La CNIL considère possible l’utilisation du fichier de la taxe d’habitation pour la distribution des masques par les collectivités territoriales

L’attention de la CNIL a été attirée sur le fait que de nombreuses collectivités locales s’estimaient, au regard des textes en vigueur encadrant l’utilisation du fichier de la taxe d’habitation, dans l’incapacité opérationnelle de procéder aux actions nécessaires afin d’assurer la correcte distribution de masques à leurs administrés.

Réunie en séance plénière le 30 avril, la CNIL a admis la possibilité pour les collectivités territoriales de recourir aux données de la taxe d’habitation pour la communication institutionnelle sur le sujet de la distribution des masques, ainsi que pour l’envoi de ces derniers aux différents foyers.

Cette utilisation spécifique devra se faire à partir d’une extraction du fichier. Ce nouveau fichier, constitué pour l’envoi des masques, devra respecter l’ensemble des principes du RGPD et, en particulier, être détruit à l’issue des opérations de distribution. Les personnes concernées devront être informées de la mise en œuvre de ce traitement, en particulier par une mention dans les courriers qui leur seront adressés et sur le site web de la collectivité (voir l'exemple de mention ci-dessous).

Parmi les garanties à prévoir, la CNIL a relevé, en particulier :

• la limitation du traitement opéré aux seules finalités précédemment évoquées et aux seules données strictement nécessaires à la satisfaction de celles-ci

À cet égard, en plus des données relatives à l’identité des redevables, à leur adresse et à la composition familiale du foyer (pour déterminer le nombre de masques à envoyer), la date de naissance des intéressés et la nature de l’occupation du domicile pourront être utilisées, si la délivrance des masques est conditionnée au fait d’avoir un certain âge ou de résider à titre principal dans la collectivité.

• l’encadrement des opérations sous-traitées, en cas de recours à un prestataire de services pour la mise sous pli des masques

En effet, en application des dispositions du Livre des procédures fiscales (art. R*135 B-3) et du RGPD (art. 28), les traitements, par un prestataire de services, des données contenues dans les rôles des impôts locaux devront être encadrés par une convention définissant précisément leur objet, rappelant au sous-traitant l’obligation de prendre toutes les mesures utiles pour garantir la sécurité des données (intégrité, confidentialité et disponibilité) et l’absence d’utilisation détournée, ainsi que de procéder à la destruction des informations transmises dès l'achèvement du contrat.

Le traitement de données personnelles contenues par la taxe d'habitation par un sous-traitant doit être encadré par un contrat spécifique. Pour en savoir plus, consultez le guide dédié ainsi que l'exemple de clauses pour la sous-traitance.

• l’information du public sur l’usage qui est fait de leurs données personnelles, conformément au RGPD

Par ailleurs, la collectivité devra préalablement informer la direction générale des Finances publiques de la sous-traitance envisagée.