(Autorisation n°1520441)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n°108, du 28 janvier 1981, du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment ses articles 8-IV, 25-I-1° et 25-I-6° ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifié ;
Vu les articles L.2111-2 et L.2111-3 du code de la santé publique ;
Vu la demande d’autorisation du Directeur Général du Conseil général de la Gironde relative au traitement de données à caractère personnel ayant pour finalité la gestion des trois certificats de santé du jeune enfant ;
Après avoir entendu M. Philippe GOSSELIN, commissaire, en son rapport et Mme ROLIN, commissaire du Gouvernement, en ses observations ;

La Commission a été saisie par le Conseil général de la Gironde d’une demande d’autorisation relative au traitement de données à caractère personnel ayant pour finalité la gestion des trois certificats de santé du jeune enfant au 8ème jour, 9ème et 24ème mois de la vie des enfants.
La Commission considère qu’il y a lieu de faire application des articles 8-IV, 25-I-1° et 25-I-6° de la loi du 6 janvier 1978 modifiée.
Ce traitement de données est mis en œuvre dans le service de protection maternelle et infantile (PMI) du Département de la Gironde.
Sur les finalités
L’objet du traitement est, pour le service de la PMI de gérer les certificats de santé du jeune enfant.
Il répond également à l’obligation des officiers d’Etat civil de transmettre une copie des actes de naissance et de décès des jeunes enfants de moins de 6 ans à la PMI.
La Commission prend acte que ce traitement ne permet d’établir aucune présélection des enfants à risque susceptibles d’un suivi individuel.
Sur les données collectées
Les données traitées correspondent à des données :
d’identification (nom, prénom, date et lieu de naissance, sexe), comportant le numéro de sécurité sociale de la mère dans le cadre de sa prise en charge par l’assurance maladie et des futures allocations familiales qu’elle percevra ;
relatives à la situation familiale de la mère ;
relatives à la situation professionnelle/scolaire de celle-ci ;
relatives à la santé de la mère et de l’enfant (pathologies, antécédents familiaux, soins, comportements à risque tels que consommation d’alcool et de tabac).
L’ensemble des informations traitées proviennent des actes de naissance envoyés par les services de l’Etat civil, ainsi que des certificats de santé tels que définis par les documents CERFA relatifs à la déclaration de grossesse (CERFA 50040 04 et 10112 04) et aux certificats de santé (CERFA 12596 02, 12597 03, 12598 03), qui comportent notamment le NIR.
Les données collectées sont strictement proportionnées aux nécessités du suivi de la mère et de l’enfant. Ce qui n’appelle aucune observation.
Sur les destinataires
Les catégories de destinataires habilités à recevoir communication des données traitées sont, à raison de leurs attributions respectives :
les médecins,
les sages-femmes,
les puéricultrices de la PMI,
les agents habilités du Conseil général en charge de la saisie des formulaires CERFA soumis à une obligation de confidentialité, et à l’exclusion de toute donnée de santé qui ne serait pas inscrite dans les formulaires CERFA saisis.
Compte tenu du caractère sensible des données, la Commission appelle l’attention du Conseil général sur le fait que le régime d’habilitation doit être strictement défini. En particulier, seuls les agents en charge de la gestion des échanges avec la sécurité sociale doivent pouvoir accéder au NIR de la mère.
Sur la durée de conservation
Les données nominatives des demandeurs sont conservées dans le traitement 6 ans, à compter de la date de naissance de l’enfant.
Sur la sécurité
La Commission a pris acte que la gestion des mots de passe individuels des membres du service de la PMI est conforme aux recommandations de la CNIL.
Elle recommande que le traitement soit mis en œuvre sur un ordinateur dédié à la gestion des certificats de santé des jeunes enfants, implanté dans le service de la PMI.
Compte tenu de la sensibilité des données traitées, un chiffrement des données identifiantes (noms, prénoms, dates et lieux de naissance, numéros identifiants, signes distinctifs) serait souhaitable.
Pour garantir la confidentialité des données en dehors du service de la PMI, la Commission rappelle que les obligations suivantes doivent être respectées :
tout échange dématérialisé de données sur la santé de la mère et de l’enfant en dehors du service PMI du Conseil général de la Gironde doit faire l’objet d’un chiffrement, à tout le moins de l’ensemble des données identifiantes de la mère et de l’enfant ;
le traitement de gestion des certificats ne doit faire l’objet d’aucune interconnexion, d’aucun rapprochement ni d’aucune autre forme de mise en relation.
Enfin, la Commission recommande que la journalisation des données effectuée comporte une journalisation des contenus accédés et des opérations effectuées.
Sur les droits des personnes
L’information des personnes (droits d’accès, de rectification et d’opposition) s’effectuera par deux moyens : des mentions légales sur le formulaire de saisie des données ainsi que des mentions mises à disposition sur le site Internet du Conseil général de la Gironde.
Isabelle FALQUE-PIERROTIN