(Autorisation n°1520143)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n°108, du 28 janvier 1981, du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment ses articles 8-IV, 25-I-1°, 25-I-6° et 25-I-7° ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifié ;
Vu les articles L.121-1, L.112-3, L.221-1 et L.226-1 et suivants du code de l’action sociale et des familles ;
Vu la délibération n°2011-080 du 17 mars 2011 portant autorisation unique (AU-028) de traitements de données à caractère personnel mis en œuvre par les conseils généraux à des fins de gestion des informations préoccupantes relatives à l'enfance en danger ;
Vu la demande d’autorisation du Conseil général de la Gironde relative au traitement de données à caractère personnel ayant pour finalité la gestion des dossiers de protection de l’enfance ;
Après avoir entendu M. Philippe GOSSELIN, commissaire, en son rapport et Mme ROLIN, commissaire du Gouvernement, en ses observations ;

La Commission a été saisie par le Directeur Général du Conseil général de la Gironde d’une demande d’autorisation relative au traitement de données à caractère personnel ayant pour finalité la gestion des dossiers de protection de l’enfance.
La Commission considère qu’il y a lieu de faire application des articles 8-IV, 25-I-1°, 25-I-6° et 25-I-7de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements de données de santé justifiés par l’intérêt public et comportant des appréciations sur les difficultés sociales des personnes.
La Commission prend acte que la demande du Conseil général de la Gironde ne correspond pas au champ prévu par l’autorisation unique (AU-028) de traitements de données à caractère personnel mis en œuvre par les conseils généraux à des fins de gestion des informations préoccupantes relatives à l'enfance en danger adoptée par la CNIL le 17 mars 2011.
Alors que l’autorisation unique précitée répond à l’objectif de gérer le recueil, le traitement et l’évaluation des informations préoccupantes relatives à l'enfance en danger, la demande soumise à la CNIL doit également répondre à l’objectif d’assurer les enfants en danger pris en charge par le Conseil général (Couverture Maladie Universelle et mutuelle complémentaire santé).
Sur les finalités
Dans le cadre de sa mission d’aide sociale à l’enfance, le Conseil général doit prendre en charge certains mineurs en danger, de manière partielle ou totale.
La finalité du traitement soumis à la Commission est notamment de gérer, en lieu et place des parents dont l’autorité parentale est suspendue, l’assurance de l’enfant à la CMU (Couverture maladie Universelle) ainsi qu'à une assurance santé complémentaire.
Le département a aussi la responsabilité de traiter toutes les feuilles de soins concernant les enfants. Chaque feuille de soins est donc saisie dans ce traitement.
Sur les données collectées
Dans le cadre de ces finalités spécifiques, et de la gestion des échanges avec la sécurité sociale, le département a besoin du NIR des enfants.
Les autres données traitées sont des données :
d’identification des personnes (nom, prénom, adresse, date et lieu de naissance, nationalité saisie sous la forme « Français/UE/Hors UE ») ;
relatives à la situation familiale et aux habitudes de vie des enfants ;
relatives à la situation professionnelle / scolaire des familles et des enfants concernés ;
relatives à la situation économique et financière des familles (revenus, situation financière) ;
relatives au signalement judiciaire (données transmises par le procureur dans le cadre de l’enfance en danger) ;
relatives à l’évaluation sociale des enfants et de leur famille réalisée par des professionnels médicaux ;
relatives à la santé des enfants et des membres de leurs familles (pathologies, antécédents familiaux, soins, situations et comportements à risque).
Les informations traitées permettent uniquement aux personnels compétents du Conseil général et au Procureur de mettre en œuvre un suivi personnalisé de l’enfant en danger.
Sur les destinataires
Les catégories de destinataires habilitées à recevoir communication des données traitées sont, à raison de leurs attributions respectives, les agents habilités du Conseil général, les travailleurs sociaux, la CAF, la CPAM, les services associatifs habilités, les services de la protection maternelle et infantile (PMI), les professionnels médicaux, les tribunaux et le Procureur.
L’Observatoire de l’enfance en danger (ONED) est destinataire de données anonymisées.
Sur la durée de conservation
Les données nominatives des enfants concernés sont conservées dans le traitement jusqu’à leur majorité.
Dans le cadre d’un suivi des jeunes majeurs, les données peuvent être conservées jusqu’aux 21 ans du jeune (conformément à l’article L221-1 du code de l’action sociale et des familles).
Sur la sécurité
La Commission a pris acte que le traitement de données sera effectué au moyen du logiciel IODAS.
L’authentification des personnes habilitées à accéder à l’application n’appelle donc aucune observation.
Elle attire l’attention du Conseil général de la Gironde sur le fait que, compte tenu de la sensibilité des données traitées, un chiffrement des données identifiantes (noms, prénoms, dates et lieux de naissance, signes distinctifs) doit être mis en œuvre en base et pour tout échange dématérialisé de données.
Le traitement de ces données ne doit faire l’objet d’aucune interconnexion, d’aucun rapprochement ni d’aucune autre forme de mise en relation.
Enfin, la Commission recommande qu’une journalisation des données permettant de tracer les contenus accédés et les types d’opérations effectuées soit mise en œuvre.
Sur les droits des personnes
L’information des personnes (droits d’accès, de rectification et d’opposition) s’effectuera par trois moyens : un affichage spécifique dans les lieux d’accueil du Conseil général, des mentions légales sur formulaire ainsi que des mentions mises à disposition sur le site Internet du Conseil général de la Gironde.
Isabelle FALQUE-PIERROTIN