(Demande d’autorisation n° 1833587)
La Commission nationale de l'informatique et des libertés,
Saisie par le Conseil départemental des Alpes Maritimes d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion de l’activité d’aide sociale en faveur des victimes d’infraction au sein des commissariats de police et des brigades de gendarmerie ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-1° et 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence Dumont, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Conseil départemental des Alpes Maritimes.
Sur la finalité
Le traitement  mis en œuvre a pour finalité la gestion de l’activité d’aide sociale en faveur des victimes d’infraction au sein des commissariats de police et des brigades de gendarmerie.
Des travailleurs sociaux, agents du Conseil départemental  des Alpes Maritimes, assurent des permanences d’accompagnement social au sein des commissariats de police et dans les brigades de gendarmerie.
Ils proposent un entretien aux personnes concernées au cours duquel elles sont orientées vers les services compétents au regard de leurs difficultés (aide aux victimes, association de lutte contre l’alcoolisme etc.…)
La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites.
Le traitement, justifié par l’intérêt public, peut faire apparaître des informations relatives à la santé des personnes. Dès lors, il y a lieu de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements, automatisés ou non, portant sur de telles données.
Il convient également de faire application de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation, les traitements automatisés ou non  portant sur des données relatives aux appréciations sur les difficultés sociales des personnes concernées.
Sur les données traitées
Les catégories de données traitées concernent les victimes d’infraction et sont relatives :
La Commission considère compte tenu de la finalité poursuivie, que les données sont pertinentes et adéquates.
aux nom, prénom, adresse, date et lieu de naissance ;
à la vie personnelle (situation familiale, habitude de vie) ;
à la vie professionnelle (situation professionnelle) ;
aux appréciations sur les difficultés sociales (situations conjugales et intrafamiliales, situations relatives au mineur, public vulnérable) ;
à la santé (comportement à risques, alcoolisme et toxicomanie notamment).
Sur les destinataires
Seuls ont accès au présent traitement dans la limite de leurs attributions, les travailleurs sociaux du Conseil départemental.
Ils n’ont accès qu’aux seules données collectées auprès des personnes concernées lors des entretiens.
La Commission prend acte que l’habilitation à consulter des données de santé n’est attribuée qu’à des personnes soumises au secret professionnel, et dans la stricte limite de leurs missions.
Le ministère de l’intérieur est destinataire des données uniquement statistiques.
La liste de destinataires n’appelle pas d’observations de la  part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978, modifiée, lors du premier entretien individuel avec l’intervenant social, à l’occasion duquel un document rappelant leurs droits et obligations leur est remis.
La Commission rappelle que cette information doit être fournie  selon des modalités adaptées à l’état des personnes suivies.
Les droits d’accès et de rectification s’exercent auprès du Conseil départemental  des Alpes Maritimes.
La Commission considère ces modalités d’information et d’exercice des droits des personnes comme suffisantes.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logiques seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.
L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.
Les habilitations d’accès au système d’information sont définies en fonction des attributions des utilisateurs.
Les échanges de données effectués sur internet sont sécurisés par des procédés de chiffrement de transport des données.
La Commission recommande que les accès à l’application  fassent l’objet d’une journalisation. Elle rappelle que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du  traitement
Les données sont conservées durant 2 ans après le dernier contact avec la personne suivie.
A l’issue de cette durée de conservation, les données seront détruites.
La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Autorise, conformément à la présente délibération, le Conseil départemental des Alpes Maritimes  à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN