La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des finances et des comptes publics d'une demande d'avis concernant un projet d'arrêté relatif à la mise en service à la direction générale des finances publiques et à la Caisse d'assurance maladie des industries électriques et gazières d'une procédure automatisée de transfert de données fiscales ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code général des impôts ;
Vu le code de la sécurité sociale ;
Vu le livre des procédures fiscales, notamment ses articles L. 152, L. 288, R. 152-1, R. 287, R. 288-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi n° 2003-775 du 21 août 2003 portant réforme des retraites ;
Vu le décret n° 46-2769 du 27 novembre 1946 portant organisation de la sécurité sociale dans les mines ;
Vu le décret n° 99-1047 du 14 décembre 1999 pris pour l'application de l'article 107 de la loi de finances pour 1999 (n° 98-1266 du 30 décembre 1998) relatif à l'utilisation du numéro d'inscription au répertoire national d'identification des personnes physiques par la direction générale des impôts, la direction générale de la comptabilité publique et la direction générale des douanes et droits indirects ;
Vu le décret n° 2000-8 du 4 janvier 2000 pris pour l'application de l'article L. 288 du livre des procédures fiscales ;
Vu le décret n° 2002-771 du 3 mai 2002 portant création d'une procédure de transfert des données fiscales ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2007-489 du 30 mars 2007 modifiant les articles 23, 25 et 31 du statut national du personnel des industries électriques et gazières ;
Vu l'arrêté du 30 mars 2007 relatif au régime spécial d'assurance maladie et maternité des industries électriques et gazières ;
Vu la délibération n° 01-055 du 25 octobre 2001 relative à la création d'une procédure de transfert de données fiscales pour le compte de l'Etat et des organismes de protection sociale visés à l'article L. 152 du livre des procédures fiscales ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie pour avis par le ministre des finances et des comptes publics d'un projet d'arrêté relatif à la mise en service à la direction générale des finances publiques (DGFiP) d'une procédure automatisée de transfert de données fiscales avec la Caisse d'assurance maladie des industries électriques et gazières (CAMIEG).
La procédure de transfert de données fiscales (dite « TDF ») a été créée par le décret n° 2002-771 du 3 mai 2002 susvisé, pris après avis de la commission, afin de permettre aux agents des administrations fiscales de communiquer aux organismes et services chargés de la gestion d'un régime obligatoire de sécurité sociale ou d'un régime de retraite complémentaire obligatoire, sur support informatique, les informations fiscales nécessaires à l'exécution des finalités décrites à l'article L. 152 du livre des procédures fiscales (LPF) en vigueur.
Ce même article précise également que le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) peut être utilisé pour les demandes, échanges et traitements nécessaires à la communication des informations qui y sont mentionnées, lorsqu'elles concernent des personnes physiques.
La procédure est mise en œuvre dans le cadre d'un centre de services informatiques unique, hébergé par la DGFiP et dénommé Centre national de transfert de données fiscales » (CNTDF), qui reçoit les demandes des organismes sociaux qui fournissent un « fichier d'appels », les transmet à la DGFiP et adresse les réponses reçues de celle-ci.
L'article 2 du décret n° 99-1047 du 14 décembre 1999 prévoit expressément que des arrêtés ministériels pris après avis de la Commission nationale de l'informatique et des libertés devront fixer « la liste des informations pouvant être obtenues » par les organismes de sécurité sociale et « les règles auxquelles doivent satisfaire les traitements opérés pour le recueil et l'exploitation de ces informations ».
La commission relève que c'est sur ce fondement que le présent projet d'arrêté lui a été soumis, lequel vise à faire bénéficier un nouvel organisme, la CAMIEG, de la procédure TDF.
La commission relève que la CAMIEG est un organisme de sécurité sociale de droit privé chargé d'une mission de service public, chargé, depuis le 1 er janvier 2008, de la gestion du régime spécial d'assurance maladie maternité des industries électriques et gazières (IEG). Dotée d'une compétence nationale, ses prestations peuvent bénéficier aux agents statutaires en activité, aux pensionnés (ou inactifs) ainsi qu'à tout ayant droit. Les prestations délivrées, qui comprennent une part de base (couverture maladie maternité du régime général) et une part complémentaire (couverture supplémentaire), sont susceptibles de couvrir deux types de bénéficiaires :
- les assurés couverts pour la part de base et pour la base complémentaire ;
- les bénéficiaires couverts pour la seule part complémentaire au titre de conditions particulières tenant à leur situation sociale, sanitaire, ou à leurs faibles ressources.
La CAMIEG doit assurer la gestion des droits d'une population soumise à condition de ressources. Conformément aux termes du paragraphe IX de l'article 1er de l'arrêté du 30 mars 2007 susvisé, les conditions de ressources sont examinées sur la base des revenus déclarés par les intéressés lors de l'exercice fiscal précédent. Suite à l'examen de ces revenus, les droits au régime complémentaire sont soit prolongés, soit fermés.
L'article 2 du projet d'arrêté énonce à cet égard que les « informations transmises à la CAMIEG servent exclusivement à l'appréciation de l'ouverture ou du maintien des droits des allocataires pouvant bénéficier ou bénéficiant des prestations sous conditions de ressources et, s'il y a lieu, le calcul de ces derniers ».
La commission relève qu'afin de procéder à cet examen, la CAMIEG adresse chaque année un courrier à ses assurés, leur demandant de fournir leur avis d'imposition. La mise en service à la direction générale des finances publiques et à la CAMIEG de la procédure TDF a ainsi vocation à se substituer à l'envoi d'un avis d'imposition.
Elle prend acte que la finalité du transfert est aujourd'hui limitée au contrôle de la condition de ressources pour la prolongation annuelle des droits des personnes déjà bénéficiaires du régime de prestation servi par la CAMIEG et affiliées à cet organisme. Elle demande donc à ce que le projet d'arrêté soit précisé sur ce point.
La commission relève que l'ajout de ce nouvel organisme s'effectuera dans le strict respect des conditions fixées par le décret n° 2002-771 du 3 mai 2002. A ce titre, elle rappelle que seules les informations fiscales nécessaires à l'exécution des finalités décrites à l'article L. 152 du LPF pourront être traitées.
L'article 3 du projet d'arrêté énumère les informations contenues dans le « fichier d'appels » transmis par la CAMIEG au CNTDF, lorsqu'elle demande à avoir communication d'informations fiscales issues de la déclaration de revenus concernant certains de ces assurés.
La commission relève que la constitution d'un « fichier d'appels » s'effectue sous le contrôle de l'organisme demandeur. Tout « fichier d'appels » est ainsi accompagné des nom et coordonnées du correspondant CNTDF de l'organisme pour le compte duquel il est présenté.
Conformément aux dispositions de l'article R. 152-1 susvisé, le NIR peut également être communiqué par l'organisme demandeur quand il en a connaissance. La commission rappelle que les MIR transmis par la CAMIEG sont exclusivement conservés au CNTDF dans des fichiers informatisés dédiés, dénommés « table de correspondance NIR/ITIP-SPI », permettant d'établir un lien entre le NIR complété des quatre premiers caractères du nom de famille, d'une part, et l'identifiant technique du système d'information de la DGFiP (numéro ITIP) et l'identifiant fiscal national individuel utilisé par les administrations fiscales dans leurs traitements internes et dans leurs relations avec les contribuables (numéro SPI), d'autre part.
L'article 4 du projet d'arrêté énumère les informations restituées par le traitement TDF en ce qui concerne le foyer fiscal des allocataires, ce qui n'appelle pas d'observation particulière.
Elle prend acte que les informations contenues dans les fichiers d'appels ou de restitutions ne sont conservées au CNTDF que le temps strictement nécessaire aux traitements.
Les destinataires des informations, conservées au maximum deux ans à partir de l'exercice de paiement, sont les agents habilités de l'organisme demandeur. La commission observe que cette durée de conservation, qui permet de disposer de justificatifs afin d'instruire les éventuelles contestations des bénéficiaires de ces aides, correspond au délai de prescription biennale visé à l'article L. 332-1 du code de la sécurité sociale.
S'agissant des modalités d'information des personnes, la commission observe qu'une mention particulière figure dans la notice de déclaration de revenus, sous l'intitulé « Données fiscales : accès et transmission », visant à informer l'ensemble des usagers de l'existence de la procédure de transfert de données fiscales. Elle relève par ailleurs que la CAMIEG adresse à l'ensemble des assurés concernés un courrier spécifique les informant de la mise en œuvre de la procédure TDF.
La commission considère que ces modalités d'information sont satisfaisantes.
Les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée s'exercent auprès du centre des finances publiques du domicile fiscal du requérant pour les informations issues de traitements relevant de la DGFiP et auprès de la CAMIEG pour les informations qui lui sont transmises.
La commission relève que le droit d'opposition, prévu par l'article 38 de la loi du 6 janvier 1978 modifiée, ne s'applique pas au traitement projeté, comme le prévoit expressément l'article 5 du projet d'arrêté.
S'agissant des mesures de sécurité, le CNTDF est situé au sein de l'établissement de services informatiques (ESI) de Nevers et répond aux conditions de sécurité en application du décret n° 2000-8 du 4 janvier 2000 susvisé.
Les transmissions des données sont effectuées sous forme chiffrée dans le cadre du réseau privé et sécurisé de la DGFiP ou exceptionnellement par CD-ROM.
Une copie de la « table de correspondance NIRJITIP » est constituée dans l'ESI de Clermont-Ferrand puis transmise sous forme chiffrée au CNTDF par le réseau sécurisé. Cette table est conservée dans des fichiers dédiés sur des supports informatiques distincts permettant leur destruction physique. En cas de nécessité, un dispositif informatique permet de déclencher à distance l'effacement de la table de correspondance.
Une politique de gestion des habilitations est mise en œuvre. Le contrôle d'accès logique s'effectue par mot de passe. La commission prend acte que le ministère s'engage à respecter ses recommandations concernant la gestion des mots de passe.
Une traçabilité des actions des utilisateurs, individuellement habilités, est également assurée (identifiant, horodatage de connexion/déconnexion, commandes lancées). Il en va de même pour les accès à la « table de correspondance NIR/ITIP » qui font également l'objet d'une journalisation. L'ensemble des données de journalisation est conservé un an.
La commission considère que les mesures de sécurité mises en place sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.