La Commission nationale de l'informatique et des libertés,
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, et notamment ses articles 8-IV, 25-I-1° et 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu, M. Philippe Gosselin, commissaire en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Autorise, dans les conditions définies dans le dossier et ses compléments, l'Institut Medico Educatif L'Espoir (IME L'Espoir) à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la prise en charge éducative, sociale et pédagogique de jeunes de 6 à 20 ans et de jeunes majeurs relevant de l'amendement Creton.
Responsable du traitement
L'IME L'Espoir est un établissement de l'Association Calvadosienne pour la Sauvegarde de l'Enfance et de l'Adolescence (ACSEA) qui a pour objet la sauvegarde de l'enfance et de l'adolescence. Cette structure d'accueil de jour a vocation à orienter les personnes concernées vers les organismes appropriés en fonction des problèmes qu'ils rencontrent.
Cette association à but non lucratif permet de contribuer à l'amélioration de la prise en charge, de l'accompagnement ou de l'assistance des personnes concernées.
Au regard de ce qui précède, la Commission considère que la mission de l'IME L'Espoir est d'intérêt public.

La finalité du présent traitement est l'accompagnement éducatif, social et pédagogique des adolescents de jeunes de 6 à 20 ans et de jeunes majeurs relevant de l'amendement Creton qui se présentent à l'IME L'Espoir.
Données traitées
Les catégories de données collectées sont relatives :
• à l'identification (nom, prénom, adresse, date et lieu de naissance) ;
• à la vie personnelle (habitudes de vie, situation familiale fonctionnement de la famille, conditions de vie) ;
• à la vie professionnelle (scolarité, formation) ;
• à l'appréciation des difficultés sociales des personnes (carence éducative, socialisation, interventions éducatives) ;
• aux données de santé nécessaires à la prise en charge collective (allergies, asthme, par exemple) et relatives au handicap.
Ces données apparaissent pertinentes au regard de la finalité poursuivie.
Dans ce contexte, la Commission considère qu'il y a lieu de faire application des dispositions des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l'intérêt public.
Elle considère que le recours à la formalité de l'autorisation se justifie également au regard de l'article 25-I-7° de la loi pour ce qui concerne les traitements comportant des données permettant d'apprécier les difficultés sociales des personnes.
Destinataires
Les destinataires des données en interne sont les personnes dûment habilitées chargées des relations familles au sein de l'IME L'Espoir (assistantes sociales) et, avec l'accord de la famille, les membres de l'équipe pluridisciplinaire.
Par ailleurs, peuvent également être destinataires des données les personnels dûment habilités de la Maison Départementale des Personnes Handicapées, l'Agence Régionale de Santé, le Juge pour enfant et la Direction de l'Enfance et de la Famille.
La Commission prend acte que l'habilitation à consulter des données de santé ne pourra être attribuée qu'à des personnes soumises au secret professionnel, et dans la stricte limite de leurs missions.
Durée de conservation
Les données sont conservées pour une durée de deux ans à compter de la fin de la dernière opération enregistrée, puis elles sont archivées.
Information et droit d'accès
Les personnes concernées sont informées, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, par voie d'affichage dans les locaux, ainsi que par une mention dans le livret d'accueil remis à chaque jeune.
Les droits d'accès et de rectification s'exercent par courrier électronique, par téléphone ou par voie postale ou sur place auprès du Directeur de l'IME L'Espoir, 1 rue des Cordeliers, 14400 BAYEUX.

La Commission observe que l'authentification des utilisateurs du traitement respecte ses préconisations, et notamment que les mots de passe utilisés sont d'un niveau de complexité suffisant.
Elle prend également note du fait que le traitement comporte une fonctionnalité de journalisation des opérations de consultation, création et modification des données à caractère personnel. Ces journaux de connexion sont conservés pendant 6 mois.
La Commission prend acte du fait que le traitement n'est accessible que sur le réseau interne privé de l'organisme, ce qui offre une garantie quand a la sécurité des données y transitant.
Enfin, la Commission rappelle que les échanges de données réalisés sur des canaux non sécurisés doivent être chiffrés, afin de garantir la confidentialité des données.
La Présidente
Isabelle FALQUE-PIERROTIN