AgentPublic/cnil huggingface dataset:
La Commission prend acte qu’une telle évolution vise uniquement à obtenir une confirmation de l’exactitude de l’identité renseignée par rapport à celle enregistrée au sein du RNIPP afin de renforcer, en amont, la qualité de la donnée renseignée et ainsi éviter les corrections en cascade lorsqu’une erreur est découverte par les organismes destinataires de la formalité accomplie.
Elle relève que, par voie de conséquence, l’article 132 du projet de décret supprime le 8° du E. de l’article 2 du décret du 19 avril 2019 susvisé, relatif à la transmission par les greffiers des tribunaux du commerce du NIR, ces derniers perdant au 1er janvier 2023 leur compétence de CFE ainsi que la possibilité d’être saisis directement d’une demande d’immatriculation au registre du commerce et des sociétés. Cet article du projet de décret procède également aux modifications terminologiques nécessaires liées à la fin de mise en œuvre du dispositif transitoire, ce qui n’appelle pas d’observation particulière.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, notamment son article 58 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 8.I.2°.b) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Philippe GOSSELIN, commissaire, en son rapport et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations ;
Adopte un référentiel relatif aux traitements de données à caractère personnel mis en œuvre dans le cadre de l'accueil, l'hébergement et l'accompagnement social et médico-social des personnes âgées, des personnes en situation de handicap et de celles en difficulté et figurant en annexe.
ANNEXE
RÉFÉRENTIEL RELATIF AUX TRAITEMENTS DE DONNÉES À CARACTÈRE PERSONNEL MIS EN ŒUVRE DANS LE CADRE DE L'ACCUEIL, L'HÉBERGEMENT ET L'ACCOMPAGNEMENT SOCIAL ET MÉDICO-SOCIAL DES PERSONNES ÂGÉES, DES PERSONNES EN SITUATION DE HANDICAP ET DE CELLES EN DIFFICULTÉ 
ADOPTÉ LE 11 MARS 2021
Vous pouvez consulter l'intégralité du texte avec ses images à partir de l'extrait du Journal officiel électronique authentifié.
1. A qui s'adresse ce référentiel ?
Ce référentiel s’adresse aux organismes privés ou publics, quelle que soit leur forme juridique, ci-après les organismes
, qui accueillent, hébergent ou accompagnent sur le plan social et/ou médico-social les personnes âgées, les personnes en situation de handicap et celles en difficulté.
Le présent référentiel est susceptible d’intéresser les organismes suivants 
(liste non-exhaustive)
:
les conseils départementaux ;
les centres communaux d’action sociale (CCAS) ;
les établissements d’hébergement pour les personnes âgées dépendantes (EHPAD) ;
les maisons départementales pour les personnes handicapées (MDPH) ;
les services d’aide à l’accompagnement à domicile (SAAD) ;
les services de soins infirmiers à domicile (SSIAD) ;
les services d’accompagnement médico-social pour adultes handicapés (SAMSAH) ;
les services d’éducation spéciale et de soins à domicile (SESSAD) ;
les centres médico-psycho-pédagogiques (CMPP) ;
les centres d’action médico-sociale précoce (CAMSP) ;
les établissements et service d’aide par le travail (ESAT) ;
les maisons d’accueil spécialisées (MAS) ;
les instituts médico-éducatifs (IME) ;
les instituts thérapeutiques, éducatifs et pédagogiques (ITEP) ;
les services d’accompagnement à la vie sociale (SAVS) ;
les services d’insertion par l’activité économique (SIAE) ;
les pôles de compétences et de prestations externalisées (PCPE) ;
les plateformes de coordination et d’orientation (PCO) ;
les accueillants familiaux accueillant à titre onéreux des personnes âgées ou en situation de handicap ;
les organismes chargés de la gestion d’un régime de base de la sécurité sociale légalement obligatoire ou du service des allocations, prestations et aides mentionnés dans le code de la sécurité sociale ou du code de l’action sociale et des familles ;
les associations de droit privé créées sous la loi de 1901 ayant pour mission l’accueil, l’hébergement, l’accompagnement et le suivi social et médico-social des personnes âgées, des personnes en situation de handicap et de celles en difficulté ;
les établissements sociaux et médico-sociaux listés par les dispositions de l’article L. 312-1 du code de l’action sociale et des familles (CASF).
 
Dans ce contexte, ces organismes sont amenés à mettre en œuvre des traitements automatisés en tout ou en partie, ainsi que des traitements non automatisés de données à caractère personnel, en tant que responsable de traitement, ce qui les soumet au respect des règles relatives à la protection des données.
 
Les organismes mettant en œuvre des traitements dans ce cadre doivent s’assurer de leur conformité :
 
aux dispositions du règlement général sur la protection des données (RGPD) ainsi qu’à celles de la loi du 6 janvier 1978 modifiée (loi informatique et libertés ou LIL) ;
aux autres règles éventuellement applicables, conformément à la réglementation en vigueur, notamment le CASF et le code de la santé publique (CSP).
 
Sont exclus du champ d’application du référentiel en raison de leurs spécificités, les traitements mis en œuvre par :
les organismes de droit privé et/ou public dans le cadre de la prévention et la protection de l’enfance ;
les mandataires judiciaires à la protection des majeurs.
 
2. Portée du référentiel
 
Ce référentiel porte sur les traitements de données à caractère personnel mis en œuvre couramment par les organismes dans le cadre de l’accompagnement social et/ou médico-social qu’ils fournissent aux personnes
âgées, en situation de handicap ou en difficulté (les personnes qui sont menacées d’exclusion pour des motifs divers et confrontées à des problèmes eux-mêmes diversifiés, telles que les demandeurs d’asile, les personnes en situation de grande précarité face au logement, les demandeurs d’emploi, les personnes en difficulté financière, etc.).
 
Il a pour objectif de fournir aux organismes mettant en œuvre de tels traitements un outil d’aide à la mise en conformité à la réglementation relative à la protection des données à caractère personnel.
 
Les traitements mis en œuvre par les organismes dans le cadre de l’accompagnement social et/ou médico-social doivent être inscrits dans le registre prévu à l’article 30 du RGPD (voir modèle de registre).
Ce référentiel n’a pas de valeur contraignante. Il permet en principe d’assurer la conformité des traitements de données mis en œuvre par les organismes aux principes relatifs à la protection des données, dans un contexte d’évolution des pratiques à l’ère du numérique.
 
Les organismes qui s’écarteraient du référentiel au regard des conditions particulières tenant à leur situation peuvent le faire.
 
Il peut néanmoins leur être demandé de justifier de l’existence d’un tel besoin et des mesures mises en œuvre afin de garantir la conformité des traitements à la réglementation en matière de protection des données à caractère personnel.
 
Le référentiel n’a pas pour objet d’interpréter les règles de droit autres que celles relatives à la protection des données à caractère personnel. Il appartient aux acteurs concernés de s’assurer qu’ils respectent les autres réglementations qui peuvent par ailleurs trouver à s’appliquer (p. ex. : CASF, CSP, etc.).
 
Ce référentiel constitue également une aide à la réalisation d’une analyse d’impact relative à la protection des données (AIPD), dans le cas où celle-ci est nécessaire.
Les organismes peuvent également se reporter aux outils méthodologiques proposés par la CNIL sur son site web en vue de faciliter la mise en conformité des traitements mis en œuvre. Ils seront ainsi à même de définir les mesures permettant d’assurer la nécessité et la proportionnalité de leurs traitements (points 3 à 7), de garantir les droits des personnes (points 8 et 9) et la maîtrise de leurs risques (point 10). L’organisme pourra également s’appuyer sur les lignes directrices de la CNIL sur les AIPD. Si l’organisme en a désigné un, le délégué à la protection des données (DPD/DPO) devra être consulté.
3. Objectif(s) poursuivi(s) par le(s) traitement(s) (Finalités)
 
 
Les traitements mis en œuvre doivent répondre à un objectif précis et être justifiés au regard des missions et des activités des organismes.
 
Les traitements relatifs à l’accueil, l’hébergement et l’accompagnement social et médico-social des personnes peuvent notamment être mis en œuvre afin :
 
a. de fournir les prestations définies dans le cadre d’un contrat conclu entre l’organisme et la personne concernée ou son représentant légal et, le cas échéant, d’assurer la gestion du dossier administratif de la personnes concernée (gestion des rendez-vous médicaux et/ou sociaux, gestion des visites familiales, le cas échéant, etc.) ;
Exemples pour les personnes en situation de handicap ou les personnes âgées (liste non-exhaustive) :
le contrat de séjour ou le document individuel de prise en charge (DIPEC) prévu par l’article L. 311-4 du CASF entre l’organisme (EHPAD, les foyers d’hébergement pour adultes handicapés, etc.) et la personne concernée ou son représentant légal ;
le contrat d’accueil à domicile entre l’accueillant familial et la personne accueillie ou son représentant légal ;
le contrat de soutien et d’aide par le travail entre l’établissement ou le service d’aide par le travail et chaque travailleur en situation de handicap.
 
Exemples pour les personnes en difficulté (liste non-exhaustive) :
le contrat d’engagement réciproque (CER) ou le projet personnalisé d’accès à l’emploi (PPAE) conclu entre le bénéficiaire du revenu de solidarité active (RSA) et le président du conseil départemental pour améliorer l’insertion professionnelle ;
le contrat d’hébergement conclu entre le bénéficiaire et l’organisme assurant l’accueil des personnes en situation d’urgence.
 
b. d’instruire, de gérer et, le cas échéant, d’ouvrir les droits et/ou verser les prestations sociales légales et facultatives ;
Exemples d’aides légales pour les personnes en situation de handicap ou les personnes âgées (liste non-exhaustive) :
 
l’aide sociale à l’hébergement (ASH) ;
l’allocation personnalisée d’autonomie (APA) ;
l’allocation aux adultes handicapées (AAH) ;
l’allocation d’éducation de l’enfant handicapé (AEEH) ;
la prestation de compensation du handicap (PCH) ;
la carte mobilité inclusion (CMI).
Exemples d’aides légales pour les personnes en difficulté (liste non-exhaustive) :
 
le revenu de solidarité active (RSA) ;
l’allocation de logement sociale (ALS).
 
Exemples d’aides facultatives (liste non-exhaustive) :
 
les aides ménagères ;
les aides au transport ;
la prise en charge des frais d’obsèques ;
le règlement des factures de gaz et/ou d’électricité ;
le fond d’aide aux jeunes.
 
c. d’offrir un accompagnement social et médico-social adapté aux difficultés rencontrées ayant notamment pour objet d’élaborer un projet personnalisé d’accompagnement au regard des habitudes de vie, des demandes particulières, des besoins particuliers, de l’autonomie physique et psychique de la personne et d’en assurer le suivi conformément aux dispositions des articles L. 311-3 du CASF, d’assurer le suivi des personnes dans l’accès aux droits notamment l’assistance dans les relations et les démarches à effectuer et, le cas échéant, d’orienter les personnes vers les structures compétentes susceptibles de les prendre en charge ;
Exemples pour les personnes en situation de handicap ou les personnes âgées (liste non-exhaustive) :
assurer un suivi médicalisé adapté à l’état de la personne ;
accompagner les personnes dans les actes essentiels de leur vie quotidienne (p. ex. : aide à la préparation des repas, aide au ménage et à l’entretien du domicile, aide aux déplacements, aide à la toilette, etc.) ;
assurer la gestion des dossiers individuels de soins dans le cadre du suivi médical des personnes comprenant la gestion des remboursements des frais médicaux ;
assurer la gestion des demandes de places en établissement ou service, médicalisé ou non ;
assurer l’organisation et le suivi des parcours d’insertion et/ou d’intégration scolaire, sociale et professionnelle ;
élaborer un registre communal d’alerte et d’information des populations ;
assurer l’accès aux droits relatifs à la fin de vie (information quant à la possibilité de vivre ses derniers jours accompagné et apaisé, accompagnement dans la rédaction des directives anticipées , etc.) ;
assurer l’assistance dans le cadre des démarches administratives numériques à effectuer auprès des plus fragiles et notamment les personnes qui ne sont pas en capacité de se déplacer (un guide de bonnes pratiques à destination des professionnels est disponible sur le site web de la CNIL).
 
Exemples pour les personnes en difficulté (liste non-exhaustive) :
assurer l’organisation et le suivi des parcours d’insertion/de réinsertion et/ou d’intégration scolaire, sociale et professionnelle ;
assurer l’accompagnement et le suivi éducatif et budgétaire des personnes et prévenir le surendettement ;
assurer la gestion des demandes d’hébergement et d’accès au logement ;
assurer la gestion des impayés et prévenir les expulsions locatives ;
assurer le suivi des personnes et des familles reçues dans le cadre de la médiation familiale, sociale ou pénale, à l’exclusion des mesures relevant de l’aide sociale à l’enfance ;
assurer le suivi de l’exécution des décisions judiciaires pénales restrictives ou privatives de libertés par les organismes habilités ;
assister les personnes dans le cadre des démarches pour l’obtention d’une domiciliation pour les personnes sans domicile stable ;
assister les personnes dans le cadre des démarches administratives nécessaires aux procédures de demandes d’asile (p. ex. : traduction, information et accompagnement quant aux recours en cas de refus de la demande etc.) ;
assister les personnes dans le cadre des démarches auprès des créanciers privés et/ou publics (p. ex. : assistance dans le cadre des procédures de surendettement auprès de la Banque de France, etc.).
d. d’échanger et de partager les informations strictement nécessaires, dans le respect des dispositions de l’article L. 1110-4 du CSP et des dispositions du CASF, permettant de garantir la coordination et la continuité de l’accompagnement et du suivi des personnes entre les intervenants sociaux, médicaux et paramédicaux ;
 
e. d’assurer la gestion administrative (nombre de places disponibles, capacité d’accueil de l’établissement, etc.), financière et comptable de l’établissement, du service ou de l’organisme ;
Attention : S’agissant de la gestion administrative du personnel, les organismes peuvent utilement se référer au référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion du personnel disponible sur le site web de la Commission.
f. d’assurer la remontée des informations préalablement anonymisées aux autorités compétentes concernant des dysfonctionnements graves ou évènements ayant pour effet de menacer ou de compromettre la santé, la sécurité ou le bien-être des personnes prises en charge conformément aux dispositions des articles R. 331-8 et suivants du CASF, établir des statistiques, des études internes et des enquêtes de satisfaction aux fins d’évaluation de la qualité des activités et des prestations et des besoins à couvrir.
Attention
 : Dès lors que ces statistiques, études et évaluations entrent dans le champ des recherches, études et évaluations dans le domaine de la santé, les traitements constitués devront respecter les dispositions des articles 72 et suivants de la loi Informatique et Libertés .
Les informations recueillies pour l’une de ces finalités ne peuvent pas en principe être réutilisées pour poursuivre un objectif qui serait incompatible avec la finalité initiale. Tout nouvel usage des données doit en effet respecter les principes de protection des données à caractère personnel, en particulier le principe de finalité des traitements (par exemple, les traitements mis en œuvre pour les finalités énoncées ci-dessus ne doivent pas donner lieu à des interconnexions ou échanges autres que ceux nécessaires à l’accomplissement de celles-ci).
4. Base(s) légale(s) du traitement
Chaque finalité du traitement doit reposer sur l’une des bases légales fixées par la réglementation (article 6 du RGPD). (voir pour une explicitation de cette règle : la licéité du traitement : l’essentiel sur les bases légales prévues par le RGPD ).
Il appartient au responsable de traitement de déterminer ces bases légales avant toute opération de traitement, après avoir mené une réflexion, qu’il pourra documenter, au regard de sa situation spécifique et du contexte. Ayant un impact sur l’exercice de certains droits, ces bases légales font partie des informations devant être portées à la connaissance des personnes concernées.
Le tableau reproduit ci-dessous vise à apporter aux responsables de traitement une aide pour identifier les bases légales susceptibles d’être utilisées dans les cas les plus courants.
Ces éléments doivent être adaptés à la situation spécifique de chaque organisme concerné. Ainsi, par exemple, selon que l’organisme en question relève du secteur privé ou public, certains traitements répondant pourtant à la même finalité (par exemple, ceux liés à la gestion administrative des personnes suivies, accueillies ou hébergées) peuvent être fondés sur des bases légales différentes (par exemple, intérêt légitime dans le secteur privé, exécution d’une mission d’intérêt public dans le secteur public).
Attention : dans le cadre de l’accompagnement social et/ou médico-social des personnes âgées, en situation de handicap ou en difficulté, la commission appelle l’attention des organismes sur la nécessité de faire preuve de la plus grande prudence dans l’usage du consentement comme base légale de leurs traitements de données à caractère personnel. Les personnes concernées peuvent en effet souffrir d’altération du discernement pouvant rendre le consentement non valable.
En outre, il est rappelé que la personne concernée qui fournit son consentement peut à tout moment le retirer, mettant fin en principe à la possibilité de traiter les données la concernant pour l’avenir.
De manière générale, le responsable de traitement doit veiller au respect des conditions de recueil du consentement et plus particulièrement au caractère libre, spécifique, éclairé et univoque du consentement.
			Finalités
			Bases légales envisageables
(sous réserve de choix différents justifiés par un contexte spécifique qu'il est recommandé de documenter)
			Fourniture des prestations définies dans le cadre du contrat conclu entre l'organisme et la personne concernée ou son représentant légal et, le cas échéant, gestion administrative des personnes concernées
			Organismes publics ou personnes morales de droit privé gérant un service public
			Exécution du contrat ou mission d'intérêt public dès lors que le traitement mis en œuvre excède ce qui est nécessaire au contrat
			Organismes privés
			Exécution du contrat ou intérêts légitimes dès lors que le traitement mis en œuvre excède ce qui est nécessaire au contrat
			Accompagnement social et médico-social adapté aux difficultés rencontrées ayant notamment pour objet d'élaborer un projet personnalisé d'accompagnement, d'assurer le suivi des personnes dans l'accès aux droits et, le cas échéant, d'orienter les personnes vers les structures compétentes susceptibles de les prendre en charge
			Organismes publics ou personnes morales de droit privé gérant un service public
			Mission d'intérêt public
			Organismes privés
			Intérêts légitimes
			Cas particulier s'agissant du suivi des personnes et des familles reçues dans le cadre de la médiation familiale, sociale ou pénale, à l'exclusion des mesures relevant de l'aide sociale à l'enfance et du suivi de l'exécution des décisions judiciaires pénales restrictives ou privatives de libertés par les organismes habilités
Obligation légale, sous réserve du respect des dispositions de l'article 46 de la loi Informatique et Libertés relatif aux condamnations pénales, infractions et mesures de sûreté
			Cas particulier concernant les droits relatifs à la fin de vie
			Consentement
			Instruction, gestion et, le cas échéant, ouverture des droits et/ou versement des demandes de prestations sociales légales ou facultatives
			Aides légales
			Mission d'intérêt public
			Aides facultatives
			Organismes publics ou personnes morales de droit privé gérant un service public
			Mission d'intérêt public
			Organismes privés
			Intérêts légitimes
			Échange et partage des informations strictement nécessaires permettant de garantir la coordination et la continuité de l'accompagnement et du suivi des personnes entre les intervenants sociaux, médicaux et paramédicaux
			Organismes publics ou personnes morales de droit privé gérant un service public
			Mission d'intérêt public
			Organismes privés
			Intérêts légitimes
			Gestion administrative, financière et comptable de l'établissement, du service ou de l'organisme
			Organismes publics ou personnes morales de droit privé gérant un service public
			Obligation légale (p. ex. : décret n° 2012-1246 du 7 novembre 2012 relatif à la gestion budgétaire et comptable publique, etc.)
			Organismes privés
			Obligation légale (p. ex. : règlement n° 2018-06 du 5 décembre 2018 relatif aux comptes annuels des personnes morales de droit privé à but non lucratif, etc.)
Remontée des informations préalablement anonymisées aux autorités compétentes concernant des dysfonctionnements graves, établissement des statistiques, des études internes et des enquêtes de satisfaction aux fins d'évaluation des activités, de la qualité des prestations et des besoins à couvrir
			Organismes publics ou personnes morales de droit privé gérant un service public
			Obligation légale (p. ex. : les dispositions de l'article L. 232-17 du CASF prévoient la transmission au ministre en charge des personnes âgées, des données statistiques relatives au développement du dispositif de l'APA ; les dispositions de l'article L. 345-2-4 du CASF encadrent la production de données statistiques d'activité, de suivi et de pilotage d'accueil, d'hébergement et d'accompagnement vers l'insertion et le logement pour les services intégrés d'accueil et d'orientation, etc.) ou mission d'intérêt public
			Organismes privés
			Obligation légale (p. ex. : la remontée des informations préalablement anonymisées aux autorités compétentes concernant des dysfonctionnements graves ou évènements ayant pour effet de menacer ou de compromettre la santé, la sécurité ou le bien-être des personnes prises en charge conformément aux dispositions des articles R. 331-8 et suivants du CASF) ou intérêts légitimes
5. Données à caractère personnel concernées
 
5.1. Principes de pertinence et de minimisation des données