(Demande d’autorisation n° 1480880)
La Commission nationale de l’informatique et des libertés,
Saisie par l'Association PRESENCE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité d’organiser le suivi et l'accompagnement administratif, éducatif, social et médical d'adultes déficients intellectuels .
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment son article L. 311-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25-I-1°, 25-I-3°, 25-I-6° et 25-I-7° ;
Vu la loi n° 2002-2 du 2 janvier 2002 rénovant l'action sociale et médico-sociale ;
Vu la loi n° 2005-102 du 11 février 2005 pour l'égalité des droits et des chances, la participation et la citoyenneté des personnes handicapées ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, rapporteur et après avoir entendu les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
L'Association PRESENCE, créée le 1er décembre 1993, est un organisme à but non lucratif et vise deux objectifs essentiels : d'une part, aider et maintenir à leur domicile des personnes ayant besoin d'assistance dans les actes de tous les jours ; d'autre part, favoriser la réinsertion sociale et professionnelle de demandeurs d'emploi.
L’association PRESENCE est agréée pour fonctionner comme une association prestataire de services et mandataire. En option prestataire, l'association est employeur et fait intervenir son personnel auprès des usagers. En option mandataire, la personne faisant appel à PRESENCE devient membre adhérent de l'association et a le statut d'employeur. Les interventions du personnel sont dans ce cas régies par la Convention Collective Nationale des Salariés du Particulier Employeur.
En premier lieu, l’association a pour objet de gérer le foyer occupationnel La Bastide Saint-Pierre qui prend en charge le suivi et l'accompagnement administratif, éducatif, social et médical d'adultes déficients intellectuels.
Cet établissement est un établissement social et médico-social au sens de l’article L. 312-1-I-1° du code de l’action sociale et des familles. Conformément à l’article L. 311-1 du même code, il exerce donc une mission d’intérêt général et d’utilité sociale.
En second lieu, l’association a un double agrément préfectoral au titre des Emplois de Services aux Personnes : un agrément simple (1/00/PRO/300) et un agrément qualité (2/06/PRO/300).
En outre, elle a signé une convention avec le Conseil général du Var et l’Agence régionale de la Santé (ARS) ainsi qu’un contrat d’objectifs et de moyens.
En troisième lieu, s’agissant des conditions de création, d’organisation ou de fonctionnement de l’association, la Commission relève que l’association est entièrement financée par le Conseil général du Var.
A ce titre, le Conseil général contrôle la capacité d’accueil de l’établissement, tout changement dans l’organisation, la direction ou le fonctionnement de l’établissement, la comptabilité établie par référence au plan comptable des établissements publics hospitaliers et le budget prévisionnel (comprenant la prévision détaillée des charges, notamment l’organigramme du personnel, et des recettes), le compte d’exploitation et le bilan de l’association.
L’association est donc soumise à des contrôles d’activité annuels. Elle remet un bilan d’activité au Conseil général du Var tous les 5 ans.
Au regard de ce qui précède, la Commission considère que l’association PRESENCE gère un service public au sens de l’article 9-1° de la loi du 6 janvier 1978 modifiée.
Sur la finalité
La finalité du traitement est d’organiser le suivi et l'accompagnement administratif, éducatif, social et médical d'adultes déficients intellectuels.
La Commission considère que cette finalité est déterminée, explicite et légitime.
La Commission considère que le recours à la formalité de l’autorisation se justifie au regard de :
l’article 25-I-1° pour ce qui concerne le traitement de données de santé et d’autres données sensibles ;
l’article 25-I-3° pour ce qui concerne le traitement de données d’infraction, dans la mesure où l’association gère un service public au sens de l’article 9-1° ;
l’article 25-I-6° pour ce qui concerne le traitement du numéro de sécurité sociale ;
l’article 25-I-7° de la loi pour ce qui concerne les appréciations sur les difficultés sociales des personnes.
Sur les données traitées
Les catégories de données collectées sont relatives :
Le traitement de ces données apparaît adéquat, pertinent et non excessif.
à l’identification des personnes accompagnées et, le cas échéant, de leurs responsables légaux ;
à leur situation familiale et à leurs habitudes de vie ;
à leur vie professionnelle ;
à leurs revenus et à leur situation financière ;
à leur numéro de sécurité sociale (conservé uniquement sous format papier pour présentation au médecin ou à une infirmière, si besoin, afin que ce dernier puisse échanger avec la sécurité sociale) ;
aux analyses médicales relatives au jeune portant mention, le cas échéant, de l’existence d’une trisomie 21 (information conservée sous format papier pour présentation au médecin ou à une infirmière) ;
aux infractions, condamnations et mesures de sûreté (jugement du juge des tutelles, convocation à d’éventuelles audiences de la personne suivie, éléments relatifs aux délits mineurs commis par ces personnes) ;
aux appréciations sur les difficultés sociales des personnes (données issues des services sociaux et des partenaires sociaux par les services de l’aide sociale à l’enfance du Conseil général et conservées uniquement sous format papier) ;
aux données de santé (collectées seulement avec le consentement exprès de l’intéressé, le dossier de santé de la personne concernée étant conservé sous format papier et rendu accessible uniquement au médecin et à l’infirmière en charge du suivi de cette personne).
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités de l’association et de l’établissement.
La Commission prend acte que l’habilitation à consulter des données de santé ne peut être attribuée qu’à des personnes soumises au secret médical, et dans la stricte limite de leurs missions.
La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données.
Sur l’information et le droit d’accès
Conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées au moyen de mentions spécifiques dans le règlement de fonctionnement de l’établissement et par affichage.
Les droits d’accès et de rectification s’exercent auprès du personnel habilité de l’association PRESENCE, 255 avenue Charles de Gaulle, 83500 LA SEYNE SUR MER.
Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
L traitement déclaré est un fichier Excel.
Les habilitations des utilisateurs du traitement respectent les préconisations de la CNIL.
Elle prend également note du fait que les données de santé et les données relatives aux infractions sont conservées uniquement sous format papier dans une armoire fermée à clé.
Concernant les mesures d’authentification des utilisateurs, la Commission rappelle qu’il est impératif que celles-ci soient suffisamment robustes pour assurer une authentification fiable des utilisateurs.
Ainsi, le traitement doit obliger les utilisateurs à avoir recours à des mots de passe de 8 caractères minimum, contenant des lettres majuscules, des lettres minuscules, des chiffres et des caractères spéciaux, ou bien utiliser des techniques d’authentification apportant un niveau de sécurité analogue.
Concernant le contrôle des accès aux données, des mesures de traçabilité doivent permettre d’imputer toutes les opérations de consultation, modification ou de création à l’utilisateur à l’origine de cette opération, et ce afin de pouvoir détecter d’éventuelles opérations frauduleuses a posteriori.
Ces données de traçabilité doivent être conservées 6 mois dans des conditions permettant de garantir leur intégrité et leur confidentialité, et une procédure opérationnelle doit en définir les modalités d’accès.
Sur les autres caractéristiques du traitement
Les données sont conservées 12 mois après la sortie définitive de l’adulte suivi de l’établissement.
Cette durée de conservation apparaît pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, l'Association PRESENCE à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN