Le traitement de données à caractère personnel, dénommé « dispositif relatif aux ressources mensuelles », est placé sous la responsabilité conjointe du ministre chargé des affaires sociales et de la Caisse nationale d’assurance vieillesse, et mis en œuvre pour l’exécution d’une mission d’intérêt public, conformément au e du 1 de l’article 6 du règlement (UE) du 27 avril 2016 susvisé.
Ce traitement comprend les données mentionnées à l’article 3 issues de :
1° La déclaration sociale nominative mentionnée au I de l’article L. 133-5-3 du code de la sécurité sociale ;
2° La déclaration au titre des autres revenus mentionnés au II bis de l’article L. 133-5-3 du code de la sécurité sociale ;
3° La déclaration des travailleurs indépendants pour le calcul de leurs cotisations et contributions sociales mentionnée aux articles L. 613-2 et L. 613-8 du code de la sécurité sociale.
I. – Le traitement mentionné à l’article 1er est mis en œuvre dans le champ des politiques sociales pour les finalités suivantes :
1° L’information des personnes sur leur droit au bénéfice de prestations ou de droits délivrés par les organismes mentionnés à l’article 4, en application de dispositions législatives ou réglementaires ;
2° L’information des personnes sur les montants déclarés dans le cadre des traitements mentionnés aux 1°, 2° et 3° de l’article 1er au travers du portail numérique des droits sociaux ;
3° L’appréciation des ressources et de la situation professionnelle des demandeurs et des bénéficiaires de droits ou prestations délivrés par les organismes mentionnés à l’article 4, en application de dispositions législatives ou réglementaires, ainsi que, le cas échéant, de celles des autres membres de leur foyer, ou d’un parent débiteur en application du 3° du I de l’article L. 523-1 du code de la sécurité sociale pour :
a) L’ouverture d’un droit et, le cas échéant, le calcul de la prestation ;
b) L’évaluation de la solvabilité de ces personnes ;
c) Le contrôle, la justification dans la constitution des droits et la justification de la liquidation et du versement des prestations ;
4° La restitution des montants des prestations issus du traitement prévu au 2° de l’article 1er pour les organismes chargés de la mise en œuvre du répertoire national commun de la protection sociale mentionné à l’article R. 114-25 du code de la sécurité sociale ;
5° La réalisation de recherches, d’évaluations, d’études et de statistiques.
II. – La Caisse nationale d’assurance vieillesse publie sur son site internet la liste des droits et prestations qui peuvent faire l’objet de la mise en œuvre du traitement pour les finalités mentionnées aux 1° et 3° du I du présent article. Cette liste précise, pour chaque droit et prestation, les destinataires et les objectifs qu’ils poursuivent.
Les organismes mentionnés à l’article 4 ou les caisses nationales dont relèvent ces organismes publient sur leur site la liste des finalités, des droits et prestations pour lesquels ils utilisent les données transmises par le traitement mentionné à l’article 1er, sans préjudice de leur obligation d’information en tant que responsable de traitement.
I. – Peuvent être enregistrées dans le traitement mentionné à l’article 1er, dans la mesure où elles sont nécessaires à la poursuite des finalités mentionnées à l’article 2, les catégories de données à caractère personnel suivantes :
1° Pour les personnes physiques :
a) Les données d’identification :
i) Les données d’identité nécessaires à la fiabilisation des données du traitement mentionné à l’article 1er : le nom de famille, le cas échéant le nom d’usage, les prénoms, le sexe, la date et le lieu de naissance ainsi que le numéro d’inscription au répertoire national d’identification des personnes physiques ou son numéro d’identification d’attente ;
ii) L’année de naissance ;
b) Un identifiant technique créé pour les besoins du traitement mentionné à l’article 1er ;
c) Les montants de ressources issus des traitements mentionnés aux 1°, 2° et 3° de l’article 1er, et les caractéristiques de versement de chacun des montants ;
d) Les données relatives à la situation professionnelle : les caractéristiques des contrats de travail, la catégorie socioprofessionnelle, les données relatives aux situations d’arrêt de travail ou de modulation du temps de travail susceptibles d’avoir un impact sur le calcul du droit à prestation ou allocation et, le cas échéant, la qualité de déclarant mentionnée au 2° du présent I ;
2° Pour l’employeur des personnes mentionnées au 1°, le déclarant ou l’émetteur des déclarations mentionnées à l’article 1er :
a) Le numéro du système d’identification du répertoire des entreprises (SIREN) et le numéro interne de classement (NIC) ;
b) Le nom ou la raison sociale ;
c) Les données d’identification de l’employeur, du déclarant ou de l’émetteur : le nom de famille, le prénom et la civilité ;
d) Les coordonnées de contact : le numéro de téléphone, l’adresse électronique et le numéro de fax ;
e) Un identifiant technique issu d’un traitement de pseudonymisation des données du a.
