(Demande d’autorisation n°1848647)
La Commission nationale de l’informatique et des libertés ;
Saisie par le Centre Communal d’Action Sociale (CCAS) de Laval d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des dossiers des demandes d’aides sociales ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment ses articles L.123-5 ; L.123-6 ; L. 231-1 ; L. 262-1 et  R. 123-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-1-6 et 25-I-7 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement.
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est le Centre Communal d’Action Sociale (CCAS) de Laval.
Dans le cadre de ses attributions légales, au sens de l’article R.123-1 du code de l’action sociale et des familles, le CCAS procède à une analyse des besoins sociaux de l’ensemble de la population.
Sur la finalité
Le traitement vise notamment à permettre :
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
l’accueil, l’accompagnement et le suivi personnalisé des personnes concernées, incluant l’évaluation de leurs besoins et des difficultés rencontrées ;
la pré-instruction et le suivi des demandes d’aides sociales (financières ou en nature) ;
la gestion de l’aide à domicile et de la téléalarme auprès des personnes âgées et/ou handicapées.
l’accompagnement des personnes dans l’accès aux droits et prestations, ainsi que dans les relations et les démarches à effectuer auprès des personnes et services compétents.
Sur les données traitées
Les catégories de données collectées concernant les usagers sont relatives :
La Commission estime qu'il y a lieu de faire application de l'article 25-I-6 de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements dans lesquels figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (NIR).
à l’identité (nom, prénom, adresse, date et lieu de naissance, téléphone) ;
à la vie personnelle (habitude de vie, situation familiale, composition du foyer) ;
à la vie professionnelle (situation professionnelle, scolarité, formation) ;
à la situation vis-à-vis des organismes sociaux (nature des droits et avantages et des prestations dont bénéficient les personnes concernées) ;
aux conditions de vie matérielles (situation financière et économique, situation du demandeur face au logement, type et conditions du logement) ;
aux cordonnées bancaires ;
à l’évaluation des besoins, aux difficultés rencontrées et aux appréciations sur les difficultés sociales ;
au numéro de sécurité sociale (aux seules fins de facturation et d’échange avec les organismes de sécurité sociale).
Il convient également de faire application de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements comportant des appréciations sur les difficultés sociales des personnes.
Ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Peuvent avoir accès aux données les personnes et organismes qui, en raison de leurs fonctions et des missions qui leur sont confiées, participent au suivi et à l’accompagnement des personnes concernées, dans la limite des seuls cas les concernant et des seules informations nécessaires à l’accomplissement de leurs missions. Il s’agit :
La Commission considère que ces destinataires ont un intérêt légitime à connaître ces données.
du personnel strictement habilité du CCAS ;
du Conseil départemental ;
des missions locales ;
des centres d’hébergement et de réinsertion sociale.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales figurant dans les courriers adressés aux usagers et dans le règlement de fonctionnement du CCAS.
Les droits d’accès, de rectification et d’opposition s’exercent auprès du Centre Communal d’Action Sociale de Laval - 10 place de Hercé - 53013 Laval.
Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.
L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.
Les habilitations d’accès au système d’information sont définies en fonction des attributions des utilisateurs.
La Commission recommande que les accès à l’application fassent l’objet d’une journalisation. Elle rappelle que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.
Les données accessibles via Internet sont sécurisées par des procédés de chiffrement de transport des données, en conformité avec l’architecture technique préconisée par la Commission (HTTPS).
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données à caractère personnel traitées sont conservées dans la base active le temps nécessaire au suivi et à l’accompagnement des personnes, et au maximum deux ans à compter de la dernière aide accordée.
A l’issue de cette période, les données sont supprimées ou, lorsqu’elles sont nécessaires à l'accomplissement d'obligations légales et réglementaires, conservées au sein d'une base inactive (ou archivage intermédiaire) le temps nécessaire au respect de l'obligation en cause.
La Commission considère que cette durée de conservation apparaît pertinente au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, le Centre Communal d’Action Sociale de Laval à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN