La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 8-IV et 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée ;
Vu la demande d'autorisation présentée par l'Association Le Cheval bleu, concernant la mise en place d'un traitement de données à caractère personnel ayant pour objet l'enregistrement et le partage d'informations relatives aux personnes prises en charge dans le cadre du réseau santé mentale précarité, dénommé "Convergences".
Après avoir entendu Mlle Anne Debet, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
L'Association Le Cheval bleu, située à Bully Les Mines dans le département du Pas de Calais, propose aux personnes en état de détresse sociale et psychologique des lieux et des actions destinés à favoriser leur accueil, leur soutien et leur insertion sociale.
Elle entend, à cette fin, mettre en place un traitement automatisé de données à caractère personnel ayant pour finalité l'enregistrement d'informations relatives à ces personnes en situation de précarité et de souffrance psychique.  En outre, cette association souhaite partager des informations afin de coordonner les actions menées par les partenaires du réseau qui interviennent dans leur prise en charge.
L'application devra également permettre la production de statistiques d'évaluation, effectuées à partir de données préalablement anonymisées, à destination de l'Union Régionale des Caisses d'Assurance Maladie (URCAM) et l'Agence Régionale de l'Hospitalisation (ARH) qui financent le réseau.
Les membres de ce réseau seront les professionnels de santé, notamment les psychiatres ainsi que les travailleurs sociaux (Centre Communal d'Action Sociale, associations de lutte contre la précarité), individuellement identifiés dans la prise en charge des usagers du réseau.  L'application concernera 200 usagers par an.
La Commission considère qu'il y a lieu de faire application des dispositions des articles 8-IV et 25-I-1° et 25-1-7° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements de données de santé justifiés par l'intérêt public et comportant des appréciations sur les difficultés sociales des personnes.
Le système d'information du réseau sera situé dans les locaux de coordination, au sein de l'association.
L'application permettra l'enregistrement informatique des données à caractère personnel suivantes relatives aux personnes prises en charge :
1) Informations relatives à leur identité et leurs coordonnées Nom, prénom, adresse et code postal de résidence.
2) Informations relatives à leur situation juridique et sociale :
- "SDF", "mode de vie", "situation matrimoniale légale" et pour les mineurs, "situation des parents", "situation scolaire ou professionnelle", "ressources principales", "nature des ressources sociales", capacité juridique, régime d'incapacité, "autorité parentale pour les mineurs".
Les items de ces rubriques ne pourront être renseignés que sous la forme d'une case à cocher.
- activité, couverture sociale, mutuelle, conditions de vie, mode d'hébergement, lieu de naissance ;
- précarité professionnelle, économique, en matière de logement, administrative, vis-à-vis de la protection sociale, affective.
Ces items seront renseignés sous forme chiffrée par référence à une échelle de précarité cotée de 0 à 3.
3) Informations relatives au diagnostic psychiatrique selon la classification internationale des maladies CIM10.  Cette information ne sera accessible qu'aux médecins psychiatres qui prennent en charge les usagers du réseau.
Une "fiche de prise en charge" comportera les dates d'ouverture et de fermeture du dossier, le mode de fin de dossier, les informations relatives au consentement, date et signature, l'objectif de prise en charge sous forme de case à cocher, le référent réseau, le référent externe.
La Commission prend acte que les données retenues dans l'application ont été définies en concertation avec les différents professionnels concernés.
Elle note également qu'une rubrique intitulée "Documents texte", seule partageable entre tous les membres du réseau, sera destinée à recueillir des notes succinctes de prise en charge, avec pour seule finalité la coordination des actions.
Les destinataires des données seront, dans la limite de leurs attributions et en fonction des habilitations de chacun :
- les membres de la coordination du réseau qui assurent l'alimentation et la mise à jour de la base et du répertoire des partenaires du réseau et de ceux nommément identifiés dans la prise en charge des usagers.  Ils n'auront pas accès aux informations médicales ;
- les professionnels sociaux, partenaires du réseau, individuellement impliqués dans la prise en charge des usagers ;
- les professionnels de santé, partenaires du réseau, individuellement impliqués dans la prise en charge des usagers et habilités par les patients.
Le droit d'accès, défini au chapitre V de la loi du 6 janvier 1978, s'exerce auprès de la coordination du réseau.
L'information des usagers sur l'existence du réseau sera assurée oralement et par la remise d'un document, à l'occasion d'un entretien qui interviendra lorsque la personne sera présentée à l'association.  Au cours de cet entretien, le consentement exprès de la personne, ou de son représentant légal, sera recueilli par écrit. Il portera tant sur l'enregistrement des données que sur leur partage ultérieur.  La personne sera également informée, à cette occasion, de son droit d'accès et de rectification des données qui la concernent, ainsi que de son droit d'opposition à leur traitement.
Les données seront conservées pendant une durée de cinq ans à compter de la fin de la prise en charge de la personne par le réseau.  A l'issue de cette période, les données devront être archivées conformément à la réglementation en vigueur et pourront être conservées de façon anonymisée à des fins statistiques.
Les mesures de sécurité logique et physique adoptées pour assurer la confidentialité des données et leur transmission aux seuls destinataires habilités au regard de leur mission sont adéquates. En effet, des procédures d'identification individuelles conformes aux recommandations de la Commission et d'accès différenciés selon les habilitations des membres du réseau sont prévues.
S'agissant du système d'identification sur la base de données, la Commission prend acte de l'existence :  de mots de passe individuels comportant huit caractères dont le délai de validité est limité, d'une procédure de blocage de l'accès à l'application après trois tentatives infructueuses, de l'indication lors de la connexion de l'heure et la date de la dernière connexion et de la conservation du journal des connexions à l'application.
Quant à la gestion des habilitations d'accès et de requêtes, la Commission prend acte du fait que l'accès distant et différencié est subordonné à la connexion au répertoire gérant les pages d'accès à la base, puis à la validation du couple identifiant-mot de passe sur l'application de consultation des données.  Elle prend également acte de l'existence de comptes différenciés d'accès à la base, permettant de finaliser et de limiter les accès.
En outre, en cas de connexion du serveur du réseau à Internet, des mesures de sécurités sont prises et la totalité des requêtes et des échanges sur le réseau sont cryptés à un haut niveau (128 bits).
Dans ces conditions, la Commission autorise l'association Le Cheval bleu à mettre en oeuvre, dans le cadre d'un réseau santé mentale précarité, un dossier minimum partagé entre les professionnels de santé et les assistants sociaux dûment habilités dans l'exercice de leurs fonctions intervenant auprès de personnes en état de précarité et de souffrance psychique suivies par le réseau.
Le Président Alex TURK.