Après avoir communiqué sur les traitements de données pouvant être mis en œuvre par les communes et leurs groupements dans le cadre de la distribution de masques, la CNIL s'est aussi intéressée à la question de l’adossement de ces opérations aux données contenues dans le fichier de la taxe d’habitation.
Dans le contexte actuel, elle estime qu’une utilisation de ces données, et en particulier pour l’envoi des masques, peut légalement être mise en œuvre.
Cette utilisation spécifique devra se faire à partir d’une extraction du fichier. Ce nouveau fichier, constitué pour l’envoi des masques, devra respecter l’ensemble des principes du RGPD et, en particulier, être détruit à l’issue des opérations de distribution. Les personnes concernées devront être informées de la mise en œuvre de ce traitement, par exemple par une mention dans les courriers ou courriels qui leur seront adressés ou sur le site web de la commune.
Parmi les garanties à prévoir, la CNIL a relevé, en particulier :
la limitation du traitement opéré aux seules finalités précédemment évoquées et aux seules données strictement nécessaires à la satisfaction de celles-ci
À cet égard, en plus des données relatives à l’identité des redevables, à leur adresse et à la composition familiale du foyer (pour déterminer le nombre de masques à envoyer), la date de naissance des intéressés et la nature de l’occupation du domicile pourront être utilisées, si la délivrance des masques est conditionnée au fait d’avoir un certain âge ou de résider à titre principal dans la collectivité.
l’encadrement des opérations sous-traitées, en cas de recours à un prestataire de services pour la mise sous pli des masques
En effet, en application des dispositions du Livre des procédures fiscales (art. R*135 B-3) et du RGPD (art. 28), les traitements, par un prestataire de services, des données contenues dans les rôles des impôts locaux devront être encadrés par une convention définissant précisément leur objet, rappelant au sous-traitant l’obligation de prendre toutes les mesures utiles pour garantir la sécurité des données (intégrité, confidentialité et disponibilité) et l’absence d’utilisation détournée, ainsi que de procéder à la destruction des informations transmises dès l'achèvement du contrat.
Enfin, parmi les garanties nécessaires, il ne faut pas oublier l’information du public sur l’usage qui est fait de leurs données personnelles, conformément au RGPD
Plus d'infos : https://www.cnil.fr/fr/la-cnil-considere-possible-utilisation-fichier-taxe-dhabitation-pour-distribution-des-masques
