I. - Le traitement automatisé d'informations à caractère personnel créé par l'Union des caisses de France mentionnée à l'article R. 8291-2 du code du travail a pour finalité la gestion et le suivi du dispositif national de la carte d'identification professionnelle des salariés du bâtiment et des travaux publics. Ce traitement est dénommé « Système d'information de la carte d'identification professionnelle (SI-CIP) ».
II. - Les catégories de données à caractère personnel et autres catégories de données enregistrées dans le traitement automatisé SI-CIP, dans la mesure où leur exploitation est nécessaire à la poursuite de la finalité énoncée à l'alinéa précédent, sont les suivantes :
1° Données personnelles relatives au titulaire de la carte d'identification professionnelle : nom patronymique, et le cas échéant nom d'usage, prénoms, sexe, date et lieu de naissance, nationalité, numéro de l'autorisation de travail ou de la carte de séjour valant autorisation de travail pour les salariés étrangers, nature du contrat de travail et pour les contrats à durée déterminée, date prévisible de fin de contrat, et photographie d'identité numérisée ;
2° Données personnelles relatives à l'employeur du salarié et, le cas échéant à l'entreprise utilisatrice d'un salarié intérimaire détaché par une entreprise de travail temporaire établie à l'étranger :
a) Pour les personnes physiques :

- identité (nom, prénoms, sexe, date et lieu de naissance), nationalité (s), SIRET ou SIREN ou à défaut le numéro d'immatriculation à un registre professionnel ou à un organisme chargé du recouvrement des cotisations de sécurité sociale, adresse professionnelle postale et électronique, coordonnées téléphoniques, activité principale exercée (APE/NAF), le cas échéant identité du représentant en France ;

b) Pour les personnes morales :

- dénomination sociale, objet social ou statut, identité du représentant légal ou du représentant en France, numéro SIREN ou SIRET ou à défaut le numéro d'immatriculation à un registre professionnel, adresse postale et électronique du siège social, coordonnées téléphoniques, activité principale exercée (APE/NAF) ;

3° Pour les salariés détachés et les salariés titulaires d'un contrat de chantier :

- données relatives au chantier ou au lieu d'activité : adresse, durée du chantier ou date de début et de fin de la prestation ou des travaux.

III. - Le traitement automatisé SI-CIP intègre les modifications et les actualisations relatives à ces données que les employeurs et les entreprises utilisatrices des salariés intérimaires détachés doivent effectuer auprès de l'Union des caisses mentionnée à l'article R. 8291-2 du code du travail en application de l'article R. 8295-3 du même code.
IV. - L'Union des caisses mentionnée à l'article R. 8291-2 du même code est autorisée à inclure dans le traitement automatisé SI-CIP les données à caractère personnel dont disposent les caisses nationales et régionales de son réseau.

Les employeurs établis en France et les entreprises utilisatrices des salariés intérimaires détachés effectuent leurs déclarations de manière dématérialisée auprès de l'Union des caisses mentionnée à l'article R. 8291-2 du même code, en application des articles R. 8293-3 et R. 8293-5 du même code.
Les entreprises établies à l'étranger et détachant des salariés en France pour effectuer des travaux de bâtiment ou des travaux publics effectuant leurs déclarations par voie dématérialisée sur le téléservice SIPSI, en application de l'article R. 8293-2 du même code.

L'Union des caisses mentionnée à l'article R. 8291-2 du même code prend les mesures nécessaires pour assurer la sécurité et la protection des données personnelles contenues dans la base nationale du traitement automatisé, conformément à l'article 34 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, en vue d'empêcher que le fichier soit déformé, endommagé, ou que des tiers non autorisés y aient accès ou s'y introduisent abusivement.
L'Union des caisses mentionnée à l'article R. 8291-2 indique sur son site Internet dédié la possibilité pour toute personne physique d'exercer ses droits d'accès et de rectification à l'égard des informations la concernant, en application des articles 39 et 40 de la loi du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés. Pour les titulaires d'une carte d'identification professionnelle, le droit de rectification prévu à l'article 40 de la loi du 6 janvier 1978 modifiée s'exerce, par dérogation, auprès de l'employeur ou, dans le cas d'un salarié intérimaire détaché, auprès de l'entreprise utilisatrice.
Le droit d'opposition prévu à l'article 38 de la même ‎loi ne s'applique pas au présent traitement.
Ces indications sont également mentionnées sur l'attestation provisoire mise à disposition par voie dématérialisée et le courrier d'envoi de la carte d'identification professionnelle adressé par tout moyen lui conférant date certaine, à l'employeur, à son représentant en France ou le cas échéant à l'entreprise utilisatrice d'un salarié intérimaire détaché.

Les personnes traitant, classant et mettant à jour les données personnelles et les informations adressées par les employeurs et les entreprises utilisatrices des salariés intérimaires détachés sont les agents habilités de l'Union des caisses mentionnée à l'article R. 8291-2 du même code, dans la mesure où ces missions sont nécessaires à la poursuite de la finalité énoncée au I de l'article 1er du présent arrêté.
Les personnes destinataires des données personnelles et des informations contenues dans le traitement automatisé, aux seules fins d'accomplissement de leurs missions de lutte contre le travail illégal et du contrôle de l'application de la carte d'identification professionnelle, sont les agents de contrôle mentionnés à l'article L. 8271-1-2 du même code.
Pour ces agents, l'accès à la base nationale des données personnelles et des informations du traitement automatisé est effectué soit par lecture d'un code matriciel datamatrix de type Q-R mentionné à l'article R. 8292-1 du même code, soit en effectuant une recherche à partir de tout critère pertinent, après vérification de leur identité et de leur qualité selon un protocole d'identification sécurisée.

Les données à caractère personnel et les informations enregistrées dans le traitement automatisé sont conservées pendant une durée de cinq ans à compter de la dernière invalidation de la carte CIP enregistrée pour le compte de son titulaire.

La ministre du travail, de l'emploi, de la formation professionnelle et du dialogue social est chargée de l'exécution du présent arrêté, qui sera publié au Journal officiel de la République française.