La Commission nationale de l'informatique et des libertés,

Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;

Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 ;

Vu le code de la sécurité sociale, et notamment ses articles L. 133-6-2, L. 133-6-4 et R. 133-20 ;

Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;

Vu le décret n° 99-1047 du 14 décembre 1999 pris pour l'application de l'article 107 de la loi de finances pour 1999 relatif à l'utilisation du numéro d'inscription au répertoire national d'identification des personnes physiques par la direction générale des impôts, la direction générale de la comptabilité publique et la direction générale des douanes et droits indirects ;

Vu le décret n° 2002-771 du 3 mai 2002 portant création d'une procédure de transfert des données fiscales et ses deux arrêtés d'application du 3 mai 2002 ;

Vu la délibération n° 01-055 de la Commission nationale de l'informatique et des libertés en date du 25 octobre 2001 relative à la création d'une procédure de transfert de données fiscales pour le compte de l'Etat et des organismes de protection sociale visés à l'article L. 152 du livre des procédures fiscales ;

Vu l'arrêté du 28 septembre 2010 relatif à la mise en service à la direction générale des finances publiques et à l'Agence centrale des organismes de sécurité sociale d'une procédure automatisée de transfert de données fiscales ;

Vu la délibération n° 2010-126 en date du 20 mai 2010 de la Commission nationale de l'informatique et des libertés en date du 20 mai 2010 portant avis sur le projet d'arrêté relatif à la mise en service à la direction générale des finances publiques et à l'Agence centrale des organismes de sécurité sociale d'une procédure automatisée de transfert de données fiscales ;

Après avoir entendu M. Philippe GOSSELIN, commissaire, en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;

Emet l'avis suivant :

La Commission nationale de l'informatique et des libertés a été saisie pour avis par le ministère du budget, des comptes publics, de la fonction publique et de la réforme de l'Etat d'une demande d'avis concernant un projet d'arrêté modifiant l'arrêté du 28 septembre 2010, ce dernier étant relatif à la mise en service entre la direction générale des finances publiques (DGFiP) et l'Agence centrale des organismes de sécurité sociale (ACOSS), à titre expérimental, d'une procédure automatisée de transfert de données fiscales permettant le calcul des cotisations sociales des assurés relevant du régime social des indépendants (RSI).

La procédure de transfert de données fiscales dite « TDF » a été créée par le décret n° 2002-771 du 3 mai 2002 susvisé, pris après avis de la CNIL, afin de permettre aux agents des administrations fiscales de communiquer aux organismes et services chargés de la gestion d'un régime obligatoire de sécurité sociale ou d'un régime de retraite complémentaire obligatoire, sur support informatique, les informations fiscales nécessaires à l'exécution des finalités décrites à l'article L. 152 du livre des procédures fiscales. Cet article vise l'appréciation des conditions d'ouverture et de maintien des droits aux prestations (1°), le calcul des prestations (2°), l'appréciation des conditions d'assujettissement aux cotisations et contributions (3°), la détermination de l'assiette et du montant des cotisations et contributions ainsi que leur recouvrement (4°) et, enfin, le recouvrement des prestations indûment versées (5°).

L'article L. 152 du livre des procédures fiscales précise également que le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) peut être utilisé pour les demandes, échanges et traitements nécessaires à la communication des informations mentionnées à ses 1° à 5° lorsqu'elles concernent des personnes physiques.

Le ministère du travail, de la solidarité et de la fonction publique, d'une part, et le ministère du budget, des comptes publics et de la réforme de l'Etat, d'autre part, ont autorisé par arrêté en date du 28 septembre 2010, pris avis de la Commission nationale de l'informatique et des libertés, la mise en œuvre à titre expérimental d'une procédure automatisée de transfert de données fiscales entre la DGFiP et I'ACOSS afin de permettre, à terme, la suppression des déclarations communes de revenus (DCR) des travailleurs indépendants.

L'article L. 133-6-2 du code de la sécurité sociale, dans sa rédaction actuelle issue de l'article 43 de la loi n° 2010-1594 du 20 décembre 2010 de financement de la sécurité sociale pour 2011, maintient l'existence de la DCR des travailleurs indépendants tout en prévoyant de rendre opérationnel les échanges de données expérimentés entre la DGFiP et l'ACOSS durant les années 2009 et 2010.

Le projet d'arrêté dont la Commission nationale de l'informatique et des libertés est saisie pour avis modifie les articles 1er et 2 de l'arrêté du 28 septembre 2010 relatifs au périmètre du transfert de données fiscales et ses finalités, ainsi que son annexe relative aux catégories de données transmises par la DGFiP à l'ACOSS.

La Commission nationale de l'informatique et des libertés prend acte de la suppression de la mention du caractère expérimental de la procédure automatisée de transfert de données fiscales entre la DGFiP et l'ACOSS, qui figurait à l'article lœ de l'arrêté du 28 septembre 2010.

S'agissant du périmètre du transfert de données fiscales généralisé entre la DGFiP et l'ACOSS, la Commission nationale de l'informatique et des libertés observe que le projet d'arrêté ajoute la gestion des contributions sociales des travailleurs indépendants à celle de leurs cotisations sociales. L'appréciation des conditions d'assujettissement aux cotisations et contributions, d'une part, et la détermination de l'assiette et du montant des cotisations et contributions ainsi que leur recouvrement, d'autre part, sont des opérations expressément visées par les 3° et 4° de l'article L. 152 du livre des procédures fiscales.

Dans la mesure où la procédure TDF, en application de l'article 1er du décret n° 2002-771 du 3 mai 2002, ne peut concerner que les seules informations fiscales nécessaires à l'exécution des finalités décrites à l'article L. 152 du livre des procédures fiscales, le périmètre du transfert de données fiscales entre la DGFiP et l'ACOSS s'inscrit toujours dans celui de la procédure TDF.

Le projet d'arrêté examiné par la Commission nationale de l'informatique et des libertés modifie également l'article 2 de l'arrêté du 28 septembre 2010, relatif aux finalités du transfert de données fiscales de la DGFiP vers l'ACOSS relatif aux travailleurs relevant du RSI.

La nouvelle rédaction de cet article 2 prévoit, en effet, que « les informations transmises à l'ACOSS sont exclusivement utilisées pour la détermination du régime social compétent pour le service des prestations maladie, pour le contrôle des éléments de revenu déclarés et pour le calcul des cotisations et contributions sociales des assurés relevant du RSI ».

La Commission nationale de l'informatique et des libertés prend acte que la DCR des travailleurs relevant du RSI permet, notamment, de déterminer le régime d'assurance maladie compétent pour le service des prestations correspondantes. La procédure automatisée de transfert de données fiscales généralisée entre la DGFiP et l'ACOSS ayant vocation, à terme, à remplacer la DCR des travailleurs indépendants, l'ajout d'une finalité ayant trait à la détermination du régime d'assurance maladie dans le transfert de données fiscales de la DGFiP vers l'ACOSS apparaît légitime.

S'agissant de l'insertion du contrôle des éléments de revenu déclarés, au titre des finalités du transfert de données fiscales de la DGFiP vers l'ACOSS, la Commission nationale de l'informatique et des libertés relève que les éléments de revenu déclarés peuvent être utilisés à des fins de contrôle et ce en application de l'article L. 114-14 du code de la sécurité sociale qui renvoi, notamment aux articles L. 152 à L. 162 B du livre des procédures fiscales.

Par ailleurs, l'ajout du calcul des contributions sociales des travailleurs indépendants, au titre des finalités du transfert de données fiscales de la DGFiP vers l'ACOSS, apparaît conforme aux dispositions de l'article L. 152 du code des procédures fiscales qui fixe le périmètre de la procédure TDF.

Le projet d'arrêté dont la Commission nationale de l'informatique et des libertés est saisie ne modifie pas les catégories de données figurant dans le fichier d'appel envoyé par l'ACOSS à la DGFiP, afin d'obtenir de cette dernière la communication d'informations fiscales issues de la déclaration de revenus des travailleurs indépendants affiliés au RSI.

Pour mémoire, l'arrêté du 28 septembre 2010 prévoit que le fichier d'appel envoyé par l'ACOSS comprend les données d'identification suivantes : le nom de naissance (le cas échéant le nom d'usage) ; le(s) prénom(s) ; les date et lieu de naissance ; l'adresse ; le NiR ; le numéro SIRET de l'organisme demandeur ; le numéro de liaison de l'assuré indépendant du N1R.

La Commission nationale de l'informatique et des libertés rappelle que les NIR transmis par l'ACOSS sont exclusivement conservés au centre national de transfert des données fiscales (CNTDF) dans des fichiers informatisés dédiés, dénommés « Table de correspondance NIR/ITIP-SPI », permettant d'établir un lien entre le NIR complété des quatre premiers caractères du nom de naissance, d'une part, et l'identifiant technique du système d'information de la DGFiP (n° ITIP) et l'identifiant fiscal national individuel utilisé par les administrations fiscales dans leurs traitements internes et dans leurs relations avec les contribuables (n° SPI), d'autre part.

Pour chaque fichier d'appel envoyé, l'ACOSS recevra en retour de la DGFIP une réponse négative en cas d'échec d'identification ou, à l'inverse, une réponse positive accompagnée des données fiscales des trois premières émissions à l'impôt sur le revenu puis des données de la quatrième émission et de la première émission d'impositions rectificatives de début d'année.

En application de l'arrêté du 28 septembre 2010, un fichier de restitution comprend les données suivantes :

― un code indiquant que l'assuré est connu ou non des services fiscaux ;

― les informations issues des déclarations de revenus de l'année n-1, à savoir :

― traitements et salaires ;

― revenus et plus-values des professions non salariées : revenus agricoles, revenus industriels et commerciaux professionnels, revenus industriels et commerciaux non professionnels, revenus non commerciaux professionnels, revenus non commerciaux non professionnels ;

― revenus à imposer aux prélèvements sociaux ;

― le numéro d'ordre du traitement de l'imposition ;

― le numéro du rôle d'émission ;

― le numéro de liaison ;

― le numéro SIRET de l'organisme demandeur.

La Commission nationale de l'informatique et des libertés relève que le projet d'arrêté dont elle est saisie ajoute deux nouveaux types de données aux informations présentes dans les fichiers de restitution envoyés à l'ACOSS.

Plus précisément, sont ajoutés à la catégorie « informations issues des déclarations de revenus de l'année n-1 », le chiffre d'affaires ou de recette des personnes relevant du régime visé à l'article L. 133-6-8 du code de la sécurité sociale et ayant opté pour le versement libératoire fiscal, d'une part, et les revenus des personnes domiciliés en France percevant des revenus étrangers, d'autre part.

La collecte et le traitement de ces nouvelles données apparaissent proportionnés à la finalité pour laquelle elles sont collectées.

Les durées de conservation, les destinataires des données, les personnes chargées de répondre aux demandes de droit d'accès et de rectification, l'absence d'existence du droit d'opposition ainsi que les mesures de sécurité ne sont pas modifiés par le projet d'arrêté.

Ainsi, les données à caractère personnel contenues dans les fichiers d'appel ou de restitution sont conservées au CNTDF le seul temps nécessaire aux opérations de transfert.

Les informations présentes dans les fichiers de restitution sont conservées par l'ACOSS au maximum pendant trois ans à compter de l'exercice du paiement.

Les destinataires des fichiers de restitution sont les agents habilités de l'ACOSS.

Les droit d'accès et de rectification issus des articles 39 et 40 de la loi du 6 janvier 1978 modifiée s'exercent auprès du centre des impôts du domicile fiscal du requérant en ce qui concerne les informations détenues par la DGFiP, d'une part, et auprès de la caisse du RSI chargée du recouvrement des cotisations pour les informations transmises à l'ACOSS, d'autre part.

Le droit d'opposition, prévu par l'article 38 de la loi du 6 janvier 1978 modifiée, ne s'applique pas aux traitements en cause, dans la mesure où les informations relatives aux ressources sont indispensables à la détermination du montant des droits.

Enfin, les échanges de données à caractère personnel doivent être conduits dans les mêmes conditions techniques que ceux effectués durant les deux années d'expérimentation.

La Commission nationale de l'informatique et des libertés relève, en particulier, que les fichiers d'appel sont enregistrés sur des supports informatiques spécifiques et font l'objet de mesures de sécurité renforcées. Elle observe également que les fichiers d'appel et de restitution sont chiffrés et que des profils d'habilitation sont prévus, ces derniers définissant pour chaque utilisateur les fonctions autorisées ou les catégories d'informations accessibles. Enfin, elle prend acte que les accès à l'application font l'objet d'une journalisation des données de connexion.

Pour la présidente :

Le vice-président délégué,

E. de Givry