(Demande d’autorisation n° 1481878)
La Commission nationale de l’informatique et des libertés,
Saisie par l’entreprise ESSONNE HABITAT d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des procédures de conciliation et des contentieux avec les locataires de logements sociaux.
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 9-1° et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Claude DOMEIZEL, commissaire et après avoir entendu les observations de Mme Catherine POZZO DI BORGO, commissaire adjointe du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est l’entreprise ESSONNE HABITAT. Cette Entreprise Sociale pour l'Habitat (ESH) gère un parc locatif de plus de 9200 logements sociaux dans les départements de l'Essonne et de la Seine et Marne.
Sur la finalité
La finalité du présent traitement est la gestion des procédures de conciliation et des contentieux avec les locataires de logements sociaux.
L’article 9 de la loi du 6 janvier 1978 modifiée prévoit que le traitement de données relatives aux infractions, condamnations et mesures de sûreté ne peut être mis en œuvre que par :
« 1° Les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ;
2° Les auxiliaires de justice, pour les stricts besoins de l’exercice des missions qui leur sont confiées par la loi ;
3° [Dispositions déclarées non conformes à la Constitution par décision du Conseil constitutionnel n° 2004-499 DC du 29 juillet 2004 ;]
4° Les personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d’atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d’assurer la défense de ces droits ».
Dans sa décision du 29 juillet 2004, le Conseil Constitutionnel a invalidé l’article 9-3° qui permettait à une personne morale de droit privé, mandatée par d’autres personnes morales estimant avoir été victimes ou être susceptibles d’être victimes d’agissements passibles de sanctions pénales, de rassembler des données portant sur des infractions, condamnations ou mesures de sûreté, au motif de son caractère trop général et du manque de précision sur les garanties devant encadrer ce type de traitement.
Pour autant, le Conseil Constitutionnel a précisé que cette annulation ne saurait être interprétée comme « privant d’effectivité le droit d’exercer un recours juridictionnel dont dispose toute personne physique ou morale s’agissant des infractions dont elle a été victime ».
Cette réserve d’interprétation était indispensable pour ne pas priver de base légale les traitements légitimement mis en œuvre pour assurer le suivi des dossiers contentieux relatifs à des infractions. Elle permet à toute personne de constituer, pour les besoins de l’exercice de son droit au recours, des fichiers de pré-contentieux.
Dans ce contexte, la Commission considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
La Commission estime que la finalité poursuivie est déterminée, légitime et explicite.
Sur les données traitées
Les données collectées sont relatives :
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie.
à l’identification (nom, prénom, adresses postale et électronique, date et lieu de naissance, numéros de téléphone, numéro de matricule dans l’application et numéro de dossier du locataire ; nom et prénom du salarié en charge du dossier) ;
à la vie personnelle (situation familiale, lien de parenté de la personne concernée par le litige avec le titulaire du bail) ;
aux informations d’ordre économique et financier (revenus, situation financière, solde dû par le locataire, coût du dossier : montants récupérable et non récupérable, existence ou non d’un garant, type de financement) ;
aux infractions et condamnations ;
à la procédure (date d’ouverture du dossier ; état de la procédure ; pièces ou enquête ; informations sur le logement ; blocs notes (concernant le statut et l’avancement du dossier) : numéro, objet du bloc-note, nom et prénom de l’auteur, date de création ; indicatif (numéro de dossier) ; informations relatives à la réclamation : référence, date, nom du salarié suivant le dossier, type de réclamation ; positions du dossier, date de classement, type de réception ; libellé).
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités du service juridique et contentieux, de la direction des systèmes d’information, du service amiable et social, de la société TMT (en charge de l’établissement des quittances) et des organismes publics (préfectures).
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée dans le contrat de bail signé par les locataires.
Les droits d’accès et de rectification s’exercent auprès du correspondant informatique et liberté d’ESSONNE HABITAT, 2 allée Eugène Mouchot – 91130 RIS ORANGIS.
La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
La Commission observe que l’authentification des utilisateurs du traitement respecte ses préconisations, et notamment que les mots de passe utilisés sont d’un niveau de complexité suffisant.
Elle prend également note du fait que le traitement comporte une fonctionnalité de journalisation des opérations de consultation, création et modification des données à caractère personnel. Ces journaux de connexion sont conservés pendant 6 mois.
La Commission prend acte du fait que le traitement n’est accessible que sur le réseau interne privé de l’organisme, ce qui offre une garantie quand a la sécurité des données y transitant.
Les mesures de sécurité mises en place n’appellent pas d’observation de la part de la Commission.
Sur les autres caractéristiques du traitement
Les données sont conservées jusqu’au complet remboursement de la dette locative.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, l’entreprise ESSONNE HABITAT à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN