La Commission nationale de l'informatique et des libertés,
 Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
 Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
 Vu le code de la sécurité sociale, et notamment ses articles L. 133-6-4 et R. 133-20 ;
 Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 ;
 Vu le décret n° 99-1047 du 14 décembre 1999 pris pour l'application de l'article 107 de la loi de finances pour 1999 relatif à l'utilisation du numéro d'inscription au répertoire national d'identification des personnes physiques par la direction générale des impôts, la direction générale de la comptabilité publique et la direction générale des douanes et droits indirects ;
 Vu le décret n° 2002-771 du 3 mai 2002 portant création d'une procédure de transfert des données fiscales et les deux arrêtés d'application du 3 mai 2002 ;
 Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
 Vu la délibération n° 01-055 de la CNIL en date du 25 octobre 2001 relative à la création d'une procédure de transfert de données fiscales pour le compte de l'Etat et des organismes de protection sociale visés à l'article L. 152 du livre des procédures fiscales ;
 Vu la demande d'avis présentée par le ministère du budget et le ministère de l'économie concernant la mise en œuvre d'un traitement automatisé de données à caractère personnel destiné à mettre en place un transfert de données fiscales ;
 Après avoir entendu M. Philippe GOSSELIN, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
    Emet l'avis suivant :
 La Commission nationale de l'informatique et des libertés a été saisie par le ministère du budget et par le ministère de l'économie d'un projet d'arrêté et d'une demande d'avis relative à la mise en œuvre, à titre expérimental, d'un transfert de données fiscales de la direction générale des finances publiques (DGFiP) vers l'Agence centrale des organismes de sécurité sociale (ACOSS) permettant le calcul des cotisations sociales des assurés sociaux relevant du régime des indépendants (RSI).
 Cette expérimentation de transfert de données fiscales sera conduite du 3e trimestre 2009 au 4e trimestre 2010, sur les revenus 2008 et les revenus 2009. Elle a pour objectif d'évaluer la population qui, en l'absence d'identification, devra à terme continuer à recevoir une déclaration commune de revenus (DCR), mais également d'effectuer des travaux de reconstitution de l'assiette des cotisations à partir des données fiscales pour en vérifier l'exhaustivité par rapport aux données collectées dans la DCR et de mesurer les évolutions préalables à la mise en œuvre de la suppression de la DCR.
 Le transfert prévu en 2009 sur les revenus 2008 servira à donner à 1'ACOSS une vue générale des résultats d'identification des assurés sociaux par la DGFiP et à dégager des pistes d'amélioration. Les données fiscales transmises par la DGFiP seront utilisées par les URSSAF de Nantes, de Clermont-Ferrand et de Paris pour reconstituer manuellement l'assiette des cotisations sociales des assurés sociaux et préparer les évolutions nécessaires à la reconstitution automatique de l'assiette. Le transfert prévu en 2010 sur les revenus 2009 servira de test à blanc de la future procédure de transfert de données fiscales.
 Les résultats de cette expérimentation permettront de décider, à la fin de l'année 2010, de supprimer ou non la DCR pour les assurés sociaux relevant du RSI. Si l'expérimentation était concluante, ce dispositif permettrait à terme une simplification des démarches des travailleurs indépendants bénéficiant de prestations sociales en les dispensant de déclarer leurs revenus chaque année auprès du RSI, à condition d'avoir déjà effectué leur déclaration de revenus auprès de l'administration fiscale.
 La CNIL a déjà rendu un avis favorable le 25 octobre 2001 (délibération n° 01-055) sur un transfert de données fiscales vers les organismes de protection sociale aux fins de contrôle des déclarations de ressources. Le présent traitement vise à permettre, à titre expérimental, le transfert de données fiscales des assurés sociaux relevant du régime des indépendants (RSI).
 La commission prend acte que ce traitement n'a pas pour objet de permettre l'échange entre I'ACOSS et la DGFiP de fichiers dénonçant des faits susceptibles de constituer des infractions aux lois et règlements relatifs aux impôts et taxes en vigueur ou aux cotisations et contributions sociales. 
L'ACOSS transmet au Centre national de transfert des données fiscales (CNTDF) un fichier d'appel regroupant l'ensemble des assurés sociaux dont elle souhaite obtenir les données fiscales. Les éléments d'identification suivants figurent dans le fichier d'appel : le nom de naissance et, le cas échéant, le nom d'usage, le ou les prénoms, les date et lieu de naissance, l'adresse, le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR), le numéro SIRET de l'organisme demandeur, un numéro de liaison de l'assuré. La commission prend acte du fait que le NIR n'est pas inclus dans ce numéro de liaison. 
 Les NIR transmis par I'ACOSS sont exclusivement conservés au CNTDF dans des fichiers informatisés dédiés, dénommés « table de correspondance NIR/Itip-SPI », qui permettent d'établir un lien entre, d'une part, le NIR, complété des quatre premiers caractères du nom de naissance, et, d'autre part, l'identifiant technique du système d'information de la DGFiP, l'Itip, et l'identifiant fiscal national individuel utilisé par les administrations fiscales dans leurs traitements internes et dans leurs relations avec les contribuables, le SPI. 
 Pour chaque fichier d'appels reçus : plusieurs fichiers de restitutions produits au CNTDF sont successivement adressés à 1'ACOSS. Ces fichiers se rapportent soient à l'identification des assurés sociaux, soit aux situations fiscales initialement déclarées. 
 Les informations restituées à l'ACOSS par le traitement TDF sont les suivantes : 
 ― un code indiquant que l'assuré est connu ou non des services fiscaux ; 
 ― les catégories d'informations issues des déclarations d'ensemble des revenus, montants et codes associés, correspondant aux rubriques suivantes :
  ― les traitements et salaires de la personne concernée et du conjoint ou partenaire du PACS ; 
  ― les revenus et plus-values des professions non salariées (pour la personne concernée et le conjoint ou partenaire du PACS) : revenus agricoles, revenus industriels et commerciaux professionnelles, revenus industriels et commerciaux non professionnels, revenus non commerciaux professionnels, revenus non commerciaux non professionnels ; 
  ― les revenus à imposer aux prélèvements sociaux de la personne concernée et du conjoint ou partenaire du PACS ; 
 ― le numéro d'ordre du traitement de l'imposition ;
 ― le numéro du rôle d'émission ;
 ― le numéro de liaison ;
 ― le numéro SIRET de l'organisme demandeur.
 Ces informations sont conservées pendant une durée de trois ans à compter de l'exercice du paiement. Les informations contenues dans les fichiers d'appels ou de restitutions sont, quant à elles, conservées an CNTDF le temps nécessaire aux opérations de transfert. 
 Les destinataires des informations sont les agents habilités de l'ACOSS. 
 Les droit d'accès et de rectification conférés aux assurés sociaux par la loi du 6 janvier 1978 modifiée s'exercent auprès du centre des impôts du domicile fiscal du requérant en ce qui concerne les informations détenues par la DGFiP, auprès de la caisse du RSI chargée du recouvrement des cotisations pour les informations transmises à I'ACOSS. 
 Le droit d'opposition ne s'applique pas à cette procédure dans la mesure où les informations relatives aux ressources sont indispensables à la détermination du montant des droits. 
 La commission prend acte des mesures de sécurité prévues pour garantir la confidentialité des échanges d'informations. Elle relève en particulier que les fichiers d'appels (ACOSS vers la DGFiP) et de restitutions (DGFiP vers ACOSS) seront chiffrés. Il est prévu que des profils d'habilitation définissent pour chaque utilisateur les fonctions autorisées ou les catégories d'informations accessibles. Les accès à l'application font l'objet d'une journalisation des données de connexion.