(Demande d’autorisation n° 1736718)
La Commission nationale de l'informatique et des libertés,
Saisie par la Présidence de la République d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’instruction et la gestion des dossiers du service social;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
La Commission a été saisie par la Présidence de la République d’une demande d’autorisation pour la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité l’instruction et la gestion des dossiers du service social.
Dans la mesure où ce traitement comporte des appréciations sur les difficultés sociales des personnes, sa mise en œuvre doit être autorisée par la Commission, en application des dispositions de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée.
Responsable du traitement
Le cabinet du Président de la République est désigné en tant que responsable du traitement, objet de la présente délibération.
Sur la finalité
Le traitement est destiné à permettre le suivi social du personnel de la Présidence de la République.
La Commission estime que la finalité du traitement est déterminée, explicite et légitime au sens de l’article 6 de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les données collectées et traitées relatives aux personnes suivies par le service social portent sur :
S’agissant du dernier point, la Commission rappelle que les informations recueillies doivent être strictement nécessaires à l’évaluation de la situation sociale de la personne afin d’adapter au mieux  l’aide à lui apporter.
L’identité (nom, prénom(s) et date de naissance) ;
La vie personnelle (habitudes de vie et situation familiale) ;
La situation économique et financière (revenus, surendettement) ;
Des informations permettant d’apprécier les difficultés sociales rencontrées par les personnes.
La Commission estime que ces données sont pertinentes au regard de la finalité poursuivie, conformément à l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
La Commission prend acte du fait que seul le personnel du service social a accès aux données.
Sur l’information et le droit d’accès
La Commission prend acte du fait qu’une information conforme aux prescriptions de l’article 32 de la loi est délivrée aux personnes dans le message électronique qui leur est adressé pour confirmer la prise de rendez-vous avec le service social.
Le droit d’accès défini à l’article 39 de la loi du 6 janvier 1978 modifiée s’exerce auprès du service social.
Sur les mesures de sécurité
Concernant le mot de passe utilisé pour authentifier les agents habilités, la Commission constate que celui-ci doit être de huit caractères, composé de lettres, de chiffres, de majuscules, de minuscules et d’au moins un caractère spécial. Celui-ci est renouvelé une fois par an
La gestion des mots de passe respecte les recommandations de la Commission
Le traitement comporte une fonctionnalité de journalisation permettant d’identifier  l’utilisateur à l’origine d’une opération. La Commission rappelle à cet égard que les journaux de connexions ne doivent pas être conservés au-delà de six mois.
Ces mesures de sécurité apparaissent satisfaisantes au regard des dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées deux ans à compter soit du départ de l’agent de la Présidence soit de la dernière opération enregistrée dans le dossier de la personne suivie.
La Commission considère que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, le cabinet du Président de la République à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN