(Demande d’autorisation n° 1580571)
La Commission nationale de l’informatique et des libertés,
Saisie par la communauté d’agglomération du pays Voironnais d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation d’un dispositif de réussite éducative,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Madame Laurence DUMONT, commissaire, et après avoir entendu les observations de  Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La Commission est saisie par la communauté d’agglomération du pays Voironnais en sa qualité d’établissement public de coopération intercommunale (EPIC).
Cette EPIC, qui regroupe 34 communes représentant une population d’environ 90.000 personnes, intervient dans les domaines :
de l’économie (aménagement, gestion et commercialisation des espaces économiques ; implantation d’entreprises ; promotion économique du territoire ; accompagnement des acteurs économiques implantés ; promotion et développement d’offres touristiques ; développement de l’agriculture) ;
de l’environnement (collecte, tri et recyclage des déchets ménagers ; approvisionnement en eau potable ; traitement des eaux usées sur le territoire communautaire, préservation des paysages) ;
de l’aménagement du territoire (politique de l’habitat ; déplacements et transports ; participation à l’élaboration et à la mise en œuvre du schéma de cohérence territoriale de la région ; aménagement numérique ; gestion des équipements d’intérêt communautaire) ;
de la solidarité (gestion de la maison de l’emploi des Pays Voironnais et Sud Grésivaudan ; aide et service de soins à domicile pour les personnes âgées et handicapées ; aides à domicile pour l’économie solidaire ; politique de la ville en particulier dans le domaine de la jeunesse et de la réussite éducative).
Sur la finalité
Au titre de sa compétence en matière de solidarité, la communauté d’agglomération du pays Voironnais propose un projet de réussite éducative à destination d’enfants de 2 à 18 ans présentant des signes de fragilité ou ne bénéficiant pas d’un environnement social, familial et culturel harmonieux. Des équipes pluridisciplinaires de soutien proposent dans ce cadre :
La finalité du traitement dont est saisie la Commission vise à évaluer l’efficacité de ce projet de réussite éducative sur une période de trois ans.
une aide au diagnostic de la situation de l’enfant, du jeune et de sa famille ;
un accompagnement de l’enfant dans le cadre d’un parcours individuel de réussite éducative ;
un soutien humain, matériel et financier en lien avec le parcours de l’enfant.
La Commission considère que la finalité poursuivie par la communauté d’agglomération du pays Voironnais est déterminée, explicite et légitime.
Elle estime que le recours à la formalité de l’autorisation se justifie au regard de l’article 25-I-7° de la loi 6 janvier 1978 modifiée pour ce qui concerne les traitements automatisés comportant des données permettant d’apprécier les difficultés sociales des personnes.
Sur les données traitées
Les données traitées concernent les enfants bénéficiant du projet de réussite éducative proposé par la communauté d’agglomération du pays Voironnais, ainsi que leurs familles.
Les données collectées et traitées sont relatives à :
La Commission relève que la collecte de données relatives à la  santé ne peut intervenir qu’avec le consentement exprès de la personne concernée ou, le cas échéant, de son représentant légal lorsque la collecte concerne un mineur.
l’identification des personnes concernées (nom, prénom, date et lieu de naissance) ;
leur vie personnelle (habitude de vie, situation familiale) ;
leur vie professionnelle (CV, situation professionnelle, scolarité, formation) ;
des informations d’ordre économique et financier (situation financière, existence d’un financement dans le cadre du dispositif ou de droit commun) ;
des appréciations sur les difficultés sociales (difficultés scolaires, éducatives, comportementales, familiales ou personnelles, accompagnement sociolinguistique, solutions apportées) ;
la santé (pathologies, affections, antécédents familiaux, soins, situations ou comportements à risques).
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
Sur les destinataires
Les données collectées peuvent être uniquement communiquées aux membres de l’équipe pluridisciplinaire en charge du dossier d’un enfant.
La Commission considère que ces destinataires ont un intérêt légitime à connaître des données traitées.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales sur des formulaires de collecte et l’envoi de courriers personnalisés.
Les droits d’accès et de rectification s’exercent auprès du service politique de la ville de la communauté d’agglomération du pays Voironnais.
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe, renouvelés tous les six mois, constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres ou des caractères spéciaux.
Des profils d’habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs du présent traitement.
Le traitement n’est accessible que sur un réseau interne privé, ce qui offre une garantie quant à la sécurité des données y transitant. La Commission relève ainsi que le traitement ne donne pas lieu à des échanges de données sur internet, d’une part, ou à des échanges de supports numériques ou analogiques, d’autre part.
Le traitement comporte une fonctionnalité de journalisation des opérations de consultation, de modification ou de création permettant d’identifier  l’utilisateur à l’origine d’une opération.
Ces mesures de sécurité n’appellent pas d’observation de la Commission au regard de l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données à caractère personnel sont conservées pendant trois ans à compter du début de la phase d’évaluation.
La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie par le responsable de traitement.
La présente délibération abroge la délibération n° 2013-068 du 21 mars 2013.
Autorise, conformément à la présente délibération, la communauté d’agglomération du pays Voironnais à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN