La Commission nationale de l'informatique et des libertés,
Saisie par le ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social et par Pôle emploi de deux demandes d'avis concernant respectivement un projet de décret en Conseil d'Etat habilitant Pôle emploi, dans le cadre de la gestion du contrat de génération, à collecter et à traiter des numéros d'inscription des personnes au répertoire national d'identification des personnes physiques, d'une part, et un projet de décision du conseil d'administration de Pôle emploi portant création d'un traitement automatisé de données à caractère personnel dénommé « Aide-contrat de génération », d'autre part ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code du travail, notamment ses articles L. 5121-6 et L. 5121-19 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 11 (2°, d) et 27 (II, 2°) ;
Vu la loi n° 2013-185 du 1er mars 2013 portant création du contrat de génération ;
Vu le décret n° 87-1025 du 17 décembre 1987 relatif à l'utilisation du répertoire national d'identification des personnes physiques par l'Agence nationale pour l'emploi et les institutions gestionnaires du régime d'assurance chômage ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2008-2010 du 29 septembre 2008 relatif à l'organisation du service public de l'emploi ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Emet l'avis suivant :
La commission a été saisie par le ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social, sur le fondement de l'article 11 (2° d) de la loi du 6 janvier 1978 modifiée, d'une demande d'avis relative à un projet de décret en Conseil d'Etat habilitant Pôle emploi, chargé de la gestion du contrat de génération, à collecter et à traiter des numéros d'inscription des personnes au répertoire national d'identification des personnes physiques.
La commission rappelle que l'Agence nationale pour l'emploi (ANPE) a été autorisée, par le décret n° 87-1025 du 17 décembre 1987, à collecter le NIR des demandeurs d'emploi et à le transmettre aux institutions gestionnaires du régime d'assurance chômage, aux organismes de sécurité sociale, aux organismes de retraite complémentaire ou encore aux directions départementales du travail, de l'emploi et de la formation professionnelle.
L'article 7 du décret n° 2008-1010 du 29 septembre 2008, relatif à l'organisation du service public de l'emploi, ayant prévu que « dans tous les textes réglementaires en vigueur les mots : "ANPE” sont remplacés par les mots : "institution mentionnée à l'article L. 5312-1 du code du travail” », la commission estime que Pôle emploi est autorisé à traiter le NIR des demandeurs d'emploi sur la base du décret n° 87-1025 du 17 décembre 1987.
Elle relève néanmoins que le dispositif « Contrat de génération » ne concerne pas uniquement des demandeurs d'emploi, mais également des personnes actives. Il en résulte que les décrets précités ne peuvent servir de fondement au traitement par Pôle emploi de numéros de sécurité sociale concernant les bénéficiaires d'un contrat de génération.
Afin de permettre cette utilisation du numéro de sécurité sociale dans le cadre de la mise en œuvre du dispositif « Contrat de génération », le ministère a souhaité habiliter Pôle emploi à utiliser le NIR pour la gestion et le versement des aides dans le cadre du contrat de génération.
Ce projet de décret en Conseil d'Etat soumis pour avis à la commission n'appelle pas, en l'état, d'observations. Cependant, la commission regrette le caractère tardif de cette demande qui intervient alors même que de nombreux contrats de génération ont déjà été signés.
Aux fins de réalisation des missions qui lui ont été confiées dans le cadre du dispositif « Contrat de génération », Pôle emploi a en outre saisi la commission d'une demande d'avis, sur le fondement de l'article 27 (II-2°) de la loi du 6 janvier 1978 modifiée, relative à un projet de décision de son conseil d'administration portant création d'un traitement automatisé de données à caractère personnel dénommé « Aide-contrat de génération ».
En effet, il résulte de cet article que les personnes morales de droit public mettant en œuvre un traitement comportant le NIR peuvent l'autoriser par décision de l'organe délibérant dès lors que, d'une part, le traitement envisagé ne comporte aucune donnée sensible ou relative à des infractions et ne donne pas lieu à interconnexion entre des traitements ou fichiers correspondant à des intérêts différents, et, d'autre part, que le traitement envisagé est mis en œuvre par des services ayant pour mission de déterminer les conditions d'ouverture ou l'étendue d'un droit des administrés.
Sur la finalité du traitement :
Le contrat de génération a été créé par la loi n° 2013-185 du 1er mars 2013. Le nouvel article L. 5121-6 du code du travail dispose que « le contrat de génération a pour objectifs de faciliter l'intégration des jeunes dans l'emploi par leur accès à un contrat à durée indéterminée, de favoriser l'embauche et le maintien en emploi des salariés âgés et d'assurer la transmission des savoirs et des compétences ».
Ce nouveau dispositif prévoit que les entreprises qui signent un contrat de génération avec un jeune de moins de 26 ans, en contrepartie du maintien de l'emploi d'un senior de plus de 57 ans, peuvent percevoir, sous certaines conditions, une aide financière versée par l'Etat. Pour les personnes en situation de handicap, ces seuils d'âge sont fixés à 30 ans pour les jeunes salariés embauchés, d'une part, et à 55 ans et plus pour les salariés âgés, d'autre part.
Le contrat de génération est applicable aux employeurs de droit privé et sa mise en œuvre est adaptée selon la taille de l'entreprise, La loi prévoit que l'aide financière prévue au bénéfice des entreprises adhérant au dispositif « Contrat de génération », soit 4 000 EUR par an pendant trois ans, est versée par Pôle emploi pour le compte de l'Etat.
Aussi, le traitement soumis à l'avis de la commission est-il destiné à la gestion de l'aide allouée aux entreprises par Pôle emploi.
L'article 1er du projet de décision de Pôle emploi précise que ce traitement a pour finalité « d'attribuer et de verser une aide à l'employeur, pour le compte de l'Etat, et de transmettre au ministère chargé de l'emploi des données à caractère personnel relatives à cette aide à des fins de suivi financier, de pilotage de la politique de l'emploi et de statistiques ».
La commission considère que ces finalités sont déterminées, explicites et légitimes.
Sur la nature des données traitées :
L'article 2 du projet de décision du conseil d'administration de Pôle emploi mentionne les données collectées et enregistrées dans le cadre du traitement soumis à la commission.
Ces données peuvent concerner trois catégories de personnes.
S'agissant des jeunes salariés embauchés :
― données d'identification (nom, prénom, date de naissance, adresse et numéro de téléphone) ;
― numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (numéro de sécurité sociale ou NIR) ;
― données relatives à la vie professionnelle (date d'embauche et caractéristiques du contrat, nature de l'emploi, période de suspension du contrat, date et motif de la rupture du contrat, reconnaissance de la qualité de travailleur handicapé ; niveau de formation ; situation professionnelle avant l'embauche) ;
― données relatives à la situation économique et financière (salaire).
S'agissant des salariés âgés :
― données d'identification (nom, prénom et date de naissance) ;
― numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (numéro de sécurité sociale ou NIR) ;
― données relatives à la vie professionnelle (date d'embauche et caractéristiques du contrat, nature de l'emploi, période de suspension du contrat, date et motif de la rupture du contrat, reconnaissance de la qualité de travailleur handicapé).
S'agissant de l'employeur ou du correspondant de Pôle emploi dans l'entreprise d'embauche :
― données d'identification (nom, raison sociale, SIRET, adresse postale, adresse électronique, téléphone) ;
― données relatives à la vie professionnelle (effectifs de l'entreprise, convention collective applicable).
S'agissant du recours au NIR, Pôle emploi a indiqué que le traitement de cette information lui permet de s'assurer que l'aide versée se rapporte à l'embauche d'une même et unique personne au sein d'une entreprise.
Selon les indications de Pôle emploi, le dispositif « Contrat de génération » repose uniquement sur un système déclaratif, ce qui implique que Pôle emploi prenne toutes les mesures nécessaires afin de vérifier l'identité du salarié pour lequel une aide est versée à l'employeur. Ce contrôle est d'autant plus nécessaire qu'une même entreprise a la possibilité de bénéficier de l'aide autant de fois qu'il y a de jeunes embauchés.
Concernant le salaire du jeune, la collecte de cette information permet à Pôle emploi de vérifier que les entreprises qui la sollicitent sont éligibles au dispositif « Contrat de génération ». En effet, parmi les conditions à respecter, figure l'embauche du jeune à temps plein. La connaissance du salaire du jeune, qui doit percevoir le SMIC conformément aux dispositions légales et réglementaires en vigueur, permet à Pôle emploi de vérifier que cette condition est bien remplie. En cas de salaire minoré, Pôle emploi pourra ainsi effectuer un contrôle de cohérence.
Les autres données personnelles collectées n'appellent pas d'observations particulières. La commission considère que le traitement de l'ensemble des données précédemment visées est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
Sur la durée de conservation des données :
Il est prévu que les données collectées soient conservées pendant huit ans.
A cet égard, la commission rappelle que l'article 6 (5°) de la loi du 6 janvier 1978 modifiée dispose que les données à caractère personnel ne peuvent être conservées sous une forme permettant l'identification des personnes concernées que pour le temps nécessaire à l'accomplissement de la finalité poursuivie.
Elle constate que l'aide versée par Pôle emploi peut être allouée pendant trois ans maximum. Dans ces conditions, elle estime que les informations collectées par Pôle emploi pour le versement de l'aide ne doivent pas être conservées dans la base active au-delà de cette durée.
Seules des dispositions législatives ou réglementaires expresses, par exemple en matière d'archives publiques, peuvent permettre la conservation d'informations à l'issue de ce délai.
Sur les destinataires des données :
L'article 3 du projet de décision de Pôle emploi prévoit que sont destinataires des données du traitement « Aide-contrat génération », à l'exception du numéro de sécurité sociale, la direction de l'animation de la recherche et des études statistiques (RARES) et la délégation générale à l'emploi et à la formation professionnelle (DGEFP).
Les informations sont transmises à des fins de pilotage, d'analyse statistique et d'évaluation.
Ces destinataires n'appellent pas d'observation de la part de la commission.
Sur l'information et les droits des personnes :
Une information sur l'exercice du droit d'accès sera délivrée par l'employeur aux salariés concernés par le dispositif « Contrat de génération ». Il est également indiqué qu'une information figurera sur le formulaire de demande d'aide complété par l'employeur, par lequel ce dernier s'engage à « informer le salarié jeune et le salarié âgé constituant le binôme du bénéfice de l'aide associé au contrat de génération ».
La commission rappelle que l'information délivrée aux salariés concernés par le contrat de génération doit également porter sur l'existence du traitement, sa finalité ainsi que sur les destinataires des informations, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée.
Or, si une mention conforme aux prescriptions de l'article 32 de la loi figure bien sur le formulaire d'aide, celui-ci est destiné uniquement à l'employeur.
Par conséquent, la commission estime que l'information délivrée aux salariés n'est pas satisfaisante. Il convient de compléter le formulaire de demande d'aide destiné aux employeurs afin que celui-ci précise l'obligation, pour ces derniers, d'informer les salariés conformément aux prescriptions de l'article 32 de la loi du 6 janvier modifiée.
L'article 4 du projet de décision du conseil d'administration de Pôle emploi prévoit que les droits d'accès et de rectification prévus s'exercent auprès de Pôle emploi services.
Enfin, le droit d'opposition est exclu, en application des dispositions de l'article 38, alinéa 3, de la loi du 6 janvier 1978 modifiée qui dispose que ce droit ne s'applique pas « lorsque le traitement répond à une obligation légale ou lorsque l'application de ces dispositions a été écartée par une disposition expresse de l'acte autorisant le traitement ».
Sur les mesures de sécurité :
La commission prend acte du fait que des profils d'habilitation ont été définis et qu'une journalisation des opérations de consultation et de mise à jour des données concernées est réalisée (horodatage, identifiant de l'usager, action).
S'agissant des échanges de données entre les différents acteurs, il est indiqué que ceux-ci s'effectuent dans un espace sécurisé par login et mot de passe. La Commission rappelle à cet égard que les transmissions doivent être effectuées par des canaux sécurisés par l'utilisation de réseaux privés virtuels (VPN) chiffrés, par exemple.
La commission recommande des mots de passe de huit caractères minimum et de types différents (majuscules, minuscules, chiffres, caractères spéciaux) et un renouvellement régulier de ces derniers (par exemple tous les trois mois). Concernant les administrateurs, la taille de mot de passe recommandée est d'au moins dix caractères.
Enfin, la commission estime que la confidentialité d'un message n'est pas assurée dans le cas d'un envoi par courriel. Pour cette raison, la commission recommande que l'usager modifie son mot de passe reçu par courriel lors de sa première connexion à un service.
Fait le 27 juin 2013.