AgentPublic/cnil huggingface dataset:
En vertu du principe de minimisation des données, le responsable de traitement doit veiller à ce que seules les données nécessaires à la poursuite des finalités du traitement soient effectivement collectées et traitées. Sont en principe considérées comme pertinentes, pour les finalités rappelées ci-dessus, les catégories de données suivantes relatives :
 
à l’identification des bénéficiaires de l’accompagnement social et médico-social et, le cas échéant, de leurs représentants légaux ;
à la vie personnelle ;
au parcours professionnel et de formation dans le cadre de l’aide à l’insertion professionnelle des personnes ;
aux conditions de vies matérielles ;
à la couverture sociale ;
aux coordonnées bancaires dans la mesure où cette information est nécessaire au versement d’une prestation ;
à l’évaluation sociale et médico-sociale de la personne concernée ;
au type d’accompagnement et aux actions mis en œuvre ;
à l’identification des personnes concourant à la prise en charge sociale et médico-sociale et à l’entourage susceptible d’être contacté ;
à l’identification des personnes dans le cadre de l’accompagnement au numérique.
De manière générale, le responsable de traitement ne doit collecter que les données dont il a réellement besoin et ne doit le faire qu’à partir du moment où ce besoin se concrétise.
Exemples :
Peuvent être collectés la nationalité du bénéficiaire sous la forme Français / UE / hors UE et les documents prouvant la régularité de son séjour en France, dès lors que le bénéfice de l’aide ou de la prestation sollicitée est soumis à une condition de régularité du séjour.
Dans le cadre de l’accompagnement relatif à la demande d’asile et/ou à la demande d’un titre de séjour, peuvent être collectées les informations relatives à la procédure de demande d’asile sous la forme dépôt d’une demande d’asile oui/non et/ou les informations relatives à la procédure de demande de titre de séjour sous la forme dépôt d’une demande de titre de séjour oui/non , la nationalité de la personne concernée ainsi que les informations nécessaires à l’élaboration du récit de vie.
5.2. Le traitement du numéro de sécurité sociale (NIR), des données sensibles et des données relatives aux condamnations pénales et aux infractions
 
Certaines catégories de données appellent, une vigilance renforcée en raison de leur caractère particulièrement sensible. Bénéficiant d’une protection spécifique, elles ne peuvent être collectées et traitées que dans des conditions strictement définies par les textes. Il s’agit :
NIR, qui fait l’objet d’une réglementation spécifique et ne peut, être enregistré dans le traitement que dans le cadre des échanges avec les professionnels de santé ou les organismes de sécurité sociale, de prévoyance et les MDPH. A cet égard, le décret en Conseil d’Etat n° 2019-341 du 19 avril 2019 pris après avis de la CNIL, détermine les catégories de responsables de traitement et les finalités de ces traitements au vu desquelles ces derniers peuvent être mis en œuvre lorsqu’ils portent sur des données comportant le NIR (voir aussi Tout savoir sur le décret cadre NIR dans le champ de la protection sociale ) ;
 
de l’identifiant national de santé ou INS (articles 
L. 
1111-8-1
 et 
R. 
1111-8-1 et suivants du code de la santé publique
) qui ne peut être utilisé que pour répertorier et retrouver les données de santé et les données administratives rattachées à une personne bénéficiant ou appelée à bénéficier d’une prise en charge sanitaire ou médico-sociale. L’INS ne peut être utilisé que par les professionnels, les établissements, services ou organismes participant à la prévention ou aux soins dont les conditions d’exercice ou les activités sont régies par le CSP (professionnels de santé libéraux, établissements de santé, etc.), par les professionnels du secteur social et médico-social, par les établissements ou services sociaux ou médico-sociaux (p. ex. : maisons de retraite, MDPH, etc. ) ou par les professionnels constituant une équipe de soins au sens de l’article L. 1110-12 du CSP et intervenant dans la prise en charge sanitaire ou médico-sociale de l’usager ;
 
des données relatives aux infractions, condamnations pénales et mesures de sûreté connexes qui ne peuvent être traitées que dans certains cas dans le respect des dispositions légales relatives aux données d’infractions (art. 46 de la LIL) ;
 
Par exemple si :
elles sont strictement nécessaires dans le cadre des actions mises en œuvre en faveur des personnes détenues ou placées sous main de justice, d’une part, et dans le cadre de l’aide et du soutien des victimes d’infractions ou des familles de personnes détenues ;
elles permettent d’établir l’existence d’une situation de maltraitance passée ou en cours afin d’adapter l’accompagnement de la personne concernée (p. ex. : l’accompagnement des femmes victimes de violences conjugales par une association d’aide aux victimes agréée par le ministère de la justice conformément aux dispositions de l’article 46 al. 1 de la loi Informatique et Libertés et de l’article 76 du décret n° 
2019-536 du 29 mai 2019).
 
 
des données dites données sensibles , c’est-à-dire celles qui révèlent l’origine ethnique ou prétendument raciale, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale d’une personne, les données génétiques, les données biométriques, les données concernant la santé ou celles concernant la vie sexuelle ou l’orientation sexuelle d’une personne. Ces données ne peuvent pas être collectées, sauf exception prévue par les textes.
À titre d’exemple, peuvent être collectées des données relatives à la santé, sous réserve que ces données soient collectées à des fins :
d’administration de soins, de traitements, de diagnostics médicaux, de médecine préventive ou de gestion des services de santé. Les traitements au sein desquels ces données sont intégrées doivent être mis en œuvre par un membre d’une profession de santé ou par une autre personne à laquelle s’impose en raison de ses fonctions, l’obligation de secret professionnel dont l’atteinte est réprimée par l’article 226-13 du code pénal ;
ou de délivrance d’une prestation sociale destinée aux personnes en situation de perte d’autonomie ou de handicap prévue par un texte législatif ou réglementaire, sous réserve que ces informations soient strictement nécessaires à la délivrance de ladite prestation.
 
Lorsque la collecte de données de santé est nécessaire à l’accompagnement social réalisé mais ne s’inscrit pas au sein de l’une des deux situations susvisées, celle-ci peut être réalisée après recueil du consentement de la personne concernée ou de son représentant légal (p. ex. : une aide à domicile peut recevoir communication de l’état de santé d’une personne dès lors que ces informations sont nécessaires à l’accompagnement social et médico-social réalisé à domicile). À cet égard, le responsable de traitement doit veiller au respect des conditions de recueil du consentement et plus particulièrement au caractère libre, spécifique, éclairé et univoque du consentement.
 
Peuvent également être collectées les données relatives aux convictions religieuses et/ou philosophiques sous réserve (conditions cumulatives) :
d’être collectées auprès de la personne concernée ou de son représentant légal, après recueil du consentement exprès. De la même manière, le responsable de traitement doit veiller au respect des conditions de recueil du consentement et plus particulièrement au caractère libre, spécifique, éclairé et univoque du consentement ;
et d’être strictement nécessaires à l’accompagnement social et/ou médico-social (p. ex. : organisation des repas, des funérailles, accompagnement des personnes victimes ou susceptibles d’être victimes de mouvements extrémistes etc.).
Il convient de distinguer le consentement en tant qu’exception prévue par le RGPD autorisant la collecte de données sensibles, du consentement en tant que base légale ou base juridique qui autorise légalement la mise en œuvre du traitement.
Exemple :
Dans le cadre de l’accompagnement social et médico-social adapté aux difficultés rencontrées des personnes, des données sensibles, notamment les convictions religieuses, sont susceptibles d’être collectées par le responsable de traitement. Par conséquent, si la base légale du traitement repose sur l’intérêt légitime, l’exécution du contrat ou la mission d’intérêt public, un consentement spécifique devra être recueilli pour pouvoir traiter les informations relatives aux convictions religieuses.
 
Le tableau reproduit ci-dessous fournit des illustrations des données que la CNIL considère comme étant en principe adaptées selon les finalités du traitement.
 
			Catégories de données
			Exemples de données
			A l'identification des bénéficiaires de l'accompagnement social et médico-social et, le cas échéant, de leurs représentants légaux
			Nom, prénom, sexe, adresse, courriel, numéro de téléphone, date et lieu de naissance, photographie.
La photographie ne doit être collectée que lorsque cela est strictement nécessaire au regard de l'objectif poursuivi (p. ex. : pour retrouver un pensionnaire d'un EHPAD qui s'est soustrait à la vigilance du personnel).
			Numéro d'identification de rattachement à un organisme : numéro d'adhérent ou d'allocataire.
			Numéro de sécurité sociale dans les conditions fixées par le décret n° 2019-341 du 19 avril 2019.
			Nationalité du bénéficiaire sous la forme Français / UE / hors UE , les documents prouvant la régularité du séjour en France de la personne concernée dès lors que le bénéfice de l'aide ou de la prestation sociale est soumis à une condition de régularité du séjour.
			Informations relatives à la procédure de demande d'asile sous la forme dépôt d'une demande d'asile : oui/non et/ou à la procédure de demande de titre de séjour sous la forme dépôt d'une demande de titre de séjour oui/non , la nationalité de la personne concernée ainsi que les informations nécessaires à l'élaboration du récit de vie de la personne concernée.
			Dans des cas exceptionnels, la photocopie de la pièce d'identité de la personne concernée notamment dans le cadre de l'accompagnement relatif à la gestion budgétaire auprès des organismes publics et/ou privés (p. ex. : dépôt d'un dossier de surendettement auprès de la Banque de France, etc.).
			A la vie personnelle
Situation et composition familiale du foyer, le cas échéant, l'identification d'enfants pris en charge dans le cadre de la protection de l'enfance, habitudes de vie nécessaires à l'organisation de la vie quotidienne (p. ex. : habitudes alimentaires, activité physique, toilette quotidienne, nombre d'heure de sommeil, etc.), centres d'intérêt, langue parlée dans la mesure où cette information est indispensable pour mentionner le besoin d'interprètes.
			Au parcours professionnel et de formation dans le cadre de l'aide à l'insertion professionnelle des personnes
			Scolarité, situation au regard de l'emploi, de la formation et de la qualification.
			Aux conditions de vie matérielles
			Situation financière : ressources, charges, crédits, dettes.
			Peuvent également être collectées les informations relatives à la liste des comptes bancaires existants, aux dates d'ouverture desdits comptes, aux moyens de paiement, au montant du découvert autorisé ainsi qu'à l'inscription, le cas échéant, au fichier national des incidents de remboursement des crédits aux particuliers (FICP) et au fichier central des chèques (FCC) sous réserve que ces informations soient strictement nécessaires à l'accompagnement budgétaire réalisé.
			Prestations et avantages sociaux perçus : nature, montant, quotient familial, numéro d'allocataire.
Situation face au logement et à l'hébergement : type et caractéristiques du logement ou modalités d'hébergement (domicile personnel, familial, sans abri, hébergement de fortune, hébergement mobile, hébergement d'urgence, hébergement d'insertion).
			Moyens de mobilité.
			A la couverture sociale
			Organismes de rattachement et régimes d'affiliation, droits ouverts.
			Aux coordonnées bancaires dans la mesure où cette information est nécessaire au versement d'une prestation
			Relevé d'identité bancaire (RIB).
			A l'évaluation sociale et médico-sociale de la personne concernée
			Difficultés rencontrées et appréciations sur celles-ci, évaluation de la situation des personnes afin de repérer l'aggravation de difficultés ou encore d'une perte d'autonomie s'agissant des personnes âgées ou en situation de handicap.
			Au type d'accompagnement et aux actions mis en œuvre
			Domaines d'intervention, historique des mesures d'accompagnement, objectifs, parcours, actions d'insertion prévues, entretien et suivi.
			A l'identification des personnes concourant à la prise en charge sociale et médico-sociale et à l'entourage susceptible d'être contacté
			Nom, prénom, qualité, organisme d'appartenance, numéro de téléphone de l'organisme, adresse, courriel, numéro de téléphone des aidants professionnels ou familiaux (le cas échéant, le lien familial : époux / épouse, frère / sœur, fils / fille, etc.), du médecin traitant, des médecins experts, de la personne de confiance.
A l'identification des personnes dans le cadre de l'accompagnement au numérique
			Dans des cas exceptionnels, il est possible d'enregistrer les identifiants et mots de passe de l'espace personnel de la personne concernée lorsque celle-ci n'est pas en capacité de se connecter seule (p. ex. : la personne concernée n'est pas en mesure de se déplacer et est dépourvue d'un accès à Internet).
			L'enregistrement des mots de passe de l'usager ne doit être réalisé que dans le cadre d'un mandat signé entre l'usager et le professionnel (voir exemple de mandat disponible sur le site web de la CNIL). S'agissant du choix du mot de passe, la CNIL conseille vivement de se conformer à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe modifiée.
			Informations relatives à certaines aides sociales légales (liste non exhaustive)
			Aide sociale pour l'hébergement (ASH) et allocation personnalisée d'autonomie (APA) : les données susceptibles d'être collectées par les conseils départementaux dans le cadre de l'instruction, la gestion et le versement de l'APA et de l'ASH sont listées par l'article R. 232-41 du CASF.
			Carte mobilité inclusion : les données susceptibles d'être collectées par les MDPH et les conseils départementaux dans le cadre de l'instruction, la gestion et la délivrance des cartes mobilité inclusion sont listées par l'article D. 241-18-1 du CASF.
Revenu de solidarité active (RSA) : les données susceptibles d'être collectées par les caisses d'allocations familiales (CAF) et les caisses de mutualité sociale agricole (MSA) dans le cadre de l'instruction, la liquidation et le versement du RSA sont listées à l'article R. 262-103 du CASF.
			Les informations relatives aux bénéficiaires du RSA font l'objet d'échanges entre les conseils départementaux et Pôle emploi afin de coordonner leurs actions d'insertion professionnelles conformément aux dispositions de l'article R. 262-116-2 du CASF.
 
Après s’être assuré de la pertinence et de la proportionnalité des données à caractère personnel qu’il traite, l’organisme doit par ailleurs s’assurer, tout au long de la durée de vie du traitement, de la qualité de ces données qui doivent être exactes, mises à jour et toujours nécessaires à l’objectif poursuivi.
6. Destinataires des données et accès aux informations
Les données personnelles ne peuvent être rendues accessibles qu’aux seules personnes habilitées à en connaitre au regard de leurs attributions.
D’une manière générale, les habilitations d’accès doivent être documentées par les organismes, et les accès aux différents traitements doivent faire l’objet de mesures de traçabilité. Voir point 10 relatif à la sécurité.
 
Sauf cas particuliers, le partage des informations collectées devrait notamment respecter les principes suivants :
les informations échangées ne doivent servir qu’à évaluer la situation de la personne ou de la famille concernée afin de déterminer les actions à mettre en œuvre ;
ces échanges d’informations doivent en outre être strictement limités à l’accomplissement des missions de l’organisme ou du service mettant en œuvre le traitement ;
ils ne peuvent pas porter sur l’ensemble des informations dont les intervenants sont dépositaires mais doivent être limités à celles nécessaires à l’accompagnement et au suivi des personnes, dans le respect de leur vie privée ;
les échanges doivent être réalisés dans les conditions fixées par les textes législatifs et réglementaires.
 
6.1. Les personnes accédant aux données pour le compte du responsable de traitement
Seules les personnes habilitées au titre de leurs missions ou de leurs fonctions peuvent accéder aux données à caractère personnel traitées, et ce dans la stricte limite de leurs attributions respectives et de l’accomplissement de ces missions et fonctions.
Il peut s’agir, par exemple, des professionnels et de tout membre du personnel de l’établissement, du service concourant à une ou plusieurs des finalités susvisées, dans la limite de leurs attributions respectives et des règles encadrant le partage et l’échange d’informations (p. ex. : l’équipe pluridisciplinaire des MDPH visée par les dispositions de l’article L. 146-8 du CASF, les professionnels et tout membre du personnel membre de la même équipe de soins exerçant au sein du même établissement, etc.).
 
6.2. Les destinataires des données
Le RGPD définit les destinataires comme tout organisme qui reçoit la communication des données .
Avant toute communication des informations, le responsable de traitement doit d’une part, s’interroger sur la finalité de la transmission pour s’assurer de sa pertinence et de sa légitimité et, d’autre part, vérifier que les données communiquées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Dans le cadre de ce référentiel, peuvent notamment être destinataires des données 
(liste non-exhaustive)
 :
s’agissant de données traitées par une personne soumise au secret médical/professionnel, les professionnels et tout membre du personnel membre de la même équipe de soins ou non et n’exerçant pas au sein du même établissement, sous réserve dans ce dernier cas du recueil du consentement de la personne concernée conformément aux dispositions de l’article L. 1110-4 du CSP, qui participent à une ou plusieurs des finalités susvisées ;
les personnes appelées à intervenir dans la gestion financière et successorale du patrimoine de la personne ayant fait l’objet d’un accompagnement et d’un suivi ;
les organismes instructeurs et payeurs de prestations sociales ;
les organismes financeurs et gestionnaires, s’agissant exclusivement de données préalablement anonymisées, à l’exception de ceux autorisés par une disposition légale ou réglementaire à obtenir la communication de données à caractère personnel des personnes accompagnées ;
les autorités administratives compétentes mentionnées par les dispositions des articles R. 331-8 et suivants du CASF, s’agissant exclusivement de données préalablement anonymisées, dans le cadre des signalements de dysfonctionnement grave ou évènement ayant pour effet de menacer ou de compromettre la santé, la sécurité ou le bien-être des personnes prises en charge.
6.3. Les sous-traitants
Le RGPD définit les sous-traitants comme La personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement .
Il peut s’agir, par exemple, des prestataires de services informatiques (hébergement, maintenance, etc.) ou encore de tout organisme offrant un service ou une prestation impliquant un traitement de données à caractère personnel pour le compte d’un autre organisme (p. ex. : la gestion de la paie des salariés ou des agents, etc.).
Le responsable de traitement qui souhaite avoir recours à un sous-traitant doit veiller à ne faire appel qu’à des organismes présentant des garanties suffisantes. Un contrat définissant les caractéristiques du traitement ainsi que les différentes obligations des parties en matière de protection des données doit être établi entre elles (article 28 du RGPD).
Pour en savoir plus, un guide du sous-traitant , édité par la CNIL, rappelle ces obligations et donne des exemples de clauses à intégrer dans les contrats.
6.4. Les tiers autorisés
Les autorités légalement habilitées sont susceptibles, dans le cadre d’une mission particulière ou de l’exercice d’un droit de communication, de demander au responsable de traitement la communication de données à caractère personnel (p. ex. : Pôle emploi ou les organismes de sécurité sociale dans le cadre de la lutte contre la fraude, les administrations de la justice, de la police, de la gendarmerie, etc.).
Dans ce cas, le responsable du traitement doit s’assurer du caractère contraignant de la disposition avancée et ne transmettre que les données prévues par le texte, ou, si ce dernier ne les liste pas, les seules données indispensables au regard de la finalité du droit de communication en question.
Pour en savoir plus, l’organisme a la possibilité de consulter le guide pratique tiers autorisés sur le site web de la CNIL.
 
6.5. Les transferts de données à caractère personnel en dehors de l’Union européenne
Pour assurer la continuité de la protection des données à caractère personnel, leur transfert en dehors de l’Union européenne est soumis à des règles particulières. Ainsi, conformément aux dispositions des articles 44 et suivants du RGPD, toute transmission de données hors de l’UE doit :
être fondée sur une décision d'adéquation ;
ou être encadrée par des règles internes d'entreprise ( BCR ), des clauses types de protection des données, un code de conduite ou un mécanisme de certification approuvé par la CNIL ;
ou être encadrée par des clauses contractuelles ad hoc préalablement autorisées par la CNIL ;
ou répondre à une des dérogations prévues à l'article 49 du RGPD.
Pour en savoir plus, l’organisme a la possibilité de consulter la rubrique Transférer des données hors de l’UE  sur le site web de la CNIL.
7. Durées de conservation
Une durée de conservation précise des données doit être fixée en fonction de chaque finalité : ces données ne peuvent en effet pas être conservées pour une durée indéfinie.
La durée de conservation de données ou, lorsqu’il est impossible de la fixer, les critères utilisés pour déterminer cette durée, font partie des informations qui doivent être communiquées aux personnes concernées.
Dans ces conditions, il incombe au responsable du traitement de déterminer cette durée en amont de la réalisation du traitement.
 
7.1 Les durées de conservation
En principe, il est recommandé que les données collectées et traitées, pour les besoins de l’accueil, l’hébergement et l’accompagnement social et médico-social des personnes ne soient pas conservées dans la base active au-delà de deux ans à compter du dernier contact émanant de la personne ayant fait l’objet de cet accompagnement (p. ex. : dernier courriel ou courrier envoyé par la personne concernée, etc.), sauf dispositions législatives ou réglementaires contraires ou cas particulier. Cette durée de conservation est celle préconisée par la Commission s’agissant de l’ensemble des finalités visées par le référentiel.