Publication de la convention Insee sur la recherche de bénéficiaires de contrats d’assurance vie
Délibération n° 2008-580 du 18 décembre 2008 portant avis sur un projet d’arrêté du ministère de l’économie, des finances et de l’emploi relatif à la cession de données issues du répertoire national d’identification des personnes physiques NOR : CNIX0901797X
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le ministère de l’économie, des finances et de l’emploi d’un projet d’arrêté relatif à la cession de données issues du répertoire national d’identification des personnes physiques, auquel est joint un dossier annexe ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé de données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 27-II (1°) ;
Vu la loi n° 2007-1775 du 17 décembre 2007 permettant la recherche des bénéficiaires des contrats d’assurance sur la vie non réclamés et garantissant les droits des assurés, notamment ses articles 3 et 6 ;
Vu le décret n° 82-103 du 22 janvier 1982 modifié relatif au répertoire national d’identification des personnes physiques ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Après avoir entendu M. Emmanuel de Givry, commissaire, en son rapport et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations,
Emet l’avis suivant :
La loi susvisée du 17 décembre 2007 autorise les organismes professionnels représentatifs des secteurs économiques habilités à proposer des contrats d’assurance sur la vie à accéder aux données du répertoire national d’identification des personnes physiques (RNIPP) lorsqu’elles se rapportent au décès des personnes qui y sont inscrites. Par voie de conséquence, elle fait obligation à l’INSEE d’organiser cet accès.
Le ministère de l’économie, des finances et de l’emploi a fait parvenir à la CNIL, à cette fin, une demande d’avis sur le fondement du 1° du II de l’article 27 de la loi n° 78-17 du 6 janvier 1978, qui prévoit que « sont autorisés par arrêté (…), pris après avis motivé et publié de la CNIL : 1° Les traitements mis en œuvre par l’Etat (…) qui requièrent une consultation du répertoire national d’identification des personnes physiques sans inclure le numéro d’inscription à ce répertoire ».
La commission constate que la modification du traitement RNIPP qui lui est soumise vise à permettre à l’INSEE de produire, au bénéfice d’une nouvelle catégorie de destinataires et pour une nouvelle finalité, des fichiers obtenus à partir d’une consultation du répertoire, sans que le numéro d’inscription audit répertoire n’intervienne à aucun moment dans ces traitements automatisés.
Dès lors, ceux-ci relèvent de la procédure prévue au 1° du II de l’article 27 précité.
Les fichiers transmis par l’INSEE consisteront dans :
― un extrait du RNIPP correspondant aux décès survenus entre 1972 et 2008 qui lui ont été notifiés ;
― des mises à jour mensuelles dans lesquelles figureront les derniers décès qui lui ont été notifiés.
L’INSEE prévoit d’y faire figurer les catégories de données suivantes :
― nom patronymique, prénoms ;
― sexe ;
― date de naissance ;
― commune, pays et code du lieu de naissance ;
― date de décès ;
― code du lieu de décès ;
― numéro d’acte de décès ;
― type de décès (normal, en mer, jugement déclaratif de décès, jugement définitif d’absence).
La commission rappelle que la loi du 17 décembre 2007 précise que la transmission des données du RNIPP relatives aux décès qu’elle autorise a pour seule finalité la recherche des assurés et des bénéficiaires des contrats d’assurance sur la vie qui sont décédés.
Dès lors, la communication du type de décès, outre le fait que l’INSEE n’a pas justifié de l’origine de ces données, serait excessive au regard de la finalité définie par le législateur et doit être abandonnée.
La commission prend acte de l’acceptation de l’INSEE de modifier son projet initial en ce sens.
Les autres données susmentionnées sont adéquates, pertinentes et non excessives au regard de la finalité de recherche des assurés et bénéficiaires décédés.
Le projet d’arrêté précise, par ailleurs, que ces fichiers peuvent être communiqués aux organismes professionnels visés par la loi du 17 décembre 2007 ― pour les entreprises d’assurance, la Fédération française des sociétés d’assurances (FFSA) et le Groupement des entreprises mutuelles d’assurances (GEMA) ; pour les institutions de prévoyance et leurs unions, le Centre technique des institutions de prévoyance (CTIP) ; pour les mutuelles et leurs unions, la Fédération nationale de la mutualité française (FNMF) ― ou à leur sous-traitant commun, sous réserve de la signature d’une convention avec chaque destinataire des données.
La commission prend acte que le dossier transmis par l’INSEE à l’appui du projet d’arrêté ne retient que cette dernière solution : les fichiers seront exclusivement adressés à l’Association pour la gestion des informations sur le risque en assurance (AGIRA).
Enfin elle prend acte que les données seront transmises sous forme chiffrée sur des supports de disque numérique, que le mot de passe permettant le déchiffrement sera communiqué à un correspondant désigné par courrier recommandé et que le DVD-ROM contenant les données ne sera envoyé qu’au vu de l’accusé réception du mot de passe.
Le président,
A. Türk
