La Commission nationale de l'informatique et des libertés, 
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé de données à caractère personnel ; 
Vu la directive 95 / 46 / CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ; 
Vu le code des assurances, notamment ses articles L. 132-9-2 et L. 132-9-3 ; 
Vu le code de la mutualité, notamment son article L. 223-10-2 ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment ses articles 25-I (6°) et 25-II ; 
Vu la loi n° 2007-1775 du 17 décembre 2007 permettant la recherche des bénéficiaires des contrats d'assurance sur la vie non réclamés et garantissant les droits des assurés, notamment ses articles 3 et 6 ; 
Vu le décret n° 82-103 du 22 janvier 1982 modifié relatif au répertoire national d'identification des personnes physiques ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ; 
Vu la demande d'avis présentée par l'Institut national de la statistique et des études économiques (INSEE) au titre de l'article 27-II (1°) de la loi n° 78-17 du 6 janvier 1978 susvisée concernant la cession de fichiers de données issues du répertoire national d'identification des personnes physiques et relatives aux décès des personnes qui y sont inscrites ; 
Vu la demande d'autorisation déposée par l'AGIRA pour la mise en œuvre de traitements informatisés de données à caractère personnel permettant aux entreprises d'assurance, aux institutions de prévoyance et à leurs unions, et aux mutuelles et à leurs unions de consulter les données détenues par l'INSEE et relatives aux personnes décédées ; 
Après avoir entendu M. Emmanuel de Givry, commissaire, en son rapport et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations, 
Formule les observations suivantes : 
Afin de faciliter le déclenchement de la recherche des bénéficiaires des contrats d'assurance sur la vie en cas de décès des personnes qui les ont souscrits, la loi n° 2007-1775 du 17 décembre 2007 autorise les entreprises d'assurance, les mutuelles et leurs unions et les institutions de prévoyance, et leurs unions à avoir communication des informations du répertoire national d'identification des personnes physiques (RNIPP) de l'INSEE qui concernent le décès des personnes physiques.
A cette fin, la loi du 17 décembre 2007 indique que chacune de ces personnes morales est habilitée à interroger son organisme professionnel : pour les entreprises d'assurance, la Fédération française des sociétés d'assurances (FFSA) ou le Groupement des entreprises mutuelles d'assurances (GEMA), pour les institutions de prévoyance, le Centre technique des institutions de prévoyance (CTIP) et, pour les mutuelles, la Fédération nationale de la mutualité française (FNMF). 
Ces organismes professionnels ont mandaté l'Association pour la gestion des informations sur le risque en assurance (AGIRA) pour mettre en place une architecture technique permettant la consultation de ces données et, par voie de conséquence, la création, à partir des données transmises par l'INSEE, d'un fichier des personnes décédées. La loi précitée exclut le NIR de la liste des données communiquées par l'INSEE. 
Dès lors, l'ensemble de ces traitements automatisés relève du 6° du I de l'article 25 de la loi du 6 janvier 1978 et doivent, à ce titre, être autorisés par la CNIL. 
En vertu du II de l'article 25 de la loi du 6 janvier 1978, la commission peut autoriser par une décision unique une catégorie de traitements qui répondent aux mêmes finalités, portent sur des catégories de données identiques et ont les mêmes catégories de destinataires. Il en résulte que le responsable d'un traitement conforme à cette décision unique d'autorisation pourra déclarer son traitement en adressant à la commission un engagement de conformité par lequel il s'engage à respecter les termes de la décision de la CNIL. 
Décide que les responsables de traitement qui souhaiteront se référer à la présente décision et adresseront, à cette fin, à la commission une déclaration d'engagement de conformité pour leurs traitements qui répondent à l'ensemble des conditions fixées dans la présente décision unique seront autorisés à mettre en œuvre ces traitements. 
Rappelle que tout projet de traitement automatisé dont les finalités ou les catégories de données ou de destinataires excéderaient le cadre défini par la présente autorisation unique ou qui ne respecterait pas les exigences qui y sont définies devra faire l'objet d'une demande d'autorisation spécifique présentant et expliquant les différences entre le traitement envisagé et l'autorisation unique. 
Autorise dans les conditions qui suivent l'AGIRA à mettre en œuvre des traitements automatisés de données à caractère personnel ayant pour finalité de permettre aux entreprises d'assurance, institutions de prévoyance et mutuelles de consulter les données transmises par l'INSEE et relatives aux personnes décédées.
Pour le président :
Le vice-président délégué,
G. Rosier