La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des finances et des comptes publics d'une demande d'avis concernant ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-I (2°) ;
Vu la loi n° 2013-1278 du 29 décembre 2013 de finances pour 2014, notamment son article 10 ;
Vu la loi n° 2014-617 du 13 juin 2014 relative aux comptes bancaires inactifs et aux contrats d'assurance vie en déshérence, notamment son article 13 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2015-362 du 30 mars 2015 relatif aux obligations déclaratives des entreprises d'assurance et organismes assimilés ;
Vu l'arrêté du 17 janvier 2008 relatif à la mise en service par la direction générale des finances publiques d'un traitement automatisé d'identification des personnes physiques et morales dénommé « PERS » ;
Vu l'arrêté du 1er septembre 2016 portant création par la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel de gestion du fichier des contrats de capitalisation et d'assurance vie dénommé FICOVIE ;
Vu la décision du Conseil constitutionnel n° 2013-685 DC du 9 décembre 2013 ;
Vu la délibération n° 2016-162 du 19 mai 2016 portant avis portant avis sur le projet d'arrêté portant création par la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel de gestion du fichier des contrats de capitalisation et d'assurance vie dénommé « FICOVIE » ;
Vu le dossier et ses compléments ;
Après avoir entendu M. Jean-Luc VIVET, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie pour avis par le ministère des finances et des comptes publics sur un projet d'arrêté modificatif qui prévoit l'accès des notaires aux données du traitement « FICOVIE » permettant de lutter contre la déshérence des contrats d'assurance vie et de capitalisation et de participer à la lutte contre la fraude fiscale.
Le projet d'arrêté modificatif fait suite à l'arrêté du 1er septembre 2016 portant création par la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel de gestion du fichier des contrats de capitalisation et d'assurance vie dénommé « FICOVIE » et pour lequel la commission a rendu un avis le 19 mai 2016, qui à ce stade ne prévoyait pas l'accès des notaires au fichier.
Il s'agit aujourd'hui pour la commission d'examiner les modalités d'accès des notaires au FICOVIE. Dans la mesure où le traitement concerne la prévention et la recherche d'infractions pénales, il relève des dispositions de l'article 26-I (2°) de la loi du 6 janvier 1978 modifiée.
Sur la finalité du traitement :
La mise en place d'un accès à FICOVIE par les notaires a pour finalité la lutte contre la déshérence des contrats d'assurance vie et des contrats de capitalisation.
Le dispositif permettra, d'une part, à un notaire en charge d'une succession d'interroger la base FICOVIE afin de savoir si le défunt possédait des contrats de capitalisation et, d'autre part, à un notaire mandaté par un bénéficiaire potentiel d'un contrat d'assurance vie d'interroger la base FICOVIE pour connaître l'existence d'éventuels contrats pour lesquels la personne à l'origine de la demande est désignée bénéficiaire.
Les dépôts effectués par les compagnies d'assurance, conformément au décret n° 2015-362 du 30 mars 2015 relatif aux obligations déclaratives des entreprises d'assurance et organismes assimilés, permettent de constituer une base de données « FICOVIE Agents » accessible uniquement par les agents de la DGFiP.
Pour les besoins de la restitution des données aux notaires, une base de données spécifique nommée « FICOVIE Usagers » est constituée à partir de la base « FICOVIE Agents ». La base « FICOVIE Usagers » est un sous-ensemble de la base « FICOVIE Agents » et ne contient que les données utiles aux notaires, à savoir les contrats dénoués par le décès de l'assuré.
Sur la nature des données traitées :
Les données présentes dans la base « FICOVIE Usagers » seront strictement limitées aux données nécessaires aux recherches des notaires et à la restitution. Il n'y aura ainsi aucun montant concernant les contrats.
Les données concernées sont les suivantes :
1° Les données d'identification ;
- de l'organisme : nom ou raison sociale et domiciliation ;
- des souscripteurs : nom, prénoms, date et lieu de naissance, sexe, date de décès, numéro SPI pour les personnes physiques, raison sociale, adresse du siège et numéro SIREN ou numéro RNA pour les personnes morales ;
- de l'assuré : nom, prénoms, date et lieu de naissance, sexe, date de décès, numéro SPI ;
- des ayants droit en cas de décès du souscripteur n'entraînant pas le dénouement du contrat : nom, prénoms, date et lieu de naissance, sexe ;
- des bénéficiaires en cas de dénouement du contrat ou placement par décès de l'assuré : nom, prénoms, date et lieu de naissance, sexe, numéro SPI pour les personnes physiques, raison sociale, adresse du siège et numéro SIREN ou numéro RNA pour les personnes morales ;
2° Les données relatives au contrat ou placement : nature, date de souscription, référence ou numéro de police.
Sur la durée de conservation des données :
Les interrogations effectuées par les utilisateurs font l'objet d'une journalisation qui se traduit par la conservation, pour chaque connexion, des éléments d'identification de l'auteur, des références et de la nature des actions effectuées ainsi que des dates et heure. Elles sont conservées pour une durée de trois ans.
Sur les destinataires des données :
Les destinataires des données sont les personnes suivantes :
- les agents habilités de la direction générale des finances publiques en charge du contrôle, du recouvrement et de la gestion des patrimoines privés ;
- les notaires chargés d'établir l'actif successoral en vue du règlement de la succession pour laquelle ils ont été mandatés afin d'identifier l'ensemble des contrats de capitalisation souscrits par le défunt ;
- les notaires mandatés par les bénéficiaires éventuels d'un contrat d'assurance sur la vie dont le défunt était l'assuré afin d'obtenir communication des informations relatives aux contrats dont le mandant est identifié comme bénéficiaire.
Sur l'information des personnes :
Les droits prévus par les articles 39 et 40 de la loi du 6 janvier 1978 modifiée s'exercent auprès du centre des finances publiques compétent.
Sur la sécurité des données et la traçabilité des actions :
Sur les habilitations d'accès aux données :
Pourront accéder au fichier uniquement les notaires habilités par l'annuaire des partenaires extérieurs « APEX ».
L'inscription dans ce fichier se fait à la suite de la transmission par le Conseil supérieur du notariat (CSN) à la DGFiP, d'informations relatives au destinataire pour lequel une habilitation est demandée (nom, prénom, adresse professionnelle et numéro d'identification professionnelle). En retour, la DGFiP fournit au CSN les identifiants et mots de passe qui sont ensuite adressés au destinataire par envoi de deux courriers différents.
La commission estime que la communication des identifiants et mots de passe est réalisée selon des modalités conformes aux exigences formulées précédemment.
Sur la consultation des données :
L'accès à l'application FICOVIE se fait par le réseau internet via le portail fiscal (site impots.gouv.fr).
L'administration fiscale met en œuvre une procédure d'engagement sur l'honneur rappelant aux notaires lors de chaque accès à l'application FICOVIE les conditions de consultation ainsi que les responsabilités afférentes. Le notaire devra systématiquement attester sur l'honneur être mandaté soit pour établir l'actif successoral du défunt, soit pour identifier le bénéficiaire potentiel d'un contrat d'assurance vie dont l'assuré est décédé, au moyen d'une case à cocher, préalable à toute interrogation de l'application. Cette confirmation ne peut pas être éludée : elle est bloquante.
Sur la sécurité des échanges :
Les échanges de données sont réalisés via des canaux de communication chiffrés et assurant l'authentification de la source et de la destination. En particulier, l'accès à l'application FICOVIE est sécurisé au moyen du protocole HTTPS. Concernant le recours à ce protocole, la commission recommande d'utiliser la version de TLS la plus à jour possible.
Sur les mesures générales de sécurité :
L'application est hébergée sur un serveur faisant l'objet de mesures de compartimentation et que sa sécurisation est effectuée via l'utilisation de pare-feux.
Le serveur de données est hébergé dans des locaux dont l'accès est restreint. En outre, l'accès est limité aux seules personnes autorisées.
Des sauvegardes régulières sont réalisées. Les supports de ces sauvegardes sont hautement sécurisés et conservés en France dans un emplacement dont l'adresse est tenue confidentielle, garantissant ainsi leur sécurité et leur disponibilité.
Sur la traçabilité des consultations et les mesures mises en œuvre pour empêcher les utilisations détournées ou frauduleuses :
Les consultations sont limitées à 50 par jour par notaire et par type de recherche. FICOVIE ne restituera que la liste des contrats concernant des personnes décédées (filtre « personnes décédées »).
La DGFIP transmet tous les mois au CSN un fichier retraçant les critères d'interrogation de toutes les consultations des notaires. Ce fichier, qui fait l'objet de mesures de chiffrement, comprend, pour chaque consultation, l'identification du notaire, la date et heure de la consultation, les éléments du dossier consulté (nom/prénom, date de décès, SPI de la personne décédée, nom/prénom, SPI de la personne bénéficiaire), la nature de la consultation (recherche de succession, recherche de bénéficiaire), l'information indiquant que le notaire a accepté les CGU, l'information indiquant que le notaire est titulaire d'un mandat oral ou écrit. Le CSN procédera à un contrôle annuel a posteriori représentant 5 % des consultations effectuées.
Le CSN adresse à la sous-direction de l'organisation du contrôle fiscal, CF1, avant le 31 janvier de chaque année, un bilan d'utilisation de l'application et des opérations de traçabilité effectuées au titre de l'année précédente. Ce bilan est établi sur la base des rapports d'inspection réalisés par les chambres interdépartementales et les conseils régionaux des notaires. En cas de constatation de consultations abusives, des sanctions disciplinaires pourront être prononcées à l'encontre des notaires.
La DGFiP procède par ailleurs à une vérification annuelle globale en comparant le nombre de consultations de FICOVIE et le nombre de décès. Si ce rapprochement révèle une situation anormale, la convention juridique prévoira que le CSN devra justifier le nombre des consultations.
Les engagements du CSN figureront dans la convention juridique conclue avec la DGFiP. Dans le cadre de cette convention, le CSN s'engage en outre à rappeler aux bénéficiaires les droits et obligations qui découlent de leur habilitation à accéder à l'application FICOVIE et les sanctions encourues en cas de détournement de finalité. En outre, la convention rappelle que dans le cadre du contrôle a posteriori, le CSN doit s'assurer de la réalité d'une relation contractuelle entre le demandeur et le notaire ; cette relation se matérialise par l'obtention d'un mandat oral ou écrit.
Au regard de ces éléments, la commission estime que les mesures de sécurité décrites sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle néanmoins que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.