(Demande d’autorisation n° 1558722)
La Commission nationale de l’informatique et des libertés,
Saisie par l'association de gestion du centre local d'information et de coordination d’Ille-et-Vilaine d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi et la gestion des dossiers des personnes prises en charge ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 25-I-1°, 25-I-6° et 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Monsieur Emmanuel de GIVRY, rapporteur et après avoir entendu les observations de Madame Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Un centre local d'information et de coordination (CLIC) est un espace d'accueil, d'écoute, d'information, de conseil et d'orientation destiné aux personnes de plus de 60 ans et aux personnes en situation de handicap.
Depuis 2002, les CLIC sont considérés comme des établissements médico-sociaux. Leur création est soumise à une autorisation du Président du Conseil général et le département leur alloue une subvention annuelle de fonctionnement.
L’association de gestion du centre local d'information et de coordination (AGECLIC) est le CLIC du secteur gérontologique de Combourg. Il couvre 43 communes situées dans les cantons de Dol-de-Bretagne, Pleine-Fougères, Combourg, Tinténiac et Hédé.
Comme 12 autres CLIC d’Ille-et-Vilaine, c’est un lieu d’information et d’aide aux personnes âgées ainsi qu’aux personnes handicapées. Il est également un instrument de coordination pour les différents acteurs de prestations gérontologiques et assure le rôle d’antenne-relais de la Maison départementale des personnes handicapées (MDPH).
Sur la finalité
La finalité du présent traitement consiste à suivre et à gérer les dossiers des personnes prises en charge par l’AGECLIC.
La Commission considère que la finalité poursuivie est déterminée, légitime et explicite.
Elle estime qu’il y a lieu de faire application des dispositions de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements portant sur le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques.
La Commission considère également qu’il y a lieu de faire application de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements qui comportent des données permettant d’apprécier les difficultés sociales des personnes.
Elle estime, enfin, qu’il y a lieu de faire application des dispositions des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
Les catégories de données traitées sont relatives :
La Commission estime que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
à l’identification des personnes physiques concernées (nom, prénom, adresse, date et lieu de naissance, noms du médecin traitant et du travailleur social suivant la personne prise en charge) ;
à la vie personnelle (habitudes de vie, situation familiale, informations utiles à la compréhension des besoins et d’accès aux droits) ;
à la vie professionnelle (situation professionnelle) ;
aux informations d’ordre économique et financier (revenus, situation financière) ;
au numéro d’inscription des personnes au répertoire national d’identification des personnes physiques ;
à des appréciations sur les difficultés sociales des personnes (difficultés sociales, mesures de protection) ;
à la santé (soins, situations ou comportements à risque).
Sur les destinataires
Les destinataires des données sont :
Les données relatives à la santé sont exclusivement accessibles par des professionnels de santé, soumis au secret médical, dans le cadre de l’administration de soins ou de traitements.
le personnel habilité de l’AGECLIC ;
les agents habilités du Conseil Général pour les seules données d’identification (éléments d’identification et numéro d’inscription des personnes au répertoire national d’identification des personnes physiques) ;
le personnel habilité d’une MDPH ;
les professionnels du secteur médical et du secteur médico-social soumis au respect du secret médical intervenant dans la prise en charge des personnes suivies par l’AGECLIC.
Les numéros d’inscription des personnes au répertoire national d’identification des personnes physiques ne peuvent être transmis qu’aux agents habilités du Conseil Général, au personnel habilité d’une MDPH ou aux professionnels de santé, aux fins d'identification ou d'aide à la rédaction de document administratif.
Sur l’information et le droit d’accès
Les personnes physiques sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée par un affichage et un rappel oral lors d’un entretien.
Les droits d’accès et de rectification s’exercent auprès du personnel compétent de l’AGECLIC (2, ruelle du moutier, 35270 Combourg) par courrier, courriel ou sur place.
Sur les mesures de sécurité
La Commission rappelle que l’authentification des utilisateurs du traitement doit respecter ses préconisations et, en particulier, être réalisée par l’intermédiaire de mots de passe d’un niveau de complexité suffisant (8 caractères avec des lettres minuscules, majuscules, des chiffres et des caractères spéciaux) renouvelés régulièrement.
Le traitement doit également comporter une fonctionnalité de journalisation des opérations de consultation, création et modification des données à caractère personnel et les journaux de connexion doivent être conservés pendant 6 mois.
En outre, lorsque le traitement est accessible sur internet, la Commission rappelle que le protocole HTTPS doit être utilisé pour garantir la confidentialité des données échangées.
Lorsque les données sont échangées sur des canaux non sécurisés, ces échanges doivent également être chiffrés afin de garantir la confidentialité des données.
Sur les autres caractéristiques du traitement
Les données sont conservées en base active pendant la durée nécessaire à la rédaction d'un dossier complet. Cette durée n’excède pas 2 mois sauf particularité liée, par exemple, à une hospitalisation.
Les données font par la suite l’objet d’un archivage sur un serveur sécurisé pendant deux ans, étant précisé qu’un dossier archivé est reversé en base active si la personne concernée fait de nouveau appel aux services de l’AGECLIC.
Autorise, conformément à la présente délibération, l'association de gestion du centre local d'information et de coordination (AGECLIC) à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN