(Demande d’autorisation n° 1512713)
La Commission nationale de l’informatique et des libertés,
Saisie par l’institut médico-éducatif « La Durance » de l’association pour adultes et jeunes handicapés des Alpes de Haute-Provence d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des dossiers individuels de ses usagers ,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment son article D.312-37 ;
Vu le code de la santé publique, notamment son article R.1112-7 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-1°, 25-I-6° et 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n°2006-6 du 4 janvier 2006 relatif à l'hébergement de données de santé à caractère personnel et modifiant le code de la santé publique ;
Vu la décision ministérielle du 8 décembre 1965 autorisant la création de l’institut médico-éducatif « La Durance » ;
Vu la décision de la Commission régionale d’agrément des établissements privés de cure et de soins du 7 septembre 1976 portant agrément de l’institut médico-éducatif « la Durance » ;
Vu le contrat pluriannuel d’objectifs et de moyens signé le 10 juillet 2009 entre l’association pour adultes et jeunes handicapés des Alpes de Haute-Provence, l’Etat et la Caisse régionale d’assurance maladie sud-est ;
Vu le dossier et ses compléments ;
Sur la proposition de Madame Laurence DUMONT, commissaire et après avoir entendu les observations de  Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
L’association pour adultes et jeunes handicapés des Alpes de Haute-Provence (APAJH04) est l’une des 87 associations départementales de la fédération nationale des associations pour adultes et jeunes handicapés (APAJH).
La fédération des APAJH, créée en 1962, est une association régie par la loi du 1er juillet 1901 et reconnue d’utilité publique par un décret en date du 13 mai 1974. Elle représente les personnes en situation de handicap et vise à promouvoir leur dignité en œuvrant pour la mise en place de moyens favorisant leur épanouissement et leur intégration sociale.
Cette fédération nationale et ses associations départementales affiliées gèrent des établissements sociaux et médico-sociaux destinés aux personnes en situation de handicap. L’APAJH04, association à but non lucratif, gère ainsi six établissements au service des personnes en situation de handicap, dont fait partie l’institut médico-éducatif (IME) « La Durance ».
Les IME ont pour mission d’accueillir des enfants et adolescents atteints de déficience intellectuelle pour leur offrir une éducation et un enseignement spécialisés. Ils sont financés par l’assurance maladie après agrément de l’agence régionale de santé compétente et sont notamment régis par le code de l’action sociale et des familles.
La création de l’IME « La Durance » et les augmentations de sa capacité d’accueil ont été autorisées par les autorités publiques compétentes. Les changements importants dans son activité, son installation, son organisation, sa direction ou son fonctionnement doivent être notifiés à l’autorité administrative.
Cet institut bénéficie d’un financement public en sa qualité d’établissement médico-social accueillant des personnes inadaptées ou présentant des déficiences intellectuelles.
Au regard de ce qui précède, la Commission considère que la mission de l’institut médico-éducatif « La Durance » est  justifiée par l’intérêt public au sens de la loi du 6 janvier 1978 modifiée.
Sur la finalité
La finalité du traitement consiste à suivre les dossiers individuels des usagers du l’institut médico-éducatif « la Durance », étant précisé que ces dossiers comprennent des éléments sociaux, psychologiques, pédagogiques, éducatifs et médicaux.
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Elle estime qu’il y a lieu de faire application des dispositions des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et qui sont justifiés par l’intérêt public.
Le recours à la formalité de l’autorisation se justifie également au regard de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée pour ce qui concerne le traitement du numéro d’inscription des personnes physiques au répertoire national d’identification des personnes physiques (numéro de sécurité sociale ou NIR).
La Commission considère enfin que le recours à la formalité de l’autorisation se justifie au regard de l’article 25-I-7° de la loi 6 janvier 1978 modifiée pour ce qui concerne les traitements comportant des appréciations sur les difficultés sociales des personnes.
Sur les données traitées
Les catégories de données collectées sont relatives :
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
à l’identification des personnes concernées (nom, prénom, adresse, photographie, date et lieu de naissance) ;
à leur vie personnelle (habitude de vie, situation familiale) ;
à leur vie professionnelle (CV, situation professionnelle, scolarité, formation) ;
au numéro de sécurité sociale ;
à des appréciations sur les difficultés sociales des personnes ;
à la santé des usagers (pathologies, affections, antécédents familiaux, soins, situations ou comportements à risques).
Sur les destinataires
Les destinataires des données en interne sont les membres de l’institut médico-éducatif « La Durance » dûment habilités dans le cadre de leurs fonctions.
Par ailleurs, les personnels dûment habilités des organismes intervenant dans le suivi des usagers de l’IME « La Durance » peuvent être destinataires des seules données les concernant (organismes de sécurité sociale, services sociaux,  établissements sociaux et médico-sociaux, maisons départementales des personnes handicapées, agence régionale de santé, établissements de santé, pharmacies, éducation nationale, fournisseurs de matériels thérapeutiques).
La Commission prend acte que l’habilitation à consulter des données relatives à la santé ne peut être attribuée en interne qu’à des personnes soumises au secret professionnel et dans la stricte limite de leur mission. Ces données ne peuvent être transmises, en externe, qu’aux professionnels de santé ou au personnel dûment habilité d’un établissement de santé ou médico-social.
Les numéros de sécurité sociale des usagers ne peuvent être transmis qu’au personnel habilité des organismes de sécurité sociale et des autres organismes sociaux, des établissements de santé et médico-sociaux, des maisons départementales des personnes handicapées, des pharmacies, ainsi qu’à celui des fournisseurs de matériels thérapeutiques.
Enfin, les données relatives à des appréciations sur les difficultés sociales ne peuvent être transmises qu’au personnel dûment habilité des services sociaux.
La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par la remise d’un livret d’accueil ainsi que par des mentions sur formulaires et un site internet.
Les droits d’accès et de rectification s’exercent par courrier électronique, par téléphone, par voie postale ou sur place auprès de l’institut médico-éducatif « La Durance » (Route Saint-Jean, 04160 Château-Arnoux).
Ces modalités d’information et d’exercice des droits des personnes n’appellent pas d’observation de la Commission.
Sur les mesures de sécurité
L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.
Des profils d’habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs du présent traitement.
Ce dernier n’est accessible que sur un réseau interne privé, ce qui offre une garantie quant à la sécurité des données y transitant.
La Commission rappelle que le traitement doit comporter une fonctionnalité de journalisation des opérations de consultation, de modification ou de création permettant d’identifier  l’utilisateur à l’origine d’une opération, pour être en mesure de détecter a posteriori d’éventuelles opérations frauduleuses ou non souhaitées. Les données de traçabilité doivent être conservées six mois dans des conditions permettant de garantir leur intégrité et leur confidentialité et une procédure opérationnelle doit en définir les modalités d’accès.
Le prestataire chargé de la maintenance informatique peut accéder à distance au présent traitement dans des conditions, fixées dans le contrat de prestation, de nature à garantir la confidentialité des données. Les interventions de maintenance sont par ailleurs enregistrées dans une main-courante.
Ces mesures de sécurité apparaissent conformes à l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données autres que celles relatives à la santé sont conservées en base active pendant deux ans à compter du dernier contact avec la personne concernée. En application de l’article D. 312-37 du code de l’action sociale et des familles, elles sont ensuite archivées pendant trois ans sous forme de bandes numériques stockées dans un coffre-fort.
Les données relatives à la santé sont, conformément à la réglementation en vigueur et notamment à l’article R. 1112-7 du code de la santé publique, conservées pendant vingt ans à compter de la date du dernier séjour dans l'institut ou de la dernière consultation de la personne concernée.
La Commission considère que ces durées de conservation n’excèdent pas celles qui sont nécessaires à l’accomplissement de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, l’institut médico-éducatif « La Durance » de l’association pour adultes et jeunes handicapés des Alpes de Haute-Provence à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN