(Demande d’autorisation n° 1553358)
La Commission nationale de l’informatique et des libertés,
Saisie par l’association Rhône-Alpes pour le logement et l’insertion sociale d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion du suivi social de ses bénéficiaires,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 25-I-1°, 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Monsieur Emmanuel de GIVRY, commissaire et après avoir entendu les observations de  Madame Elisabeth ROLIN, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
L’association Rhône-Alpes pour le logement et l’insertion sociale (ARALIS) est une association à but non lucratif régie par la loi du 1er juillet 1901.
Elle a pour objet de proposer un logement transitoire aux personnes qui rencontrent des difficultés d’accès à un logement ou sont en situation de mobilité dans la région, d’une part, et offre aux personnes qui le souhaitent des services pour l’accès aux droits, à la santé et aux soins dans une perspective d’accompagnement vers un logement définitif, d’autre part.
Au regard de ce qui précède, la Commission considère que la mission de ARALIS est d’intérêt public.
Sur la finalité
La finalité du traitement vise à la gestion du suivi social des bénéficiaires des services d’ARALIS.
Plus précisément, ce traitement est destiné à enregistrer les informations liées aux actes d’accompagnement social, assurer un suivi statistique des interventions, garantir la confidentialité des données ainsi que la continuité de l’accompagnement social des bénéficiaires et, enfin, à rendre compte de l’activité d’ARALIS auprès de ses organismes financeurs.
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Elle estime qu’il y a lieu de faire application des dispositions des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements justifiés par l’intérêt public qui comportent des données relatives à la santé.
La Commission considère également qu’il y a lieu de faire application de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données permettant d’apprécier les difficultés sociales des personnes.
Sur les données traitées
Les catégories de données collectées concernent les personnes suivies par ARALIS et sont relatives :
La Commission considère que les données collectées sont pertinentes, adéquates et non excessives au regard de la finalité poursuivie.
à l’identification (nom, prénom, adresse, date et lieu de naissance, sexe, nationalité, type de titre de séjour) ;
à la vie personnelle (situation familiale, parcours logement) ;
à la vie professionnelle (situation professionnelle, scolarité, formation, numéro Pôle emploi) ;
à des informations d’ordre économique et financier (revenus, situation financière, loyer, compte locataire) ;
à des appréciations sur les difficultés sociales des personnes (comptes rendus de suivi social, diagnostic social) ;
à la santé (données relatives aux soins, situations ou comportements à risques) ;
Sur les destinataires
Les données d’identification, les données relatives à la vie personnelle, à la vie professionnelle et à la situation économique sont accessibles aux travailleurs sociaux, aux membres du secteur de la coordination des interventions sociales d’ARALIS, au personnel habilité du Fonds européen d’intégration, ainsi qu’au personnel habilité des Conseils généraux du Rhône et de la Loire, de la Direction départementale de la cohésion sociale du Rhône et de la Loire et des Préfectures du Rhône et de la Loire.
Les données relatives à la santé ainsi que les appréciations sur les difficultés sociales seront, quant à elles, accessibles aux seuls travailleurs sociaux et responsables du secteur de la coordination des interventions sociales d’ARALIS.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, lors de l’entretien individuel qui se déroule au début de la prise en charge ainsi que par voie d’affichage.
Les droits d’accès et de rectification s’exercent par courrier électronique, par téléphone, par voie postale ou sur place auprès de la direction administrative et financière d’ARALIS.
Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
La Commission rappelle que l’authentification des utilisateurs du traitement doit respecter ses préconisations. Les mots de passe doivent notamment être d’un niveau de complexité suffisant (8 caractères avec des lettres minuscules, majuscules, des chiffres et des caractères spéciaux) et renouvelés régulièrement.
Le traitement doit également comporter une fonctionnalité de journalisation des opérations de consultation, création et modification des données à caractère personnel. Ces journaux de connexion doivent être conservés pendant 6 mois.
En outre, lorsque le traitement est accessible sur internet, le protocole HTTPS doit être utilisé pour garantir la confidentialité des données échangées.
Lorsque les données sont échangées sur des canaux non sécurisés, ces échanges doivent également être chiffrés afin de garantir la confidentialité des données.
Sur les autres caractéristiques du traitement
Les données sont conservées jusqu’au premier trimestre de l’année suivant l’année de départ du résident concerné.
Cette durée de conservation apparaît pertinente au regard de la finalité poursuivie par le traitement.
La Commission relève enfin que le présent traitement, lié à la gestion du suivi social, sera interconnecté avec un second traitement d’ARALIS ayant pour finalité la gestion locative (entrées et sorties des résidents, gestion des contrats, facturation, gestion des comptes clients).
Autorise, conformément à la présente délibération, l’association Rhône-Alpes pour le logement et l’insertion sociale (ARALIS) à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN