Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Emet l'avis suivant :
La ministre des affaires sociales, de la santé et des droits des femmes a saisi la commission d'un projet de décret en Conseil d'Etat autorisant la mise en œuvre d'un traitement automatisé de données à caractère personnel à partir de l'échantillon interrégimes de retraités (EIR) et de données fiscales en vue de la constitution de statistiques.
Responsable du traitement
La direction de la recherche, des études, de l'évaluation et des statistiques du ministère des affaires sociales et de la santé (DREES)
Sur la finalité
Le traitement a pour finalité la réalisation d'études à caractère statistique relatives aux revenus des retraités au-delà de la seule pension de retraite au moyen de l'appariement des données de l'échantillon interrégimes de retraités (EIR) de la DREES avec les données fiscales de la direction générale des finances publiques (DGFIP).
Les informations collectées permettront d'avoir une vue d'ensemble des revenus des retraités au-delà des montants individuels des pensions.
La commission considère que la finalité poursuivie est déterminée, explicite et légitime, conformément aux dispositions de l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
L'extraction du fichier issu des caisses de retraite comporte des données relatives :
- à l'identification des personnes : nom, prénom, adresse, date et lieu de naissance ;
- au NIR.
L'extraction du fichier issu de la direction générale des finances publiques (DGF [P) comporte des données relatives :
- à la situation familiale des personnes ;
- aux revenus des personnes.
La DREES transmet un numéro d'ordre aux caisses de retraite à chaque vague de l'EIR.
Les caisses de retraite extraient de leurs bases de données les noms, prénoms, adresses, sexe, date et lieu de naissance à partir de la liste de NIR issue de l'EIR.
Elles y accolent un numéro d'ordre à partir d'un appariement avec le numéro d'ordre fourni par la DREES.
Les caisses de retraite transmettent au Pôle revenus fiscaux de l'insee les identifiants utiles à l'appariement (nom, prénom, sexe, année, mois et département de naissance, adresse) et le numéro d'ordre. Le NIR n'est pas transmis et sert uniquement à identifier les individus appartenant à l'EIR.
L'INSEE réalise l'appariement avec les données fiscales à partir des identifiants précités. Il retourne à la DREES les variables issues des fichiers fiscaux et le numéro d'ordre. Les variables nominatives (nom, prénom, adresse) sont préalablement supprimées.
Les variables issues des fichiers fiscaux transmises à la DREES sont relatives aux éléments généraux d'identification de l'individu (sexe, situation familiale, tranche d'âge, année de naissance de l'individu, du conjoint, nombre d'enfants et de personnes à charge et lien avec la personne de référence, nombre de personnes dans le logement, décès, mariage ou séparation dans l'année, département de l'adresse fiscale, parents isolés, etc.), aux revenus au niveau de l'individu (traitement et salaire, chômage et préretraite, retraites et pensions, revenus non commerciaux, revenus agricoles, pensions alimentaires reçues, etc.) et aux revenus au niveau du foyer (mêmes informations que précédemment mais au niveau du foyer, pensions alimentaires versées, avoirs fiscaux et crédits d'impôts, revenus fonciers nets, impôts sur le revenu, plus-values et gains divers, contribution sur les loyers, prime pour l'emploi, etc.).
La DREES apparie les données fiscales avec les données de l'EIR en combinant les deux numéros d'ordre et ne dispose pas de données directement identifiantes car celles-ci ne sont pas transmises.
Compte tenu de ces éléments, les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l'article 6 (3°) de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Seuls les agents habilités de la l'INSEE et de la DREES peuvent avoir accès, chacun pour ce qui les concerne, à ces informations.
Le NIR n'est pas transmis à l'INSEE par les caisses de retraite.
Ces destinataires n'appellent pas d'observation de la part de la commission.
Sur l'information et le droit d'accès
Le droit à l'information des personnes concernées par le présent traitement est exercé par voie d'affichage dans les différentes caisses de retraite.
