La Commission Nationale de l'Informatique et des Libertés,    Vu la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;    Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, et notamment ses articles 15, 19, 27, 28, 34 et suivants :
Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application des chapitres I à IV et VII de la loi du 6 janvier 1978 ;    Vu le code du travail et notamment le titre IV du Livre Ier, relatif au salaire ;    Vu la loi n° 79-18 du 3 janvier 1979 sur les archives ;    Vu le projet d'acte réglementaire de la Caisse Nationale d'Assurance Maladie relative à la création d'un modèle-type de traitement automatisé d'informations nominatives destiné à la paie et à la gestion du personnel des caisses primaires ;
Après avoir entendu Monsieur Marcel PINET en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;    Considérant que la Caisse Nationale d'Assurance Maladie soumet à l'avis de la Commission un modèle-type national de gestion du personnel, qui permettra d'assurer les fonctions suivantes :    - le contrôle d'accès logique à la base de données au moyen d'une carte à microprocesseur.
- la gestion administrative du personnel :    . la gestion des absences, déroulement de carrière, gestion du temps de présence, gestion prévisionnelle du personnel, gestion de la formation professionnelle, gestion en relation avec la médecine du travail.    - Le traitement de la paie comprenant :    . le calcul de la rémunération et de ses accessoires,    . la réalisation des opérations résultant des dispositions législatives et contractuelles y afférentes (cotisations de toutes natures).
- La gestion budgétaire.    - La gestion spécifique concernant les titres restaurant, les frais de déplacement, les prêts aux agents.    - La production de statistiques administratives.    - La production des informations nécessaires aux institutions de prévoyance et de protection sociale.    Considérant que toute extension de fonctionnalité de la carte à microprocesseur, notamment contrôle des horaires ou des accès physiques, devra faire l'objet d'une demande d'avis modificative ;
Considérant que les catégories d'informations nominatives enregistrées concernent l'identité de l'agent, sa situation familiale et sa situation au regard du service national, sa vie professionnelle, ainsi que les données économiques et financières permettant la liquidation et le paiement de sa rémunération ;    Considérant que la réalisation de produits statistiques locaux ne donneront pas lieu à la définition d'un profil individuel d'un salarié personnellement identifié ; qu'ainsi, ces produits ne seront que collectifs et anonymes ;    Considérant en outre que la réalisation de produits anonymes ne donnera pas lieu à l'établissement de profils professionnels types dans le domaine de l'absentéisme, appelés à être utilisés à l'occasion des actes de gestion du personnel, et notamment lors d'opérations de recrutement.
Considérant que la durée de conservation des informations recueillies n'excèdera pas deux années calendaires ; qu'en effet, si l'enregistrement des données relatives aux motifs d'absence est nécessaire au calcul de la rémunération et à la prise en compte des droits des salariés, conformément aux dispositions du Code du Travail et de la Convention Collective applicable, cet enregistrement ne doit cependant pas avoir pour conséquence la conservation de données sensibles sur support magnétique ; que par suite la durée de conservation de ces informations doit être limitée au temps indispensable à l'accomplissement des fonctions précitées, sans préjudice de l'application des dispositions de l'article R. 143-2 - 2ème alinéa du code du travail ;
Considérant qu'au sein de chaque organisme, le droit d'accès et de rectification des agents s'exercera auprès du service de gestion du personnel de l'organisme dont ils dépendent ; qu'une note d'information sera remise à cet effet à chaque salarié ;    Considérant que les organismes qui mettront en oeuvre le traitement, objet de la présente délibération présenteront à la CNIL une déclaration de conformité se référant audit traitement et comportant un engagement de conformité, ainsi qu'une description des mesures de sécurité et le lieu où doit s'exercer le droit d'accès ; qu'ils seront tenus en outre d'assurer l'affichage dans les locaux de l'acte réglementant le traitement.
Emet, dans ces conditions, et sous le bénéfice des observations qui précèdent, un avis favorable à la mise en oeuvre du traitement "GDP II".    Jacques FAUVET.