(Demande d’autorisation n° 1507979)
La Commission nationale de l’informatique et des libertés,
Saisie par l’association GENERATION 93 d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité d’assurer le maintien à domicile des personnes âgées.
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25-I-6° et 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Philippe GOSSELIN, commissaire et après avoir entendu les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
L’association GENERATIONS 93 est une association loi 1901 spécialisée dans la mise en place de prestations d'aide à domicile et d'auxiliaire de vie pour les personnes âgées ou handicapées, la garde d'enfants et la livraison de repas à domicile.
Sur la finalité
La finalité du présent traitement est d’assurer le maintien à domicile des personnes âgées.
La Commission considère la finalité poursuivie comme déterminée, légitime et explicite.
La Commission estime qu’il y a lieu de faire application des dispositions de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements comportant le numéro de sécurité sociale.
Elle considère également qu’il y a lieu de faire application de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée, qui soumet à la procédure de l’autorisation les traitements qui, comme en l’espèce, comportent des données permettant d’apprécier les difficultés sociales des personnes.
Sur les données traitées
Les catégories de données collectées sont relatives :
La Commission estime que ces données sont pertinentes au regard de la finalité poursuivie.
à l’identification (nom, prénom, adresse, photographie, date et lieu de naissance) ;
à la vie personnelle (habitudes de vie, situation familiale) ;
aux informations d’ordre économique et financier (revenus, situation financière, aides) ;
au numéro de sécurité sociale (pour l’établissement des déclarations URSSAF d’emploi de l’intervenant, pour le compte du bénéficiaire : régime mandataire) ;
à l’appréciation des difficultés sociales des personnes : revenus, situations d’isolement, référent familial ;
aux données de santé (pathologie, affection, antécédents familiaux, données relatives aux soins, situation ou comportement à risques, aux seules fins d’administration de soins ou de traitements).
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités de l’association.
Le Conseil Général de Seine-Saint-Denis est également destinataire de données statistiques.
En outre, la Commission prend acte de ce que les données de santé sont exclusivement accessibles par des professionnels de santé, soumis au secret professionnel, dans le cadre de l’administration de soins ou de traitements.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée par affichage.
Les droits d’accès et de rectification s’exercent auprès des personnels de l’association GENERATIONS 92, 121-123, avenue de Rosny – 93250 VILLEMOMBLE.
La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
L’authentification des utilisateurs du traitement doit respecter les préconisations de la Commission. Les mots de passe doivent notamment être d’un niveau de complexité suffisant (8 caractères avec des lettres minuscules, majuscules, des chiffres et des caractères spéciaux).
Le traitement doit également comporter une fonctionnalité de journalisation des opérations de consultation, création et modification des données à caractère personnel. Ces journaux de connexion doivent être conservés pendant 6 mois.
En outre, la Commission rappelle que, lorsque le traitement est accessible sur internet, le protocole HTTPS doit être utilisé pour garantir la confidentialité des données échangées.
Lorsque les données sont échangées sur des canaux non sécurisés, ces échanges doivent être chiffrés afin de garantir la confidentialité des données.
Sur les autres caractéristiques du traitement
Les données sont conservées tant que le bénéficiaire est adhérent de l’association, puis elles sont supprimées.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, l’association GENERATION 93 à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN