(Autorisation n°1444709)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004 et notamment son article 25-1-6° ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Après avoir entendu, M. Philippe GOSSELIN, commissaire en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés a été saisie par la l’Association Départementale des Amis et Parents de Personnes Handicapées Mentales (ADAPEI de Besançon) d’un traitement de données à caractère personnel ayant pour finalité la gestion des données relatives aux parcours d’insertion socioprofessionnelle des personnes handicapées suivies par l’ADAPEI de Besançon.
A la différence de la Fédération nationale qui rassemble les associations locales (l’UNAPEI), reconnue d’utilité publique depuis 1963, l’ADAPEI de Besançon n’est pas reconnue d’utilité publique. Elle est l’une des 600 associations locales chargées de réaliser et de gérer des établissements et services d’intérêt général répondant aux besoins des personnes handicapées mentales.
Ce traitement relève du régime de l’autorisation prévu à l’article 25-I-6° de la loi du 6 janvier 1978 modifiée, applicable aux traitements comportant des données parmi lesquelles figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (NIR).
Sur les finalités poursuivies par le traitement
La finalité du traitement est de gérer toutes les informations relatives à la saisie, à la coordination, à l’évaluation des parcours d’insertion socioprofessionnelle des enfants et adultes handicapés mentaux de l’ADAPEI de Besançon.
D’une part, ce traitement permet de répondre aux exigences de la loi n°2002-2 du 2 janvier 2002 rénovant l’action sociale et médico-sociale et de la loi n°2005-102 du 11 février 2005 pour l’égalité des droits et des chances, la participation et la citoyenneté des personnes handicapées. En effet, celui-ci fournit un outil de management de la mesure et de la surveillance des actions menées pour les usagers (certification ISO 9001).
D’autre part, le traitement permet une mutualisation des actions d’accompagnement de l’usager handicapé mental, selon son projet de vie individuel (mémorisation des données et des actions, échanges d’informations). L’analyse des résultats obtenus permet de définir des actions pertinentes et de prévoir les conséquences relatives à la prise en charge individuelle et collective des usagers.
Les principales fonctions du traitement concerneront :
la gestion des demandes ;
la gestion des décisions de l’association ;
la réalisation éventuelle de statistiques ;
la gestion de l’instruction des attributions d’aides.
Sur les catégories de données traitées
Les données renseignées dans le traitement concernant la personne aidée sont :
- son identité, y compris le NIR ;
- sa vie personnelle et familiale ;
- sa vie professionnelle.
En ce qui concerne l’utilisation du NIR des personnes handicapées accompagnées, l’ADAPEI souligne que cette donnée est utilisée pour servir différents objectifs, parmi lesquels :
- un suivi médical des usagers de l’association, comprenant notamment une gestion des remboursements de frais médicaux ainsi qu’une aide au suivi médical au quotidien (accompagnement lors de diverses visites médicales) ;
- une aide à la gestion des échanges administratifs de la personne accompagnée avec la sécurité sociale, les mutuelles, les professions médicales et paramédicales ;
- une gestion de la facturation des prix de journée aux organismes de tarification et de contrôle concernés et des tarifs du forfait hospitalier le cas échéant (participation de l’Etat à la prise en charge des personnes handicapées accueillies en Maisons d’Accueil Spécialisé) ;
- une aide à la gestion de l’activité professionnelle de la personne concernée : embauche en Entreprise Adaptée ou intégration en ESAT -aide par le travail), gestion des arrêts maladie, gestion des payes, mise en place de conventions de stages en entreprise adaptée et en ESAT ;
Ces données peuvent être directement saisies par les agents habilités de l’ADAPEI à partir des informations communiquées par la famille, le représentant légal de la personne concernée, la MDPH ou un partenaire de l’ADAPEI (employeur de la personne concernée).
Sur les catégories de destinataires
Seuls les agents habilités de l’association peuvent accéder aux données traitées. L’ADAPEI n’a pas souhaité mettre à la disposition de ses partenaires un quelconque accès à ces informations. Ce qui n’appelle pas d’observations.
Sur la durée de conservation
Les données seront conservées pendant la prise en charge de la personne souffrant d’un handicap par l’ADAPEI. Cette durée de conservation n’appelle aucune observation de la Commission.
Sur la sécurité
Concernant la confidentialité des données traitées, la Commission rappelle les points suivants.
Le mot de passe utilisé dans le cadre de l’authentification des agents doit être de 8 caractères et comporter des lettres, des chiffres, des majuscules, des minuscules ainsi qu’au moins un caractère spécial. Il doit être renouvelé régulièrement, c'est-à-dire au moins une fois par an.
La journalisation des connexions à l’application doit non seulement permettre de connaître l’agent concerné et la date d’accès mais également les contenus auxquels celui-ci a accédé.
Enfin, compte tenu des données traitées, les échanges de données effectués par l’ADAPEI avec des organismes tiers doivent faire l’objet d’un chiffrement (SSL ou SFTP par exemple).
Sur l’information des personnes concernées et le droit d’accès
L’information des personnes concernées sera effectuée par l’envoi d’un courrier personnalisé et par des entretiens d’information d’accueil dans les locaux de l’ADAPEI, donnant lieu à la signature d’un contrat de séjour faisant mention de l’ensemble des dispositions énumérées à l’article 32 de la loi du 6 janvier 1978 modifiée.
Le droit d’accès défini à l’article 39 de la loi du 6 janvier 1978 modifiée en 2004 s’exerce auprès du siège social de l’ADAPEI de Besançon.
La Commission relève que le traitement déclaré correspond à une gestion efficace, légitime et strictement nécessaire des données relatives aux personnes bénéficiant d’un accompagnement.
Dans ces conditions, la Commission autorise l’ADAPEI de Besançon à mettre en œuvre le traitement de données à caractère personnel présenté.