(Demande d’autorisation n° 1740499)
La Commission nationale de l'informatique et des libertés,
Saisie par  l’association ADMR de Baye d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des prestations d’aide et d’accompagnement des personnes âgées, handicapées et des familles ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son  article 25-I-6 ° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme. Laurence Dumont, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’association ADMR  située rue Jean Marie Carrer à Baye  (29300) propose des services d’aide et d’accompagnement à domicile pour les personnes âgées, handicapées et leurs familles dans les actes essentiels de la vie quotidienne.
Sur la finalité
Le traitement vise à permettre :
La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites.
la gestion administrative des personnes bénéficiant des services de l’association ;
l’enregistrement des prestations réalisées et le suivi des personnes accompagnées ;
l’élaboration des plannings d’intervention des professionnels ;
la gestion de la facturation ;
Sur les données traitées
Les catégories de données traitées  sont relatives :
Au regard de la nature des données collectées, il convient de faire application des dispositions de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements portant sur le numéro d’inscription au répertoire national d’identification des personnes physiques (NIR).
à l’identité  et aux cordonnées des personnes suivies et accompagnées et le cas échéant de leurs représentants légaux ;
à leur vie personnelle (situation familiale, habitudes de vie) ;
à leur vie professionnelle (situation professionnelle, scolarité, formation) ;
à leur situation économique et financière ;
au numéro d’inscription des personnes au répertoire national d’identification des personnes physiques  (exclusivement dans le cadre d’échanges avec les organismes de sécurité sociale) ;
au groupe iso-ressources (GIR) de la personne  dans le cadre de la prise en charge de l’allocation personnalisée d’autonomie (APA).
La Commission considère ces données pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Peuvent avoir accès aux données, les personnes et organismes qui en raison de leurs fonctions et des missions qui leur sont confiées participent au suivi ou à l’accompagnement des personnes concernées, dans la limite des seuls cas les concernant et des seules informations nécessaires à l’accomplissement de leurs missions. Il s’agit :
-du personnel de l’association,
-des caisses de retraite.
L’Agence Régionale de Santé et le Conseil départemental sont destinataires des données préalablement anonymisées à des fins statistiques.
La liste des destinataires n’appelle pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes sont informées  conformément à l’article 32 de la loi du 6 janvier 1978 modifiée par des mentions légales figurant sur le contrat de prestations et  le formulaire de collecte.
La Commission rappelle que cette information doit être fournie selon des modalités adaptées à l’état des personnes suivies.
Les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès de l’association ADMR de Baye.
Ces modalités d’information et d’exercice des droits des personnes apparaissent satisfaisantes.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.
L’authentification des utilisateurs du traitement est assurée par l’utilisation des mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et des lettres majuscules, des chiffres et des caractères spéciaux.
La Commission recommande que les accès à l’application fassent l’objet d’une journalisation. Elle rappelle que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.
Les échanges de données effectués sur internet sont sécurisés par des procédés de chiffrement de transport des données
Les habilitations d’accès au système d’information sont définies en fonction des attributions des utilisateurs.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier  1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité  au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du  traitement
Les données à caractère personnel traitées sont conservées  le temps nécessaire au suivi et à l’accompagnement des personnes.
A l’issue de cette durée de conservation, les données seront détruites sauf disposition législative ou réglementaire contraire.
La Commission considère que cette durée de conservation apparait pertinente au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, l’association ADMR de Baye à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN