La Commission nationale de l'informatique et des libertés,
Saisie par l’association départementale les pupilles de l’enseignement public de la Vienne d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’accompagnement et le suivi social et médico-social des personnes handicapées ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code civil, notamment son article 16-10 ;
Vu le code de l’action sociale et des familles, notamment son article L. 312-1 ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-4, R. 1131-4 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-6° et 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2016-094 du 14 avril 2016 portant autorisation unique de traitements de données à caractère personnel mis en œuvre dans le cadre de l’accueil, l’hébergement, l’accompagnement et le suivi des personnes handicapées et des personnes âgées;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
A titre liminaire, la Commission rappelle qu’elle a adopté, le 14 avril 2016, une délibération portant autorisation unique de traitements de données à caractère personnel mis en œuvre dans le cadre de l’accueil, l’hébergement, l’accompagnement et le suivi des personnes handicapées et des personnes âgées (AU-47).
Elle observe que le traitement objet de la présente délibération ne répond pas aux conditions prévues par cette autorisation unique, notamment s’agissant des catégories de données collectées et traitées.
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement, au regard des principes relatifs à la protection des données à caractère personnel et, notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Responsable du traitement
L’association départementale les pupilles de l’enseignement public (PEP) de la Vienne (86).
Sur la finalité
Le traitement est mis en œuvre au sein du pôle enfance de l’association susvisée. Il regroupe trois structures, les centres d’action médico-sociale précoce (CAMSP), les services d’éducation spéciale et de soins à domicile (SESSAD), et les centres médico-psycho-pédagogique (CMPP).
Chacune des trois structures susmentionnées a son propre fichier permettant l’accompagnement et le suivi social et médico-social des personnes handicapées.
Chacun des fichiers permet de poursuivre les finalités suivantes :
la gestion administrative des personnes concernées ;
la saisie des problématiques identifiées dans le cadre de l’évaluation sociale et médico-sociale des personnes en vue de leur garantir un accompagnement adapté et, le cas échéant, les orienter vers les structures compétentes susceptibles de les prendre en charge ;
l’élaboration et le suivi du projet personnalisé d’accompagnement des personnes, conformément aux dispositions des articles L. 311-3 et L. 311-4 du code de l’action sociale et des familles ;
l’échange et le partage d’informations via l’Intranet entre les intervenants sociaux, médicaux et paramédicaux des CAMSP, des SESSAD, et des CMPP concernant des informations strictement nécessaires permettant de garantir la coordination et la continuité de l’accompagnement, et du suivi des personnes conformément aux dispositions des articles L. 1110-4 du code de la santé publique, et L. 312-1 du code de l’action sociale et des familles. A cet égard, le professionnel peut échanger et partager des informations relatives à une même personne prise en charge, avec un ou plusieurs professionnels appartenant à la même structure ;
la gestion et la tenue des dossiers individuels de soins dans le cadre du suivi médical des personnes, comprenant la gestion des remboursements de frais médicaux ;
la gestion et le suivi des activités individuelles ou collectives des personnes ;
l’organisation et le suivi des parcours d’insertion et/ou d’intégration scolaire, sociale et professionnelle pour les personnes handicapées ;
l’établissement de statistiques à la demande des agences régionales de santé (ARS) concernant certaines pathologies conformément aux arrêtés du 28 janvier 2016 fixant le rapport d’activité type des centres d’action médico-sociale précoce, et du 3 février 2017 fixant le rapport d’activité type des centres médico-psycho-pédagogiques, ainsi qu’à la demande de l’agence nationale d’appui à la performance des établissements de santé et médico-sociaux (ANAP) conformément à l’arrêté du 16 octobre 2009 portant approbation de la convention constitutive du groupement d’intérêt public  de l’agence susvisée.
La Commission considère que les finalités poursuivies sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée en août 2004.
Sur les données traitées
Les intervenants sociaux, médicaux et paramédicaux intervenant auprès des personnes handicapées, ainsi qu’auprès de leurs familles, peuvent, pour atteindre les finalités susvisées, collecter et traiter les données relatives :
à l’identification des bénéficiaires de l’accompagnement et du suivi social et médico-social, et de leurs représentants légaux (nom ; prénoms ; adresse ; date et lieu de naissance ; numéro de sécurité sociale conformément aux dispositions des articles R. 115-1 et R. 115-2 du Code de la sécurité sociale) ;
à la vie personnelle (situation familiale) ;
à la vie professionnelle (situation professionnelle, scolarité, formation) ;
aux appréciations sur les difficultés sociales ;
Peuvent aussi être collectées  et traitées :
les données relatives  à la génétique aux seules fins de la continuité de l’accompagnement médical de la personne concernée, et plus particulièrement dans le cadre de l’administration de soins ou de traitements relatifs à son handicap, conformément aux dispositions des articles 16-10 du code civil, R. 1131-4 et R. 1131-5 du code de la santé publique.
En effet, le professionnel de santé peut, à titre exceptionnel, demander à ce que soit réalisé un examen génétique de la personne concernée par une structure externe lorsqu’il estime que cela est nécessaire à la prise en charge du patient, conformément aux dispositions de l’article 16-10 du code civil.
Le consentement exprès des titulaires de l’autorité parentale ou du représentant légal de la personne concernée est préalablement recueilli, après les avoir dûment informés, conformément aux dispositions des articles 16-10 du code civil, R. 1131-4 et R. 1131-5 du code de la santé publique.
Les résultats de l’examen génétique sont conservés dans le dossier médical de la personne concernée, conformément aux dispositions de l’article R. 1131-20 du code de la santé publique.
Seuls les professionnels appartenant à la même équipe de soins au sens de l’article L. 1110-12 du code susvisé ont accès aux informations strictement nécessaires à la prise en charge de la pathologie de la personne concernée, conformément aux dispositions de l’article L. 1110-4 du code de la santé publique.
les données de santé à des fins d’administration de soins, comprenant les informations relatives au handicap (pathologies ; affections ; antécédents familiaux ; données relatives aux soins ; situations ou comportements à risques).
Les intermédiaires sociaux médicaux et paramédicaux des établissements recueillent préalablement le consentement exprès des titulaires de l’autorité parentale ou du représentant légal de la personne concernée  conformément aux dispositions de l’article L. 1111-4 du code de la santé publique.
Compte tenu de la nature des données collectées, la Commission considère qu’il y a lieu de faire application des dispositions des articles 25-I-6° et 25-I-7° de la loi du 6 janvier 1978 modifiée en août 2004, qui soumettent à autorisation les traitements comportant des données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques, et des données comportant des appréciations sur les difficultés sociales.
Ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée en août 2004.
Sur les destinataires
Dans les limites de leurs attributions respectives, et chacun pour ce qui le concerne, peuvent accéder aux données enregistrées dans le traitement, les intervenants sociaux, médicaux et paramédicaux des CAMSP, SESSAD et CMPP.
Seuls les professionnels appartenant à la même équipe de soins au sens de l’article L. 1110-12 du code de la santé publique ont accès aux données relatives à la génétique.
Ces informations sont strictement nécessaires à la coordination ou à la continuité des soins ou au suivi médico-social et social de la personne concernée, conformément aux dispositions de l’article L. 1110-4 du code de la santé publique.
La Commission estime que ces destinataires présentent un intérêt légitime à connaître de ces données.
Sur l’information et les droits des personnes
Les personnes concernées sont informées, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée en août 2004, par des mentions légales sur le règlement de fonctionnement de l’association remis dès l’admission au sein d’un des établissements susvisés.
La Commission considère que ces modalités d’information des personnes sont satisfaisantes.
Les droits d’opposition, d’accès et de rectification prévus aux articles 38, 39 et 40 de la loi précitée s’exercent auprès du directeur adjoint de l’association.
S’agissant des données relatives à la génétique, la personne concernée est dûment informée de son droit d’exercer une opposition à tout moment, à l’échange, et au partage des informations la concernant, conformément aux dispositions de l’article L. 1110-4 du code de la santé publique.
La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée et frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.
A cet égard, l’accès à l’intranet par les professionnels habilités de l’association est sécurisé au moyen du protocole https. Concernant le recours à ce protocole, la Commission rappelle qu’elle recommande d’utiliser la version de TLS la plus à jour possible.
La Commission relève que chaque structure a son propre fichier de données, et qu’il n’y a pas de partage d’informations entre les différentes structures.
A ce titre, des profils d’habilitation définissent les fonctions ou les types d’informations accessibles aux intervenants sociaux, médicaux et paramédicaux professionnels de chacune des structures CAMSP, SESSAD et CMPP. Ceux-ci prennent en compte les accès différentiés aux informations en fonction du besoin d’en connaître.
La Commission rappelle qu’elle recommande que les permissions d’accès soient attribuées pour une durée déterminée, qu’elles soient supprimées pour tout utilisateur n’étant plus habilité, et qu’une revue globale des habilitations soit opérée régulièrement.
L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des majuscules, des minuscules et des chiffres lorsque l’authentification prévoit une restriction de l’accès au compte, conformément à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe.
La Commission rappelle qu’elle recommande de réaliser un contrôle des traces de manière automatique, afin de détecter les comportements anormaux, et lever des alertes.
Des sauvegardes régulières sont réalisées et stockées dans un endroit garantissant leur sécurité et leur disponibilité. La Commission tient à rappeler l’importance de tester régulièrement les sauvegardes.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée en août 2004.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées en base active deux ans à compter du dernier contact avec la personne ayant fait l’objet du suivi social ou médico-social.
Le dossier médical mentionné à l’article R. 1112-2 du code de la santé publique est conservé pendant une durée de vingt ans à compter de la date du dernier séjour de la personne concernée ou de la dernière consultation externe en son sein, conformément aux dispositions de l’article R. 1112-7 du code de la santé publique.
Les données relatives à la génétique sont conservées dans le dossier médical de la personne concernée, dans le respect du secret professionnel conformément aux dispositions de l’article R. 1131-20 du code de la santé publique.
A l’expiration de ces périodes, les données sont détruites de manière sécurisée.
Lorsqu’il existe un recours contre un tiers ou un contentieux, les données peuvent être conservées jusqu’à l’intervention de la décision définitive.
Autorise, conformément à la présente délibération, l’association départementale les pupilles de l’enseignement public de la Vienne, à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS