La Commission nationale de l'informatique et des libertés,
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004 et notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu la loi n°2001-624 du 17 juillet 2001 portant diverses dispositions d'ordre social, éducatif et culturel ;
Vu l'ordonnance n°2005-1092 du 1 septembre 2005 relative au régime de protection des mineurs accueillis hors du domicile parental à l'occasion des vacances scolaires, des congés professionnels ou des loisirs ;
Vu le décret n°2006-923 du 26 juillet 2006 relatif à la protection des mineurs accueillis hors du domicile parental et modifiant le code de l'action sociale et des familles (partie réglementaire).
Après avoir entendu, M. Philippe GOSSELIN, commissaire en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l'informatique des libertés a été saisie par la Communauté de communes du pays mornantais d'un traitement de données à caractère personnel ayant pour finalité la gestion des jeunes accueillis dans des  espaces jeunes  à l'occasion de vacances, de congés professionnels ou de loisirs.
Ce traitement relève du régime de l'autorisation prévu aux articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, applicables aux traitements comportant des données à caractère personnel relatives à la santé des personnes concernées.
Sur les finalités poursuivies par le traitement
La finalité du traitement est la gestion des jeunes adhérents aux  espaces jeunes  de la communauté de communes, qui sont accueillis à l'occasion de vacances, de congés professionnels ou de loisirs.
Le traitement de données est mis en œuvre en application de l'ordonnance n°2005-1092 du 1er septembre 2005 relative au régime de protection des mineurs accueillis hors du domicile parental à l'occasion des vacances scolaires, des congés professionnels ou des loisirs.
Sur les catégories de données traitées
Les données concernant la personne aidée concernent :
- son identité (nom, prénoms, date et lieu de naissance, adresse, courriel, numéro de téléphone) ;
- l'identité de ses responsables légaux (nom, prénom, adresse, courriel, numéro de téléphone, employeur, profession, lieu de travail) ;
- son quotient familial (quotient familial, numéro d'allocataire CAF) ;
- les informations utiles pendant le séjour de l'enfant concernant sa santé (vaccinations, traitements médicaux à suivre, maladies contractées, allergies, difficultés de santé, précautions à prendre, recommandations utiles de la part des parents).
Ces données sont directement saisies par les responsables légaux de l'enfant, au moyen du dossier d'inscription des jeunes ou bien, concernant les informations relatives à la santé de l'enfant, la fiche sanitaire de liaison mise à disposition par le ministère de la Jeunesse et des Sports (CERFA n°10008*02).
La Commission recommande que, dans le dossier d'inscription des jeunes, la saisie des informations en champ libre soit strictement encadrée.
Pour éviter l'enregistrement de commentaires inappropriés, et garantir que les données contenues dans les zones commentaires sont pertinentes, adéquates et non excessives au regard de la finalité du traitement, elle recommande que la mention suivante apparaisse dans les champs libres à remplir :  Seules doivent être saisies les informations susceptibles d'être pertinentes au regard du contexte. Elles ne doivent pas comporter d'appréciation subjective, ni faire apparaître, directement ou indirectement, les origines raciales, les opinions politiques, philosophiques ou religieuses, les appartenances syndicales ou les mœurs de la personne concernée .
Sur les catégories de destinataires
Seuls les agents habilités de la Communauté de communes du pays mornantais peuvent accéder aux données traitées (service jeunesse intercommunal) strictement nécessaires à l'exercice de leurs missions.
Sur la durée de conservation
Initialement, les données devaient être conservées pendant 3 années.
Sur recommandation de la Commission, la Communauté de communes du pays mornantais a choisi de conserver les données 2 années à compter de la dernière opération enregistrée sur le dossier de la personne suivie.
Sur la sécurité
La CNIL recommande que le mot de passe utilisé soit composé de caractères numériques et alphabétiques, de minuscule et majuscules et d'au moins un caractère spécial. Il doit être renouvelé régulièrement, c'est-à-dire au moins une fois par an.
Par ailleurs, la Commission recommande la mise en œuvre d'une journalisation des connexions. Celle-ci doit renseigner les données accédées.
Sur l'information des personnes concernées et le droit d'accès
Conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, l'information des personnes concernées est effectuée par le biais de mentions  Informatique et libertés  sur le dossier d'inscription du jeune.
Le droit d'accès défini à l'article 39 de la loi du 6 janvier 1978 modifiée en 2004 s'exerce directement auprès de la Communauté de communes du pays mornantais.
La Commission relève que le traitement déclaré correspond à une gestion efficace, légitime et strictement nécessaire des données relatives à la prise en charge des jeunes accueillis.
Dans ces conditions,
la Commission autorise
Le Président