La Commission nationale de l'informatique et des libertés, Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et notamment ses considérants n° 49 à 52 et ses articles 18, 19 et 21; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 24, II ; Vu le décret n° 91-1404 du 27 décembre 1991 autorisant l'utilisation du répertoire national d'identification des personnes physiques par les employeurs dans les traitements automatisés de la paie et de la gestion du personnel ; Après avoir entendu M. Hubert Bouchet, commissaire, en son rapport et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes Les traitements de gestion des rémunérations mis en oeuvre par les employeurs publics sont des traitements extrêmement courants et standardisés qui ne sont pas susceptibles, dans le cadre de leur utilisation régulière, de porter atteinte à la vie privée des agents publics concernés. La Commission estime en conséquence qu'il y a lieu de faire application des dispositions de l'article 24 de la loi du 6 janvier 1978 modifiée et de dispenser ces traitements de toute formalité déclarative préalable.
Décide : Article 1er Sont dispensés de déclaration les traitements de données à caractère personnel qui répondent aux conditions suivantes. Article 2 : Finalités du traitement Le traitement a pour seules fonctions : a/ le calcul des rémunérations et de leurs accessoires ; b/ la déclaration des revenus dans le cadre de la procédure de transfert de données sociales et fiscales ; c/ la déclaration obligatoire d'emploi des travailleurs handicapés, des mutilés de guerre et assimilés ; d/ le calcul des assiettes et des cotisations de toute nature donnant lieu à retenues, en matière de régimes obligatoires, complémentaires et volontaires de couverture sociale et de retraite ; e/ le calcul du montant des versements adressés à des organismes sociaux ; f/ le remboursement de prêts ou d'avances sur traitement ; g/ le calcul de retenues du fait d'opposition sur le traitement.
Article 3 : Informations traitées Les informations traitées se limitent aux données suivantes ; a/ concernant l'identité : nom, nom marital, prénoms, adresse, numéro de sécurité sociale dans les conditions fixées par le décret n° 91-1404 du 27 décembre 1991 ; b/ concernant la situation familiale : situation matrimoniale, enfants à charge par tranches d'âge ; c/ concernant la vie professionnelle : grade, échelon, emploi et affectation, indice brut ou réel majoré, ancienneté dans l'échelon et réduction d'ancienneté, résidence administrative, position administrative (activité à temps complet ou à temps partiel, détachement, hors cadre, disponibilité, service national, congé parental), congés (annuels, maladie, longue maladie, longue durée, maternité, liés aux charges parentales, de formation professionnelle, de formation syndicale), catégorie COTOREP (A, B, C), taux d'invalidité, autres catégories de bénéficiaires de la loi n° 87-517 du 10 juillet 1987 (invalide pensionné, mutilé de guerre, assimilé mutilé de guerre) ; d/ concernant la situation économique et financière : - éléments de rémunérations : traitement ou solde brut, indemnités compensatrices, toutes indemnités se rapportant à la fonction, prime de transport, indemnités de déplacement, de déménagement, allocations diverses (allocations logement, prénatales, post-natales, familiales, de salaire unique) ; - revenus du conjoint : indice lorsqu'il est fonctionnaire ou montant du sursalaire quand il est travailleur du secteur privé ; - cotisations au titre des régimes obligatoires, complémentaires et volontaires de couverture sociale et de retraite ; - retenues pour le remboursement de prêts ou d'avances sur traitement, du fait d'opposition sur traitement, pour recouvrement d'une pension alimentaire ; - qualité d'allocataire : agent isolé, agent dont le conjoint est malade ou infirme, dont le conjoint n'exerce pas d'activité professionnelle, dont le conjoint est travailleur indépendant ou exploitant agricole, dont le conjoint est salarié du secteur privé ; - mode de règlement : numéro de compte et identification de l'organisme teneur du compte. Article 4 : Durée de conservation des données Les informations enregistrées sont conservées sur support informatique jusqu'à la sortie des cadres de l'agent ou à la rupture du lien de l'agent avec la personne morale gestionnaire. Les informations nécessaires au calcul des droits à retraite peuvent être conservées à des fins de reconstitution de la carrière jusqu'à la liquidation des pensions. La conservation des données relatives aux motifs d'absence est limitée à une durée n'excédant pas deux ans, sauf dispositions législatives contraires.
Article 5 : Destinataires des données Peuvent seuls, dans la limite de leurs attributions respectives, être destinataires de tout ou partie des informations : - les ordonnateurs et agents gestionnaires des personnels concernés ; - les agents et comptables chargés du calcul des rémunérations et des accessoires, ainsi que des opérations de liquidation et de paiement aux intéressés ; - l'autorité qui reçoit la déclaration des revenus dans le cadre de la procédure de transfert de données sociales et fiscales ; - les organismes et institutions pour le compte desquelles sont calculées les cotisations, retenues et versements, visés aux articles 2 et 3 ; - les organismes bancaires et financiers assurant la tenue des comptes personnels des agents concernés par le traitement ; - les organismes habilités à recevoir des informations statistiques relatives à la paie. Article 6 : Information et droit d'accès Les agents publics concernés par les traitements visés dans la présente décision sont informés de l'existence du traitement informatique et de sa finalité. Ils doivent également être informés des services destinataires des informations et des modalités pratiques d'exercice de leur droit d'accès aux informations qui les concernent. Article 7 : Sécurités Le responsable du traitement est tenu de prendre toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisées y aient accès. A cet effet, une politique visant à contrôler les accès au traitement et à sécuriser les communications des données est mise en oeuvre.
Article 8 : Transmissions de données vers des pays tiers à la Communauté européenne Ne peuvent prétendre au bénéfice de l'exonération les traitements automatisés comportant la transmission de données à caractère personnel vers des pays tiers à l'Union européenne, y compris lorsque cette transmission est réalisée à des fins de sous-traitance. Ces traitements font l'objet de formalités déclaratives préalables auprès de la CNIL dans les conditions prévues par la loi du 6 janvier 1978 modifiée. Article 9 : Effets de la dispense de déclaration Les traitements répondant aux conditions visées aux articles 2 à 8 peuvent être mis en oeuvre sans délai et sans déclaration préalable auprès de la CNIL. La dispense de déclaration n'exonère le responsable de tels traitements d'aucune de ses autres obligations prévues par les textes applicables à la protection des données à caractère personnel. Article 10 La norme simplifiée n° 36 établie par la délibération n° 93-20 du 2 mars 1993 est abrogée. Article 11 La présente délibération sera publiée au Journal officiel de la République française. Le Président, Alex TURK.
Formule les observations suivantes Les traitements de gestion des rémunérations mis en oeuvre par les employeurs publics sont des traitements extrêmement courants et standardisés qui ne sont pas susceptibles, dans le cadre de leur utilisation régulière, de porter atteinte à la vie privée des agents publics concernés. La Commission estime en conséquence qu'il y a lieu de faire application des dispositions de l'article 24 de la loi du 6 janvier 1978 modifiée et de dispenser ces traitements de toute formalité déclarative préalable.
Décide : Article 1er Sont dispensés de déclaration les traitements de données à caractère personnel qui répondent aux conditions suivantes. Article 2 : Finalités du traitement Le traitement a pour seules fonctions : a/ le calcul des rémunérations et de leurs accessoires ; b/ la déclaration des revenus dans le cadre de la procédure de transfert de données sociales et fiscales ; c/ la déclaration obligatoire d'emploi des travailleurs handicapés, des mutilés de guerre et assimilés ; d/ le calcul des assiettes et des cotisations de toute nature donnant lieu à retenues, en matière de régimes obligatoires, complémentaires et volontaires de couverture sociale et de retraite ; e/ le calcul du montant des versements adressés à des organismes sociaux ; f/ le remboursement de prêts ou d'avances sur traitement ; g/ le calcul de retenues du fait d'opposition sur le traitement.
Article 3 : Informations traitées Les informations traitées se limitent aux données suivantes ; a/ concernant l'identité : nom, nom marital, prénoms, adresse, numéro de sécurité sociale dans les conditions fixées par le décret n° 91-1404 du 27 décembre 1991 ; b/ concernant la situation familiale : situation matrimoniale, enfants à charge par tranches d'âge ; c/ concernant la vie professionnelle : grade, échelon, emploi et affectation, indice brut ou réel majoré, ancienneté dans l'échelon et réduction d'ancienneté, résidence administrative, position administrative (activité à temps complet ou à temps partiel, détachement, hors cadre, disponibilité, service national, congé parental), congés (annuels, maladie, longue maladie, longue durée, maternité, liés aux charges parentales, de formation professionnelle, de formation syndicale), catégorie COTOREP (A, B, C), taux d'invalidité, autres catégories de bénéficiaires de la loi n° 87-517 du 10 juillet 1987 (invalide pensionné, mutilé de guerre, assimilé mutilé de guerre) ; d/ concernant la situation économique et financière : - éléments de rémunérations : traitement ou solde brut, indemnités compensatrices, toutes indemnités se rapportant à la fonction, prime de transport, indemnités de déplacement, de déménagement, allocations diverses (allocations logement, prénatales, post-natales, familiales, de salaire unique) ; - revenus du conjoint : indice lorsqu'il est fonctionnaire ou montant du sursalaire quand il est travailleur du secteur privé ; - cotisations au titre des régimes obligatoires, complémentaires et volontaires de couverture sociale et de retraite ; - retenues pour le remboursement de prêts ou d'avances sur traitement, du fait d'opposition sur traitement, pour recouvrement d'une pension alimentaire ; - qualité d'allocataire : agent isolé, agent dont le conjoint est malade ou infirme, dont le conjoint n'exerce pas d'activité professionnelle, dont le conjoint est travailleur indépendant ou exploitant agricole, dont le conjoint est salarié du secteur privé ; - mode de règlement : numéro de compte et identification de l'organisme teneur du compte. Article 4 : Durée de conservation des données Les informations enregistrées sont conservées sur support informatique jusqu'à la sortie des cadres de l'agent ou à la rupture du lien de l'agent avec la personne morale gestionnaire. Les informations nécessaires au calcul des droits à retraite peuvent être conservées à des fins de reconstitution de la carrière jusqu'à la liquidation des pensions. La conservation des données relatives aux motifs d'absence est limitée à une durée n'excédant pas deux ans, sauf dispositions législatives contraires.
Article 5 : Destinataires des données Peuvent seuls, dans la limite de leurs attributions respectives, être destinataires de tout ou partie des informations : - les ordonnateurs et agents gestionnaires des personnels concernés ; - les agents et comptables chargés du calcul des rémunérations et des accessoires, ainsi que des opérations de liquidation et de paiement aux intéressés ; - l'autorité qui reçoit la déclaration des revenus dans le cadre de la procédure de transfert de données sociales et fiscales ; - les organismes et institutions pour le compte desquelles sont calculées les cotisations, retenues et versements, visés aux articles 2 et 3 ; - les organismes bancaires et financiers assurant la tenue des comptes personnels des agents concernés par le traitement ; - les organismes habilités à recevoir des informations statistiques relatives à la paie. Article 6 : Information et droit d'accès Les agents publics concernés par les traitements visés dans la présente décision sont informés de l'existence du traitement informatique et de sa finalité. Ils doivent également être informés des services destinataires des informations et des modalités pratiques d'exercice de leur droit d'accès aux informations qui les concernent. Article 7 : Sécurités Le responsable du traitement est tenu de prendre toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisées y aient accès. A cet effet, une politique visant à contrôler les accès au traitement et à sécuriser les communications des données est mise en oeuvre.
Article 8 : Transmissions de données vers des pays tiers à la Communauté européenne Ne peuvent prétendre au bénéfice de l'exonération les traitements automatisés comportant la transmission de données à caractère personnel vers des pays tiers à l'Union européenne, y compris lorsque cette transmission est réalisée à des fins de sous-traitance. Ces traitements font l'objet de formalités déclaratives préalables auprès de la CNIL dans les conditions prévues par la loi du 6 janvier 1978 modifiée. Article 9 : Effets de la dispense de déclaration Les traitements répondant aux conditions visées aux articles 2 à 8 peuvent être mis en oeuvre sans délai et sans déclaration préalable auprès de la CNIL. La dispense de déclaration n'exonère le responsable de tels traitements d'aucune de ses autres obligations prévues par les textes applicables à la protection des données à caractère personnel. Article 10 La norme simplifiée n° 36 établie par la délibération n° 93-20 du 2 mars 1993 est abrogée. Article 11 La présente délibération sera publiée au Journal officiel de la République française. Le Président, Alex TURK.