(Demande d’autorisation n°1863092)
La Commission nationale de l’informatique et des libertés ;
Saisie par la Direction Générale de l’Aviation Civile d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’élaboration de statistiques, d’études internes aux fins d’évaluation des dispositifs d’accompagnement et des besoins du service social ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le décret n° 2008-680, modifié, du 9 juillet 2008 portant organisation de l'administration centrale du ministère de l'écologie, de l'énergie, du développement durable et de l'aménagement du territoire ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-7 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement.
Formule les observations suivantes :
Sur le responsable du traitement
La Direction Générale de l’Aviation Civile (DGAC) est désignée en tant que responsable de traitement, objet de la présente délibération.
Au sein de la Direction Générale de l'Aviation Civile, le Secrétariat général "définit et met en œuvre la politique d'action sociale destinée aux personnels."
Cette mission est assurée au sein de la sous-direction du personnel par le bureau de l'action sociale de la DGAC.
Le bureau de l’action sociale comporte la division assistantes de service social, notamment chargée d’assurer les missions suivantes :
animer le réseau des assistantes de service social de la DGAC et de l’établissement public Météo-France, qui relève de cette direction ;
élaborer le rapport d’activité du service social ;
exercer un rôle de conseil et d’expertise en matière sociale, participer à l’élaboration de la politique d’action sociale et émettre des propositions en matière de prestations sociales ;
assurer, au plan local, le suivi et l’accompagnement social des personnels et de leurs familles qu’ils soient actifs ou retraités de métropole et d’outre-mer.
Sur la finalité
Le traitement permet de poursuivre la finalité suivante :
Ces statistiques doivent permettre de rédiger un rapport annuel d'activités des assistantes de service social et d'identifier les problématiques sociales et les réponses apportées à celles-ci.
établir des statistiques à partir de données individuelles relatives aux actions d'accompagnement sociale des assistantes de service social (ces données sont préalablement anonymisées).
L'analyse a postériori des informations obtenues pourront donner lieu, le cas échéant, à des propositions d'amélioration des dispositifs d'actions sociales à mettre en place.
La Commission considère la finalité poursuivie comme déterminée, explicite et légitime.
La Commission estime qu'il y a lieu de faire application de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements comportant des appréciations sur les difficultés sociales des personnes.
Sur les données traitées
Les catégories de données collectées concernant les usagers sont relatives à :
Les données relatives à la santé se limitent au signalement de l'existence d'une pathologie et/ou d'un handicap sans identification précise.
l’identité (nom, prénom, adresse, date et lieu de naissance, nationalité : le recueil de la nationalité concerne uniquement les étudiants étrangers effectuant une formation à l’école d’aviation civile) ;
la vie personnelle (situation familiale) ;
la vie professionnelle (situation professionnelle, scolarité, formation) ;
la situation économique et financière (situation financière) ;
les appréciations sur les difficultés sociales (fondement du recours auprès du service social) ;
les données de santé.
Ces données sont recueillies sur la seule foi de la déclaration des agents ou au vu de documents administratifs, (par exemple : les congés pour longue maladie).
La Commission prend acte que des modalités de recueil du consentement auprès des agents seront mises en place lors de la prise de rendez-vous, afin de se conformer à la réglementation en vigueur.
Ces données apparaissent pertinentes au regard de la finalité poursuivie conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
La Commission prend acte que seule la division assistante de service social à accès aux données.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, oralement lors de l’entretien avec la personne concernée.
La Commission rappelle que seule une information claire, complète et explicite est de nature à permettre aux usagers d’exercer pleinement leurs droits. A cet égard, elle précise que l’information des usagers doit se faire dans un langage compréhensible et selon des modalités appropriées et adaptées à leur état.
La Commission recommande que l’information orale soit complétée par une information écrite (par voie d’affichage ou via une note explicative par exemple).
En tout état de cause, elle rappelle que lorsque les informations sont collectées par voie de questionnaire, celui-ci doit comporter cette information.
Les droits d’accès, de rectification et d’opposition s’exercent auprès de la DGAC - bureau de l’action sociale - 50 rue H. Farman – 75015 Paris.
Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.
L’authentification des utilisateurs du traitement est assurée par l’utilisation de deux mots de passe : le premier comporte huit caractères alpha numériques et caractères spéciaux ; le second comporte dix caractères numériques.
La Commission recommande que les accès à l’application fassent l’objet d’une journalisation. Elle rappelle que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.
Chaque assistante de service social ne peut accéder qu’aux données qu’elle a collectées.
Les échanges de données effectuées sur internet sont sécurisés par des procédés de chiffrement de transport des données, en conformité avec l’architecture technique préconisée par la Commission (https).
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant une durée de deux ans à compter de la dernière intervention et pendant une durée complémentaire de trois ans en archivage intermédiaire. Au terme de cette durée, les données seront supprimées, sauf dispositions législatives ou réglementaires contraires.
La Commission considère que cette durée de conservation apparaît pertinente au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, la Direction Générale de l’Aviation Civile à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN