(Avis n° 0909154)
La Commission nationale de l'informatique et des libertés,
Saisie pour avis par le ministère du travail, des relations sociales, de la famille, de la solidarité et de la ville, le ministère du budget, des comptes publics, de la fonction publique et de la réforme de l'Etat, le ministère de la santé et des sports le 4 août 2009 d'un projet de décret en Conseil d'Etat portant création d'un traitement de données à caractère personnel dénommé « échanges inter-régimes de retraite ».
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 27-I ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-401 du 25 mars 2007 ;
Vu la loi du financement de la sécurité sociale n° 2008-1330 du 17 décembre 2008 ;
Vu le décret n° 2009-788 du 23 juin 2009 relatif aux conditions d'attribution de la majoration de pension de réversion et à certaines conditions d'attribution du minimum contributif et de l'allocation de solidarité aux personnes âgées ;
Après avoir entendu M. Philippe Gosselin, commissaire, en son rapport, et Mme Elisabeth Rolin, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Le projet de décret en Conseil d'Etat présenté par le ministère du travail, des relations sociales, de la famille, de la solidarité et de la ville, le ministère du budget, des comptes publics, de la fonction publique et de la réforme de l'Etat, le ministère de la santé et des sports vise à créer un traitement de données à caractère personnel dénommé « échanges inter-régimes de retraite ».
L'article L. 161-6 du code de la sécurité sociale (article 76 de la loi de financement de la sécurité sociale pour 2009 du 17 décembre 2008) prévoit que « les organismes et services chargés de la gestion des régimes de retraite de base et complémentaires légaux ou rendus légalement obligatoires communiquent par voie électronique les informations nécessaires à la détermination du droit au bénéfice des prestations de retraite et, s'il y a lieu, au calcul de ces dernières, notamment pour la mise en œuvre des articles L. 173-2 et L. 353-6 du présent code et L. 732-51-1 et L. 732-54-3 du code rural. Un décret en Conseil d'Etat fixe les modalités d'application du présent article. Ce décret peut, aux mêmes fins, prévoir la création d'un répertoire national ».
La commission prend acte, à la lecture du dossier technique, que le projet de décret concerne le répertoire visé à l'article susmentionné qui sera créé de façon transitoire pour répondre à l'exigence du législateur, ainsi que les échanges qui seront développés postérieurement dans le cadre du répertoire national commun de la protection sociale (RNCPS) qui se substituera au répertoire « échanges inter-régimes de retraite » à horizon 2014. Il est précisé que ledit répertoire doit être opérationnel au 1er décembre 2009 afin que les régimes puissent instruire les droits à majoration de pension de réversion des conjoints survivants âgés d'au moins 55 ans au 1er janvier 2010.
La Caisse nationale d'assurance vieillesse des travailleurs salariés est en charge de la création et de la mise en œuvre du répertoire.
Sur les finalités :
Le traitement a pour finalités la simplification des démarches administratives des bénéficiaires ainsi que l'appréciation du droit à la majoration de la pension de réversion, le recentrage du minimum contributif et la revalorisation des pensions servies par le régime des exploitants agricoles.
Sur les données collectées :
Les données collectées, et le cas échéant enregistrées, par le traitement sont les données communes d'identification (nom, prénoms, NIR) ainsi que les données relatives aux affiliations et avantages, qui comportent notamment la liste des régimes d'affiliation du bénéficiaire et de son conjoint ou ex-conjoint décédé, ainsi que le montant de chacun des avantages de retraite servi au bénéficiaire, sous-réserve de la mention d'un code spécifique lorsque l'avantage de retraite est supérieur à un seuil fixé par arrêté, et la mention que l'assuré a fait valoir tous ses droits auprès de l'organisme.
Ces informations sont fournies par les organismes dits contributeurs (ceux des régimes légaux ou rendus légalement obligatoires de base ou complémentaires).
Les données collectées n'appellent pas d'observation particulière.
Sur les destinataires :
Les organismes dits utilisateurs sont la Caisse nationale d'assurance vieillesse des travailleurs salariés, le régime social des indépendants, la Mutualité sociale agricole, les sections professionnelles de la Caisse nationale d'assurance vieillesse des professions libérales, les régimes spéciaux qui servent des pensions de réversion de coordination calculées selon les règles du régime général en application de l'article L. 173-1 du code de la sécurité sociale.
Les destinataires de ces données au sein des organismes utilisateurs sont les agents individuellement habilités en charge de l'instruction, du calcul et du versement de la majoration mentionnée à l'article 1er, 2°, 3° et 4° (à savoir pour l'appréciation du droit à la majoration de la pension de réversion, le recentrage du minimum contributif, la revalorisation des pensions servies par le régime des exploitants agricoles).
Sur les durées de conservation :
La commission prend acte que le nom de famille et les prénoms ne sont pas conservés, mais seulement utilisés aux fins de consultation du SNGI. Seul le NIR est conservé dans le répertoire national le temps durant lequel les informations relatives aux affiliations et avantages sont conservées, soit cinq ans à compter de la date à laquelle l'avantage de retraite cesse d'être servi.
Les informations relatives aux affiliations et avantages sont conservées pendant un délai de cinq ans à compter de la date à laquelle l'avantage de retraite cesse d'être servi.
Le ministère a souhaité allonger à cinq ans la durée de conversation initialement proposée dans le projet de décret à trois ans, afin de se conformer aux durées de conservation prévues dans le RNCPS.
La commission constate que cette durée de conservation apparaît justifiée au regard des finalités pour lesquelles les données sont collectées, que les données centralisées de rattachement du RNCPS seront également conservées pendant cinq années civiles suivant la date de fin de rattachement et qu'à horizon 2014 la plate-forme RNCPS se substituera au répertoire « échanges inter-régimes de retraite ».
Les mises à jour et les échanges, de même que les traces de ces opérations, sont conservés dans un journal pendant un an à compter de ces opérations.
Sur les sécurités :
Il ressort des éléments transmis par le ministère que les garanties relatives à la sécurité des données sont conformes à l'état de l'art.
Sur les droits des personnes :
En ce qui concerne les droits des personnes, les droits d'accès et de rectification s'exercent auprès de chacun des organismes dits utilisateurs, alors que le droit de rectification ne s'exerce qu'auprès de l'organisme dit contributeur.
La commission prend acte que le droit d'opposition des personnes à figurer dans ce fichier ne s'appliquera pas et de l'engagement du ministère de procéder à l'information des personnes, sur l'existence du répertoire et de leurs droits conformément à la loi Informatique et Libertés, par une mention sur le courrier de notification ou par une lettre jointe à la notification de la majoration de réversion.
La commission rappelle qu'en cas de demande d'accès les codes, signes et abréviations figurant dans les documents communiqués doivent être expliqués, si nécessaire à l'aide d'un lexique.
Sur la convention avec la CNAV-TS :
Une convention entre la CNAV-TS et chaque organisme devra déterminer les modalités de participation des organismes, les caractéristiques des systèmes d'information mis en œuvre pour assurer une alimentation et une consultation sécurisées, les règles d'habilitation définies par les organismes pour chaque mode de consultation et de traitement des données ainsi que les exigences relatives à la qualité des données fournies par les organismes contributeurs.