(Demande d’autorisation n°1605163)
La Commission nationale de l’informatique et des libertés,
Saisie par l’Institut pour le Développement des Usages des Technologies d’Assistance et d’Insertion des Personnes (IDUTAIP) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’accompagnement des personnes âgées pour la réalisation de leurs projets personnels ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, commissaire, et après avoir entendu les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
L’Institut pour le Développement des Usages des Technologies d’Assistance et d’Insertion des Personnes (IDUTAIP) est une association de loi 1901 ayant pour objet social de développer l’usage des technologies, particulièrement les NTIC, dans le but d’assister les personnes dans leur vie quotidienne, de maintenir leur autonomie dans leur environnement et de favoriser leur insertion sociale et citoyenne.
Sur la finalité
La finalité du présent traitement est l’accompagnement des personnes âgées pour la réalisation de leurs projets personnels dans le cadre d’un programme dénommé PACTe. Il s’agit d’un programme basé sur le logiciel PACTe d’accompagnement personnalisé visant à recueillir les besoins ou attentes des personnes, leurs objectifs et les moyens à mettre en œuvre pour y parvenir.
Ce programme s’inscrit dans le cadre des travaux en matière de rénovation de l’action sociale menés par l’Agence nationale de l’évaluation et de la qualité des établissements et services sociaux et médico-sociaux (ANESM) qui visent à favoriser l’expression et la participation de l’usager dans la conception et la mise en œuvre du projet qui le concerne.
Les personnes âgées choisissent des intervenants parmi les personnes qui les encadrent (personnels de l’établissement d’accueil et de structure d’aide à la personne, assistants professionnels et familiaux, professionnels de santé, proches) pour les accompagner et déterminent les droits accordés à ces derniers sur leur dossier.
Le programme mis en place permet ainsi la coopération et une action concertée des intervenants qui accompagnent une personne âgée. Le domaine d’accompagnement concerne aussi bien les personnes âgées qui résident dans un établissement d’accueil que celles qui restent à leur domicile.
La Commission estime qu’il y a lieu de faire application des dispositions de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisaton les traitements comportant des données portant sur les difficultés sociales des personnes.
Sur les données traitées
Les catégories de données collectées sont relatives :
La Commission rappelle que seules les informations nécessaires à l’ajustement des prestations et de l’accompagnement doivent être recueillies et que le consentement préalable de la personne âgée ou de son représentant légal est nécessaire pour le partage d’informations qui la concernent.
à l’identification (nom, prénom, adresse, photographie, date et lieu de naissance) ;
à la vie personnelle (habitude de vie, situation familiale) ;
à la vie professionnelle (CV, situation professionnelle, scolarité et formation) ;
aux informations d’ordre économique et financier (revenus, situation financière, aides sociales) ;
aux difficultés sociales des personnes ;
à la santé (données évocatrices de pathologies, déficiences ou handicaps, données relatives au Groupe Iso-Ressources et autres données pertinentes nécessaires à la mise en œuvre du projet individuel) ;
aux connexions (identifiants des terminaux, identifiants de connexions, informations d’horodatage, nature des informations consultées à des fins de sécurité et de contrôle d’accès).
Ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont tous les intervenants habilités à accéder aux dossiers des personnes concernées (personnels de l’établissement d’accueil et de structure d’aide à la personne, assistants professionnels et familiaux, professionnels de santé).
La liste de ces destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées (ou leurs réprésentants légaux) sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions sur le site internet (« conditions d’utilisation du service » et « règles de confidentialité ») et par un courriel envoyé lors de l’ouverture d’un compte.
Les droits d’accès et de rectification s’exercent auprès de l’IDUTAIP – Service Labvermeil, 16 rue des Vergers – 92340 Bourg-la-Reine.
Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
La Commission observe que l’authentification des utilisateurs du traitement respecte ses préconisations, et notamment que les mots de passe utilisés sont d’un niveau de complexité suffisant. Chaque intervenant dispose d’un identifiant unique.
La journalisation des accès aux données est prévue (consultation, création, modification et suppression).
La Commission prend acte que l’hébergeur des données du programme PACTe, situé en Irlande, veille au respect de la confidentialité et à la sécurité des données.
Les données accessibles via le réseau internet sont sécurisées au moyen du protocole HTTPS.
Ces mesures de sécurité apparaissent satisfaisantes au regard des dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant la durée de l’abonnement au programme PACTe (avec la possibilité pour le titulaire de l’abonnement de les supprimer à tout moment) et pendant trois mois supplémentaires à compter de la fin de celui-ci pour permettre à la personne de remédier à un oubli sa part dans la reconduction de l’abonnement.
Les données de journalisation sont conservées pendant six mois et l’accès à ces données est réservé aux personnes spécifiquement habilitées.
Ces durées de conservation apparaissent pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, l’Institut pour le Développement des Usages des Technologies d’Assistance et d’Insertion des Personnes (IDUTAIP) à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN