La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment ses articles 9-10 et 25-31 ;
Vu le Code de l'action sociale et des familles et notamment ses articles L. 221-1, L. 311-1, L. 312-1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la demande d'autorisation, présentée par la Fondation "Les orphelins apprentis d'Auteuil" d'un traitement de données à caractère personnel ayant pour finalité principale le suivi des incidents concernant les personnes accueillies dans ses établissements afin d'assurer la prévention des incidents et la protection des jeunes accueillis ;
Après avoir entendu Mme Anne DEBET, commissaire en son rapport et Mme Pascale COMPAGNIE, Commissaire du Gouvernement en ses observations,
Formule les observations suivantes :
La Fondation "Les orphelins apprentis d'Auteuil" regroupe 160 établissements en France dont des maisons d'enfants à caractère social, des internats, des établissements scolaires (écoles, collèges, lycées) et de formation professionnelle, des structures d'accompagnement et d'insertion.  Ces établissements sont directement rattachés à la Fondation.
Le 11 octobre 2006, cette Fondation a adressé à la CNIL un dossier de formalités préalables relatif à la mise en eeuvre d'un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des incidents concernant les personnes accueillies dans ses établissements afin d'assurer la prévention des incidents et la protection des jeunes pris en charge.
La Fondation, grâce à un outil informatique appelé Observ.toire entend recenser les données relatives à un incident subi ou provoqué par un jeune accueilli dans l'un de ses établissements aux fins :
- d'informer de ces faits les autorités administratives ou judiciaires compétentes ainsi que les familles ;
- de prendre des mesures de protection des jeunes et développer des politiques de prévention sur la base d'une exploitation statistique et anonyme des incidents ;
- d'assurer le suivi des procédures de signalement.
L'incident sera en outre retranscrit dans une fiche de déclaration appelée "procédure incidents - accidents - infractions graves".
A ce titre, la Commission considère que le dispositif présenté porte sur des données relatives à des infractions, du moins en ce qui concerne les incidents les plus graves, dans la mesure où le rédacteur de la fiche de déclaration d'incident procède, de sa propre initiative, à une opération de qualification pénale des faits.
La Commission estime dans ces conditions qu'il y a lieu de faire application des dispositions de l'article 25-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.  Elle rappelle, par ailleurs, que l'article 9-1° de la loi du 6 janvier 1978 modifiée réserve la faculté de mettre en oeuvre des traitements relatifs à des infractions aux personnes morales gérant un service public et agissant dans le cadre de leurs attributions légales.
La Fondation "Les orphelins apprentis d'Auteuil", reconnue d'utilité publique par un décret du 19 juin 1929, a pour mission d'accueillir, de former, d'éduquer et d'insérer des jeunes de 2 à 21 ans en difficulté sociale et/ou familiale, conformément à l'article premier de ses statuts.
A ce titre, les établissements de la Fondation peuvent se voir confier par les services départementaux d'aide sociale à l'enfance des jeunes en difficulté sociale et/ou familiale dans les conditions définies à l'article L. 221-1 du code de l'action sociale et des familles.  Ainsi, la Fondation propose à ces jeunes un accompagnement scolaire et éducatif personnalisé et assure également une mission de placement des enfants par les familles dans le cadre d'un contrat avec l'Éducation nationale.
Elle peut également, conformément à l'article L. 221-1 5° du code précité, organiser le recueil des informations relatives aux mineurs maltraités et participer à la protection de ceux-ci, certains des établissements assurant de la prise en charge des mineurs au titre de l'assistance éducative.
La Commission considère, en conséquence et au regard des dispositions de l'article 9°-1 de la loi du 6 janvier 1978 modifiée, que la Fondation "Les orphelins apprentis d'Auteuil" est habilitée à procéder au suivi des incidents subis ou provoqués par un jeune pris en charge dans l'un de ses établissements.
Les catégories de données à caractère personnel enregistrées seront relatives :
- aux caractéristiques de la fiche de signalement :  numéro de référence de la fiche, coordonnées de l'établissement émetteur de la fiche, date de transmission de la fiche, nom de la personne en contact avec le jeune, nom du responsable hiérarchique, nom du directeur d'établissement ;
- au jeune qui est victime et/ou à la personne qui est impliquée :  nom, prénom, date de naissance, type de placement ;
- aux incidents :  nature (atteinte aux biens, atteinte aux personnes, port d'arme, tentative de suicide, fugue) et caractéristiques (date, heure et lieu de l'incident) des faits ;
- aux suites internes et/ou externes données aux faits :  types de sanctions, mesures de protection, réorientation, SAMU, pompiers, intervention médicale, police, gendarmerie, signalement au Procureur, informations des services sociaux, main courante, dépôt de plainte.
Une note à l'attention des personnels des établissements de la Fondation devra souligner que les informations contenues dans les rubriques "précisions complémentaires sur les faits" figurant dans la fiche de signalement ne comporteront pas d'appréciations sur les personnes concernées.  Elle rappellera que les informations collectées à l'occasion d'un incident subi, ou provoqué, par un jeune doivent demeurer des informations strictement factuelles nécessaires à la compréhension des faits.
La Commission observe que la Fondation distingue les incidents selon leur gravité.  Seront considérées comme des incidents "sans conséquence", faisant l'objet d'un enregistrement aux fins d'archivage immédiat, ceux n'entraînant pas d'une part la saisine de tiers extérieurs à l'établissement, à l'instar des services de police ou des autorités judiciaires, et d'autre part, le prononcé de sanctions disciplinaires.  Les autres incidents sont qualifiés de graves par la fondation et enregistrés dans le traitement.
La durée de conservation des données varie selon la nature des incidents :
- les incidents sans conséquence seront conservés dans la base archives jusqu'au départ de jeune de la fondation Auteuil ;
- les autres incidents seront conservés un an après le départ du jeune de l'établissement.  Cependant les informations relatives à un jeune impliqué dans un incident seront supprimées dès lors qu'il aura été mis hors de cause ;
- les informations relatives aux sanctions disciplinaires seront effacées un an après la notification de la décision de sanction.
Les destinataires des informations seront :
- les directeurs des établissements pour les dossiers des jeunes qui leur sont confiés ;
- les directeurs régionaux pour leur zone de compétence régionale ;
- la direction générale et les 2 membres de la cellule Observatoire au siège de la Fondation pour les incidents graves ;
- les directeurs régionaux, la direction général et la cellule observatoire pour les statistiques anonymisées portant sur les types d'incidents, leur périodicité et les suites leur étant données.
Les personnes accueillies et leurs représentants légaux seront informées de leurs droits par une mention dans le dossier d'admission du jeune dans l'établissement et par le biais d'une note d'information affichée dans chaque établissement.
Le droit d'accès, de rectification et d'opposition défini au chapitre V de la loi s'exercera auprès du Directeur d'établissement où est admis le jeune ayant provoqué ou subi l'incident.
Dans ces conditions, la Commission autorise la Fondation "Les orphelins apprentis d'Auteuil" à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité principale le suivi des incidents concernant les personnes accueillis dans ses établissements afin d'assurer la prévention des incidents et la protection des jeunes accueillis.
Guy ROSIER Vice-Président Délégué
Le Président, Alex TURK