(Demande d’autorisation n° 1481616)
La Commission nationale de l’informatique et des libertés,
Saisie par l’union des associations d’aide, de soins et de services à domicile de Paris d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de coordonner et de suivre la qualité de prestations d’accompagnement à domicile de personnes malades,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Monsieur Emmanuel de GIVRY, commissaire et après avoir entendu les observations de  Madame Elisabeth ROLIN, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
L’union des associations d’aide, de soins et de services à domicile de Paris (UNA Paris) est une association dite « loi 1901 » qui fédère un réseau d’associations locales.
Elle a pour mission de simplifier la vie des parisiens grâce à des associations locales d'aide et de soins à domicile développant une offre de services visant à répondre aux besoins de personnes fragilisées par l'âge, le handicap ou la maladie.
Les associations du réseau UNA Paris ont toutes un but non lucratif et n’opèrent pas de sélection pour l’accès à leurs services.
L’UNA Paris a signé une convention avec les pouvoirs publics et bénéficie d’un financement public.
Au regard de ce qui précède, la Commission considère que la mission de l’UNA Paris est d’intérêt public.
Sur la finalité
La finalité du traitement vise à la coordination et au suivi de la qualité des prestations d’accompagnement à domicile des personnes malades.
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
La Commission estime qu’il y a lieu de faire application des dispositions des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
Les catégories de données collectées concernent les usagers du réseau de l’UNA Paris et sont relatives à :
La Commission considère que les données collectées sont pertinentes, adéquates et non excessives au regard de la finalité poursuivie.
l’identification (identifiant unique, adresse, âge) ;
la vie personnelle (habitude de vie, situation familiale) ;
la vie professionnelle (situation professionnelle, scolarité, formation) ;
des informations d’ordre économique et financier (aides et droits ouverts) ;
la santé (pathologies, soins, situations ou comportements à risques).
Sur les destinataires
Les données à caractère personnel collectées sont accessibles par le seul personnel dûment habilité de l’UNA Paris et de ses associations locales.
La collecte et le traitement des données relatives à la santé sont réalisés par les seules personnes auxquelles s’impose le respect du secret médical en raison de leurs fonctions.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par l’envoi d’un courrier personnalisé.
Les droits d’accès et de rectification s’exercent par courrier électronique, par téléphone, par voie postale ou sur place auprès de la direction de l’UNA Paris.
Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
L’authentification des utilisateurs est assurée par l’utilisation de mots de passe régulièrement renouvelés. La Commission rappelle que des mots de passe doivent présenter un niveau de complexité suffisant, qui peut être atteint par l’utilisation d’une combinaison d’au moins 8 caractères comprenant des majuscules, minuscules, chiffres ou caractères spéciaux.
Le traitement comportera une fonctionnalité de journalisation des opérations pour sa partie accessible par plus de 3 personnes.
Le traitement n’est accessible que sur le réseau interne privé de l’UNA Paris, ce qui offre une garantie quant à la sécurité des données y transitant.
Les transmissions de données entre l’UNA Paris et ses associations locales sont effectuées au moyen de courriels sécurisés et les données communiquées sont rendues anonymes.
La Commission rappelle que les échanges de données réalisés par l’intermédiaire de canaux non sécurisés, tels que des clefs USB, doivent être chiffrés afin de garantir la confidentialité des données.
Ces mesures de sécurité n’appellent pas d’observation de la Commission.
Sur les autres caractéristiques du traitement
Les données à caractère personnel traitées sous forme électronique sont détruites à l’issue d’un délai de 2 ans à compter de la fin de la relation avec la personne concernée.
Cette durée de conservation apparait pertinente au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, l’union des associations d’aide, de soins et de services à domicile de Paris à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN