La Commission nationale de l'informatique et des libertés,
Saisie par la direction de la recherche, des études, de l'évaluation et des statistiques d'une demande d'avis portant sur un projet de décret portant extension aux pensions d'invalidité et d'incapacité permanente du champ des échantillons inter-régimes de cotisants et de retraités ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu le code de la sécurité sociale, notamment ses articles R. 161-59 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a ;
Sur la proposition de M. Philippe GOSSELIN, commissaire, et après avoir entendu les observations de Benjamin TOUZANNE, commissaire du Gouvernement,
Etant rappelés les éléments de contexte suivants :
La direction de la recherche, des études, de l'évaluation et des statistiques (DREES) est en charge du traitement de l'échantillon inter-régimes de cotisants (EIC) et de l'échantillon inter-régimes de retraités (EIR), fondés sur la base légale de la mission d'intérêt public prévue à l'article 6-1-e du RGPD.
La mise en œuvre de l'EIC et de l'EIR a été autorisée par le décret n° 2003-686 du 22 juillet 2003 relatif à l'échantillon inter-régimes de cotisants et à l'échantillon inter-régimes de retraités modifiant le code de la sécurité sociale, codifié aux articles R. 161-59 à R. 161-69 du code de la sécurité sociale.
L'EIC est un panel pseudonymisé permettant d'étudier les droits à la retraite acquis dans l'ensemble des régimes par un échantillon de personnes de différentes générations qui cotisent ou ont cotisé à un régime de retraite au cours de leur carrière.
L'EIR est un panel permettant d'observer l'évolution du nombre et de la composition du groupe des retraités, de décrire les conditions de départ à la retraite ainsi que de reconstituer le montant moyen global de pension par retraité. Plus précisément, ce traitement a pour objectifs la production de statistiques et le pilotage de la mise en œuvre des politiques s'assurance vieillesse à partir des données traitées.
Etudiés conjointement, les deux échantillons permettent d'analyser les passages de l'emploi à la retraite et de réaliser des projections.
Dans la même logique que le décret n° 2015-1570 du 1er décembre 2015 ayant étendu le champ de l'EIR aux pensions d'invalidité ayant une origine non-professionnelle, le projet de décret accroit son champ aux pensions d'incapacité permanente, c'est-à-dire aux rentes d'invalidité ayant une origine professionnelle. Deux organismes gestionnaires d'un régime d'invalidité et d'incapacité permanente viennent ainsi compléter la liste des organismes auprès desquels sont collectées les données, à savoir le fonds d'indemnisation des victimes de l'amiante (FIVA) et la Caisse de coordination aux assurances sociales de la Régie autonome des transports parisiens (RATP).
Le projet de décret prévoit également, afin de mettre en cohérence des dispositions réglementaires du code de la sécurité sociale avec le décret n° 2015-1570, que la Caisse nationale de l'assurance maladie fournisse des données en tant que gestionnaire non seulement d'un régime d'invalidité mais également d'un régime d'incapacité permanente.
La taille des échantillons est par ailleurs redimensionnée avec l'ajout de générations plus jeunes et davantage de jours de tirage afin de réaliser des études sur certaines populations de petite taille.
Formule les observations suivantes concernant le projet de texte :
Concernant la nature des données collectées :
Le projet d'article R. 161-65 du code de la sécurité sociale prévoit, qu'outre l'année de naissance des personnes concernées, deux données supplémentaires, à savoir la commune de résidence et le mois et naissance, devront être transmises pour l'établissement de l'EIR et de l'EIC.
La commune de résidence doit permettre d'identifier le caractère rural ou urbain de la résidence des personnes concernées, et le mois de naissance de déterminer précisément l'âge de départ à la retraite des individus et de s'assurer de la cohérence de cet âge avec la durée validée et le type de départ. Le mois de naissance est par ailleurs demandé dans le cadre des contrôles de cohérence opérés par la DREES avec les données issues du Répertoire national des personnes physiques (RNIPP).
La Commission considère que ces modifications n'appellent pas d'observation au regard des dispositions relatives à la protection des données.
Concernant les droits des personnes concernées :
Le projet de décret actualise l'article R. 161-68 du code de la sécurité sociale au regard des dispositions du RGPD. La Commission relève que seuls les droits d'accès et de rectification sont visés par le projet de décret.
Interrogé sur l'exercice des droits à l'effacement, à la limitation et d'opposition, le ministère a précisé le projet de décret aux fins :

- d'ajouter le droit à la limitation aux droits pouvant être exercés par les personnes concernées ;
- d'exclure le droit à l'effacement conformément aux dispositions de l'article 17-3-d ainsi que le droit d'opposition conformément aux dispositions de l'article 23-1-e du RGPD.

La mobilisation de l'article 23-1 du RGPD relative à la limitation des droits suppose de respecter les dispositions de l'article 23-2 selon lesquelles des éléments spécifiques doivent être intégrées à la mesure législative, notamment concernant les risques pour les droits et libertés des personnes concernées.
L'exclusion du droit à l'effacement et les modalités d'exercice des autres droits n'appellent pas d'observations de la Commission.
Concernant les modalités d'information des personnes concernées, la Commission prend acte de ce que le projet de décret sera modifié afin de les actualiser au regard des dispositions du RGPD. Elle note que le projet de décret prévoit que les personnes concernées soient informées directement, c'est-à-dire par l'envoi d'un courrier, ou par voie d'affichage et accueille favorablement le fait que la première option soit privilégiée.
Les autres dispositions du projet n'appellent pas d'observations.