II. – Le numéro d’inscription au répertoire national d’identification des personnes physiques mentionné au i du a du 1° du I du présent article est utilisé exclusivement pour :
1° La création de l’identifiant technique mentionné au b du 1° du même I ;
2° L’appariement et la fiabilisation des données traitées en application de l’article 1er ;
3° La transmission des données aux destinataires mentionnés au II de l’article 4 dans les conditions prévues au III du même article.
Les données d’identité mentionnées au i du a du 1° du I sont vérifiées, utilisées pour pseudonymiser les données de ressources puis détruites. La destruction des données est faite après vérification, par la Caisse nationale d’assurance vieillesse, de l’intégrité des données enregistrées. Si, lors de la vérification, l’identité de la personne physique est inconnue ou présente un risque d’erreur, les données sont conservées dans la limite de la durée prévue au premier alinéa de l’article 6 dans l’attente d’une correction. Une fois corrigées, elles sont utilisées pour pseudonymiser les données relatives aux ressources puis détruites.
I. – Les personnels de la Caisse nationale d’assurance vieillesse en charge de l’administration et de l’exploitation du traitement mentionné à l’article 1er sont spécialement habilités par son directeur à accéder aux données et informations du dit traitement, à raison de leurs attributions respectives et dans la limite du besoin d’en connaître.
II. – Sont destinataires des données et informations mentionnées au I de l’article 3, à raison de leurs attributions respectives et dans la limite du besoin d’en connaître, les personnels et les agents spécialement habilités des organismes suivants :
1° Pour la finalité mentionnée au 1° du I de l’article 2 : la Caisse nationale des allocations familiales et les caisses d’allocations familiales mentionnées à l’article L. 212-1 du code de la sécurité sociale, les organismes de mutualité sociale agricole mentionnés à l’article L. 723-1 du code rural et la pêche maritime, les organismes chargés de la gestion d’un régime de base d’assurance maladie, ainsi que la Caisse nationale d’assurance maladie, et les organismes chargés de la gestion d’un régime de retraite, ainsi que la Caisse nationale d’assurance vieillesse ;
2° Pour la finalité mentionnée au 2° du I de l’article 2 : la Caisse centrale de la mutualité sociale agricole, responsable du traitement, dans les conditions prévues par le décret n° 2017-351 du 20 mars 2017 susvisé ;
3° Pour la finalité mentionnée au 3° du I de l’article 2 et dans les conditions prévues au II du même article :
a) La Caisse nationale des allocations familiales et les caisses d’allocations familiales mentionnées à l’article L. 212-1 du code de la sécurité sociale, les organismes de mutualité sociale agricole mentionnés à l’article L. 723-1 du code rural et la pêche maritime, les organismes chargés de la gestion d’un régime de base d’assurance maladie, ainsi que la Caisse nationale d’assurance maladie, et les organismes chargés de la gestion d’un régime de retraite, ainsi que la Caisse nationale d’assurance vieillesse ;
b) L’opérateur France Travail ;
c) Le groupement d’intérêt public mentionné au douzième alinéa de l’article L. 441-2-1 du code de la construction et de l’habitation ;
d) L’agence mentionnée à l’article L. 313-1 du code rural et de la pêche maritime ;
4° Pour la finalité mentionnée au 5° du I de l’article 2 :
a) La Caisse nationale des allocations familiales et les caisses d’allocations familiales mentionnées à l’article L. 212-1 du code de la sécurité sociale, les organismes de mutualité sociale agricole mentionnés à l’article L. 723-1 du code rural et la pêche maritime, les organismes chargés de la gestion d’un régime de base d’assurance maladie, ainsi que la Caisse nationale d’assurance maladie, et les organismes chargés de la gestion d’un régime de retraite, ainsi que la Caisse nationale d’assurance vieillesse ;
b) L’opérateur France Travail ;
c) Le groupement d’intérêt public mentionné au douzième alinéa de l’article L. 441-2-1 du code de la construction et de l’habitation ;
d) L’agence mentionnée à l’article L. 313-1 du code rural et de la pêche maritime ;
e) L’Institut national de la statistique et des études économiques et les services statistiques ministériels en application de l’article 7 bis de la loi n° 51-711 du 7 juin 1951 sur l’obligation, la coordination et le secret en matière de statistiques et dans les conditions prévues au même article.
Les organismes mentionnés au II sont responsables des traitements de données à caractère personnel et des informations qui leur sont transmises dans le cadre du traitement mentionné à l’article 1er. Ils s’assurent de la conformité de ces traitements au règlement (UE) 2016/679 du 27 avril 2016 susvisé.
III. – La Caisse nationale d’assurance vieillesse assure la transmission technique des données mentionnées au I de l’article 3 vers les destinataires mentionnés au présent II. Ces destinataires reçoivent les seules données strictement nécessaires aux finalités mentionnées à l’article 2 qu’ils poursuivent. Cette transmission est réalisée dans des conditions appropriées pour assurer la sécurité, la traçabilité et la confidentialité des données.
I. – Les personnes dont les données sont traitées reçoivent les informations prévues par les articles 13 et 14 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, et en particulier l’information selon laquelle le droit d’opposition ne s’applique pas au traitement mentionné à l’article 1er dans les conditions prévues au III, par leurs employeurs ou les organismes chargés de procéder à la déclaration de leurs revenus.
Pour les personnes mentionnées au 3° de l’article 1er, l’Agence centrale des organismes de sécurité sociale mentionnée à l’article L. 225-1 en tant qu’organisme responsable de la transmission la déclaration visée au 3° de l’article 1er à la Caisse nationale d’assurance vieillesse, est chargée de l’information prévue au présent article.
Cette information est également disponible sur le site internet du ministère chargé de la sécurité sociale, de la Caisse nationale d’assurance vieillesse et du portail numérique des droits sociaux.
II. – Les personnes dont les données et informations sont traitées peuvent exercer leurs droits d’accès et de rectification des données, ainsi que le droit à la limitation du traitement, prévus respectivement aux articles 15, 16 et 18 du même règlement, auprès de la Caisse nationale d’assurance vieillesse.
III. – Lorsque les personnes qui ont été informées de leur droit au bénéfice éventuel d’une prestation ou d’un droit en application du 1° de l’article 2 ne souhaitent pas en bénéficier, le droit d’opposition s’exerce auprès de la Caisse nationale d’assurance vieillesse.
En application de l’article 23 du même règlement et de l’article 56 de la loi n° 78-17 du 6 janvier 1978 susvisée, le droit d’opposition ne s’applique pas au traitement de données prévu à l’article 1er pour les finalités mentionnées aux 2°, 3°, 4° et 5° de l’article 2.
IV. – Lorsqu’une personne exerce son droit d’opposition dans les conditions prévues au premier alinéa du III du présent article, les responsables de traitement prennent les mesures appropriées pour garantir l’effectivité de ce droit.
Sans préjudice des dispositions prévues au II de l’article 3, les données à caractère personnel mentionnées au même article 3 sont conservées pendant une durée maximale de trente-sept mois à compter de leur collecte. Au-delà de cette durée, ces données sont supprimées du traitement mentionné à l’article 1er.
Les données techniques et de traçabilité sont conservées pendant une durée de quinze mois.
Par dérogation aux articles 2 et 4, pendant une durée d’un an à compter de la publication du présent décret, les données issues du traitement « dispositif relatif aux ressources mensuelles » prévu par l’article 1er peuvent être utilisées par la Caisse nationale d’assurance vieillesse, la Caisse nationale des allocations familiales et, la Caisse centrale de la mutualité sociale agricole afin d’améliorer l’identification des situations justifiant la mise en œuvre prioritaire d’un contrôle au titre des missions de contrôle et de lutte contre la fraude prévues à l’article L. 114-9 du code de la sécurité sociale.
Au terme de cette période, un bilan de ces améliorations est réalisé par ces caisses, en lien avec les services de l’Etat.
Les données mentionnées au premier alinéa se rapportent aux personnes physiques membres d’un foyer dont les données d’identification ont été pseudonymisées.
Le nombre de foyer d’allocataire, choisis aléatoirement, ne peut excéder douze mille pour chacun des organismes mentionnés au premier alinéa du présent article.
Seules sont destinataires de ces données les personnes affectées à un service réalisant des statistiques et dûment habilitées par le responsable du traitement.
Les personnes concernées par les traitements prévus au présent article sont informées de l’existence de ces traitements, de leurs caractéristiques et des droits qu’elles peuvent exercer en application des dispositions prévues notamment par les articles 13 et 14 du règlement (UE) 2016/679 du 27 avril 2016 susvisé.
Le droit d’opposition ne s’applique pas aux traitements mentionnés au présent article.
Le décret n° 2019-969 du 18 septembre 2019 relatif à des traitements de données à caractère personnel portant sur les ressources des assurés sociaux est abrogé.
Le ministre du travail et des solidarités, la ministre de la santé, des familles, de l’autonomie et des personnes handicapées et la ministre de l’action des comptes publics sont chargés, chacun en ce qui le concerne, de l’exécution du présent décret, qui sera publié au Journal officiel de la République française.