La Commission nationale de l'informatique et des libertés a été saisie par le ministère de l'éducation nationale (MEN) d'une demande d'avis sur un projet de décret « portant création d'un traitement automatisé de données à caractère personnel dénommé "SIRAD” relatif à la gestion, par le ministère de l'éducation nationale, de la jeunesse et de la vie associative, du régime additionnel de la fonction publique visé à l'article 1er du décret n° 2004-569 du 18 juin 2004 relatif à la retraite additionnelle de la fonction publique, pris pour l'application de l'article 76 de la loi n° 2003-775 du 21 août 2003 portant réforme des retraites ».
Sur le système d'information relatif à la gestion des régularisations des cotisations de la retraite additionnelle de la fonction publique (SIRAD) :
Le projet de décret soumis à la commission crée un système d'information relatif à la gestion des régularisations des cotisations de la retraite additionnelle de la fonction publique (SIRAD).
Le SIRAD sera mis à disposition des employeurs principaux du MEN afin de traiter les données relatives à la régularisation des cotisations de retraite additionnelle des agents titulaires relevant du MEN rémunérés sur le budget de l'Etat.
Seront automatiquement enregistrées dans le SIRAD les catégories de données de paye disponibles dans les fichiers de paye fournis par les directions régionales des finances publiques suivantes :
― les rémunérations servies par les employeurs principaux (rectorats, inspections académiques, service de l'action administrative et de la modernisation) ;
― les rémunérations servies par l'employeur principal de l'agent sur un dossier de prise en charge indemnitaire différent du dossier de rémunération principale ;
― les rémunérations servies par un employeur distinct de l'employeur principal (en dehors de l'académie d'affectation de l'agent) ;
― les rémunérations servies au titre de la participation à un jury de concours ou de la correction de copies (SIEC).
En revanche, les rémunérations accessoires de ces agents (telles que les rémunérations accessoires servies par les GRETA ― organisme de formation pour adultes de l'éducation nationale, les collectivités locales, ou d'autres administrations centrales et leurs services déconcentrés) devront faire l'objet d'une saisie manuelle dans le SIRAD, en vue d'être consolidées avec celles qui y sont intégrées automatiquement.
Ainsi, le SIRAD permettra à chaque employeur principal, d'une part, de notifier aux employeurs secondaires des agents les montants des régularisations de cotisations (charges liées à la pension civile de l'Etat versées par l'agent et par l'Etat) à verser à l'établissement de retraite additionnelle de la fonction publique (ERAFP) et, d'autre part, de générer un document personnalisé à destination des agents afin de récupérer la part salariale « avancée » à l'ERAFP.
Sur le régime juridique applicable :
Le traitement des données relatives aux agents de l'éducation nationale dans le SIRAD comporte le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (NR) qui est l'identifiant des assurés de la branche retraite du régime général (art. R. 115-1 du CSS).
Conformément à l'article 27-I (1°) de la loi du 6 janvier 1978 modifiée, « sont autorisés par décret en Conseil d'Etat, pris après avis motivé et publié de la commission nationale de l'informatique et des libertés » les traitements de données à caractère personnel mis en œuvre pour le compte d'une personne morale de droit public « qui portent sur des données parmi lesquelles figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques ».
Sur la finalité du traitement :
Le traitement SIRAD répond à deux finalités (article 1er, alinéa 2, du projet de décret) :
― permettre à l'employeur principal, au sens de l'article 16 de l'arrêté du 26 novembre 2004 portant application du décret n° 2004-569 du 18 juin 2004 relatif à la retraite additionnelle de la fonction publique, d'assurer la collecte et la consolidation des éléments de rémunération individuelle de toute nature non pris en compte dans l'assiette de calcul des pensions civiles et militaires de retraite ;
― permettre aux employeurs « secondaires », au sens de l'alinéa 2 de l'article 11 (I) du décret n° 2004-569 du 18 juin 2004 relatif à la retraite additionnelle de la fonction publique, de calculer et de déclarer des cotisations de retraites dues à l'établissement de la retraite additionnelle de la fonction publique (ERAFP).
La commission considère que ces finalités répondent aux exigences de l'article 76 de la loi n° 2003-775 du 21 août 2003 portant réforme des retraites ainsi qu'à celles de l'article 1er du décret n° 2004-569 du 18 juin 2004 relatif à la retraite additionnelle de la fonction publique.
Elle relève toutefois que la génération d'un document personnalisé à destination des agents de la fonction publique concernés afin de récupérer la part salariale « avancée » à l'ERAFP n'est pas mentionnée dans le projet de décret.
En conséquence, la commission rappelle que seules les finalités mentionnées dans le projet de décret pourront faire l'objet d'un traitement dans le SIRAD.
Sur la nature des données traitées :
Les données traitées dans le SIRAD sont relatives à l'identification des personnes (art. 2-I du projet de décret), à leur vie professionnelle (art. 2-II du projet de décret) et à leur situation économique et financière (art. 2-III du projet de décret).
La commission constate que le traitement du « code PCS » (nomenclature INSEE de la catégorie socioprofessionnelle) n'est pas strictement nécessaire à l'accomplissement de la mission de gestion du régime de retraite additionnelle prévu à l'article 1er du projet de décret mais qu'elle a pour unique objet d'établir des statistiques a posteriori par l'ERAFP.
Dans ces conditions, la commission estime que la collecte de cette donnée devrait rester facultative.
Sur la durée de conservation des données :
La commission demande à ce que l'article 4 du projet de décret soit précisé, notamment afin de faire apparaître clairement que les données seront conservées :
― pour une durée de cinq ans à compter de leur enregistrement en base active (l'ensemble des agents habilités peuvent alors accéder au SIRAD) ;
― jusqu'à la liquidation des droits à retraite de l'agent en archivage intermédiaire (c'est-à-dire en limitant l'accès au SIRAD à un nombre restreint d'agents, spécialement habilités pour répondre aux demandes d'information des agents dont les droits sont gérés dans le SIRAD).
Sur les destinataires des données :
L'article 3 du projet de décret ne fait apparaître aucune distinction claire entre les agents habilités à accéder au SIRAD et les agents d'organismes tiers, destinataires des données traitées dans le SIRAD.
La commission recommande que l'article 3 du projet de décret soit modifié afin d'identifier clairement :
― d'une part, les agents individuellement habilités des employeurs principaux, utilisant le SIRAD, en charge des ressources humaines des services centraux et déconcentrés du MEN (rectorats, inspections académiques, SAAM et SIEC) ;
― d'autre part, les destinataires, via l'employeur principal, des données contenues dans le SIRAD, à savoir les agents spécifiquement habilités des employeurs secondaires chargés des ressources humaines aux fins de calcul et de déclaration des cotisations dues à I'ERAFP n'accédant pas au SIRAD ; les agents habilités de l'ERAFP aux fins d'alimentation du compte de retraite additionnelle de chaque fonctionnaire ; les agents dont les données sont traitées dans le SIRAD et devant récupérer la part salariale « avancée » à l'ERAFP.
Sur l'information des personnes :
En application de l'article 32 de la loi du 6 janvier 1978 modifiée, les agents concernés seront individuellement informés de l'enregistrement de données à caractère personnel les concernant dans le SIRAD par mention jointe au bulletin de salaire de l'agent.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Conformément aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée, l'exercice du droit d'accès et de rectification s'effectuera « auprès des services de gestion du personnel des services centraux et déconcentrés du ministère chargé de l'éducation » (article 5 du projet de décret).
Conformément à l'article 38, alinéa 3, de la loi du 6 janvier 1978 modifiée, le droit d'opposition ne s'appliquera pas au présent traitement (article 6 du projet de décret).
L'ensemble de ces dispositions n'appelle pas d'observation.
Sur la sécurité des données et la traçabilité des actions :
La mise en œuvre du traitement s'appuie sur plusieurs réseaux VPN (réseau privé virtuel). L'application met également en œuvre des procédés de chiffrement du transport des données (protocole SSL).
La commission considère que ces procédés permettent de garantir la confidentialité des données.
Concernant la politique de gestion des mots de passe, la commission rappelle qu'elle préconise l'utilisation de mots de passe de huit caractères minimum, contenant des lettres minuscules, majuscules, des chiffres et des caractères spéciaux.
Elle recommande donc que chaque académie se conforme à ces exigences.
Enfin, la commission propose au MEN d'identifier de manière plus transparente l'objet du projet de décret, qui est de porter création du traitement SIRAD, notamment en supprimant la mention : « visé à l'article 1er du décret n° 2004-569 du 18 juin 2004 relatif à la retraite additionnelle de la fonction publique, pris pour l'application de l'article 76 de la loi n° 2003-775 du 21 août 2003 portant réforme des retraites ».