La Commission nationale de l'informatique et des libertés ;
 Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
 Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
 Vu le code de la sécurité sociale, et notamment son article L. 583-3 ;
 Vu le décret n° 99-1047 du 14 décembre 1999 pris pour l'application de l'article 107 de la loi de finances pour 1999 relatif à l'utilisation du numéro d'inscription au répertoire national d'identification des personnes physiques par la direction générale des impôts, la direction générale de la comptabilité publique et la direction générale des douanes et droits indirects ;
 Vu le décret n° 2002-771 du 3 mai 2002 portant création d'une procédure de transfert des données fiscales et les deux arrêtés d'application du 3 mai 2002 ;
 Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
 Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
 Vu la délibération n° 01-055 de la CNIL en date du 25 octobre 2001 relative à la création d'une procédure de transfert de données fiscales pour le compte de l'Etat et des organismes de protection sociale visés à l'article L. 152 du livre des procédures fiscales ;
 Vu la demande d'avis présentée par le ministère du budget et le ministère de l'économie concernant la mise en œuvre d'un traitement automatisé de données à caractère personnel destiné à mettre en place un transfert de données fiscales ;
 Après avoir entendu M. Jean Massot et M. Sébastien Huyghe, commissaires, en leur rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations,
   Emet l'avis suivant :
 La Commission nationale de l'informatique et des libertés a été saisie par le ministère du budget et par le ministère de l'économie d'un projet d'arrêté et d'une demande d'avis relative à la mise en œuvre d'un transfert de données fiscales de la direction générale des finances publiques (DGFIP) vers la Caisse nationale d'allocations familiales (CNAF) et la Caisse centrale de mutualité sociale agricole (CCMSA) permettant d'apprécier les conditions d'ouverture, de maintien et de calcul des droits aux prestations familiales sous condition de ressources et de supprimer la déclaration annuelle de ressources.
 Ce dispositif permet une simplification des démarches des allocataires bénéficiant de prestations familiales calculées sous conditions de ressources en les dispensant de déclarer leurs ressources chaque année auprès de leur caisse d'allocation familiale ou de leur caisse de mutualité sociale agricole et à condition d'avoir déjà effectué leur déclaration de revenus auprès de l'administration fiscale.
 La CNIL a déjà rendu un avis favorable le 25 octobre 2001 (délibération n° 01-055) sur un transfert de données fiscales vers les organismes de protection sociale, aux fins de contrôle des déclarations de ressources effectuées par les allocataires.
 Le présent traitement consiste à élargir le transfert de données, conformément à l'article L. 583-3 du code de la sécurité sociale, modifié par la loi de financement de la sécurité sociale pour 2008, à l'ensemble des allocataires bénéficiant de prestations familiales sous conditions de ressources aux fins d'ouverture, de maintien et de calcul des droits.
 La commission prend acte que ce traitement n'a pas pour objet de permettre l'échange entre les organismes de protection sociale et la DGFIP de fichiers dénonçant des faits susceptibles de constituer des infractions aux lois et règlements relatifs aux impôts et taxes en vigueur ou aux cotisations et contributions sociales.
 La CNAF et la CCMSA transmettent au Centre national de transfert des données fiscales (CNTDF) un fichier d'appel regroupant l'ensemble des allocataires, conjoints, concubins ou pacsés dont elles souhaitent obtenir les données fiscales. Les éléments d'identification suivants figurent dans le fichier d'appel : le nom de naissance et, le cas échéant, le nom marital, le ou les prénoms, les date et lieu de naissance, l'adresse, le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR), le numéro SIRET de l'organisme demandeur, un numéro de liaison qui, pour la CNAF, intègre, sous forme chiffrée, le NIR du bénéficiaire.
 L'administration fiscale transmet la liste des personnes inconnues du système d'information fiscal puis le fichier des revenus déclarés aux services fiscaux.
 Pour chaque fichier d'appel sont restituées successivement par le CNTDF l'identification des allocataires, la ou les situations fiscales initialement déclarées et, le cas échéant, les situations fiscales correctives.
 Ce dispositif s'appuie sur la procédure de transfert de données fiscales via le CNTDF d'ores et déjà existante. Les principales évolutions tiennent à la modification de la structure du numéro de liaison en ce qui concerne les échanges avec la CNAF et à l'ajout de trois nouvelles catégories de données :
 ― le nombre d'enfants en résidence alternée, afin de garantir le calcul correct de la répartition des prestations familiales attribuées à plusieurs foyers différents ;
 ― la déclaration d'une invalidité, qui permet à l'allocataire et son conjoint de bénéficier d'un abattement fiscal sur le revenu imposable déclaré ;
 ― les heures supplémentaires non imposables, les textes prévoyant que ces montants sont pris en compte pour le calcul des droits aux prestations familiales.
 La procédure de transfert de données fiscales actuellement mise en place s'appuie sur le Centre national de transfert des données fiscales (CNTDF). Ainsi, les NIR transmis par les organismes sont exclusivement conservés au CNTDF dans des fichiers informatisés dédiés, dénommés « table CNTDF de correspondance NIR/n° SPI », qui permettent d'établir un lien entre le NIR et l'identifiant fiscal national individuel, le numéro SPI, qui est utilisé par les administrations fiscales dans leurs traitements internes et dans leurs relations avec les contribuables.
 Pour garantir la bonne transmission des données fournies par l'administration fiscale, les données ainsi obtenues transitent par le répertoire national des bénéficiaires (RNB), qui identifie désormais les allocataires avec leur NIR.
 La CNAF a donc besoin de disposer du NIR dans le fichier retour de l'administration fiscale. Le NIR est intégré sous la rubrique « numéro de liaison ». Les huit derniers chiffres du NIR font l'objet d'un chiffrement fort. La commission prend acte que la clé de déchiffrement sera détenue uniquement par la CNAF.
 Dans ces conditions, elle estime que l'inclusion du NIR, sous forme chiffrée, dans le numéro de liaison peut être admise.
 Les destinataires des informations sont les agents habilités de la CNAF et de la CCMSA.
 Les droit d'accès et de rectification conférés aux allocataires par la loi du 6 janvier 1978 modifiée s'exercent auprès du centre des impôts du domicile fiscal du requérant en ce qui concerne les informations détenues par la DGFIP, auprès de la CAF chargée de verser les allocations pour la CNAF, auprès de la caisse départementale ou pluri-départementale de la MSA dont relève l'assuré pour la CCMSA.
 Le droit d'opposition ne s'applique pas à cette procédure dans la mesure où les informations relatives aux ressources sont indispensables à la détermination du montant des droits.
 La commission prend acte des mesures de sécurité prévues pour garantir la confidentialité des échanges d'informations. Elle relève en particulier que les fichiers d'appels (CNAF/CCMSA vers la DGFIP) et de restitutions (DGFIP vers la CNAF/CCMSA) seront chiffrés. Il est prévu que des profils d'habilitation définissent pour chaque utilisateur les fonctions autorisées ou les catégories d'informations accessibles. Les accès à l'application font l'objet d'une journalisation des données de connexion.
 Afin de préciser le champ d'application de l'arrêté, la commission considère que l'article 2 du projet d'arrêté devrait préciser qu'il s'agit d'apprécier l'ouverture ou le maintien des droits des allocataires pouvant bénéficier ou bénéficiant de prestations sous condition de ressources et, s'il y a lieu, le calcul de ces droits.
 Enfin, dans la mesure où le numéro de liaison visé à l'article 4 est le même que celui visé à l'article 3, il conviendrait d'indiquer clairement qu'il s'agit du « numéro de liaison mentionné à l'article 3 ».
 Fait à Paris, le 3 juillet 2008.
Le président,
A. Türk