(Demande d’autorisation n° 1787815)
La Commission nationale de l’informatique et des libertés ;
Saisie par l’Association de Moyens KLESIA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de proposer aux bénéficiaires de l’Association de Moyens KLESIA des services personnalisés via la création d’un « WEB services » sur internet ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-6 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire et après avoir entendu les observations de  M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
L’Association de Moyens KLESIA est un groupe de protection sociale regroupant des activités de retraite complémentaire, de prévoyance collective, de santé et d’action sociale des services à la personne, située au 5 à 9, rue Van Gogh à Paris (75012).
Sur la finalité
Le traitement mis en œuvre a pour finalité de proposer aux bénéficiaires de l’Association de Moyens KLESIA des services personnalisés via la création d’un « WEB services » sur internet.
Ils pourront accéder à leurs contrats et aux informations les concernant, directement en ligne (par exemple, à l’état d’avancement de leurs remboursements).
La Commission considère la finalité poursuivie comme déterminée, légitime et explicite.
L’Association de Moyens KLESIA a saisi la Commission d’une demande d’autorisation sur le fondement de l’article 25-I-6 de la loi du 6 janvier 1978 modifié qui prévoit que sont mis en œuvre après autorisation de la Commission, les traitements portant sur des données parmi lesquelles figure le NIR.
Sur les données traitées
Les catégories de données collectées sont relatives :
S’agissant du NIR, lors de l’inscription au service en ligne, les personnes renseignent leur NIR afin que l’Association de Moyens KLESIA associe à leur compte les contrats dont ils disposent au sein de chaque institution (Retraite, Prévoyance et Santé).
à l’identité  (nom, prénom, adresse, date et lieu de naissance, numéro de téléphone fixe et portable) ;
à la situation professionnelle ;
aux identifiants de connexion ;
au numéro de sécurité sociale (NIR).
un premier formulaire comprenant un mécanisme d’inscription complet sera réservé aux clients/bénéficiaires KLESIA, avec collecte du NIR ;
le second formulaire comprend un mécanisme d'inscription simplifié, sans collecte du NIR, et concerne uniquement les personnes déjà clientes de KLESIA (personnes certifiées) disposant d’un espace personnel sur les anciens sites Internet des sociétés MORNAY et D et O (entités ayant donné naissance à KLESIA). Il s’agit pour ces clients de se réinscrire afin de bénéficier du nouvel espace "Web Service" KLESIA.
Il existe deux formulaires d’inscriptions:
Le NIR n’est collecté que pour l’inscription au service, par la suite la personne est invitée à s’identifier avec son adresse mail et un mot de passe qui lui sera communiqué par courriel.
à l’identité  (nom, prénom, adresse, date et lieu de naissance, numéro de téléphone fixe et portable) ;
à la situation professionnelle ;
aux identifiants de connexion ;
au numéro de sécurité sociale (NIR).
un premier formulaire comprenant un mécanisme d’inscription complet sera réservé aux clients/bénéficiaires KLESIA, avec collecte du NIR ;
le second formulaire comprend un mécanisme d'inscription simplifié, sans collecte du NIR, et concerne uniquement les personnes déjà clientes de KLESIA (personnes certifiées) disposant d’un espace personnel sur les anciens sites Internet des sociétés MORNAY et D et O (entités ayant donné naissance à KLESIA). Il s’agit pour ces clients de se réinscrire afin de bénéficier du nouvel espace "Web Service" KLESIA.
Au préalable, un code sera envoyé par courrier postal pour l’activation du compte.
La Commission observe que l’Association de Moyens KLESIA est habilitée à traiter le NIR dans le cadre de ses missions d’intérêt général et de sécurité sociale.
En l’espèce, le NIR est utilisé pour une nouvelle finalité, à savoir la mise en œuvre d’un service en ligne. Il permet à l’Association de Moyens KLESIA d’interconnecter les trois bases de données lorsqu’un bénéficiaire utilise le « Web service » afin de lui fournir une information exhaustive sur l’ensemble de ses contrats.
La Commission prend acte que le NIR ne servira pas d’identifiant de connexion.
Ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Seul le personnel dûment habilité de l’Association de Moyens KLESIA dans le cadre de leurs missions, a accès aux données concernant les bénéficiaires.
Sur l’information et l’exercice des droits des personnes
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales prévues sur les formulaires d’inscription en ligne, ainsi que par une information dans les clauses des contrats clients/bénéficiaires.
Les droits d’accès, de rectification et d’opposition s’exercent auprès de l’Association de Moyens KLESIA par courrier, fax ou courriel.
Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes pour la Commission.
Sur les mesures de sécurité
Des mesures de sécurité sont prises afin de préserver la sécurité et la confidentialité des données et, notamment, empêcher que des tiers non autorisés y aient accès.
Les mots de passe pour l’accès au web services sont envoyés par courriel. Le mot de passe reçu de la part de l’administrateur de sécurité doit être changé immédiatement après la première connexion.
L’authentification des utilisateurs du traitement est assurée par l’utilisation d’un mot de passe d’une validité maximale de 90 jours, comportant des lettres majuscules et minuscules, et au moins deux chiffres et des caractères spéciaux.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données collectées sont conservées pendant le temps de la relation contractuelle, puis devront faire l’objet par la suite d’un archivage conformément à la réglementation en vigueur.
La Commission considère que cette durée de conservation apparaît pertinente au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, l’Association de Moyens KLESIA à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN