AgentPublic/cnil huggingface dataset:
d’administration de soins, de traitements, de diagnostics médicaux, de médecine préventive ou de gestion des services de santé (article 44 de la loi Informatique et Libertés). Les traitements au sein desquels ces données sont intégrées doivent être mis en œuvre par un membre d’une profession de santé ou par une autre personne à laquelle s’impose, en raison de ses fonctions, l’obligation de secret professionnel dont l’atteinte est réprimée par l’article 226-13 du code pénal ;
ou de délivrance d’une prestation sociale destinée à l’enfant/ jeune majeur/ jeune(s) parent(s)/ future mère, prévue par un texte législatif ou réglementaire, sous réserve que ces informations soient strictement nécessaires à la délivrance de ladite prestation (article 9.2.h du RGPD) (p. ex. : dans le cadre de la délivrance d’une aide à domicile, les informations relatives à la santé du demandeur peuvent être collectées par le conseil départemental conformément aux dispositions des articles L. 222-1 et suivants du CASF) ;
ou d’instruction des demandes et renouvellements des agréments des assistants maternels et familiaux, conformément aux dispositions du décret n° 2012-364 du 15 mars 2012 relatif au référentiel fixant les critères d’agrément des assistants maternels et du décret n° 2014-918 du 18 août 2014 relatif au référentiel fixant les critères d’agrément des assistants familiaux.
Lorsque la collecte de données relatives à la santé est nécessaire à l’accompagnement social réalisé mais ne s’inscrit pas au sein de l’une des trois situations susvisées, celle-ci peut être exceptionnellement réalisée après recueil du consentement du jeune majeur ou du représentant légal du mineur (p. ex. : une aide-ménagère ou une technicien/technicienne de l’intervention sociale et familiale peut recevoir communication de l’état de santé d’une personne dès lors que ces informations sont nécessaires à l’accompagnement social réalisé à domicile ; le personnel d’une structure accueillant le mineur ou jeune majeur peut avoir connaissance de toutes informations utiles concernant la santé de l’enfant pendant son séjour tels que les traitements médicaux à suivre, les maladies contractées, les allergies, les éventuelles difficultés de santé, les précautions à prendre, les vaccinations). À cet égard, le responsable de traitement doit veiller au respect des conditions de recueil du consentement et plus particulièrement au caractère libre, spécifique, éclairé et univoque du consentement.
 
Exemple n° 2 :
Dans le cadre de l’évaluation de la situation de la minorité, les informations qui révèlent la prétendue origine raciale ou l'origine ethnique ou encore les convictions religieuses des personnes concernées peuvent être collectées par les conseils départementaux dès lors que ces informations sont nécessaires à l’évaluation sociale réalisée par les services de l’ASE et, notamment, à l’exposé des motifs de départ du pays d’origine, conformément aux dispositions de l’arrêté du 20 novembre 2019 pris en application de l’article R.
221-11 du CASF relatif aux modalités de l’évaluation des personnes se présentant comme mineures et privées temporairement ou définitivement de la protection de leur famille.
 
Exemple n° 3 :
Dans le cadre de l’organisation des repas au sein des foyers, peuvent également être collectées les données relatives aux convictions religieuses 
sous réserve
 (conditions cumulatives) :
d’être collectées auprès du jeune majeur ou du représentant légal du mineur, après recueil du consentement exprès. De la même manière, le responsable de traitement doit veiller au respect des conditions de recueil du consentement et plus particulièrement du caractère libre, spécifique, éclairé et univoque du consentement ;
d’être strictement nécessaires à l’accompagnement social et/ou médico-social réalisé.
24/ Il convient de distinguer le consentement en tant qu’exception prévue par le RGPD autorisant la collecte de données sensibles, du consentement en tant que base légale ou base juridique qui autorise légalement la mise en œuvre du traitement.
Exemple :
Dans le cadre de l’accompagnement social et médico-social des mineurs ou jeunes majeurs, des données sensibles, notamment les convictions religieuses (cf. exemple n° 3), ou encore des données qui révèlent la prétendue origine raciale ou l'origine ethnique sont susceptibles d’être traitées par le responsable de traitement.
Par conséquent, si la base légale du traitement repose sur l’intérêt légitime ou la mission d’intérêt public, le consentement spécifique du représentant légal ou du jeune majeur devra être recueilli pour pouvoir traiter ces informations.
 
25/ Le tableau reproduit ci-dessous fournit des illustrations des données que la CNIL considère comme étant en principe adaptées selon les finalités du traitement.
			Catégories de données
			Exemples de données
À l'identification des mineurs et jeunes majeurs et, le cas échéant, de leurs représentants légaux
			Nom, prénom, sexe, adresse postale et de courriel, numéro de téléphone, date et lieu de naissance, photographie.
La photographie ne doit être collectée que lorsque cela est strictement nécessaire au regard de l'objectif poursuivi (p. ex. : pour s'assurer de la prise en charge du bon mineur ou encore pour retrouver le pensionnaire d'un foyer qui s'est soustrait à la vigilance du personnel).
Attention : le président du conseil départemental peut solliciter le concours de l'État dans le cadre de la réalisation de la procédure d'évaluation de la minorité et dans ce cadre, les services habilités au sein du conseil départemental en charge de l'évaluation peuvent notamment être destinataires de l'image numérisée de la personne concernée, conformément aux dispositions de l'article R. 221-15-4 du CASF.
Numéro d'identification de rattachement à un organisme : numéro d'adhérent ou d'allocataire.
NIR, dans les conditions fixées par le décret n° 2019-341 du 19 avril 2019.
Nationalité du bénéficiaire sous la forme Français/UE/hors UE . La nationalité précise de la personne concernée peut également être collectée dès lors que ces informations sont strictement nécessaires :
			- à l'évaluation de la situation de la minorité du MNA par les conseils départementaux ;
			- au placement du mineur ou du jeune majeur et notamment afin d'éviter les risques associés à d'éventuelles violences ;
			- à l'accompagnement du jeune majeur dans le cadre de sa demande de titre de séjour et/ou demande d'asile.
Les documents prouvant la régularité du séjour en France de la personne concernée dès lors que le bénéfice de l'aide ou de la prestation sociale est soumis à une condition de régularité du séjour.
À la vie personnelle
			Situation et composition familiale du foyer, le cas échéant, l'identification d'enfants pris en charge dans le cadre de la protection de l'enfance, centres d'intérêts, langue(s) parlée(s) dans la mesure où cette information est indispensable pour mentionner le besoin d'interprètes.
			Dans le cadre de la prestation sociale relative à l'aide à domicile, des informations relatives aux habitudes de vie strictement nécessaires à l'organisation de la vie quotidienne peuvent être collectées par les techniciens de l'intervention sociale et familiale (p. ex. : habitudes alimentaires, activité physique, toilette quotidienne).
Des données dites sensibles , qui révèlent la prétendue origine raciale ou l'origine ethnique, les opinions politiques, les convictions religieuses ou philosophiques, les données concernant la santé ou celles concernant la vie sexuelle ou l'orientation sexuelle du mineur ou jeune majeur sont susceptibles d'être collectées dès lors qu'elles sont strictement nécessaires à l'accompagnement social, médico-social, socio-éducatif et judiciaire.
ATTENTION :
En raison de l'extrême sensibilité de ces données, la Commission rappelle que celles-ci doivent être collectées et traitées avec la plus grande précaution. Elles ne peuvent être collectées que si elles sont strictement nécessaires à l'accompagnement social, socio-éducatif, médico-social et judiciaire et entrent dans les missions de l'organisme. En outre leur traitement doit être entouré de garanties : mesures de sécurité renforcées, sensibilisation du personnel au traitement de ces données ; mesures d'habilitations strictes ; impossibilité de faire des recherches spécifiquement à partir de requêtes portant sur ces données ; etc.
Au parcours scolaire, de formation et professionnel dans le cadre de l'aide à l'insertion scolaire et/ou professionnelle des personnes
			Scolarité (bulletins scolaires, nom de l'établissement, compte rendu de l'équipe éducative, etc.), situation au regard de l'emploi (organisme employeur, contrat de travail ou d'apprentissage, etc.), de la formation et de la qualification.
Aux conditions de vie matérielles
Situation financière : ressources, charges, crédits, dettes.
Prestations et avantages sociaux perçus : nature, montant, quotient familial, numéro d'allocataire.
Situation face au logement et à l'hébergement : type et caractéristiques du logement ou modalités d'hébergement (domicile personnel, familial, sans abri, hébergement de fortune, hébergement mobile, hébergement d'urgence, hébergement d'insertion).
Moyens de mobilité.
À la couverture sociale et assurantielle
			Organismes de rattachement et régimes d'affiliation, droits ouverts, complémentaire santé, assurances (responsabilité civile, logement, véhicule, etc.).
Aux coordonnées bancaires dans la mesure où cette information est nécessaire au versement d'une prestation
			Relevé d'identité bancaire (RIB).
À l'évaluation sociale et médico-sociale de la personne concernée
			Conditions d'éducation et contexte de vie de l'enfant ou du jeune majeur, à l'évaluation des capacités parentales, aux difficultés personnelles qui peuvent concourir à mettre le mineur ou jeune majeur en difficulté ou en danger, aux évènements familiaux impactant la vie du mineur ou du jeune majeur et permettant de comprendre sa situation, à la synthèse des comptes rendus des entretiens avec les personnes concernées, s'il y a lieu, avec les autres intervenants dans l'accompagnement.
À l'évaluation de la situation de minorité
Les catégories d'informations susceptibles d'être collectées par les agents en charge de l'évaluation des services de l'ASE du conseil départemental sont prévues par l'arrêté du 20 novembre 2019 pris en application de l'article R. 221-11 du CASF relatif aux modalités de l'évaluation des personnes se présentant comme mineures et privées temporairement ou définitivement de la protection de leur famille et, plus particulièrement, les catégories relatives à l'état civil, la composition familiale, la présentation des conditions de vie dans le pays d'origine, l'exposé des motifs de départ du pays d'origine et la présentation du parcours migratoire de la personne jusqu'à l'entrée sur le territoire français, les conditions de vie depuis l'arrivée en France et le projet de la personne.
À l'accompagnement dans le cadre de la procédure de demande d'asile
Dans le cadre de l'accompagnement et du suivi social des jeunes majeurs (anciens mineurs non accompagnés), les informations relatives à la demande de titre de séjour et, le cas échéant, à la procédure de demande d'asile sous la forme dépôt d'une demande d'asile : oui/non et/ou à la procédure de demande de titre de séjour sous la forme dépôt d'une demande de titre de séjour oui/non , la nationalité de la personne concernée ainsi que les informations nécessaires à l'élaboration du récit de vie de la personne concernée.
Informations préoccupantes relatives à l'enfance en danger
Les informations susceptibles d'être collectées et traitées par les conseils départementaux sont fixées par le décret n° 2016-1966 du 28 décembre 2016 organisant la transmission d'informations sous forme anonyme aux observatoires départementaux de la protection de l'enfance et à l'Observatoire national de la protection de l'enfance.
Au type d'accompagnement et aux actions mis en œuvre
			Domaines d'intervention, historique des mesures d'accompagnement (mesures d'accompagnement social, médico-social, judiciaire, socio-éducative ou encore administrative. Par exemple : les mesures d'assistance éducative prononcées par le juge des enfants, les mesures relatives à l'accompagnement en économie sociale et budgétaire ou encore les mesures judiciaires d'investigation éducative, les mesures de placement, etc.), objectifs, parcours, actions d'insertion prévues, entretien et suivi.
À l'identification des personnes concourant à la prise en charge sociale et médico-sociale et à l'entourage susceptible d'être contacté
			Nom, prénom, qualité, organisme d'appartenance, numéro de téléphone de l'organisme, adresse postale, courriel, numéro de téléphone des aidants professionnels ou familiaux (le cas échéant, le lien familial : grands parents, tante/oncle, frère/sœur, etc.), du médecin traitant, des médecins experts, du travailleur social, etc.
À la gestion des demandes et renouvellements, retraits et suspensions des agréments des assistants maternels et familiaux
Les informations susceptibles d'être collectées et traitées par les départements dans le cadre des demandes et renouvellements des agréments des assistants maternels sont fixées par l'arrêté du 18 octobre 2016 fixant le modèle de formulaire en vue de l'agrément des assistants maternels et la composition du dossier de demande d'agrément.
			Celles susceptibles d'être collectées et traitées par les départements dans le cadre des demandes et renouvellements d'agrément des assistants familiaux sont fixées par l'arrêté du 3 février 2017 fixant le modèle de formulaire en vue de l'agrément d'assistant familial et la composition du dossier de demande d'agrément.
			Dans le cadre de la suspension et/ou du retrait de l'agrément, toutes les informations susceptibles de justifier ladite suspension ou le dit retrait.
A l'instruction et au suivi de l'accueil durable et bénévole par un tiers d'un enfant pris en charge par le service de l'aide sociale à l'enfance
			Les informations susceptibles d'être collectées sont prévues par les dispositions du décret n° 2016-1352 du 10 octobre 2016 relatif à l'accueil durable et bénévole d'un enfant par un tiers prévu à l'article L. 221-2-1 du CASF.
26/ Après s’être assuré de la pertinence et de la proportionnalité des données à caractère personnel qu’il traite, l’organisme doit par ailleurs s’assurer, tout au long de la durée de vie du traitement, de la qualité de ces données qui doivent être exactes, mises à jour et toujours nécessaires à l’objectif poursuivi.
6. Destinataires des données et accès aux informations
27/ Les données à caractère personnel ne peuvent être rendues accessibles qu’aux seules personnes habilitées à en connaitre au regard de leurs attributions.
 
28/ D’une manière générale, les habilitations d’accès doivent être documentées par les organismes, et les accès aux différents traitements doivent faire l’objet de mesures de traçabilité. Voir point 10 relatif à la sécurité.
 
Sauf cas particuliers, le partage des informations collectées devrait notamment respecter les principes suivants :
les informations échangées ne doivent servir qu’à évaluer la situation de la personne ou de la famille concernée afin de déterminer les actions à mettre en œuvre ;
ces échanges d’informations doivent en outre être strictement limités à l’accomplissement des missions de l’organisme ou du service mettant en œuvre le traitement ;
ils ne peuvent pas porter sur l’ensemble des informations dont les intervenants sont dépositaires mais doivent être limités à celles nécessaires à l’accompagnement et au suivi des personnes, dans le respect de leur vie privée ;
les échanges doivent être réalisés dans les conditions fixées par les textes législatifs et réglementaires.
 
6.1. Les personnes accédant aux données pour le compte du responsable de traitement
29/ Seules les personnes habilitées au titre de leurs missions ou de leurs fonctions peuvent accéder aux données à caractère personnel traitées, et ce dans la stricte limite de leurs attributions respectives et de l’accomplissement de ces missions et fonctions.
 
30/ Il peut s’agir, par exemple, des professionnels et de tout membre du personnel du même établissement, du même service concourant à une ou plusieurs des finalités susvisées, dans la limite de leurs attributions respectives et des règles encadrant le partage et l’échange d’informations conformément aux dispositions des articles L. 1110-4 du CSP et L. 226-2-2 du CASF (p. ex. : les agents habilités au sein des CRIP des départements peuvent accéder aux informations relatives aux informations préoccupantes dans le cadre de l’enfance en danger ; les agents habilités qui exercent la mission de l’aide sociale à l’enfance au sein des départements ; les services en charge de l’instruction des demandes d’agréments des assistants maternels et familiaux au sein des départements).
 
6.2. Les destinataires des données
31/ Le RGPD définit les destinataires comme tout organisme qui reçoit la communication des données .
32/ Avant toute communication des informations, le responsable de traitement doit, d’une part, s’interroger sur la finalité de la transmission pour s’assurer de sa pertinence et de sa légitimité et, d’autre part, vérifier que les données communiquées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
 
33/ Dans le cadre de ce référentiel, peuvent notamment être destinataires des données 
(liste non exhaustive)
 :
 
s’agissant de données traitées par une personne soumise au secret professionnel, les professionnels et tout membre du personnel membre de la même équipe de soins ou non et n’exerçant pas au sein du même établissement, sous réserve dans ce dernier cas du recueil du consentement de la personne concernée, conformément aux dispositions de l’article
	L. 1110-4 du CSP, qui participent à une ou plusieurs des finalités susvisées ;
les professionnels et tout membre du personnel d’un établissement externe soumis au secret professionnel et qui mettent en œuvre la politique de la protection de l’enfance définie à l’article L. 112-3 du CASF ou qui lui apportent leur concours, conformément aux dispositions de l’article L. 226-2-2 du CASF ;
les structures partenaires qui accompagnent les jeunes adultes dans leur projet de logement et/ou de réinsertion sociale (l’Union nationale des comités locaux pour le logement autonome des jeunes, les centres d’hébergement et de réinsertion sociale, etc.) ;
l’observatoire départemental de la protection de l’enfance (ODPE) et l’Observatoire national de la protection de l’enfance (ONPE), dans les conditions fixées par le décret n° 2016-1966 du 28 décembre 2016 organisant la transmission d’informations sous forme anonyme aux ODPE et à l’ONPE ;
les services de la préfecture dès lors que le président du conseil départemental sollicite le concours de l’Etat dans la réalisation de la procédure d’évaluation de la minorité, conformément aux dispositions de l’article R. 211-11 du CASF ;
le ministère de la justice, s’agissant notamment de la transmission du nombre total de mineurs privés temporairement ou définitivement de la protection de leur famille, qui ont été confiés au président du conseil départemental sur décision judiciaire et sont présents au sein de l’ASE au 31 décembre de l’année précédente ou qui feront l’objet d’un accueil provisoire d’urgence, conformément aux dispositions de l’article R. 221-14 du CASF ;
les autorités judiciaires (ex. : les services de la protection judiciaire de la jeunesse, etc.) ;
les organismes instructeurs et payeurs de prestations sociales ;
les organismes financeurs et gestionnaires, s’agissant exclusivement de données préalablement anonymisées, à l’exception de ceux autorisés par une disposition légale ou réglementaire à obtenir la communication de données à caractère personnel des personnes accompagnées.
6.3. Les sous-traitants
34/ Le RGPD définit le sous-traitant comme La personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement .
 
35/ Il peut s’agir, par exemple, des prestataires de services informatiques (hébergement, maintenance, etc.) ou encore de tout organisme offrant un service ou une prestation impliquant un traitement de données à caractère personnel pour le compte d’un autre organisme (p. ex. : la gestion de la paie des salariés ou des agents).
 
36/ À cet égard, le responsable de traitement qui souhaite avoir recours à un sous-traitant doit veiller à ne faire appel qu’à des organismes présentant des garanties suffisantes. Un contrat définissant les caractéristiques du traitement ainsi que les différentes obligations des parties en matière de protection des données doit être établi entre elles (article 28 du RGPD).
 
37/ Pour en savoir plus, un guide du sous-traitant , édité par la CNIL, rappelle ces obligations et donne des exemples de clauses à intégrer dans les contrats.
6.4. Les tiers autorisés
38/ Les autorités légalement habilitées sont susceptibles, dans le cadre d’une mission particulière ou de l’exercice d’un droit de communication, de demander au responsable de traitement la communication de données à caractère personnel (p. ex. : les organismes de sécurité sociale dans le cadre de la lutte contre la fraude, les administrations de la justice, de la police, de la gendarmerie).
 
39/ Dans ce cas, le responsable du traitement doit s’assurer du caractère contraignant de la disposition sur laquelle se fonde l’autorité et ne transmettre que les données prévues par le texte ou, si ce dernier ne les liste pas, les seules données indispensables au regard de la finalité du droit de communication en question.
 
40/ Pour en savoir plus, l’organisme a la possibilité de consulter le guide pratique tiers autorisés sur le site de la CNIL.
 
6.5. Les transferts de données à caractère personnel en dehors de l’Union européenne
 
41/ Pour assurer la continuité de la protection des données à caractère personnel, leur transfert en dehors de l’Union européenne (UE) est soumis à des règles particulières. Ainsi, conformément aux dispositions des articles 44 et suivants du RGPD, toute transmission de données hors de l’UE doit :
être fondée sur une décision d'adéquation ;
ou être encadrée par des règles internes d'entreprise ( BCR ), des clauses types de protection des données, un code de conduite ou un mécanisme de certification approuvés par la CNIL ;
ou être encadrée par des clauses contractuelles ad hoc préalablement autorisées par la CNIL ;
ou répondre à une des dérogations prévues à l'article 49 du RGPD.
 
42/ Pour en savoir plus, l’organisme a la possibilité de consulter la rubrique Transférer des données hors de l’UE  sur le site de la CNIL.
 
7. Conservation des données
 
43/ Une durée de conservation précise des données doit être fixée en fonction de chaque finalité ; ces données ne peuvent en effet pas être conservées pour une durée indéfinie.
 
44/ La durée de conservation de données ou, lorsqu’il est impossible de la fixer, les critères utilisés pour déterminer cette durée, font partie des informations qui doivent être communiquées aux personnes concernées.
 
45/ Dans ces conditions, il incombe au responsable du traitement de déterminer cette durée en amont de la réalisation du traitement.
 
 
7.1 Les durées de conservation
46/ En principe, il est recommandé que les données collectées et traitées pour les besoins de l’accompagnement social et médico-social des mineurs et jeunes majeurs ne soient pas conservées dans la base active au-delà de deux ans à compter du dernier contact émanant de la personne ayant fait l’objet de cet accompagnement (p. ex. : dernier courriel ou courrier envoyé par la personne concernée/son représentant légal), sauf dispositions législatives ou réglementaires contraires ou cas particulier. Cette durée de conservation est celle préconisée par la Commission s’agissant de l’ensemble des finalités visées par le référentiel à l’exception des traitements ayant pour objet :
d’assurer l’évaluation de la situation de la minorité de la personne concernée ;
de gérer le recueil, le traitement et l’évaluation des informations préoccupantes relatives à l’enfance en danger ;
d’instruire et gérer les demandes et renouvellements d’agrément des assistants maternels et familiaux.