La Commission nationale de l'informatique et des libertés ;
Saisie par la crèche multi-accueil Les P'tits As d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion d'une liste départementale  multi-crèche  des familles ayant des impayés ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment les articles L. 2324-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, commissaire et après avoir entendu les observations de  Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La crèche Les P'tits as mène une activité d'accueil des enfants de moins de six ans, dans le cadre des articles L.2324-1 et suivants du code de la santé publique.
Conformément à ces articles, elle mène une action concertée avec le Conseil général du Puy-de-Dôme et organise son activité en partenariat avec les autres crèches du département.
Elle contribue activement à la création d'un réseau  inter-crèches , permettant notamment une gestion concertée des fournisseurs, des transports dans le cadre de sorties ou encore d'une ludothèque itinérante.
Sur la finalité
Dans le cadre du réseau  inter-crèches  du département du Puy-de-Dôme, le traitement soumis par la crèche Les P'tits As permettra de gérer, les informations relatives aux responsables légaux des enfants accueillis en crèche n'ayant pas procédé au paiement de la prestation d'accueil.
La finalité du traitement est de partager avec l'ensemble des autres crèches du département les informations relatives aux parents n'ayant pas payé une crèche.
Ainsi, les personnes concernées pourront se voir rappeler leur obligation de payer la crèche d'origine avant inscription de l'enfant dans la nouvelle crèche.
Cette finalité n'appelle pas d'observation de la Commission.
Sur les données traitées
Les données relatives aux responsables légaux n'ayant pas procédé à un ou plusieurs paiements seront les suivantes :
•-       Le nom, le prénom et la date de naissance de l'enfant concerné ;
•-       Le montant de l'impayé ;
•-       La crèche concernée par cet impayé ;
•-       La date d'enregistrement de ces données.
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées.
Sur les destinataires
Seront seuls destinataires de ces données les responsables des crèches du réseau  inter-crèches  du département du Puy-de-Dôme. Ce qui n'appelle aucune observation.
Sur l'information et le droit d'accès
Lors de l'inscription en crèche, l'ensemble des responsables légaux concernés sera informé de la mise en place de ce dispositif par courrier.
En cas d'incident de paiement, les personnes concernées recevront un courrier les informant du délai dont ils disposent afin de régulariser la situation.
A l'expiration de ce délai, un appel téléphonique les préviendra de cet enregistrement.
Le courrier d'information susmentionné indiquera clairement que les données saisies dans le traitement seront supprimées de manière définitive dés que le paiement sera effectué et la situation régularisée.
Les droits d'accès et de rectification s'exerceront auprès de la crèche multi-accueil Les P'tits As, 15 rue d'Alsace, 63000 CLERMONT-FERRAND.
Sur les mesures de sécurité
Le traitement des données sera effectué au moyen d'une feuille Excel stockée exclusivement sur le service en ligne  Blog4ever .
Cet ordinateur est accessible au moyen d'un identifiant et d'un mot de passe de 10 caractères.
La Commission rappelle ses recommandations en matière de confidentialité des données :
- le traitement doit obliger les utilisateurs à avoir recours à des mots de passe de 8 caractères minimum, contenant des lettres majuscules, des lettres minuscules, des chiffres et des caractères spéciaux, ou bien utiliser des techniques d'authentification apportant un niveau de sécurité analogue ;
- concernant le contrôle des accès aux données, des mesures de traçabilité doivent permettre d'imputer toutes les opérations de consultation, modification ou de création à l'utilisateur à l'origine de cette opération, et ce afin de pouvoir détecter d'éventuelles opérations frauduleuses a posteriori. Ces données de traçabilité doivent être conservées 6 mois dans des conditions permettant de garantir leur intégrité et leur confidentialité, et une procédure opérationnelle doit en définir les modalités d'accès ;
- concernant les échanges de données sur des supports physiques, la Commission demande à ce que les données soient chiffrées lors de ces échanges au moyen d'algorithmes de chiffrement réputés forts, d'utiliser des clés de chiffrement suffisamment robustes, et de transmettre les clés de chiffrement par un canal de communication indépendant de celui de transmission des supports ;
- concernant les réseaux informatiques utilisés pour accéder au traitement, ceux-ci doivent faire l'objet de mesures de sécurité visant à garantir la confidentialité des donnés échangées lorsque tout ou partie de ces réseaux sont accessibles à des tiers.
Sur les autres caractéristiques du traitement
Les données enregistrées seront conservées le temps durant lequel l'enfant est susceptible d'être réinscrit en crèche, c'est à dire au maximum pendant 3 ans.
Les données saisies dans le traitement seront supprimées de manière définitive dés que les responsables légaux concernés auront procédé au paiement demandé.
Compte tenu de la nature du traitement, la Commission recommande qu'une personne expressément habilitée en ce sens procède à une mise à jour ainsi qu'à une suppression manuelle des données enregistrées dans le traitement tous les semestres.
Autorise, conformément à la présente délibération, la crèche multi-accueil Les P'tits As à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN