augmentation de la productivité des postes comptables, notamment grâce à la consolidation des données sur les créanciers et débiteurs et au regroupement des actes de relance et de poursuites concernant une même personne ;
- aux organismes ordonnateurs, notamment en accélérant le processus de dématérialisation des échanges de données et en permettant la restitution en temps réel à leurs services d'informations enrichies ;
- aux tiers usagers, créanciers ou débiteurs, en accélérant les délais de paiement, en facilitant la détection des cas de compensation et des cessions-oppositions et en améliorant les conditions dans lesquelles les usagers pourront obtenir des renseignements sur leur situation globale vis à vis des collectivités et établissements gérés par un même poste.
Les données à caractère personnel qui sont traitées dans le cadre de l'application "Hélios" concernent :
- les créanciers des organismes du secteur public local,
- les débiteurs des mêmes organismes, les huissiers, tiers solidaires, tiers saisis et tiers opposants, leurs employeurs,
- pour les créances hospitalières : les personnes hospitalisées, les assurés sociaux et, en cas d'accident du travail, les employeurs,
- les personnes hébergées dans des établissements médicaux, sociaux ou médicosociaux dont le comptable gère les ressources personnelles, ainsi que leurs tuteurs,
- au titre du suivi des régies : les régisseurs et sous-régisseurs,
- au titre du suivi des marchés publics : leurs titulaires, les sous-traitants, les personnes responsables d'un marché,
- au titre de l'historisation des opérations réalisées via "Hélios" : les agents du Trésor Public concernés.
A côté de données structurées, "Hélios" comporte 18 zones de texte libre permettant d'insérer des indications dont l'enregistrement dans des zones prédéfinies n'est pas prévu.
La Commission prend acte que les zones blocs-notes ne peuvent comporter que des données à caractère personnel objectives, rigoureusement liées aux opérations traitées et envisagées explicitement à l'article 2 de l'arrêté portant création de l'application "Hélios".
Sous le bénéfice de cette dernière observation, la Commission constate que les informations traitées, d'ailleurs pour une large part transmises par les ordonnateurs, sont pertinentes au regard des finalités du traitement.
Sur la création d'un "référentiel des tiers"
La création, au niveau de chaque poste comptable, d'un "référentiel des tiers" correspond à une nouvelle approche, sur laquelle reposent certaines des améliorations attendues. L'objectif de ce fichier est de fournir aux utilisateurs, pour chaque personne, la vue consolidée et actualisée :
- de leurs données minimales d'identification,
- d'autres données minimales utiles à l'agent comptable, notamment les adresses et les coordonnées bancaires connues,
le suivi du recouvrement des titres de recettes et des paiements.
Ce référentiel, d'abord utilisé par les agents en service dans les postes comptables, serait également accessible à des agents en dehors de ces postes, notamment aux ordonnateurs.
Si la Commission ne saurait discuter de l'utilité de ce dispositif, elle n'en constate pas moins qu'il pourrait entraîner une mutualisation non désirable, parce que non justifiée par les finalités du traitement, de certaines données personnelles dont la diffusion doit rester sous le contrôle du tiers concerné.
A cet égard, la CNIL note toutefois que la consolidation s'arrêtera aux frontières du poste comptable et que si les données consolidées à ce niveau sont bien accessibles aux agents habilités en service dans ce poste, les ordonnateurs n'ont accès qu'à la situation consolidée des tiers à l'égard de la collectivité ou même du budget intéressé.
D'autre part, l'administration s'est engagée à ne pas faire figurer dans le "référentiel des tiers" les données personnelles liées à un contexte particulier, parmi lesquelles le NIR qui n'est utilisé que pour le recouvrement des créances hospitalières.
La Commission prend acte des limitations ainsi fixées à la mutualisation de certaines données personnelles. Elle estime cependant que le respect des principes de protection des données personnelles doit conduire à ce qu'un ordonnateur ne puisse pas prendre connaissance, à partir d'" Hélios ", d'éléments d'identification sur des personnes physiques autres que ceux qu'il a lui-même transmis au poste comptable.
En conséquence, la Commission demande la mise en place d'un dispositif de masques empêchant les agents d'un ordonnateur d'accéder à des données d'identification de personnes physiques non transmises par lui.
Sur les modalités générales d'utilisation des données personnelles
Le recours à une architecture informatique nationale permet d'ouvrir un accès à "Hélios" à des agents habilités dans les postes comptables gestionnaires du secteur public local mais également dans des services de la DGCP extérieurs à ces postes et dans certains services ordonnateurs. Il est cependant prévu que seuls les agents des postes comptables puissent déclencher des actions dans le système d'information, les ordonnateurs et les autres services du Trésor Public n'utilisant " Hélios " qu'en simple consultation.
Il appartient à la Commission d'apprécier, pour chacune des catégories de destinataires prévus, la pertinence au regard des fonctions des services intéressés d'un accès aux données personnelles enregistrées dans "Hélios".
1 ° En ce qui concerne les agents des postes comptables de la DGCP, il est prévu que seuls ceux qui participent à la gestion du secteur public local puissent consulter les données relatives aux collectivités locales rattachées à ce poste, et notamment l'intégralité du "référentiel des tiers".
2° En ce qui concerne les services de la DGCP extérieurs aux postes comptables, il ressort du dossier qu'auront accès à l'application "Hélios" :
- les agents des trésoreries générales et des recettes des finances chargés de la centralisation des opérations initiées par certains postes comptables en matière de gestion du secteur public local, pour la totalité des données relatives aux collectivités rattachées à ces postes ;
- certains agents des services d'animation et de soutien du réseau du Trésor Public en fonction au niveau régional ou national ;
La Commission estime que, parmi ceux-ci, seuls les agents du pôle spécialisé chargé d'intervenir, à la demande du comptable, en matière de recouvrement contentieux doivent bénéficier d'un accès aux données à caractère personnel d'"Hélios", et au niveau national.
- des agents des services chargés de missions d'audit et de contrôle.
La Commission demande que les droits de consultation des données personnelles de ces agents ne soient ouverts que pour les postes comptables à l'égard desquels ils ont reçu une mission effective.
3° En ce qui concerne les ordonnateurs du secteur public local, l'accès à "Hélios" est limité, pour chacun d'eux, à la consultation des informations ayant trait à sa situation comptable, budgétaire et financière et aux actions engagées par le Trésor Public à l'égard de ses créanciers et débiteurs.
Sur les mesures de sécurité
"Hélios" recourt, en premier lieu, au réseau privé mis en place par la DGCP entre l'ensemble de ses structures. Chaque agent du Trésor public dispose d'un micro-ordinateur relié à ce réseau, qui lui sert de station de travail unique. Les habilitations individuelles à accéder à "Hélios" sont accordées par l'échelon hiérarchique immédiatement supérieur en fonction de profils fonctionnels arrêtés au niveau national, qui autorisent certaines actions et donnent accès à certaines catégories de données. Les habilitations sont répertoriées dans l'application nationale "Annuaire DGCP" qui sert à la gestion des autorisations d'accès pour toutes les applications de la DGCP.
La Commission note que certaines actions engagées dans "Hélios" par les agents des postes comptables (intégration ou modification des données, lancement d'opérations ...) font l'objet d'une journalisation. En revanche, les simples consultations ne sont pas tracées.
L'administration justifie ce choix en faisant valoir que le traitement "Hélios" est un applicatif de production. La Commission observe toutefois que ce qualificatif ne saurait s'appliquer aux services de la DGCP extérieurs aux postes comptables pour lesquels "Hélios" constitue un outil à caractère informationnel.
En second lieu, les ordonnateurs accèdent à "Hélios" via Internet, par l'intermédiaire d'un réseau privé virtuel hautement sécurisé qui prévoit un cryptage des données et assure l'acheminement des transactions vers un point d'accès unique sécurisé. Il appartiendra aux comptables du Trésor d'inscrire dans l'annuaire national de la DGCP les agents des services que chacun des organismes ordonnateurs dont ils gèrent les budgets aura nominativement habilités à consulter "Hélios". Les droits de consultation correspondant seront ouverts pour une année civile et devront être reconduits explicitement chaque année.
La Commission demande à la DGCP d'attirer l'attention des ordonnateurs sur la prohibition de toute utilisation non personnelle des droits de consultation ouverts et sur l'obligation d'informer le comptable de tout mouvement d'un agent bénéficiant d'une habilitation à accéder à "Hélios".
Sur les documents édités par l'application
En premier lieu, "Hélios" permet aux agents de l'administration de produire automatiquement des courriers de demande de renseignements à caractère personnel nécessaires à la mise en oeuvre de certaines actions de recouvrement.
La Commission rappelle à titre préalable que la communication de données personnelles à une autorité habilitée, au sens de l'article 3 de la loi du 6 janvier 1978 modifiée, à demander à un autre organisme des données à caractère personnel dont elle n'est pas normalement destinataire doit rester l'exception dans la mesure où elle doit être spécialement autorisée par un texte législatif. La demande doit être ponctuelle, écrite et ne concerner qu'une ou plusieurs personnes nommément désignées, sans jamais porter sur un fichier ou une partie d'un fichier.
Pour permettre à leurs destinataires d'en vérifier le bien-fondé au regard des textes en vigueur, les demandes de renseignements doivent mentionner les références du texte qui en constitue le fondement juridique ainsi que la nature de la créance à recouvrer.
Ainsi, les demandes, évoquées dans le dossier, qui sont adressées à un organisme de sécurité sociale au titre du recouvrement de créances hospitalières doivent se référer exclusivement à l'article L. 115-1 du Code de la sécurité sociale et indiquer le caractère hospitalier de la créance.
En revanche, la CNIL considère que les demandes transmises par le Trésor public à un ordonnateur du secteur public local en liaison avec une procédure de recouvrement de créances locales de ladite collectivité trouvent leur fondement sur la relation qui existe entre un ordonnateur et son comptable. Elles sont donc adressées à un destinataire normal des informations et n'ont pas à faire référence à un quelconque droit de communication des comptables du Trésor.
En second lieu, en ce qui concerne les courriers adressés aux personnes physiques mentionnées dans l'application, notamment les débiteurs et créanciers des collectivités, la commission prend acte qu'ils comporteront systématiquement la phrase suivante : "Pour les données vous concernant, les droits d'accès et de rectification prévus par la loi n° 78-17 du 6 janvier 1978 s'exercent auprès du service dont émane le présent document."
La Commission estime cependant que cette information devrait être complétée, lorsqu'il y a lieu, par l'indication de la transmission des informations portées sur le courrier à l'organisme ordonnateur ayant émis le titre de recette ou le mandat de dépense, en application de l'article 32 de la loi du 6 janvier 1978 modifiée.
Sous le bénéfice des observations qui précèdent, la Commission demande que le projet d'arrêté précise :
- à l'article 2, que les zones blocs-notes ne doivent comporter que des données de nature objective, correspondant à l'une des catégories de données visées à cet article et liées aux opérations pour lesquelles ces blocs-notes sont prévus ;
- au deuxième alinéa de l'article 3, que les organismes ordonnateurs n'ont accès, dans le référentiel des tiers, qu'aux données d'identification des tiers qu'ils ont initialement transmises au Trésor Public ;
- à l'article 4, que l'accès en consultation des données à caractère personnel est ouvert aux agents habilités :
. du poste comptable gestionnaire de l'organisme du secteur public local,
. des trésoreries générales et des recettes des finances qui sont chargés de la gestion du secteur public local, pour les seuls besoins de la centralisation et du contrôle des opérations comptables et, à la demande du poste comptable, de l'expertise et du soutien,
. du pôle spécialisé de la DGCP chargé d'intervenir, à la demande du comptable, en matière de recouvrement contentieux,
. des services chargés de l'audit et du contrôle, pour les données se rapportant aux postes comptables à l'égard desquels ces services sont effectivement chargés d'une mission d'audit ou de contrôle,
. de l'organisme ordonnateur du secteur public local concerné, pour les mandats et titres émis par l'organisme, pour les personnes hébergées sous sa responsabilité et pour les régies ouvertes.
Le président, Alex TURK.