Conformément à l'article R. 161-68 du code de la sécurité sociale, le droit d'accès et de rectification s'exerce auprès de la DREES par l'intermédiaire des caisses de retraite pour les fichiers qu'ils détiennent dans le cadre de la mise en œuvre de l'échantillon.
Pour les données fiscales, le droit d'accès et de rectification est exercé auprès de la DGFIP.
La commission prend acte du fait que le droit d'opposition des personnes au traitement de leurs données ne s'applique pas à cette procédure en application du troisième alinéa de l'article 38 de la loi du 6 janvier 1978 modifiée.
En effet, l'article 4 du projet de décret énonce que « le droit d'opposition (...) ne s'applique pas au traitement mentionné à l'article 1er. »
Sur les mesures de sécurité
La commission prend acte de ce que le projet de décret a été modifié afin de ne plus indiquer que le numéro d'ordre personnel, visé à l'article 2-1, du projet de décret, est anonyme.
L'article 6 du projet prévoit que le service chargé de la mise en œuvre du traitement « met en place des restrictions d'accès aux seules personnes habilitées à en assurer l'exploitation ».
A cet égard, la commission relève que c'est l'INSEE, qui détient les éléments directement identifiants, qui est chargée de gérer les droits d'accès au fichier.
S'agissant de la DREES, les données sont stockées sur un serveur dont l'accès est réservé aux agents de la DREES.
Les accès aux données au niveau de l'INSEE sont réalisés après authentification des personnes habilitées par l'utilisation d'un identifiant et d'un mot de passe.
La politique de sécurité en vigueur à l'INSEE prévoit que les mots de passe doivent être d'au moins huit caractères choisis parmi trois types différents.
La commission prend acte que l'INSEE envisage de modifier la règle sur les mots de passe d'ici à un an afin que ceux-ci soient composés d'un minimum de dix caractères.
Les agents de la DREES habilités accèdent aux postes de travail par l'intermédiaire d'une carte à puce associée à un code secret.
En outre, l'accès au serveur sur lequel sont stockées les données nécessite une nouvelle authentification basée sur un identifiant et un mot de passe composé de huit caractères avec au moins un chiffre et un caractère spécial.
L'INSEE est chargé d'assurer la traçabilité des opérations liées au traitement.
A cet égard, les accès et actions (consultation, création, mise à jour et suppression) aux fichiers au sein de l'INSEE sont tracés. Les utilisateurs sont informés qu'une telle mesure est mise en œuvre par la signature d'une charte.
En revanche, les actions réalisées par le personnel de la DREES ne sont pas tracées.
La commission estime que la Dress devrait mettre en place des mesures permettant de détecter les incidents concernant des données à caractère personnel de façon précoce, et de disposer d'éléments exploitables pour les étudier ou pour fournir des preuves dans le cadre d'enquêtes.
Les transferts sont sécurisés par le recours au protocole TLS.
Les données conservées par l'INSEE sont chiffrées par l'algorithme AES-128.
La Commission rappelle qu'une politique de gestion des clés de chiffrement, précisant notamment les modalités de création, conservation et modification des clés de chiffrement ainsi que les habilitations nécessaires pour accéder aux clés, devra être documentée et implémentée.
Sous réserve des précédentes observations, les autres mesures de sécurité décrites par le responsable de traitement sont donc conformes à l'exigence de sécurité prévues par l'article 34 de la loi du 6 janvier 1978 modifiée.
La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les durées de conservation sont les suivantes ;
- six ans pour les données d'identification (nom, prénom, date et lieu de naissance) collectées par l'INSEE ;
- six mois pour les données relatives à la vie personnelle et les informations relatives aux revenus issues des fichiers fiscaux, collectées par l'INSEE ;
- deux ans pour le NIR collecté par l'INSEE.
La commission prend acte que ces durées de conservation sont justifiées par les durées administratives de la collecte des informations du présent traitement.
La commission considère que ces durées de conservation ne sont pas excessives au regard de la finalité poursuivie.