(Demande d’autorisation n° 1806126)
La Commission nationale de l'informatique et des libertés,
Saisie par la Caisse d’Allocations Familiales des Hauts-de-Seine d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des dossiers des usagers du service social;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu les articles L.263-1, R.263-1 et R.263-2 du code de la sécurité sociale ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Laurence DUMONT, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par la Caisse d’allocations familiales des Hauts-de-Seine (ci-après CAF 92) d’une demande d’autorisation relative à l’informatisation d’un traitement dont la finalité principale est la gestion des dossiers des usagers du service social.
Ce traitement, dénommé « LISA » (Logiciel d’Interventions Sociales pour les Allocataires), relève du régime de l’autorisation prévu à l’article 25-I-7° de la loi du 6 janvier 1978 modifiée, applicable aux traitements comportant des appréciations sur les difficultés sociales des personnes.
Sur la finalité du traitement :
Le traitement  LISA a pour finalités la gestion et le suivi d’offres de service des allocataires rattachés à la CAF 92 souhaitant bénéficier d’un accompagnement social.
Sur la base des informations enregistrées, des statistiques seront réalisées afin de permettre l’évaluation des dispositifs d’accompagnement ainsi que le pilotage de l’activité des travailleurs sociaux visant à contribuer à un meilleur suivi des interventions sociales et à rendre plus lisibles les actions.
En effet, au terme de l’actuelle Convention d'objectifs et de gestion signée entre la Caisse nationale d’allocations familiales et l’Etat pour 2013-2017, la CNAF et les CAF doivent être en mesure de rendre compte, tant du point de vue quantitatif que qualitatif, de leurs interventions en matière de travail social.
La Commission rappelle que le développement des systèmes d’informations statistiques à partir des fichiers d’action sociale doit s’effectuer dans le respect de la vie privée des usagers des services sociaux.
Elle considère les finalités ainsi poursuivies sont déterminées, explicites et légitimes.
Sur les catégories de données à caractère personnel enregistrées :
Les informations enregistrées sont relatives :
-  à l’identification des personnes (n°allocataire, nom de famille, d’usage, prénoms et date de naissance de l’allocataire) ;
à la vie personnelle (situation familiale, adresse postale, numéros de téléphone et adresse électronique, composition du foyer (nom de famille, nom d’usage, prénoms, année de naissance, lien de parenté avec l’assuré des membres du foyer, autres personnes résidant au foyer ou à charge) ;
au montant des ressources des membres du foyer (montant et type de ressources, charges, crédits, dettes) ;
au quotient familial CNAF ;
au profil RSA (si bénéficiaire du RSA) ;
à leur situation sociale (difficultés rencontrées) et à l’appréciation des difficultés sociales ;
à leur situation professionnelle (situation par rapport à la formation, l’emploi, statut professionnel) ;
au type et aux conditions du logement ;
aux coordonnées du bailleur ;
aux domaines d’intervention ;
au parcours des interventions effectuées par le travailleur social (procédure et suivi des actions menées) ;
à l’identité du travailleur social en charge du suivi ;
aux contrats établis entre l’allocataire et la CAF ;
aux documents contractuels ;
à l’identification des partenaires institutionnels publics et privés ;
aux résultats de l’accompagnement.
Ces données sont transmises par le bénéficiaire de l’accompagnement lors de l’entretien d’évaluation sociale. Le consentement de ce dernier est recueilli pour permettre l’accompagnement social et la collecte des informations que ce suivi implique.
La Commission considère que le traitement de l’ensemble des données précédemment visées est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
Elle relève néanmoins que les données collectées dans le cadre du traitement envisagé varient en fonction des particularités des situations sociales rencontrées, du type de prestation ou de l’aide demandée ainsi que de la nature des actions individuelles et collectives à accomplir.
Dès lors, ces informations ne doivent pas être recueillies et enregistrées systématiquement mais uniquement lorsqu’elles s’avèrent strictement nécessaires et proportionnées au travail poursuivi.
S’agissant des données relatives à l’état de santé des bénéficiaires, les travailleurs sociaux veilleront à privilégier l’enregistrement des données « génériques » au lieu et place de données de santé, et dans la mesure où celles-ci sont utiles à un accompagnement efficace.
Enfin, s’agissant des zones commentaires, un message apparaîtra en filigrane afin de rappeler au personnel que seules doivent être saisies les informations susceptibles d’être pertinentes au regard du contexte.
Sur les catégories de destinataires des données :
Seuls ont accès au traitement, dans la limite de leurs attributions et suivant une politique d’habilitation particulière, les travailleurs sociaux de la CAF des Hauts-de-Seine.
Peuvent être destinataires des données sous format nominatif les partenaires sociaux intervenant dans le cadre du suivi social des personnes. La Commission rappelle que les données transmises doivent être limitées aux données strictement nécessaires à l’accompagnement des personnes.
Sont destinataires des données statistiques la CNAF, le Conseil d’administration de la CAF et le Conseil départemental (dans le cadre de la gestion du RSA).
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur la durée de conservation des données :
Les données sont conservées 17 mois dans l’outil LISA puis, à l’issue de ce délai, sont conservées pendant cinq ans sous format anonyme pour des besoins statistiques.
La Commission relève que cette durée maximum de cinq ans correspond à la demande de la CNAF relative aux statistiques dans le cadre de la Convention d’objectifs et de gestion 2013-2017.
Elles sont supprimées à l’issue de ce délai.
Sur l'information des personnes :
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, lors du premier entretien individuel avec le travailleur social, à l’occasion duquel un document rappelant leurs droits et obligations leur est remis.
La Commission rappelle que cette information doit être fournie selon des modalités adaptées à l’état des personnes suivies.
Les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès du directeur de la CAF des Hauts-de-Seine.
Ces modalités d’information et d’exercice des droits des personnes apparaissent satisfaisantes.
Sur la sécurité des données et la traçabilité des actions :
L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules ainsi que des chiffres.
Des profils d’habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs.
Le traitement comporte une fonctionnalité de journalisation des opérations de consultation, de modification ou de création permettant d’identifier l’utilisateur à l’origine d’une opération, et de vérifier le bon usage de l’applicatif « LISA ».
Le traitement doit également comporter une fonctionnalité de journalisation des opérations de consultation, création et modification des données à caractère personnel. Ces journaux de connexion doivent être conservés pendant 6 mois.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise la Caisse d’allocations familiales des Hauts-de-Seine à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité l’automatisation du suivi des dossiers allocataires.
La Présidente
I. FALQUE-PIERROTIN