La Commission nationale de l'informatique et des libertés,
Saisie par le Conseil supérieur de l'ordre des vétérinaires d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion du contentieux disciplinaire et l'analyse statistique démographique de la profession de vétérinaire ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code rural et de la pêche maritime, notamment ses articles L. 242-1 à L. 242-9 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 9-1° et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du ministre de l'agriculture et de la pêche du 18 octobre 2001 portant création de traitements informatisés du fichier du Conseil supérieur de l'ordre des vétérinaires visé à l'article L. 241-1 du code rural ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Autorise, conformément à la présente délibération, le Conseil supérieur de l'ordre des vétérinaires à mettre en œuvre le traitement susmentionné.
Responsable du traitement
Le Conseil supérieur de l'ordre des vétérinaires (CSOV)
Sur la finalité
La finalité du traitement est d'assurer :
•-       la gestion et le suivi des procédures et condamnations prononcées par l'ensemble des juridictions ordinales et leurs conséquences pour l'exercice de la profession de vétérinaire ;
•-       l'analyse statistique, régionale et nationale, relativement à la démographie de la profession de vétérinaire.
Dans ce contexte, la Commission considère qu'il y a lieu de faire application des articles 9-1° et 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes au sens de l'article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Concernant le contentieux disciplinaire, les données faisant l'objet d'un traitement seront les suivantes :
•-       les données d'identification des professionnels inscrits au tableau de l'ordre des vétérinaires intéressés par les procédures (nom, prénom, date et lieu de naissance, nationalité, coordonnées, lieu d'exercice professionnel) ;
•-       les données relatives à leur vie professionnelle (diplômes, formation, date et numéro d'inscription à l'ordre, parcours professionnel, spécialités) ;
•-       les données relatives à la gestion et au suivi des procédures en cours et passées (griefs, numéro de l'affaire, pièces du dossier, étapes de la procédure, décisions rendues et application des sanctions) ;
•-       les données d'identification des plaignants, auxiliaires de justice et membres des juridictions ordinales (nom, prénom, coordonnées et qualité).
En vue de l'analyse statistique de la profession, les données à caractère personnel suivantes seront traitées :
•-       les données d'identification (nom, prénom, coordonnées et qualité) des vétérinaires et para-professionnels salariés inscrits au tableau de l'ordre ;
•-       les données d'identification (nom, prénom, date et lieu de naissance, coordonnées, filière suivie) des étudiants inscrits dans une école nationale vétérinaire.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les élus ordinaux et les personnels dûment habilités des conseils régionaux de l'ordre des vétérinaires pourront consulter les données traitées.
Les résultats des analyses démographiques seront communiqués sous forme de statistiques agrégées au ministère de tutelle du CSOV, ainsi que sur le site internet de l'ordre à des fins d'information du public.
Les noms, numéros d'inscription à l'ordre et adresses d'exercice des vétérinaires en activité seront communiqués aux grossistes répartiteurs en charge de la distribution des médicaments et aux sociétés en charge de l'identification des animaux qui ont besoin de ces informations pour l'exercice de leur activité.
Les noms, prénoms et adresses d'exercice des vétérinaires seront diffusés sur le site internet de l'ordre afin d'informer le public sur les vétérinaires habilités à exercer.
Ces destinataires n'appellent pas d'observation de la part de la Commission.
Sur l'information et le droit d'accès
Les vétérinaires inscrits sont informés de la mise en œuvre du traitement et des modalités d'exercice de leurs droits par une mention sur leur dossier d'inscription au tableau de l'ordre.
Une information sera également délivrée par voie d'affichage dans les greffes de l'ordre et dans l'espace réservé aux professionnels sur le site internet du CSOV.
La lettre d'information de l'ordre et la revue de l'ordre seront aussi utilisées pour informer les personnes concernées.
Les droits d'accès et de rectification, tels que reconnus par la loi du 6 janvier 1978 modifiée, explicités sur les supports d'information précités, s'exerceront auprès du CSOV.
Ces modalités d'information et d'exercice des droits sont suffisantes.
Sur les mesures de sécurité
L'authentification des utilisateurs de la base s'effectuera au moyen d'un mot de passe d'une taille minimale de huit caractères, composé de trois caractères différents (minuscules, majuscules, chiffres ou caractères spéciaux) et changé annuellement.
L'authentification des administrateurs de la base s'effectuera au moyen d'un mot de passe d'une taille minimale de dix caractères, composé d'au moins trois caractères différents (minuscules, majuscules, chiffres ou caractères spéciaux) et changé tous les six mois.
Les connexions à la base de données seront sécurisées selon le protocole HTTPS et des mécanismes renforcés de journalisation assureront la traçabilité complète des actions des utilisateurs et des administrateurs sans possibilité de modifier le journal des traces.
Les grossistes répartiteurs en charge de la distribution des médicaments et les sociétés en charge de l'identification des animaux n'auront pas directement accès à la base de données. Seules les informations qui leur sont utiles leur seront communiquées, au moyen d'un fichier chiffré déposé sur un serveur FTP accessible grâce à un identifiant et un mot de passe différents selon la société.
La Commission rappelle la nécessité de garantir la sécurité des données lors de leur stockage, notamment leur confidentialité. Cette confidentialité est d'autant plus importante qu'elle concerne des données sensibles telles les données d'infraction et de condamnation. Pour cette raison, la Commission recommande la mise en œuvre d'une mesure de chiffrement des données ou de toute autre mesure garantissant la sécurité des données.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données traitées seront conservées pendant toute la durée de la vie professionnelle du vétérinaire intéressé et archivées à compter de la cessation d'exercice du professionnel.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Le présent traitement complète celui prévu aux termes de l'arrêté du ministre de l'agriculture et de la pêche du 18 octobre 2001 portant création de traitements informatisés du fichier du Conseil supérieur de l'ordre des vétérinaires visé à l'article L. 241-1 du code rural.
La Présidente
Isabelle FALQUE-PIERROTIN