La Commission nationale de l'informatique et des libertés,
Saisie par le Conseil départemental du Jura d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des demandes et renouvellements des agréments des assistants maternels ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment son article L. 421-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25-I-3° ;
Vu la loi n° 2005-706 du 27 juin 2005 relative aux assistants maternels et aux assistants familiaux ;
Vu la loi n° 2010-625 du 9 juin 2010 relative à la création des maisons d’assistants maternels et portant diverses dispositions relatives aux assistants maternels ;
Vu la loi n° 2016-457 du 14 avril 2016 relative à l’information de l’administration par l’autorité judiciaire et à la protection des mineurs ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2006-1153 du 14 septembre 2006 relatif à l’agrément des assistants maternels et des assistants familiaux et modifiant le code de l’action sociale et des familles (partie réglementaire) ;
Vu le décret n° 2012-364 du 15 mars 2012 relatif au référentiel fixant les critères d’agrément des assistants maternels ;
Vu l’arrêté du 18 octobre 2016 fixant le modèle de formulaire en vue de l’agrément des assistants maternels et la composition du dossier de demande d’agrément ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Conseil départemental du Jura.
Sur la finalité
Le traitement de données à caractère personnel a pour finalités :
la gestion des demandes des agréments des assistants maternels ;
le renouvellement des agréments des assistants maternels.
L’article L. 421-3 du code de l’action sociale et des familles prévoit que l’agrément nécessaire pour exercer la profession d’assistant maternel est délivré par le président du Conseil départemental du département où le demandeur réside.
Un référentiel approuvé par décret en Conseil d’Etat fixe les critères d’agrément des assistants maternels (le décret n° 2012-364 du 15 mars 2012 relatif au référentiel fixant les critères d’agrément des assistants maternels).
L’agrément est accordé à cette profession si les conditions d’accueil garantissent la sécurité, la santé et l’épanouissement des mineurs et majeurs de moins de vingt et un ans accueillis, en tenant compte des aptitudes éducatives de la personne.
La Commission considère que les finalités poursuivies sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée en août 2004.
Sur les données traitées
Les données collectées auprès des assistants maternels sont prévues par un arrêté du 18 octobre 2016 fixant le modèle de formulaire en vue de l’agrément des assistants maternels et la composition du dossier de demande d’agrément.
En outre, sont également collectées les données relatives aux infractions, condamnations et mesures de sûreté (extrait du bulletin n°2 du casier judiciaire), conformément aux dispositions de l’article L. 421-3 du code de l’action sociale et des familles.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée en août 2004, dès lors qu’elles s’avèrent nécessaires et proportionnées dans le cadre du présent traitement.
Compte tenu de la nature des données collectées, la Commission considère qu’il y a lieu de faire application des dispositions de l’article 9-1 et 25-I-3° de la loi du 6 janvier 1978 modifiée en août 2004, qui soumettent à autorisation les traitements comportant des données relatives aux infractions.
Sur les destinataires
Les services en charge de l’instruction de l’agrément des assistants maternels au sein du Conseil départemental du Jura ont accès à l’ensemble des informations mentionnées ci-dessus, à raison de leurs attributions respectives et dans la limite du besoin d’en connaître.
Sont destinataires des informations relatives à l’identité de la personne (nom, prénoms, adresse, date et lieu de naissance, courriel, numéro de téléphone), à raison de leurs attributions respectives et dans la limite du besoin d’en connaître, les personnels de la caisse d’allocations familiales (CAF), de la sécurité sociale agricole (MSA) et de PAJEMPLOI, conformément aux dispositions de l’article L. 421-9 du code de l’action sociale et des familles.
La Commission estime que ces destinataires présentent un intérêt légitime à connaître de ces données.
Sur l’information et les droits des personnes
Les personnes sont informées, conformément aux dispositions de l’article 32 de la loi Informatique et Libertés, par :
des mentions légales figurant sur le formulaire de demande d’agrément d’assistant maternel qui est complété lors de la demande initiale et du renouvellement de l’agrément (Cerfa n° 13394*4) ;
des mentions légales figurant sur le courrier de notification de l’obtention de l’agrément.
La Commission considère que ces modalités d’information des personnes sont satisfaisantes.
Les droits d’accès et de rectification prévus aux articles 39 et 40 de la loi susvisée s’exercent auprès du pôle des services sociaux du Conseil départemental du Jura.
Dans la mesure où le présent traitement répond à une obligation légale prévue à l’article L. 421-3 du code de l’action sociale et des familles, le droit d’opposition est écarté, conformément aux dispositions de l’article 38 de la loi du 6 janvier 1978 modifiée en août 2004.
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur la durée de conservation
Les données sont conservées en base active le temps de la gestion des demandes et renouvellements des agréments des assistants maternels, à l’exception des données relatives aux infractions, condamnations et mesures de sûreté (extrait du bulletin n° 2 du casier judiciaire) qui sont conservées trois mois en base active, et sont ensuite supprimées de manière sécurisée.
Elles font ensuite l’objet d’un archivage intermédiaire pour une durée de deux ans à compter de la date de la cessation d’activité de l’assistant maternel.
Lorsqu’il existe un recours contre un tiers ou un contentieux, les données sont conservées jusqu’à l’intervention de la décision définitive.
A l’expiration de ces périodes, les données sont détruites de manière sécurisée.
Certains dossiers sont conservés de manière définitive à des fins d’archivage par la direction des archives départementales, conformément aux dispositions du code du patrimoine.
La Commission considère que ces durées de conservation sont pertinentes au regard des finalités poursuivies.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée et frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.
Des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur. Ceux-ci ainsi que leurs droits respectifs sont spécifiés et documentés de manière détaillée, et prennent en compte les accès différentiés aux informations en fonction du besoin d’en connaître.
La Commission rappelle qu’elle recommande que les permissions d’accès soient attribuées pour une durée déterminée, qu’elles soient supprimées pour tout utilisateur n’étant plus habilité, et qu’une revue globale des habilitations soit opérée régulièrement.
L’authentification des utilisateurs du traitement est assurée par l’utilisation des mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des majuscules, des minuscules, des chiffres ou des caractères spéciaux lorsque l’authentification prévoit une restriction de l’accès au compte, conformément à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe.
La Commission rappelle qu’elle recommande de réaliser un contrôle des traces de manière automatique, afin de détecter les comportements anormaux, et lever les alertes.
Des sauvegardes régulières sont réalisées et stockées dans un endroit garantissant leur sécurité et leur disponibilité. La Commission tient à rappeler l’importance de tester régulièrement les sauvegardes.
Sous réserves des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée en août 2004.
La Commission rappelle toutefois que cette obligation nécessité la mise à jour régulière des risques.
Autorise, conformément à la présente délibération, le Conseil départemental du Jura à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS