Délibération n° 2009-680 du 03 décembre 2009 autorisant la mise en œuvre par l’association CIMADE d’un traitement de données à caractère personnel ayant pour finalité la gestion des dossiers des étrangers assistés dans ses permanences
(demande d’autorisation n° 1277241)
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment ses articles 8, 9 et 25 ;
Vu le code de l’entrée et du séjour des étrangers et du droit d’asile ;
Vu le code pénal ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la demande d’autorisation, présentée par l’association CIMADE d’un traitement de données à caractère personnel ayant pour finalité la gestion des dossiers traités dans les permanences de l’association ;
Après avoir entendu Monsieur Sébastien Huyghe, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du gouvernement, en ses observations ;
Emet l’avis suivant :
Sur les finalités du traitement
La CIMADE est une association « loi 1901 » qui a pour missions d’apporter son expertise et ses conseils juridiques aux migrants et demandeurs d’asile, et notamment d’accompagner et de défendre les droits des étrangers placés en centre de rétention administrative.
Cette association a adressé à la Commission un dossier de formalités préalables relatif à la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité la gestion des dossiers des étrangers qui se présentent dans ses permanences. La CIMADE souhaite en effet enregistrer dans un traitement informatique, dénommé « base de données migrants et demandeurs d’asile », les données relatives aux étrangers qui se présentent dans les permanences de l’association afin de les suivre et de les assister dans leurs démarches auprès des administrations (obtention de carte de séjour, de visa, de la nationalité française ou durant la procédure devant l’OFPRA et la Cour Nationale du Droit d’Asile) ou pour les recours qu’ils forment devant les juridictions (contre les interdictions de territoire, les refus de séjour ou les arrêtés d’expulsion). Ce traitement concernerait environ 3 500 personnes par an.
La Commission prend acte de ces finalités d’information et d’assistance juridique des étrangers qui sollicitent l’association. Elle prend également acte ce que le traitement projeté permet l’établissement de statistiques anonymes sur la base des informations qui y sont enregistrées, afin que la CIMADE puisse rendre compte de ses actions auprès de ses financeurs et aux fins de rédaction de ses rapports annuels.
Sur les catégories de données enregistrées
La Commission relève que la CIMADE souhaite enregistrer dans ce traitement des données relatives aux infractions commises par les personnes concernées ou aux condamnations prononcées à leur encontre. Ainsi, les données suivantes seraient enregistrées dans le traitement : existence d’une interdiction de territoire français, existence d’une mesure d’éloignement. Or, l’interdiction du territoire français constitue une peine qui peut être prononcée dans les conditions prévues aux articles 131-30 à 131-30-2 du code pénal.
La Commission estime dans ces conditions qu’il y a lieu de faire application des dispositions de l’article 25-I.3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté. Elle rappelle que l’article 9-1° de la loi du 6 janvier 1978 modifiée réserve notamment la faculté de mettre en œuvre des traitements relatifs à des infractions aux personnes morales gérant un service public et agissant dans le cadre de leurs attributions légales.
L’association CIMADE, reconnue d’utilité publique, est chargée d’une mission d’information et d’assistance juridique des étrangers sur le territoire français. Cette mission est notamment consacrée par la convention conclue entre l’association et le ministère chargé de l’immigration en application de l’article R. 553-14 du code de l’entrée et du séjour des étrangers et du droit d’asile (CESEDA), qui prévoit que la CIMADE doit assister les étrangers placés en centre de rétention administrative à exercer effectivement leurs droits. Dès lors, la Commission considère que les missions de la CIMADE relèvent d’une mission de service public.
En outre, ces données relatives aux condamnations prononcées à l’encontre des personnes concernées apparaissent nécessaires à l’exercice des missions de la CIMADE, dans la mesure où ces mesures répondent à un régime procédural spécifique, que les services de l’association doivent nécessairement connaître afin d’aider les étrangers à exercer leurs droits.
Dès lors, et au regard des dispositions de l’article 9°-1 de la loi du 6 janvier 1978 modifiée, la Commission estime que l’association CIMADE est habilitée à procéder au traitement de telles données relatives aux étrangers qui sollicitent l’assistance de l’association.
La CIMADE souhaite également enregistrer les données suivantes relatives à l’état de santé des personnes concernées : « état de santé nécessitant une prise en charge médicale » et « avis du médecin inspecteur de santé publique » (existence d’une pathologie grave ; nécessité de suivi d’un traitement et durée ; existence d’un traitement dans le pays d’origine). La Commission considère que la collecte de ces données est nécessaire au regard des finalités du traitement, dans la mesure où l’article L. 313-11 du CESEDA prévoit qu’une carte de séjour temporaire portant la mention « vie privée et familiale » est délivrée de plein droit « à l'étranger résidant habituellement en France dont l'état de santé nécessite une prise en charge médicale dont le défaut pourrait entraîner pour lui des conséquences d'une exceptionnelle gravité, sous réserve qu'il ne puisse effectivement bénéficier d'un traitement approprié dans le pays dont il est originaire ».
La Commission relève que ces données sont limitées aux renseignements administratifs strictement nécessaires pour permettre le suivi juridique de la démarche administrative, et sont exclusives de toute appréciation subjective du personnel de la CIMADE ainsi que de toute référence à telle ou telle pathologie.
OU [Elle considère en outre que le traitement de ces données est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice, et qu’il est donc conforme à l’exception prévue par le 5° du II de l’article 8 de la loi du 6 janvier 1978 modifiée.]
OU [Elle considère en outre que le traitement de ces données est en l’espèce justifié par l’intérêt public, dans la mesure où il participe de l’exercice effectif de leurs droits par les étrangers, et qu’il y a donc lieu de l’autoriser en application du IV de l’article 8 de la loi du 6 janvier 1978 modifiée.]
Enfin, les autres données à caractère personnel enregistrées dans le traitement, relatives à l’identification des personnes concernées (nom, prénom, sexe, date de naissance, adresse, date d’entrée en France), à leur situation familiale (situation maritale, enfants) et à leur situation professionnelle, n’appellent pas d’observations particulières de la Commission.
La Commission prend acte de ce que la CIMADE a prévu une durée de conservation maximale de l’ensemble de ces données d’un an après la fin de la procédure dans laquelle elle assiste la personne concernée. Cette durée apparaît en effet nécessaire à la finalité statistique du traitement et aux fins de suivi des dossiers en cas de nouvelle décision administrative affectant les mêmes personnes.
Sur les destinataires et les sécurités du traitement
La Commission prend acte de ce que les intervenants de chaque permanence n’auront accès qu’aux seules données relatives aux étrangers assistés dans la permanence concernée. Ces intervenants sont soit des permanents de la CIMADE soit des bénévoles ayant suivi un processus de formation et d’intégration préalable au sein de l’association.
L’accès au traitement sera en effet conditionné à la saisie de clés d’accès individuelles, connues des seuls intervenants et renouvelées périodiquement. La Commission prend acte de ce que cette clé d’accès consiste en un identifiant et un mot de passe individuels, ce dernier étant de neuf caractères et devant contenir des caractères spéciaux, et de ce que l’ensemble des accès au traitement feront l’objet d’une journalisation. Elle relève également que les systèmes informatiques utilisés sont situés dans des locaux sécurisés.
La Commission prend acte de ce que l’habilitation des personnels ayant accès au traitement sera donnée par le siège de la CIMADE, pour une durée égale à la durée du contrat pour ses salariés, et de six mois pour les bénévoles.
Enfin, la Commission prend acte de ce que deux responsables nationaux de la CIMADE seront habilités à accéder à l’ensemble des données du traitement afin de pouvoir réactiver un dossier clos en cas de survenance d’une nouvelle décision administrative affectant les mêmes personnes.
Sur les droits des personnes concernées
La Commission prend acte de ce que l’information des personnes concernées sera effectuée par écrit et par voie d’affichage dans les locaux des permanences de la CIMADE, dans les langues retenues par le CESEDA, soit en français, en anglais, en mandarin, en espagnol et en arabe littéraire. Ces documents mentionneront notamment les modalités d’exercice des droits d’opposition, d’accès et de rectification ou de suppression des données qui les concernent, conformément aux articles 38 à 40 de la loi du 6 janvier 1978 modifiée, qui devront s’exercer par voie postale auprès du siège de la CIMADE.
Le document écrit remis aux personnes concernées contiendra en outre une mention spécifique concernant les données relatives à l’état de santé des intéressés.
Dans ces conditions, la Commission autorise l’association CIMADE à mettre en œuvre le traitement de données à caractère personnel dénommé « base de données migrants et demandeurs d’asile » et ayant pour finalité la gestion des dossiers des étrangers assistés dans ses permanences.