AgentPublic/cnil huggingface dataset:
les services d’enquêtes sociales (SES) ;
les services d’investigation et d’orientation éducative (SIOE) ;
les services d’investigation éducative (SIE) ;
les foyers de jeunes travailleurs (FJT) ;
de manière générale, l’ensemble des associations de droit privé créées sous la loi de 1901 ayant pour mission l’accueil, l’hébergement, l’accompagnement et le suivi social, médico-social, éducatif et/ou judiciaire des mineurs et jeunes majeurs de moins de vingt et un ans ainsi que, le cas échéant, de leur famille ;
les organismes chargés de la gestion d’un régime de base de la sécurité sociale légalement obligatoire ou du service des allocations, prestations et aides mentionnées dans le code de la sécurité sociale ou du code de l’action sociale et des familles
 
2/ Dans ce contexte, ces organismes sont amenés à mettre en œuvre des traitements automatisés en tout ou en partie ainsi que des traitements non automatisés de données à caractère personnel en tant que responsable de traitement, ce qui les soumet au respect des règles relatives à la protection des données.
 
3/ Les organismes mettant en œuvre des traitements dans ce cadre doivent s’assurer de leur conformité :
 
aux dispositions du règlement général sur la protection des données (RGPD) ainsi qu’à celles de la loi du 6 janvier 1978 modifiée (LIL) ;
aux autres règles éventuellement applicables, conformément à la réglementation en vigueur, notamment le code de l’action sociale et des familles (CASF), le code de la santé publique (CSP), le code de procédure pénale (CPP), le code civil et le code des archives publiques.
 
4/ Sont exclus du champ d’application du référentiel, en raison de leurs spécificités, les traitements mis en œuvre par les départements dans le cadre des procédures d’adoption.
 
2. Portée du référentiel
 
5/ Ce référentiel porte sur les traitements de données à caractère personnel mis en œuvre couramment par les organismes dans le cadre de l’accompagnement social, médico-social, éducatif et/ou judiciaire qu’ils fournissent aux mineurs et majeurs de moins de vingt et un ans (voire vingt-cinq ans pour les jeunes nécessitant une protection particulière) ainsi que, le cas échéant, à leurs familles.
 
6/ Il a pour objectif de fournir aux organismes mettant en œuvre de tels traitements un outil d’aide à la mise en conformité à la réglementation relative à la protection des données à caractère personnel.
7/ Les traitements mis en œuvre par les organismes dans le cadre de l’accompagnement social, médico-social, éducatif et/ou judiciaire doivent être inscrits dans le registre prévu à l’article 30 du RGPD (voir modèle de registre).
8/ Ce référentiel n’a pas de valeur contraignante. Il permet en principe d’assurer la conformité des traitements de données mis en œuvre par les organismes aux principes relatifs à la protection des données, dans un contexte d’évolution des pratiques à l’ère du numérique.
 
9/ Les organismes qui souhaiteraient s’écarter du référentiel au regard des conditions particulières tenant à leur situation peuvent le faire.
 
10/ Il leur appartient néanmoins de justifier de l’existence d’un tel besoin et des mesures mises en œuvre afin de garantir la conformité des traitements à la réglementation en matière de protection des données à caractère personnel notamment lors d’un contrôle réalisé par les services de la CNIL.
 
11/ Il appartient, en tout état de cause, aux acteurs concernés de s’assurer qu’ils respectent les autres réglementations qui peuvent par ailleurs trouver à s’appliquer (p. ex. : CASF, CSP, CPP).
 
12/ Ce référentiel constitue également une aide à la réalisation d’une analyse d’impact relative à la protection des données (AIPD).
13/ Les organismes peuvent également se reporter aux outils méthodologiques proposés par la CNIL sur son site web en vue de faciliter la mise en conformité des traitements mis en œuvre. Ils seront ainsi à même de définir les mesures permettant d’assurer la nécessité et la proportionnalité de leurs traitements (points 3 à 7), de garantir les droits des personnes (points 8 et 9) et la maîtrise de leurs risques (point 10). L’organisme pourra également s’appuyer sur les lignes directrices de la CNIL sur les AIPD. Si l’organisme en a désigné un, le délégué à la protection des données (DPD/DPO) devra être consulté.
3. Objectifs poursuivis par les traitements (finalités) 
 
14/ Les traitements mis en œuvre doivent répondre à un objectif précis et être justifiés au regard des missions et des activités des organismes.
 
15/ Les traitements relatifs à l’accueil, l’hébergement et/ou l’accompagnement sur le plan social, médico-social, éducatif et/ou judiciaire des mineurs et jeunes majeurs ainsi que, le cas échéant, de leurs familles peuvent notamment être mis en œuvre afin :
a) de 
fournir les prestations définies dans le cadre d’un contrat/projet conclu entre l’organisme et le représentant légal du mineur ou entre le jeune majeur et/ou son représentant légal et, le cas échéant, d’assurer la gestion du dossier administratif de la personne concernée (gestion des rendez-vous médicaux et/ou sociaux, gestion des visites familiales, etc.) ;
 
 
 
Exemples (liste non exhaustive) :
le contrat jeune majeur (CJM) conclu avec les services de l’ASE des départements ;
le contrat d’occupation conclu entre le mineur ou jeune majeur et le gestionnaire d’un foyer de jeunes travailleurs (FJT);
le projet pour l’enfant établi entre les services départementaux et les titulaires de l’autorité parentale prévu par les dispositions de l’article L. 223-1-1 du CASF ;
le contrat de séjour ;
le document individuel de prise en charge (DIPEC).c)
b) d’offrir un accompagnement social, socio-éducatif, judiciaire et médico-social adapté aux difficultés rencontrées par le mineur ou jeune majeur et, le cas échéant, sa famille, notamment dans le cadre de l’élaboration et la mise en œuvre d’un projet personnalisé (article L. 311-3 du CASF), d’un suivi dans l’accès aux droits (p. ex. : assistance dans les démarches à effectuer) et, le cas échéant, d’une orientation vers des structures compétentes ;
 
Exemples (liste non exhaustive) : 
 
assurer la mise en place et le suivi de mesures d’assistance judiciaire ;
mettre en place les actions de prévention, de protection, de médiation familiale et de soutien à la parentalité ;
mettre en place les actions et les parcours d’intégration/d’insertion sociale et professionnelle ;
gérer les demandes de places en établissement/foyer ;
assurer la mise en place et le suivi des actes ayant pour objet l’éducation des mineurs ou des jeunes majeurs (scolarisation, formation) ;
accompagner le jeune majeur dans le cadre de la procédure d’accès à un titre de séjour et, le cas échéant, de demande d’asile (traduction, information et accompagnement quant aux recours existants en cas de refus de la demande, etc.).
 
 
c) d’échanger et de partager les informations strictement nécessaires, dans le respect des dispositions de l’article L. 1110-4 du CSP et des dispositions du CASF, permettant de garantir la coordination et la continuité de l’accompagnement et du suivi des personnes entre les intervenants sociaux, médicaux et paramédicaux ;
 
d) d’instruire, de gérer et, le cas échéant, de verser les prestations sociales légales ou facultatives ;
 
Exemples (liste non exhaustive) :
l’aide au permis de conduire ;
la garantie jeunes ;
le RSA jeune actif ;
le fonds d’aide aux jeunes (FAJ) ;
l’aide à domicile ;
l’allocation de soutien familial (ASF) ;
la prestation d’accueil du jeune enfant (PAJE) ;
l’allocation pour les parents isolés (API).
 
e) d’assurer l’évaluation de la situation de la minorité de la personne concernée par les services de l’ASE des départements conformément aux dispositions des articles L. 112-3 alinéa 5 et R. 221-11 du CASF ;
 
f) de gérer le recueil, le traitement et l’évaluation des informations préoccupantes relatives à l’enfance en danger par les CRIP des départements conformément aux dispositions des articles L. 226-1 et suivants du CASF, et le cas échéant d’assurer la transmission :
des informations vers l’Observatoire national de l’enfance en danger (ONPE) ainsi que les observatoires départementaux de la protection de l’enfance (ODPE) conformément aux dispositions des articles L. 226-3-3 du CASF
des informations relatives à un mineur et à sa famille entre départements quand ce mineur a fait l’objet par le passé, au titre de la protection de l’enfance, d’une information préoccupante, d’un signalement ou d’une prise en charge dans un autre département que celui dans lequel il réside, conformément aux dispositions de l’article L. 221-3 du CASF.
 
g) d’instruire et de gérer les demandes, les renouvellements, les suspensions et, le cas échéant, les retraits d’agrément des assistants familiaux et maternels, conformément aux dispositions de l’article L. 421-3 du CASF ;
h)d’instruire et d’assurer le suivi de l’accueil durable et bénévole par un tiers d’un enfant pris en charge par le service de l’aide sociale à l’enfance conformément aux dispositions du décret n° 2016-1352 du 10 octobre 2016 relatif à l’accueil durable et bénévole d’un enfant par un tiers prévu à l’article L. 221-2-1 du CASF ;
 
i) d’assurer la surveillance et le contrôle des établissements et services d’accueil de mineurs conformément aux dispositions de l’article L. 227-4 du CASF et L. 2324-1 du CSP, s’agissant des enfants de moins de six ans ;
j) d’assurer la gestion administrative (nombre de places disponibles, capacité d’accueil de l’établissement etc.), financière et comptable de l’établissement, du service ou de l’organisme ;
 
Attention
 : S’agissant de la gestion administrative du personnel, les organismes peuvent utilement se référer au référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion du personnel disponible sur le site de la Commission.
 
k) d’établir des statistiques, des études internes et des enquêtes de satisfaction aux fins d’évaluation de la qualité des activités et des prestations et des besoins à couvrir.
 
Attention
 : Dès lors que ces statistiques, études et évaluations entrent dans le champ des recherches, études et évaluations dans le domaine de la santé, les traitements constitués devront respecter les dispositions des articles 72 et suivants de la loi Informatique et Libertés .
 
16/ Les informations recueillies pour l’une de ces finalités ne peuvent pas en principe être réutilisées pour poursuivre un objectif qui serait incompatible avec la finalité initiale. Tout nouvel usage des données doit en effet respecter les principes de protection des données à caractère personnel, en particulier le principe de finalité des traitements (par exemple, les traitements mis en œuvre pour les finalités énoncées ci-dessus ne doivent pas donner lieu à des interconnexions ou échanges autres que ceux nécessaires à l’accomplissement de celles-ci).
4. Bases légales du traitement
 
17/ Chaque finalité du traitement doit reposer sur l’une des bases légales fixées par la réglementation (article 6.1 du RGPD). (voir, pour une explicitation de la règle : La licéité du traitement : l’essentiel sur les bases légales prévues par le RGPD).
 
18/ Il appartient au responsable de traitement de déterminer la ou les bases légales adéquates avant toute opération de traitement, après avoir mené une réflexion, qu’il pourra documenter, au regard de sa situation spécifique et du contexte de mise en œuvre du traitement. Ayant un impact sur l’exercice de certains droits prévus par le RGPD, ces bases légales font partie des informations qui doivent être portées à la connaissance des personnes concernées.
19/ Le tableau reproduit ci-dessous vise à apporter aux responsables de traitement une aide pour identifier les bases légales susceptibles d’être utilisées dans les cas les plus courants.
 
20/ Ces éléments doivent être adaptés à la situation spécifique de chaque organisme concerné. Ainsi, par exemple, selon que l’organisme en question relève du secteur privé ou public, certains traitements répondant pourtant à une même finalité (par exemple, ceux liés à l’instruction, la gestion et, le cas échéant, au versement des aides facultatives) peuvent être fondés sur des bases légales différentes (par exemple, intérêt légitime dans le secteur privé, exécution d’une mission d’intérêt public dans le secteur public).
 
Attention
: dans le cadre de l’accompagnement social et/ou médico-social, la Commission appelle l’attention des organismes sur la nécessité de faire preuve de la plus grande prudence dans l’usage du consentement comme base légale de leurs traitements de données personnelles au regard notamment du déséquilibre existant entre les organismes et les personnes concernées.
De manière générale, lorsque cette base légale est retenue, le responsable de traitement doit veiller au respect des conditions de recueil du consentement et plus particulièrement au caractère libre, spécifique, éclairé et univoque du consentement.
En outre, il est rappelé que le jeune majeur ou le représentant légal du mineur qui fournit son consentement peut à tout moment le retirer, mettant fin à la possibilité de traiter les données le concernant pour l’avenir.
			Finalités
			Bases légales envisageables
			(sous réserve de choix différents justifiés
			par un contexte spécifique qu'il est recommandé de documenter)
Fournir les prestations définies entre l'organisme et le représentant légal du mineur ou le jeune majeur et, le cas échéant, assurer la gestion du dossier administratif de la personne concernée
Organismes publics ou personnes morales de droit privé gérant un service public
			Exécution du contrat ou mission d'intérêt public
Autres organismes privés
			Exécution du contrat ou intérêts légitimes dès lors que le traitement mis en œuvre excède ce qui est nécessaire au contrat
Offrir un accompagnement social, judiciaire, socio-éducatif et médico-social adapté aux difficultés rencontrées par le mineur ou jeune majeur et, le cas échéant, sa famille, notamment dans le cadre de l'élaboration et la mise en œuvre d'un projet personnalisé, d'un suivi dans l'accès aux droits et, le cas échéant, d'une orientation vers des structures compétentes
Organismes publics ou personnes morales de droit privé gérant un service public
			Mission d'intérêt public
Autres organismes privés
			Intérêts légitimes
Echanger et partager les informations strictement nécessaires permettant de garantir la coordination et la continuité de l'accompagnement et du suivi des personnes entre les intervenants sociaux, médicaux et paramédicaux
Organismes publics ou personnes morales de droit privé gérant un service public
			Mission d'intérêt public
Autres organismes privés
			Intérêts légitimes
Instruire, gérer et, le cas échéant, verser les prestations sociales légales ou facultatives
Aides légales
			Mission d'intérêt public
Aides facultatives
Organismes publics ou personnes morales de droit privé gérant un service public
			Mission d'intérêt public
Autres organismes privés
			Intérêts légitimes
Assurer l'évaluation de la situation de la minorité de la personne concernée par les services de l'ASE
Obligation légale conformément aux dispositions de l'arrêté du 17 novembre 2016 pris en application du décret n° 2016-840 du 24 juin 2016 relatif aux modalités de l'évaluation des mineurs privés temporairement ou définitivement de la protection de leur famille
Gérer le recueil, le traitement et l'évaluation des informations préoccupantes relatives à l'enfance en danger sous forme nominative par les CRIP des départements et, le cas échéant, d'assurer la transmission des informations vers l'ONPE et l'ODPE entre départements
Gérer le recueil, le traitement et l'évaluation des informations préoccupantes relatives à l'enfance en danger
			Mission d'intérêt public
Assurer la transmission des informations vers l'ONPE, l'ODPE et entre départements
			Obligation légale conformément aux dispositions des articles L. 226-3-3 et L. 221-3 du CASF
Instruire et gérer les demandes et renouvellements, retraits et suspensions des agréments des assistants familiaux et maternels
			Obligation légale conformément aux dispositions du décret n° 2012-364 du 15 mars 2012 relatif au référentiel fixant les critères d'agrément des assistants maternels et du décret n° 2014-918 du 18 août 2014 relatif au référentiel fixant les critères d'agrément des assistants familiaux.
Instruire et assurer le suivi de l'accueil durable et bénévole par un tiers d'un enfant pris en charge par le service de l'aide sociale à l'enfance
			Mission d'intérêt public
Assurer la surveillance et le contrôle des établissements et services d'accueil de mineurs
			Mission d'intérêt public
Gestion administrative, financière et comptable de l'établissement, du service ou de l'organisme
Organismes publics ou personnes morales de droit privé gérant un service public
			Obligation légale (ex. : le décret n° 2012-1246 du 7 novembre 2012 relatif à la gestion budgétaire et comptable publique)
Autres organismes privés
			Obligation légale (ex. : le règlement n° 2018-06 du 5 décembre 2018 relatif aux comptes annuels des personnes morales de droit privé à but non lucratif)
Etablir des statistiques, des études internes et des enquêtes de satisfaction aux fins d'évaluation des activités, de la qualité des prestations et des besoins à couvrir
Organismes publics ou personnes morales de droit privé gérant un service public
			Obligation légale ou mission d'intérêt public
Autres organismes privés
			Obligation légale ou intérêts légitimes
5. Données à caractère personnel concernées
 
5.1. Principes de pertinence et de minimisation des données
21/ En vertu du principe de minimisation des données, le responsable de traitement doit veiller à ce que seules les données strictement nécessaires à la poursuite des finalités du traitement soient effectivement collectées et traitées. Sont en principe considérées comme pertinentes, pour des finalités rappelées ci-dessus, les catégories de données suivantes relatives :
a) à l’identification des mineurs et jeunes majeurs, le cas échéant, de leurs représentants légaux ;
b) à la vie personnelle ;
c) au parcours professionnel et de formation dans le cadre de l’aide à l’insertion professionnelle des personnes ;
d) aux conditions de vie matérielle ;
e) à la couverture sociale ;
f) aux coordonnées bancaires, dans la mesure où ces informations sont nécessaires au versement d’une prestation ;
g) à l’évaluation sociale et médico-sociale de la personne concernée ;
h) à l’évaluation de la situation de minorité ;
i) à l’enfance en danger et aux informations préoccupantes ;
j) au type d’accompagnement et aux actions mis en œuvre ;
k) à l’identification des personnes concourant à la prise en charge sociale et médico-sociale et à l’entourage susceptible d’être contacté ;
l) à la gestion des demandes et renouvellements, retraits et suspensions d’agrément des assistants maternels et familiaux ;
m) à l’instruction et au suivi de l’accueil durable et bénévole par un tiers d’un enfant pris en charge par le service de l’aide sociale à l’enfance.
 
22/ De manière générale, le responsable de traitement ne doit collecter que les données dont il a réellement besoin et ne doit le faire qu’à partir du moment où ce besoin se concrétise (pour une illustration, voir le tableau ci-dessous au point 25).
 
5.2. Le traitement du numéro de sécurité sociale (NIR), des données sensibles et des données relatives aux condamnations pénales et aux infractions
23/ Certaines catégories de données appellent une vigilance renforcée en raison de leur caractère particulièrement sensible. Bénéficiant d’une protection spécifique, elles ne peuvent être collectées et traitées que dans des conditions strictement définies par les textes. Il s’agit :
 
du NIR, qui fait l’objet d’une réglementation spécifique et ne peut, être enregistré dans le traitement que dans le cadre des échanges avec les professionnels de santé ou les organismes de sécurité sociale, de prévoyance. À cet égard, le décret en Conseil d’Etat n° 2019-341 du 19 avril 2019, pris après avis de la CNIL, détermine les catégories de responsables de traitement et les finalités de ces traitements au vu desquelles ces derniers peuvent être mis en œuvre lorsqu’ils portent sur des données comportant le NIR (voir aussi Tout savoir sur le décret cadre NIR dans le champ de la protection sociale ) ;
 
de l’identifiant national de santé ou INS (articles L. 
1111-8-1 et R.
1111-8-1 et suivants du code de la santé publique) qui ne peut être utilisé que pour répertorier et retrouver les données de santé et les données administratives rattachées à une personne bénéficiant ou appelée à bénéficier d’une prise en charge sanitaire ou médico-sociale. L’INS ne peut être utilisé que par les professionnels, les établissements, services ou organismes participant à la prévention ou aux soins dont les conditions d’exercice ou les activités sont régies par le CSP (professionnels de santé libéraux, établissements de santé, etc.), par les professionnels du secteur social et médico-social, par les établissements ou services sociaux ou médico-sociaux ou par les professionnels constituant une équipe de soins au sens de l’article L. 1110-12 du CSP et intervenant dans la prise en charge sanitaire ou médico-sociale de l’usager ;
 
des données relatives aux infractions, condamnations pénales et mesures de sûreté connexes qui ne peuvent être traitées que dans certains cas et dans le respect des dispositions légales relatives aux données d’infractions (art. 46 de la LIL) ;
 
 
Par exemple, les organismes suivants sont autorisés à collecter des données relatives aux infractions, condamnations pénales et mesures de sûreté dans le cadre de leur mission de service public (liste non exhaustive) :
les CRIP des conseils départementaux, dans le cadre des informations préoccupantes relatives à l’enfance en danger ;
les conseils départementaux dans le cadre des demandes et renouvellements des agréments des assistants maternels et familiaux (casier judiciaire du bulletin n° 2) ;
les conseils départementaux dans le cadre de l’instruction et du suivi des accueils durables et bénévoles d’un enfant par un tiers ;
les institutions ou les établissements publics ou privés, d’éducation ou de formation professionnelle, habilités et les internats appropriés aux mineurs délinquants d’âge scolaire mentionnés aux articles 15 et 16 de l’ordonnance n° 45-174 du 2 février 1945 relative à l’enfance délinquante ;
les établissements médicaux ou médico-pédagogiques habilités mentionnés aux articles 15 et 16 de l’ordonnance susvisée ;
les établissements ou services mettant en œuvre les mesures éducatives ordonnées par l’autorité judiciaire en application de l’ordonnance n° 45-174 du 2 février 1945 relative à l’enfance délinquante ou des articles 375 à 375-8 du code civil ou concernant des majeurs de moins de vingt-et-un ans ou les mesures d’investigation préalables aux mesures d’assistance éducative prévues au code de procédure civile et par l’ordonnance susvisée.
des données dites sensibles , qui révèlent la prétendue origine raciale ou l’origine ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, les données génétiques, les données biométriques, les données concernant la santé ou celles concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique. Ces données ne peuvent pas être collectées, sauf exception prévue par les textes.
 
ATTENTION :
En raison de l’extrême sensibilité de ces données, la Commission rappelle que celles-ci doivent être collectées et traitées avec la plus grande précaution. Elles ne peuvent être collectées que si elles sont strictement nécessaires à l’accompagnement social, socio-éducatif, médico-social et judiciaire et entrent dans les missions de l’organisme. En outre leur traitement doit être entouré de garanties : mesures de sécurité renforcées, sensibilisation du personnel au traitement de ces données ; mesures d’habilitations strictes ; impossibilité de faire des recherches spécifiquement à partir de requêtes portant sur ces données, etc.
 
 
Exemple n° 1 :
Peuvent être collectées des données relatives à la santé, sous réserve que ces données soient collectées aux fins :