(Demande d’autorisation n° 1575711)
La Commission nationale de l’informatique et des libertés ;
Saisie par le Conseil général du Rhône d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des trois certificats de santé du jeune enfant ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 2111-2 et L. 2111-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 25-I-1° et 25-I-6° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Conformément aux articles L.2111-2 et L.2111-3 du code de la santé publique, le Conseil général du Rhône remplit une mission de gestion des trois certificats de santé du jeune enfant au 8ème jour, 9ème et 24ème mois de la vie des enfants.
Dans ce cadre, le département du Rhône souhaite créer un traitement de données dans le service de protection maternelle et infantile (PMI).
La Commission considère qu’il y a lieu de faire application des articles 8-IV, 25-I-1° et 25-I-6° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements comportant des données à caractère personnel qui sont relatives à la santé des personnes concernées et comportant le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (NIR).
Sur la finalité
L’objet du traitement est, pour le service de la PMI, de gérer les certificats de santé du jeune enfant.
Il répond également à l’obligation des officiers d’Etat civil de transmettre une copie des actes de naissance et de décès des jeunes enfants de moins de 6 ans à la PMI.
Ce traitement ne permet d’établir aucune présélection des enfants à risque susceptibles d’un suivi individuel.
Elle considère que cette finalité est déterminée, explicite et légitime.
Sur les données traitées
Les données traitées correspondent à des données :
-d’identification (nom, prénom, date et lieu de naissance, sexe), comportant le numéro de sécurité sociale de la mère dans le cadre de sa prise en charge par l’assurance maladie et des futures allocations familiales qu’elle percevra ;
-relatives à la situation familiale de la mère ;
-relatives à la situation professionnelle/scolaire de celle-ci;
-relatives à la santé de la mère et de l’enfant (pathologies, antécédents familiaux, soins, comportements à risque tels que consommation d’alcool et de tabac).
L’ensemble des informations traitées proviennent des actes de naissance envoyés par les services de l’Etat civil, ainsi que des certificats de santé tels que définis par les documents CERFA relatifs à la déclaration de grossesse (CERFA 50040 04 et 10112 04) et aux certificats de santé (CERFA 12596 02, 12597 03, 12598 03), qui comportent notamment le NIR.
Les données collectées sont proportionnées aux nécessités du suivi de la mère et de l’enfant.
Sur les destinataires
Les catégories de destinataires habilités à recevoir communication des données traitées sont, à raison de leurs attributions respectives :
-les médecins,
-les sages-femmes,
-les puéricultrices de la PMI,
-les agents habilités du Conseil général en charge de la saisie des formulaires CERFA soumis à une obligation de confidentialité, et à l’exclusion de toute donnée de santé qui ne serait pas inscrite dans les formulaires CERFA saisis.
Compte tenu du caractère sensible des données, la Commission appelle l’attention du Conseil général sur le fait que le régime d’habilitation doit être strictement défini. En particulier, seuls les agents en charge de la gestion des échanges avec la sécurité sociale doivent pouvoir accéder au NIR de la mère.
Sur l’information et le droit d’accès
L’information des personnes (droits d’accès, de rectification et d’opposition) s’effectuera par trois moyens : des mentions légales sur le formulaire de saisie des données, un affichage au sein des centres de santé et PMI du département ainsi que des mentions mises à disposition sur le site Internet du Conseil général de la Gironde.
Sur les mesures de sécurité
La Commission recommande que la gestion des mots de passe individuels des membres du service de la PMI soit conforme aux recommandations de la CNIL.
Elle recommande que le traitement soit mis en œuvre sur un ordinateur dédié à la gestion des certificats de santé des jeunes enfants, implanté dans le service de la PMI.
Compte tenu de la sensibilité des données traitées, un chiffrement des données identifiantes (noms, prénoms, dates et lieux de naissance, numéros identifiants, signes distinctifs) serait souhaitable.
Pour garantir la confidentialité des données en dehors du service de la PMI, la Commission rappelle que les obligations suivantes doivent être respectées :
-tout échange dématérialisé de données sur la santé de la mère et de l’enfant en dehors du service PMI du Conseil général du Rhône doit faire l’objet d’un chiffrement, à tout le moins de l’ensemble des données identifiantes de la mère et de l’enfant ;
-le traitement de gestion des certificats ne doit faire l’objet d’aucune interconnexion, d’aucun rapprochement ni d’aucune autre forme de mise en relation.
Enfin, la Commission recommande que la journalisation des données effectuée comporte une journalisation des contenus accédés et des opérations effectuées.
Sur les autres caractéristiques du traitement
Les données nominatives des demandeurs sont conservées dans le traitement 7 ans, à compter de la date de naissance de l’enfant, ce qui n’appelle, au regard des dispositions législatives et réglementaires en vigueur, aucune observation de la Commission.
Autorise, conformément à la présente délibération, le Conseil général du Rhône à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN