(Demande d’autorisation n° 1643907)
La Commission nationale de l'informatique et des libertés,
Saisie par l’association Haut-Saônoise pour la sauvegarde de l'enfant à l'adulte  d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités lala gestion administrative des dossiers des mineurs suivis dans le cadre de la protection de l'enfance et l’analyse statistique de l'activité ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Madame Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Commission est saisie par l’association Haut-Saônoise pour la sauvegarde de l'enfant à l'adulte (AHSSEA), reconnue d’utilité publique par décret du 6 juillet 1967, qui gère une vingtaine d’établissements et services proposant des interventions éducatives et sociales, des actions de prévention, de protection, de médiation, des suivis et des prises en charges médico-sociales et thérapeutiques à destination de jeunes, ainsi que des actions d’insertion en faveur d’adultes en difficultés sociales.
Sur la finalité
Le présent traitement est mis en œuvre par le service d’action éducative en milieu ouvert (SAEMO) de l’AHSSEA, bénéficiaire d’un renouvellement de son habilitation justice par l’arrêté préfectoral DDCSPP n° 2012-184 du 6 septembre 2012, qui a pour mission la protection de l’enfance.
Dans ce cadre, ce service est notamment chargé d’assurer les actions éducatives en milieu ouvert ordonnées par un juge des enfants (AEMO judicaire).
Cette mission consiste plus précisément en l'intervention à domicile d'un travailleur social référent pour une durée de six mois à deux ans, renouvelable jusqu'à la majorité de l'enfant concerné. Le travailleur social désigné peut être amené à rencontrer les personnes en contact direct avec l'enfant pour disposer d’une vision globale de son contexte de vie (instituteurs, médecins, travailleurs sociaux, etc.). A l'échéance de la mesure, il rédige un rapport, sous couvert du directeur du SAEMO, à l’adresse de l’autorité ayant décidé la mesure d’AEMO afin de rendre compte de son action et de formaliser des propositions.
Le traitement dont est saisie la Commission a pour finalités la gestion administrative des dossiers des mineurs suivis par le SAEMO de l’AHSSEA, dans le cadre de la protection de l'enfance, ainsi que l’analyse statistique de l'activité du service.
La Commission considère que ces finalités sont déterminées, explicites et légitimes.
Elle estime qu’il y a lieu de faire application de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements automatisés comportant des appréciations sur les difficultés sociales des personnes.
Sur les données traitées
Les catégories de données collectées sont relatives à :
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
l’identification des personnes concernées (nom, prénom, adresse, date et lieu de naissance) ;
leur vie personnelle (situation familiale) ;
leur vie professionnelle (situation professionnelle, scolarité, formation) ;
des informations d’ordre économique et financier (revenus, situation financière) ;
des appréciations sur des difficultés sociales (données sur la problématique familiale et l’évolution du mineur, autres suivis éducatifs).
Sur les destinataires
Les données du présent traitement sont communiquées, chacun pour ce qui le concerne, au juge des enfants ainsi qu’aux personnels habilités de la Protection judiciaire de la jeunesse et du Conseil général.
La Commission considère que ces destinataires présentent un intérêt légitime à connaitre de ces données.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par l’envoi d’un courrier personnalisé.
Les droits d’accès et de rectification s’exercent auprès du Directeur du service d’AEMO de l’association Haut-Saônoise pour la sauvegarde de l'enfant à l'adulte.
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe. La Commission rappelle que ces derniers doivent être régulièrement renouvelés et constitués d’au moins huit caractères à choisir parmi des lettres, chiffres et caractères spéciaux.
Des profils d’habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs du présent traitement.
Les échanges de données sont sécurisés par le recours à l’envoi de plis confidentiels par voie postale ou par télécopie.
Le traitement comporte une fonctionnalité de journalisation des opérations de consultation, de création, de mise à jour et de suppression permettant d’identifier  l’utilisateur à l’origine d’une opération.
Sous réserve de son observation relative aux modalités de constitution des mots de passe, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données à caractère personnel sont conservées pendant le temps du suivi d’un mineur, puis archivées pendant deux ans pour faciliter la reprise d’un éventuel suivi ultérieur.
La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Autorise, conformément à la présente délibération, l’association Haut-Saônoise pour la sauvegarde de l'enfant à l'adulte à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN