AgentPublic/cnil huggingface dataset:
(Demande d’autorisation n° 1853403)
La Commission nationale de l'informatique et des libertés,
Saisie par l’IME-SESSAD Les Horizons de l’ADAPEI de la Somme d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités la gestion et l’administration des demandes d’hébergement temporaire des personnes en situation de handicap ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment son article L.312-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-6° ;
Vu la loi n°2002-2 du 2 janvier 2002 rénovant l’action sociale et médico-sociale ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’IME-SESSAD « les Horizons », situé Chemin des Postes à Abbeville (80100), est un établissement social et médico-social  au sens de l’article L. 312-1 du code de l’action sociale et des familles.Cet établissement gère l’accueil et l’hébergement des personnes en situation de handicap.Il dépend de l’ADAPEI, association à but non lucratif  régie par la loi de 1901 et affiliée à l’Union Nationale des Associations des Parents de Personnes Handicapées Mentales et de leurs Amis (UNAPEI).
Sur la finalité
Le traitement mis en œuvre a pour finalités la gestion et l’administration des places médico-sociales d’accueil et d’hébergement pour personnes en situation de handicap.Il permet à l’association de faire connaître en temps réel, aux aidants familiaux et professionnels, la disponibilité des places d’accueil temporaire au sein de son établissement.Le traitement mis en œuvre permet également aux personnes de demander un rendez-vous ou de réserver une place d’accueil par Internet.La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
Sur les données traitées
Les catégories de données collectées  sont relatives : 
à l’identité (nom, prénom, adresse, date et lieu de naissance) ;
à la vie personnelle (habitudes de vie, situation familiale, mesure tutélaire éventuelle) ;
au numéro de sécurité sociale (aux seules fins de facturation et d’échange avec les organismes de sécurité sociale).
Il convient de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant sur le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques.
La Commission considère ces données pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Peuvent avoir accès aux données, les personnes et organismes qui, en raison de leurs fonctions et des missions qui leur sont confiées, participent au suivi et à l’accompagnement des personnes concernées, dans la limite des seuls cas les concernant et des seules informations nécessaires à l’accomplissement de leurs missions. Il s’agit :
du personnel de l’établissement ;
de la Maison départementale des personnes Handicapées  (MDPH) ;
des services de l’assurance maladie dont dépend la structure ;
du Conseil départemental.
Des données statistiques anonymisées sont par ailleurs adressées à l’Agence Régionale de Santé (ARS).
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales figurant sur le formulaire de collecte de données, sur le site internet ainsi que dans le contrat de séjour et dans le  règlement de fonctionnement de l’établissement.La Commission rappelle que l’information doit être adaptée à l’état des personnes suivies.Les droits d’accès, de rectification et d’opposition pour des motifs légitimes s’exercent auprès de l’IME-SESSAD Les Horizons de l’ADAPEI de la Somme.Ces modalités d’information et d’exercice des droits des personnes apparaissent satisfaisantes.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.Les habilitations d’accès au système d’information sont définies en fonction des attributions des utilisateurs.Les échanges de données effectuées sur Internet  sont sécurisés  par des procédés  de chiffrement de transport des données.La Commission recommande que les accès à l’application fassent l’objet d’une journalisation. Elle rappelle que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.Sous réserve des observations précédentes, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant la période d’accueil ou d’accompagnement de l’usager et pendant une durée complémentaire de deux ans à compter du dernier contact avec ce dernier.A l’issue de cette durée de conservation, les données seront détruites.La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Autorise, conformément à la présente délibération, l’IME-SESSAD Les Horizons de l’ADAPEI de la Somme à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1288664)
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère du logement, de l’égalité des territoires et de la ruralité (Direction de l’habitat, de l’urbanisme et des paysages) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel relatif à la gestion de l’ensemble de la procédure du droit au logement opposable dénommé « Commission DALO » (COMDALO) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment le 7° du I de son article 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le code de la construction et de l’habitation ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
En application du 7° du I de l’article 25 de la loi du 6 janvier 1978 modifiée, la Commission a été saisie par le ministère du logement, de l’égalité des territoires et de la ruralité (Direction de l’habitat, de l’urbanisme et des paysages) d’une demande d’autorisation préalablement à la création d’un traitement de données à caractère personnel comportant des appréciations sur les difficultés sociales des personnes dénommé « Commission DALO » (COMDALO).
Ce traitement modifie et abroge la délibération de la Commission n° 2008-181 adoptée le 26 juin 2008 portant autorisation de mise en œuvre par le ministère du logement et de la ville et par le ministère de l’écologie, de l’énergie, du développement durable et de l’aménagement du territoire de deux traitements de données à caractère personnel dénommés « DALO » et « DALORIF ».
Le traitement COMDALO a pour objet de permettre la gestion de l’ensemble de la procédure du droit au logement opposable institué par la loi n° 2007-290 du 5 mars 2007 et d’assurer un suivi statistique de la mise en œuvre de ce droit.
Pour l’application de ce nouveau droit, la loi crée des commissions de médiation dans chaque département, chargées de désigner les personnes dont l’attribution d’un logement ou d’un hébergement par le préfet est reconnue comme prioritaire et urgente.
Pour être éligible à ce droit, le demandeur doit être soit dépourvu de logement, menacé d’expulsion sans relogement, hébergé ou logé temporairement dans un établissement ou un logement de transition, hébergé dans des locaux impropres à l’habitation ou présentant un caractère insalubre ou dangereux, logé dans des locaux manifestement suroccupés ou ne présentant pas le caractère d’un logement décent, en situation de handicap ou avoir à sa charge au moins une personne en situation de handicap ou enfin n’avoir reçu aucune proposition adaptée à sa demande de logement initiale dans un délai fixé par arrêté du préfet du département.
La commission de médiation peut, par une décision spécialement motivée, désigner comme prioritaire une personne ne répondant qu’incomplètement aux conditions définies ci-dessus. Elle peut également demander au préfet de faire appel aux services compétents de l’Etat ou des collectivités territoriales ou à toute personne ou organisme compétent pour faire les constatations sur place ou l’analyse de la situation sociale du demandeur.
Sur les finalités du traitement
Le traitement COMDALO a pour finalités :
la gestion de l’ensemble de la procédure relative au traitement des recours tendant à la reconnaissance du droit au logement opposable définie à l’article L.441-2-3 du code de la construction et de l’habitation soumis à la commission de médiation prévue au même article et la mise en œuvre des décisions favorables de celle-ci ;
le suivi statistique de la mise en œuvre du droit au logement opposable.
La Commission relève que les statistiques issues de ce traitement ne porteront que sur des agrégats. Seules apparaîtront les données relatives à l’âge, le département de domiciliation, la nationalité (sous la forme France, Europe, autre), la taille du ménage, les ressources, la nature du recours (logement/hébergement), les étapes du dossier, la nature de la décision (favorable, rejet), les motifs du recours.
Elle observe que le traitement COMDALO est mis en relation avec les traitements automatisés suivants :
le Système National d’Enregistrement (SNE), créé par l’article 117 de la loi n° 2009-323 du 25 mars 2009 de mobilisation pour le logement et la lutte contre l’exclusion et autorisé par l’arrêté du 15 novembre 2013 portant création d’un traitement de données à caractère personnel relatif à l’enregistrement des demandes de logement locatif social dénommé « Numéro unique » au moyen d’un téléservice de l’administration, dont les finalités sont l’enregistrement et le suivi des demandes de logement locatif social ;
le Système Priorité Logement (SYPLO), qui est l’outil de suivi des publics prioritaires du PDALHPD et de gestion du contingent réservé de l’Etat.
Cette mise en relation avec les traitements automatisés « Numéro unique » et « SYPLO » permet aux commissions de médiation :
d’améliorer les délais de traitement et d’enregistrement des recours tendant à la reconnaissance du droit au logement opposable ;
d’être informées en temps réel des radiations pour attribution d’un logement saisies dans le SNE ;
d’être informées en temps réel des bénéficiaires dont le statut prioritaire est devenu caduc.
La Commission considère que ces finalités, qui impliquent la mise en relation de fichiers dont les finalités ne correspondent pas à des intérêts publics différents, sont déterminées, explicites et légitimes.
Sur les données collectées et traitées
Les données collectées, au moyen d’un formulaire, et enregistrées dans le traitement COMDALO ont pour seul objectif de permettre la gestion de la procédure applicable en matière de droit au logement opposable conformément aux articles L. 441-2-3 à L. 441-2-6 du code de la construction et de l’habitation.
Les catégories d’informations traitées sont relatives :
à l'identification du demandeur : nom de famille,  prénom, date de naissance, ressortissant (France, Union européenne, hors UE) ; 
au numéro et aux éléments relatifs à la pièce d’identité du demandeur ;
au numéro et à la nature du titre de séjour pour les demandeurs étrangers ;
à la situation familiale : composition du foyer avec année de naissance, sexe et liens de parenté des membres du foyer ;
à l'adresse et aux caractéristiques du logement : adresse, logement social ou logement privé, hébergement chez un tiers et lien de parenté, état du logement (insalubrité et éléments de confort), procédure de lutte contre l’habitat indigne en cours ;
à la situation économique et financière : ressources et lieu de travail (commune) des membres du foyer ;
au numéro attribué au demandeur d’un logement social ; 
aux bailleurs déjà sollicités ;
aux gestionnaires des structures d'hébergement sollicitées ou ayant hébergé le demandeur ;
à la procédure d'expulsion locative en cours ;
à la constatation d’un handicap éventuel d'un membre du foyer ; 
à l'association assistant le demandeur, le cas échéant.
La Commission prend acte qu’il ne sera pas fait mention de la nature du handicap.
Les données sur lesquelles porte la mise en relation avec le traitement SNE sont les suivantes : nom, prénom, adresse, date de naissance, civilité, nationalité (France, Union européenne, hors UE), situation familiale, composition du foyer, situation professionnelle, revenus, date de la décision favorable, diagnostic et/ou accompagnement social préconisé(s), date de signature du bail, adresse de relogement, type de contingent et zone géographique.
Les données sur lesquelles porte la mise en relation avec le traitement SYPLO sont les suivantes : date et raisons de la disparition de l’obligation de reloger.
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées. 
Sur la durée de conservation des données
Les données du traitement COMDALO sont conservées dans les conditions suivantes :
soit pendant une période de douze mois à compter de la décision de la commission de médiation portant refus du droit au logement opposable (décisions sans objet ou décisions de rejet) ou à compter de la date de signature du bail en cas de relogement effectif du bénéficiaire.
Dans le cas où le bénéficiaire refuse une offre adaptée, ou s’il renonce explicitement par courrier au bénéfice de la décision, ou si le requérant décède, les données enregistrées dans le traitement sont effacées douze mois à compter de la réception de l’information concernant le refus du bénéficiaire, ou du dépôt du courrier envoyé par le bénéficiaire ou de la réception de l’information concernant le décès du requérant ;
soit pendant une période de trois ans à compter de la décision favorable de la commission dans les cas où le bénéficiaire trouve une solution adaptée et pérenne qui supprime le motif du recours, ou s’il ne met pas en mesure le bailleur social de procéder effectivement au relogement (notamment lorsque le bénéficiaire n'a pas renouvelé sa demande de logement locatif social et ne dispose donc pas d'un numéro unique actif qui lui permettrait d'accéder au parc social), ou s’il est impossible de le contacter, y compris par l’intermédiaire du référent social ;
dans les cas de recours pour excès de pouvoir contre les décisions de la commission ou de recours prévus à l’article L.441-2-3-1 du code de la construction et de l’habitation, les données sont conservées jusqu’au prononcé d’une décision juridictionnelle définitive.
La Commission rappelle qu’à l’expiration de ces différentes périodes, les données doivent être supprimées de manière sécurisée ou archivées à titre définitif, dans des conditions définies en conformité avec les dispositions du code du patrimoine relatives aux obligations d’archivage des informations du secteur public.
La Commission considère que les données du traitement COMDALO ne sont pas conservées au-delà du temps nécessaire à l’accomplissement des finalités pour lesquelles elles ont été collectées.  
Sur les destinataires des données
Sont habilités à avoir accès aux informations strictement nécessaires à l’exercice de leurs missions et dans la limite de leurs attributions :
1° les membres de la commission de médiation pour prendre les décisions visées à l’article L. 441-2-3 du code de la construction et de l’habitation ;
2° les personnels des administrations et organismes intervenant dans la mise en œuvre du droit au logement opposable mentionnés ci-après, désignés par l’autorité responsable de ces administrations et organismes :
les bailleurs auprès desquels sont recueillies des informations complémentaires prévues par l’article L. 441-2-3 du code de la construction et de l’habitation) ou chargés de loger le bénéficiaire d’une décision favorable sur désignation du préfet ;
les organismes gérant des structures ou logements destinés à de l’hébergement et auprès desquels sont recueillies des informations  complémentaires, en tant que service social réalisant l’accompagnement de personnes hébergées, ou chargés d’héberger le bénéficiaire ;
les services intégrés d’accueil et d’orientation auprès desquels des informations complémentaires sont recueillies, ou qui sont chargés de proposer un hébergement, ou de faciliter l’accès au logement des personnes hébergées ou mal logées ;
les agents des services de l’Etat, des services publics extérieurs ou d’autres organismes compétents auprès desquels sont recueillies des informations complémentaires, en vue de l’instruction des dossiers, ou chargés de faire les constatations sur place, ou l’analyse de la situation sociale du demandeur, nécessaires à l’instruction en application de l’article R.441-14 du code de la construction et de l’habitation ;
les instances du plan départemental d’action pour le logement et l’hébergement des personnes défavorisées ayant, ou ayant eu à connaître de la situation du demandeur ;
les agents des services de l’Etat chargés de donner suite aux décisions favorables de la commission de médiation ;
les agents de l’Etat chargés de mettre en œuvre et de suivre les attributions de logements réservés par l’Etat mentionnés à l’article L. 441-1 du code de la construction et de l’habitation ;
les agents des services de l’Etat chargés du suivi statistique de la mise en œuvre du droit au logement opposable ;
les communes et les établissements publics de coopération intercommunale dont le champ de compétence coïncide avec tout ou partie du périmètre envisagé par le préfet pour le relogement, et/ou dont le préfet sollicite l’avis, et/ou  qui contribuent au relogement des bénéficiaires de décisions favorables ;
les services de l’Etat, du conseil départemental, ainsi que ceux des communes et leur groupements, ou les organismes qu’ils ont mandatés, en tant qu’ils sont chargés de réaliser des diagnostics sociaux ou des actions d’accompagnement social ;
les organismes collecteurs d’Action logement et de l’Association foncière logement, en tant qu’ils contribuent au relogement des bénéficiaires de décisions favorables, en application des articles L. 313-26-2 et L. 313-35 du code de la construction et de l’habitation.
La Commission considère que les destinataires ci-dessus mentionnés présentent un intérêt légitime à accéder en tout ou partie aux données du traitement COMDALO, dans la limite des informations dont ils ont à connaître au regard de leurs fonctions.
Sur l'information et les droits des personnes  
La Commission prend acte de l’insertion d’une mention d’information sur les formulaires de recours et sur l’accusé de réception adressé au requérant par le secrétariat des commissions de médiation après enregistrement du formulaire de recours.
La Commission relève que les droits d’accès et de rectification prévus par les articles 39 et 40 de la loi n° 78-17 du 6 janvier 1978 modifiée s’exercent auprès du secrétariat des commissions de médiation où la demande a été déposée.
Elle observe également que le droit d’opposition prévu au titre de l’article 38, alinéa 1 de la loi du 6 janvier 1978 susvisée n’est pas applicable au présent traitement, conformément aux dispositions de l’article 38, alinéa 3 de la loi susvisée. 
Sur les mesures de sécurité 
La Commission constate qu’un système de journalisation des accès à l’application est mis en place au sein de l’infrastructure qui héberge le traitement COMDALO.
Les journaux sont conservés pendant un an et font l’objet d’une analyse régulière.
Les matériels réalisant la journalisation font l’objet de mesures de protection particulières : les accès à l’application sont enregistrés dans des fichiers texte locaux des serveurs mandataires inverses (reverse-proxies), puis centralisés et sauvegardés.
Les utilisateurs sont informés que leurs actions font l’objet d’une journalisation.
Concernant les mesures d’authentification, la Commission précise qu’il est impératif que celles-ci soient suffisamment robustes pour assurer une authentification fiable des utilisateurs.
Ainsi, le traitement doit obliger les utilisateurs à avoir recours à des mots de passe de huit caractères minimum, contenant des lettres majuscules, des chiffres et des caractères spéciaux, ou bien utiliser des techniques d’authentification apportant un niveau de sécurité analogue.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le ministère du logement, de l’égalité des territoires et de la ruralité sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, le ministère du logement, de l’égalité des territoires et de la ruralité à mettre en œuvre le traitement susmentionné.
La présente délibération abroge la délibération de la Commission n° 2008-181 adoptée le 26 juin 2008.
La Présidente
Isabelle FALQUE-PIERROTIN