(Demande d’autorisation n° 1861610)
La Commission nationale de l'informatique et des libertés,
Saisie par l’IME de Poix de l’ADAPEI de la Somme d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités la gestion et l’administration des demandes d’hébergement temporaire des personnes en situation de handicap ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles notamment son article L312-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-6°;
Vu la loi n°2002-2 du 2 janvier 2002 rénovant l’action sociale et médico-sociale ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme. Laurence Dumont, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’IME de Poix, situé rue Ferdinand Beaumont à Poix  (80290)  est un établissement social et médico-social au sens de l’article L312-1 du code de l’action sociale et des familles.
Cet établissement gère l’accueil et l’hébergement des personnes en situation de handicap.
Il dépend de l’ADAPEI, association à but non lucratif  régie par la loi de 1901 et affiliée à l’Union Nationale des Associations des Parents de Personnes Handicapées Mentales et de leurs Amis (UNAPEI).
Sur la finalité
Le traitement mis en œuvre a pour finalités la gestion et l’administration des places médico-sociales d’accueil et d’hébergement pour personnes en situation de handicap.
Il permet à l’association de faire  connaitre en temps réel, aux aidants familiaux et professionnels la disponibilité des places d’accueil temporaire au sein de son établissement.
Le traitement mis en œuvre permet également aux personnes de demander un rendez-vous ou de réserver une place d’accueil par internet.
La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites.
Sur les données traitées
Les catégories de données collectées  sont relatives :
- à l’identité (nom, prénom, adresse,  date et lieu de naissance) ;
- à la vie personnelle (habitudes de vie, situation familiale, mesures tutélaires éventuelle) ;
- au numéro de sécurité sociale (aux seules fins de facturation et d’échange avec les organismes de sécurité sociale).
Il convient de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, portant sur le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR).
La Commission considère ces données pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Peuvent avoir accès aux données, les personnes et organismes qui, en raison de leurs fonctions et des missions qui leur sont confiées, participent au suivi ou à l’accompagnement des personnes concernées, dans la limite des seuls cas les concernant et des seules informations nécessaires à l'accomplissement de leurs missions. Il s’agit :
Des données statistiques anonymisées sont par ailleurs adressées à L’Agence Régionale de Santé (ARS).
du personnel de l’établissement ;
de la Maison Départementale des Personnes Handicapées (MDPH) ;
des services de l’assurance maladie dont dépend la structure ;
du Conseil départemental.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales sur le formulaire de collecte de données, sur le site internet ainsi que dans le contrat de séjour et dans le  règlement de fonctionnement de l’établissement.
La Commission rappelle que cette information doit être adaptée à l’état des personnes suivies.
Les droits d’accès, de rectification et d’opposition pour des motifs légitimes s’exercent auprès de l’IME de Poix de l’ADAPEI de la Somme.
Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.
L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.
Les habilitations d’accès au système d’information sont définies en fonction des attributions des utilisateurs.
Les échanges de données effectuées sur internet  sont sécurisés  par des procédés  de chiffrement de transport des données.
La Commission recommande que les accès à l’application fassent l’objet d’une journalisation. Elle rappelle que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.
Sous réserve des observations précédentes, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du  traitement
Les données sont conservées pendant la période d’accueil ou d’accompagnement de l’usager et pendant une durée complémentaire de deux ans à compter du dernier contact avec ce dernier.
A l’issue de cette durée de conservation, les données seront détruites.
La Commission considère que cette durée de conservation apparaît pertinente au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, l’IME de Poix de l’ADAPEI de la Somme à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN