Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie pour avis par le ministère des affaires sociales, de la santé et des droits de la femme, le 17 septembre 2014, d'un projet de décret en Conseil d'Etat modifiant les articles R. 161-69-1 et R161-69-3 du code de la sécurité sociale relatifs au traitement automatisé de données à caractère personnel dénommé « échanges inter-régimes de retraite » (EIRR).
Le texte soumis é la CNIL pour avis est pris en application de l'article 27-1-1° de la loi du 6 janvier 1978 modifiée qui soumet à un décret en Conseil d'Etat, pris après avis motivé et publié de la CNIL, les traitements de données à caractère personnel mis en oeuvre pour le compte de l'Etat qui portent sur des données parmi lesquelles figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (NIR).
Conformément à ce texte, la création et la mise en oeuvre du traitement ont été autorisées par décret pris après avis de la CNIL (délibération n° 2009-562 du 24 septembre 2009). Ce sont ces dispositions, codifiées aux articles R. 161-69-1 et suivants du code de la sécurité sociale, que le projet de texte soumis à la commission pour avis a pour objet de modifier.
Rappel sur le traitement concerné
Créé en application de la loi n° 2008-1330 du 17 décembre 2008 de financement de la sécurité sociale, le répertoire EIRR (échanges inter-régimes de retraite) est un traitement automatisé de données à caractère personnel mis en oeuvre par la Caisse nationale d'assurance vieillesse (CNAV).
Il a pour finalités la simplification des démarches administratives des bénéficiaires des prestations de retraite, ainsi que l'évaluation par les régimes de retraite utilisateurs, des majorations des pensions de réversion, des majorations des pensions non salariées agricoles et la gestion du minimum contributif en inter-régimes.
Ce répertoire est alimenté par tous les régimes de base et complémentaires pour les assurés de plus 55 ans, pour tous les droits perçus (au titre de droits personnels ou de réversion).
Les organismes et services chargés de la gestion des régimes de retraite de base et complémentaires ont, en effet, l'obligation de communiquer par voie électronique les informations nécessaires à la détermination du droit et au calcul des prestations de retraites (code de la sécurité sociale, art. L. 161-1-6).
Ce répertoire permet la mise en commun des informations relatives â la gestion des dossiers de retraite, ainsi que la restitution aux régimes utilisateurs des informations fournies, dont les montants des pensions.
Sur les modifications envisagées
Le présent projet de décret vise à modifier les dispositions des articles R. 161-69-1 et R. 161-69-3 du code de la sécurité sociale pour y ajouter une nouvelle finalité visant « à permettre d'effectuer des requêtes afin de sélectionner les pensionnés susceptibles de bénéficier de mesures spécifiques en fonction de leurs montants de pensions ».
Cette nouvelle utilisation des EIRR est nécessaire, en particulier, pour pouvoir procéder à la revalorisation différenciée des pensions de retraite, conformément aux dispositions de l'article 9 de la loi n° 2014-892 du 8 août 2014 de financement rectificative de la sécurité sociale pour 2014.
En effet, seules les pensions des retraités inférieures à un seuil déterminé seront revalorisées.
Il s'agit donc de permettre aux régimes de retraite concernés d'utiliser les ElRR afin de déterminer les pensions inférieures à ce seuil et de cibler, ainsi, la population concernée.
Cette nouvelle utilisation permettra également de détecter les cas de non recours potentiels à l'allocation de solidarité aux personnes âgées (APA), conformément aux dispositions de l'article 40 de la loi n° 2014-40 du 20 janvier 2014 garantissant l'avenir et la justice du système de retraites.
Pour répondre â cette finalité, un flux spécifique de données vers les régimes concernés sera mis en oeuvre permettant la mise à disposition, pour chaque assuré, des données nécessaires au calcul de l'éligibilité â la mesure envisagée.
La commission prend acte que seuls les régimes utilisateurs concernés par les mesures spécifiques seront destinataires du flux, exclusivement pour [es assurés oui leur sont affiliés potentiellement éligibles à la mesure.
Cette nouvelle finalité n'appelle pas d'observation de la part de la commission, qui relève que les autres caractéristiques du traitement, notamment relatives â l'exercice des droits, à la durée de conservation des données et à l'architecture technique du système, ne sont en rien affectées par ces modifications.
Il en va de même des garanties relatives â la sécurité des données. La commission prend acte, à cet égard, que la CNAV établit progressivement des échanges chiffrés avec ses partenaires.
La commission rappelle, toutefois, que ces garanties doivent être conformes à l'état de l'ail et qu'une mise à jour des mesures de sécurité doit être réalisée au regard de la réévaluation régulière des risques.