(Autorisation n°1514929)
La Commission nationale de l’informatique et des libertés,
Saisie d’un traitement de données à caractère personnel ayant pour finalité la gestion et le suivi des situations de maltraitance envers les personnes âgées et les adultes handicapés via la mise en place d’une plateforme téléphonique de signalement ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 9-1°, 25-I-1°, 25-I-3° et 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Philippe GOSSELIN, commissaire, en son rapport et Mme Elisabeth Rolin, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission a été saisie par l’association HABEO d’un traitement de données à caractère personnel ayant pour finalité la gestion et le suivi des situations de maltraitance envers les personnes âgées et les adultes handicapés via la mise en place d’une plateforme téléphonique de signalement (n°3977).
Ce dispositif est géré en collaboration avec la fédération Allô-Maltraitance France (ALMA) et son réseau d’associations locales. Ainsi, l’appelant a la possibilité :
d’appeler le numéro national géré par HABEO : après une première écoute, la personne est orientée vers le centre local d’ALMA ;
d’appeler directement le centre local d’ALMA. En dehors des heures d’ouverture du centre en question, une bascule automatique est opérée vers le numéro national.
Pour gérer les appels et orienter les personnes concernées, l’association HABEO a besoin de collecter certaines données auprès de ces dernières.
Sur la qualification de personne morale gérant un service public :
L’article 9-1° de la loi du 6 janvier 1978 modifiée prévoit que peuvent traiter des données relatives aux infractions « les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ».
En l’espèce, HABEO est une association à but non lucratif régie par la loi du 1er juillet 1901.
En premier lieu, l’association a pour objet de participer à la détection, la prise en charge et la prévention de la maltraitance envers les personnes âgées et handicapées, de participer au dispositif national de lutte contre la maltraitance et plus particulièrement de gérer le centre national d’écoute de la maltraitance. Cette activité constitue une mission d’intérêt général.
En deuxième lieu, s’agissant des conditions d’organisation et de fonctionnement  de l’organisme, la Commission relève que la Direction Générale de la Cohésion Sociale (DGCS) anime le comité de coordination opérationnel qui est chargé notamment de faire des propositions sur les aspects organisationnels de la plateforme téléphonique de signalement, de définir une stratégie de communication et de procéder à l’analyse des statistiques d’activité.
En outre, l’association est substantiellement financée par la DGCS. Le complément est fourni par des subventions de caisses de retraite du groupe AGIRC-ARRCO ; ainsi que par les formations effectuées, dons et adhésions. L’association est également soutenue matériellement par l’AP-HP (Assistance Publique – Hôpitaux de Paris) qui met à sa disposition des locaux au sein de l'hôpital Paul Brousse et l’aide dans l’organisation de certaines manifestations.
En troisième lieu, la Commission observe que l’association a signé avec la DGCS une convention qui définit les obligations pesant sur l’association, notamment :
le rôle de chacun des acteurs ;
le fonctionnement des instances de coopération ;
les modalités d’évaluation du dispositif et de ses acteurs, à partir d’indicateurs chiffrés.
Enfin, pour vérifier que les objectifs assignés à l’organisme sont atteints, l’association adresse tous les ans un rapport d’activité à la DGCS, contenant notamment les statistiques d’activité et permettant ainsi un contrôle a posteriori.
Au regard de ce qui précède, la Commission considère que l’association HABEO gère un service public au sens de l’article 9-1° de la loi du 6 janvier 1978 modifiée.
Sur le régime juridique applicable :
Dans la mesure où l’association gère un service public au sens de l’article 9-1°, la Commission considère qu’il convient également de retenir l’application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée pour ce qui concerne le traitement des données d’infractions.
En outre, il y a lieu de faire application des dispositions des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Enfin, le recours à la formalité de l’autorisation se justifie également au regard de l’article 25-I-7° de la loi pour ce qui concerne les traitements comportant des données permettant d’apprécier les difficultés sociales des personnes.
Sur la finalité du traitement :
La finalité du présent traitement est la gestion et le suivi des situations de maltraitance envers les personnes âgées et les adultes handicapés via la mise en place d’une plateforme téléphonique de signalement.
La Commission considère la finalité poursuivie comme déterminée, légitime et explicite.
Sur la nature des données traitées :
Les catégories de données collectées sont relatives :
à l’appelant (civilité, nom, prénom, sexe, adresse, numéros de téléphone, âge, situation familiale, relation avec la victime, catégorie socio-professionnelle, description de la maltraitance) ;
à la victime (civilité, nom, prénom, sexe, adresse, numéros de téléphone, âge, situation familiale, lieu d’habitation, catégorie socio-professionnelle, composition de la famille, cohabitation, téléalarme, symptômes décrits, pathologie, protection juridique, médecin traitant, aides diverses) ;
à l’auteur présumé (civilité, nom, prénom, sexe, adresse, numéros de téléphone, âge, situation familiale, relation avec la victime présumée, catégorie socio-professionnelle, facteurs de maltraitance, nom, adresse et type d’institution, situation de l’auteur présumé dans l’institution, type d’activité, fonction) ;
à la situation de maltraitance (maltraitance principale, maltraitances associées, autres) ;
aux actions préconisées et réalisées ;
aux conséquences de la maltraitance et des actions ;
au suivi (date et type de suivi, motif d’insatisfaction, durée de traitement, importance, commentaires, origine et destination (type de contact).
Ces données apparaissent pertinentes au regard de la finalité poursuivie.
Sur la durée de conservation des données :
Les données sont conservées pour une durée de deux ans à compter de la fin de la dernière opération enregistrée, avant d’être archivées.
Cette durée de conservation apparaît pertinente au regard de la finalité poursuivie par le traitement.
Sur les destinataires des données :
Les destinataires des données sont les personnels dûment habilités des partenaires de l’association (associations, Conseils Généraux et ARS).
La Commission prend acte que l’habilitation à consulter des données de santé n’est attribuée qu’à des personnes soumises au secret professionnel, et dans la stricte limite de leurs missions.
Les signalements peuvent également faire l’objet d’une transmission au Parquet, le cas échéant.
La Commission considère ces destinataires comme légitimes.
Sur l'information des personnes :
Conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées par une mention sur le site Internet de l’association, mais également :
pour l’appelant (victime, auteur présumé ou autre) : lors de l’entretien téléphonique ;
pour la victime et de l’auteur présumé non appelants : la Commission considère qu’il y a lieu de faire application de la dérogation à l’obligation d’information telle que prévue à l’article 32-VI de ladite loi, dans la mesure où le traitement a pour objet la prévention et la constatation d’infractions pénales. Ainsi, l’association pourra informer la victime lors de la première prise de contact et décider d’informer l’auteur présumé dès qu’elle se sera assurée que cette information ne peut pas nuire à la victime.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d’accès et de rectification s’exercent auprès de l’association HABEO, Hôpital Paul Brousse, 12-14, avenue Paul Vaillant Couturier – 94800 VILLEJUIF, dans le respect de l'intérêt de la personne concernée.
Sur la sécurité des données et la traçabilité des actions :
La Commission observe que l’authentification des utilisateurs du traitement respecte ses préconisations, et notamment que le contrôle d’accès se fait par un certificat logiciel « client » combiné à un mot de passe (crypté SHA-1).
Le traitement comporte également une fonctionnalité de journalisation des opérations de consultation, création et modification des données à caractère personnel. Ces journaux de connexion sont conservés pendant toute la vie du dossier.
Enfin, la Commission prend acte que des données sont échangées par internet ; l’utilisation du protocole HTTPS permet de garantir la confidentialité des données échangées.
Ces mesures de sécurité apparaissent satisfaisantes.
Dans ces conditions, la Commission autorise l’association HABEO à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion et le suivi des situations de maltraitance envers les personnes âgées et les adultes handicapés via la mise en place d’une plateforme téléphonique de signalement.
La Présidente
Isabelle FALQUE-PIERROTIN