La Commission nationale de l'informatique et des libertés,
Saisie pour avis par le ministère de l'intérieur, de l'outre-mer, des collectivités territoriales et de l'immigration d'un projet d'arrêté portant autorisation de traitements de données à caractère personnel dénommés RLOPPA (répertoires locaux pour les opérations de protection des personnes âgées) ;
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé de données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu le Code général des collectivités territoriales, notamment son article L2212-5 ;
Vu le Code de l'action sociale et des familles, notamment ses articles L121-1-1, R121-2 à R121-12 ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 26 ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l'application de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu le décret n°2011-342 du 29 mars 2011 portant création d'un traitement de données à caractère personnel relatif à la sécurisation des interventions et demandes particulières de protection ;
Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport, et
Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Emet l'avis suivant :
La Commission a été saisie par le ministère de l'intérieur, de l'outre-mer et des collectivités territoriales d'une demande d'avis concernant un projet d'arrêté portant autorisation de traitements de données à caractère personnel dénommés RLOPPA (répertoires locaux pour les opérations de protection des personnes âgées).
Sur la finalité
Ce traitement, composé de fichiers localement mis en œuvre au sein des circonscriptions de sécurité publique de la police nationale, aura pour finalité de recenser les personnes de 65 ans et plus souhaitant bénéficier d'une vigilance particulière des services de police.
La Commission note que cette finalité s'inscrit dans la volonté du ministère de l'intérieur de mettre en place diverses actions de protection en faveur des personnes âgées dans le cadre d'une  opération tranquillité seniors .
Sur les modalités de collecte des données
Les données seront collectées directement auprès des bénéficiaires du dispositif, à savoir les personnes âgées de 65 ans et plus souhaitant faire l'objet de mesures de protection. La Commission tient à préciser que de telles modalités de collecte n'empêcheront pas un recueil des données auprès du représentant légal de l'intéressé ou de toute personne dûment mandatée par celui-ci.
La Commission prend acte que le traitement RLOPPA ne sera mis en relation avec aucun autre traitement. Dès lors, les données traitées ne pourront provenir des traitements mis en œuvre par les communes dans le cadre du plan d'alerte et d'urgence prévus par les articles R121-2 à R121-12 du Code de l'action sociale et des familles ou encore du traitement SIDPP (sécurisation des interventions et demandes particulières de protection) de la direction générale de la gendarmerie nationale créé par le décret précité du 29 mars 2011 pris après avis de la CNIL.
Sur les données traitées
Les personnes concernées par le traitement seront le bénéficiaire du dispositif de protection mais aussi la personne que ce dernier aura désignée pour être prévenue en cas d'incident.
Les données traitées seront le nom, le prénom, la date de naissance, l'adresse, les coordonnées téléphoniques ainsi que le compte-rendu des interventions. La Commission considère que la notion d'adresse pourrait utilement être précisée afin d'indiquer s'il s'agit uniquement de l'adresse physique des personnes ou si leur adresse électronique pourra faire l'objet d'un traitement.
Le traitement ne pourra en aucun cas porter sur des données  sensibles  relevant de l'article 8 de la loi précitée du 6 janvier 1978 modifiée. La Commission prend acte que les personnels de la police nationale se verront rappeler cette interdiction, notamment dans le cadre de la rédaction du compte-rendu d'intervention.
Sur les destinataires des données
Tous les agents, fonctionnaires et contractuels, des services de la police nationale ayant des attributions de surveillance ou de recueil des déclarations pourront accéder directement au traitement.
Par ailleurs, pourront être destinataires des données sans accès direct au traitement, les agents de police municipale chargés de missions de surveillance dans les conditions prévues à l'article L2212-5 du Code général des collectivités territoriales et les intervenants sociaux affectés au sein des commissariats de police conformément à l'article L121-1-1 du Code de l'action sociale et des familles. La Commission souligne que cette communication des données à ces tiers aux services de la police nationale devra être ponctuelle, spécialement motivée et strictement limitée au besoin d'en connaître.
Sur la durée de conservation des données
Le projet d'arrêté prévoit que les données seront conservées tant que la personne n'a pas exprimé, par écrit, sa volonté de renoncer au dispositif et qu'en tout état de cause elles seront effacées dès lors que le service de police sera informé du décès de la personne concernée.
Dès lors que l'information de la circonscription de sécurité publique mettant en œuvre le registre n'apparaît pas forcément systématique en cas de déménagement ou de décès de l'intéressé, la Commission considère que la définition d'une durée maximale de conservation des données, dont les personnes pourraient éventuellement demander le renouvellement, constituerait une garantie supplémentaire de mise à jour des données.
Sur l'information des personnes
Il résulte du dossier soumis à la Commission que les personnes bénéficiaires du dispositif seront informées du traitement de leurs données et des droits dont elles disposent dans les conditions prévues à l'article 32 de la loi précitée du 6 janvier 1978 modifiée. Cette information sera notamment mentionnée sur les formulaires d'inscription mis à la disposition des usagers dans les commissariats de police.
En revanche, la Commission relève qu'aucune mesure d'information spécifique n'est prévue s'agissant des personnes à prévenir en cas d'incident qui sont désignées par le bénéficiaire lors de son inscription. Elle prend acte que le ministère considère que, conformément aux dispositions finales de l'alinéa 2 du III de l'article 32 de la loi précitée du 6 janvier 1978 modifiée, cette information exige des efforts disproportionnés par rapport à l'intérêt de la démarche. Pour autant, la Commission invite le ministère à assurer une information minimale de ces personnes, par exemple à l'occasion d'un contact téléphonique lors de l'inscription du bénéficiaire.
Sur les droits d'accès, de rectification et d'opposition
Conformément à l'alinéa 4 de l'article 41 de la loi précitée du 6 janvier 1978 modifiée, les demandes d'accès et de rectification devront être directement présentées au chef de la circonscription de sécurité publique du lieu de résidence de l'intéressé.
Le droit d'opposition prévu à l'article 38 de la loi précitée du 6 janvier 1978 modifiée s'applique au présent traitement.
Sur la sécurité des données
Les circonscriptions de sécurité publique mettant en œuvre les répertoires locaux des opérations de protection des personnes âgées disposeront d'une certaine liberté s'agissant de la forme, automatisée ou non, du traitement. L'accès aux répertoires automatisés se fera à partir d'un terminal informatique dédié après saisie d'un identifiant et d'un mot de passe, ce qui permettra une traçabilité des consultations. En cas de mise en œuvre non automatisée, les répertoires seront côtés, paraphés et entreposés dans une armoire forte située dans des locaux non accessibles au public. En tout état de cause, seuls pourront accéder au traitement les agents ayant besoin d'en connaître. Eu égard aux caractéristiques de ces traitements, ces conditions de sécurité sont jugées satisfaisantes.
Le Président,