Délibération n°2010-296 du 15 juillet 2010 portant avis sur un projet d’acte réglementaire relatif à l’accès aux services offerts par la Caisse Nationale d’Assurance Vieillesse sur l’Espace des Organismes Partenaires de la Protection Sociale (EOPPS)

(Demande d’avis n°1425431)

Nature: Avis

La Commission nationale de l’informatique et des libertés,
 
Saisie pour avis par la Caisse Nationale d’Assurance Vieillesse (CNAV) d’un projet d’Acte réglementaire relatif à l’accès aux services offerts par la CNAV sur l’Espace des Organismes Partenaires de la Protection Sociale (EOPPS) ;
 
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
 
Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiées par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment son article 27-II-2° ;
 
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par le décret n°2007-401 du 25 mars 2007 ;
 
Vu la loi n°2007-1786 du 19 décembre 2007 de financement de la sécurité sociale pour 2008, et notamment son article 109 (créant l’article L.224-13 du Code de la Sécurité sociale) ;
 
Vu le décret n°2009-1577 du 16 décembre 2009, et notamment son article 1er (créant l’article R.114-26 du Code de la sécurité sociale) ;
 
Vu la délibération n°2009-211 du 30 avril 2009 portant avis sur un projet de décret en Conseil d’État relatif au Répertoire National Commun de la Protection Sociale (RNCPS) ;
 
Vu la délibération n°2009-562 du 24 septembre 2009 portant avis sur un projet de décret en Conseil d’État portant création d’un traitement de données à caractère personnel dénommé échanges inter-régimes de retraite (EIRR) ;
 
Après avoir entendu M. Philippe GOSSELIN, Commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du gouvernement, en ses observations ;
 
Émet l’avis suivant :
 
En application des dispositions de l’article 27-II-2° de la loi du 6 janvier 1978 modifiée, la Commission a été saisie pour avis par la Caisse Nationale d’Assurance Vieillesse (CNAV) d’un projet d’acte réglementaire relatif à l’Espace des Organismes Partenaires de la Protection Sociale (EOPPS), créé sur le fondement de l’article L.224-14 du Code de la sécurité sociale.
 
L’article L.224-14 du Code de la sécurité sociale dispose que les caisses nationales mentionnées aux articles L. 221-2, L. 222-4 et L. 223-2 mettent en œuvre ou coordonnent des actions de contrôle sur le service des prestations afin de détecter les fraudes et les comportements abusifs. Elles peuvent à ce titre utiliser des traitements automatisés des données relatives au service des prestations .
 
Pour répondre à cette nouvelle finalité de lutte contre la fraude, le portail intranet PARN, qui avait pour objet de mettre à disposition des partenaires de la sphère sociale, des informations utiles pour la gestion des retraites et l’identification des personnes , devient l’Espace des Organismes Partenaires de la Protection Sociale (EOPPS).
 
Le portail EOPPS permet aux partenaires de la CNAV dûment habilités d’accéder en consultation aux systèmes nationaux gérés par la Direction du Système d’Information National des Données Sociales de la CNAV aux traitements et services suivants :
 
- la consultation du RNIAM (Répertoire National Inter-régimes des Bénéficiaires de l’Assurance Maladie) ;
- le DNA Web, qui correspond à la saisie, au contrôle et à la transmission à la CNAV des Déclarations Nominatives Annuelles ;
- l’Identification Assuré, assurant la consultation du SNGI (Système National de Gestion des Identifiants) de la CNAV ;
- l’e-learning Identification, permettant la formation à l’utilisation du SNGI ;
- la Consultation
 Compte
 Assuré, assurant la Consultation du SNGC (Système National de Gestion des Carrières) de la CNAV ;
- le RNCPS qui fournit un service de consultation du Répertoire National Commun de la Protection Sociale (délibération n°2009-211 du 30 avril 2009) ;
- le RFO, qui fournit un service de consultation du référentiel des organismes à partir du RNCPS ;
- l’EIRR, qui fournit un service de consultation du répertoire des Echanges Inter-Régimes de Retraite à partir de CCA (délibération n°2009-562 du 24 septembre 2009) ;
- l’Inscription déléguée, qui correspond à la gestion déléguée aux partenaires des habilitations d’accès de leurs personnels aux services offerts par EOPPS.
La Commission
 prend acte qu’EOPPS sera un portail intranet permettant d’accéder, d’une part, aux traitements de données accessibles depuis 2005 via le portail PARN, et, d’autre part, au RNCPS et à l’EIRR.
Comme indiqué dans la délibération de la Commission relative au RNCPS (délibération n°2009-211 du 30 avril 2009), la Commission prend acte que le portail EOPPS se substituera au portail PARN par l’intermédiaire duquel l’accès au RNCPS sera garanti.
En outre, elle relève que le portail intranet EOPPS sera utilisé par l’ensemble des partenaires lorsque ceux-ci souhaitent, au cas par cas, confirmer l’identité d’un bénéficiaire, l’étendue de ses droits ou s’assurer de l’absence de toute fraude. 
A cet égard, elle souligne que le portail EOPPS ne permet que la consultation des données, et qu’aucune interconnexion des données, ni aucune extraction ne seront possibles. 
Sur les finalités
L’Espace des Organismes Partenaires de la Protection Sociale (EOPPS) permet à l’ensemble des partenaires de répondre à une triple finalité de vérification des droits ouverts, de confirmation des données d’identification des personnes et de vérification des informations dont elles disposent dans le cadre de la lutte contre la fraude.
 
Comme le portail intranet PARN, le portail EOPPS permet aux organismes partenaires de vérifier, au cas par cas, les informations figurant dans sa propre base de données, par la consultation des données mises à disposition par la Caisse Nationale d’Assurance Vieillesse.
Conformément à l’article 10 de la loi du 6 janvier 1978 modifiée, aucune décision produisant des effets juridiques à l’égard d’une personne ne sera prise sur le seul fondement de la consultation d’EOPPS. 
 
Sur les données 
 
Les catégories de données personnelles accessibles sur l’Espace des Organismes Partenaires de la Protection Sociale correspondent à des données d’identification et de prestations sociales des bénéficiaires.
 
Le projet d’acte réglementaire distingue cinq catégories de données, provenant des traitements de données à caractère personnel mis en œuvre par les différents organismes. 
 
Parmi les catégories de données traitées, trois sont communes aux différents services accessibles via EOPPS : les données d’identification, les données de rattachement et les données de prestations. 
 
Tandis que deux catégories de données sont propres à deux services accessibles via EOPPS : les données économiques et financières dans le service DNA Web et les données relatives à la vie professionnelle de la personne dans le service CCA.
Les données d'identification des bénéficiaires comportent notamment le nom patronymique (d’usage ou marital) et les prénoms, les noms et prénoms du père et de la mère (pour les personnes nées hors de France), le Code certification de l’Etat civil, le sexe, les dates et lieux de naissance, le cas échéant, la mention de la date du décès, le NIR et, éventuellement, l’identifiant de l’établissement concerné, son adresse et son code APE.
 
Les données de rattachement et de mutation inter-régimes comportent notamment le numéro d’identifiant de l’ouvrant droit bénéficiaire, le numéro d’identification propre au Régime d’Assurance Maladie, les identifiants des organismes auxquels un individu est actuellement rattaché, ou a été rattaché dans les cinq dernières années, les dates de rattachement à l’ancien et au nouvel organisme d’assurance maladie servant les prestations de base, les motifs de fin de rattachement, et, le cas échéant, les domaines de risques touchant aux prestations gérées par ces organismes ainsi que la mention que la personne n’est plus bénéficiaire de l’Assurance Maladie.
 
Les données de prestations qui comportent des droits ou prestations, c'est-à-dire la nature des droits ou prestations ainsi que leur date d’effet, la qualité du bénéficiaire au regard de chacun de ces droits ou prestations, l’état de chacun des droits ou prestations, ainsi que la date d’effet et le motif de cet état, l’adresse déclarée pour l’ouverture du droit ou le versement de la prestation, comportant, le cas échéant, la mention d’incidents sur cette adresse, et les numéros de téléphone et adresses électroniques (s’ils ont été fournis par le bénéficiaire).
 
Les données économiques et financières, qui correspondent au service DNA Web, concernent le bénéficiaire (validité, situation additive, normale ou soustractive du bénéficiaire, code droit de l’avantage, nombre de mois au taux 1, nombre de mois au taux 2, salaire forfaitaire annuel, cotisation versée) et l’employeur (nombre de mois, cotisations et nombre de bénéficiaires à 20%, et nombre de bénéficiaires à 50%, et nombre de bénéficiaires à 100%).
 
Les données relatives à la vie professionnelle de la personne, qui correspondent au service CCA, concernent les salaires (déclarations nominatives, assurance vieillesse, vignettes de cotisation assurance vieillesse, déclarations spéciales), les périodes assimilées, les salaires autres régimes (CNIEG et CPS Mayotte), les trimestres autres régimes de retraite de bases obligatoires , les trimestres Institutions UE , les majorations assurance, numéro assurance sociales , les décisions commission de recours amiable , les rentes autres régimes assimilés (CFF, CGE, autres).
 
La Commission prend acte qu’en application des articles R 115-1 et suivants du Code de la sécurité sociale, l’ensemble des organismes de protection sociale sont autorisés à utiliser le NIR dans le cadre de leurs missions (décret n°85-1343 du 16 décembre 1985 instituant un système de transfert de données sociales). Pôle Emploi est lui aussi habilité à utiliser ce numéro (comme l’ANPE et les Assedics y étaient eux-mêmes habilités depuis 1987).
 
Sur les durées de conservation
 
Comme le précise l’article 5.1 de la convention signée entre la CNAV et ses partenaires, la conservation des données offertes en consultation sur l’espace EOPPS sont de la responsabilité de la CNAV , tandis que la conservation des données dans le système d’information du partenaire [est] de sa propre responsabilité .
Les durées de conservation des données offertes en consultation sur le portail EOPPS sont les durées déterminées par les actes réglementaires ayant créé les traitements faisant l’objet des différentes consultations sur le portail. Elles varient en fonction de la catégorie visée.
1/ Les données d'identification sont détruites dans la deuxième année à compter du décès, ou cinq années civiles suivant la date de fin de rattachement, ou de la date de fin de droit sur le RNIAM et le RNCPS. Elles sont conservées jusqu’à extinction des droits des ayant-droits pour le SNGI et le DNA.
 
2/ Les informations de mutation inter-régimes donnent lieu à effacement de la mention de l’organisme de base cédant à réception d’un avis de radiation au fichier de l’organisme.
 
3/ Les données de prestations sont détruites dans la deuxième année à compter du décès, ou cinq années civiles suivant la date de fin de rattachement.
 
4/ Les données économiques et financières (DNA Web) sont conservées jusqu’à extinction des droits des ayant-droits.
 
5/ Les données relatives à la
vie professionnelle de la personne (CCA) sont conservées jusqu’à extinction des droits des ayant-droits.
 
Sur les destinataires
 
Les destinataires des données accessibles sur le portail EOPPS sont les agents individuellement désignés des partenaires préalablement identifiés dans le cadre du traitement PARN :
- l’Agence centrale des organismes de Sécurité sociale (ACOSS), 
- la Caisse Nationale des Allocations Familiales (CNAF), 
- la Caisse Nationale d’Assurance Maladie des Travailleurs Salariés (CNAMTS), 
- la Caisse Centrale de la Mutualité Sociale Agricole (CCMSA), 
- le Fonds d'indemnisation des victimes de l'amiante (FIVA).
L’application EOPPS permettra également à de nouveaux partenaires d’accéder aux services RNCPS, RFO et EIRR du portail Intranet, dans la limite de leurs habilitations. Ces nouveaux partenaires sont :
- des organismes de l’assurance chômage (Pole Emploi), 
- des organismes de protection sociale des ministres du culte ;
- des organismes du régime agricole ; 
- des organismes du régime des professions non salariées agricoles ; 
- des organismes gérant le régime des fonctionnaires et des agents non titulaires de l’Etat ; 
- des organismes des régimes spéciaux ; 
- des organismes gérant les régimes divers de retraites ; 
- des organismes de caisses de congés payés ; 
- des organismes mutualistes délégataires de la CNAMTS ; 
- des sections locales mutualistes des étudiants ; 
- des sections locales mutualistes des fonctionnaires hospitaliers ; 
- des sections locales mutualistes des fonctionnaires territoriaux ; 
- des sections locales mutualistes des fonctionnaires territoriaux et hospitaliers ; 
- d’autres mutuelles relevant de l’article L 211-4.
Conformément à l’article 4 de l’acte réglementaire, la liste complète et exhaustive de ces organismes est rendue accessible sur le site www.cnav.fr.
A cet égard, la Commission prend en considération que les partenaires de la CNAV ne pourront déroger aux règles fixées dans les actes réglementaires instituant les différents traitements et limitant le nombre des organismes consultants aux destinataires clairement identifiés par décret (RNCPS, EIRR) ou dûment habilités (SNGI). 
 
Sur la sécurité
 
La Commission observe que l’application EOPPS est susceptible de permettre l’accès à des données à caractère personnel concernant l’ensemble de la population française et les personnes résidant de façon stable sur le territoire français. 
 
Elle relève également que le nombre d’agents pouvant accéder au répertoire est susceptible d’être particulièrement élevé. 
 
La protection physique des locaux de la CNAV présente des garanties acceptables en termes de sécurité physique et logique.
 
Compte tenu du nombre très important d’agents susceptibles d’accéder à l’ensemble des applications référencées par EOPPS, la Commission considère que le suivi et le contrôle des habilitations constituent un point essentiel pour garantir la sécurité. A ce sujet, elle prend acte que l’ensemble des habilitations sont centralisées par la CNAV.
 
Au sein de chaque organisme, seuls les agents habilités à contrôler l’identification des personnes et à organiser la lutte contre la fraude ont accès au portail.
 
Les modalités de consultation d’EOPPS sont fixées par la convention signée par la CNAV avec chaque organisme partenaire.
 
La Commission indique que, pour permettre de détecter d’éventuelles tentatives d’authentification frauduleuses, les données de connexion seront enregistrées dans un journal permettant notamment la remontée d’alertes aux techniciens habilités de la CNAV. Ce journal sera conservé un an.
 
Ces données de connexion comprendront la date, l’heure, l’information, l’adresse IP, l’authentification unique et le message lié à la connexion (échec à la connexion, échec à l’authentification, tentative de connexion, tentative de changement de mot de passe, déconnexion). 
 
 
Sur les droits des personnes
 
Concernant l’article 32 de la loi du 6 janvier 1978 modifiée en 2004, l’information des personnes sera faite par voie d’affichage et par une mention spécifique sur le site Internet des organismes partenaires.
Le droit d’accès pourra être exercé auprès de la personne en charge des habilitations dans leur organisme et auprès de la CNAV.
Le droit de rectification pourra être exercé, pour les données communes d’identification, auprès de la CNAVTS et, pour les données centralisées de rattachement et les données de prestations, auprès de l’organisme servant la prestation concernée.
Conformément au troisième alinéa de l’article 38 de la loi du 6 janvier 1978 modifiée, le droit d’opposition ne s’applique pas au présent traitement.
Sur la mise en place d’un bilan d’EOPPS
 
La Commission demande qu’un bilan annuel de la mise en œuvre d’EOPPS permette, en partenariat avec la CNAVTS :
- de mesurer les résultats obtenus en matière de contrôle et de lutte contre la fraude ; 
- de visualiser le schéma des procédures d’habilitations au sein des organismes partenaires, et le nombre d’agents habilités à consulter EOPPS ; 
- de dresser un tableau récapitulatif des demandes de consultation des différents organismes ; 
- de dresser un état des lieux relatif aux actions menées pour informer les personnes de leurs droits.
 
 
 
Le Président,
Alex TÜRK