(Demande d’autorisation n° 1639910)
La Commission nationale de l'informatique et des libertés,
Saisie par la Fédération nationale d’aide aux victimes et de médiation d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des partenariats professionnels et des dossiers des usagers ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8, 9, 25-I-1°, 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Gaëtan GORCE, commissaire, et après avoir entendu les observations de M.  Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La Fédération nationale d’aide aux victimes et de médiation (ci-après « INAVEM »).
L’INAVEM est une association relevant de la loi de 1901, qui a pour mission d’animer, de coordonner et de promouvoir un réseau d'aide aux victimes, ainsi que d'engager des partenariats et des conventions pour faciliter l'accès des personnes victimes aux associations locales. La fédération, qui compte plus de 130 associations d’aide aux victimes réparties sur tout le territoire national, a  notamment pour mission d’accueillir via une plate-forme téléphonique les victimes d’infractions et de les accompagner. Plusieurs types d’activités sont exercées par les associations locales, de l’aide aux victimes, l’exercice de mandats judiciaires (administration ad hoc, médiation pénale et enquête de personnalité concernant la victime) à l’accès au droit.
Sur la finalité
L’INAVEM gère une plateforme téléphonique d’accueil de toutes les personnes victimes d’infractions qui souhaitent faire l’objet d’un accompagnement  par l’association. Les appelants peuvent dans ce cadre présenter ou non leur identité. Les premiers échanges téléphoniques n’ont pas pour objet de prendre en charge directement les sollicitations des personnes concernées mais de recueillir les informations nécessaires à la prise en charge, par les associtaions locales adhérentes au réseau, des personnes concernées.
Dans ce cadre, l’INAVEM souhaite se doter d’une base de données, dénommée NUM NAT-STAT, qui doit permettre :
de transmettre, avec leur accord, les coordonnées des appelants aux associations d’aide aux victimes locales adhérentes à l’INAVEM afin qu’elles puissent se charger de prendre attache avec la victime.
de référencer les partenaires professionnels dans une base permettant aux écoutants de s’y référer afin de proposer une orientation adéquate aux appelants.
d’effectuer des statistiques globales et anonymisées sur les appels reçus par le service à destination des financeurs et autorités publiques.
de transmettre, avec leur accord, les coordonnées des appelants aux associations d’aide aux victimes locales adhérentes à l’INAVEM afin qu’elles puissent se charger de prendre attache avec la victime.
de référencer les partenaires professionnels dans une base permettant aux écoutants de s’y référer afin de proposer une orientation adéquate aux appelants.
d’effectuer des statistiques globales et anonymisées sur les appels reçus par le service à destination des financeurs et autorités publiques.
La Commission considère que ces finalités sont déterminées,  explicites et légitimes, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.
de transmettre, avec leur accord, les coordonnées des appelants aux associations d’aide aux victimes locales adhérentes à l’INAVEM afin qu’elles puissent se charger de prendre attache avec la victime.
de référencer les partenaires professionnels dans une base permettant aux écoutants de s’y référer afin de proposer une orientation adéquate aux appelants.
d’effectuer des statistiques globales et anonymisées sur les appels reçus par le service à destination des financeurs et autorités publiques.
Elle relève que le traitement, justifié par l’intérêt public, peut faire apparaître directement ou indirectement les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses, l’appartenance syndicale ou qui sont relatives à la santé ou à la vie sexuelle des personnes. La Commission estime dès lors qu’il y a lieu de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation de la Commission les traitements automatisés ou non portant sur de telles données.
Elle relève en outre que le traitement porte sur des données relatives aux infractions, condamnations et mesures de sûreté au sens de l’article 9 de la loi du 6 janvier 1978 modifiée. A cet égard, la Commission relève que l’INAVEM assure une mission d’intérêt général sous le contrôle de l’administration. Ainsi, elle est conventionnée par le ministère de la justice et son action  s’inscrit dans le  programme budgétaire 101 « Accès au droit et à la justice », qui contient l’action d’aide aux victimes et précise chaque année les objectifs de cette action ainsi que les indicateurs auxquels les associations doivent répondre (par exemple, évolution du nombre de victimes accueillies par les associations et le nombre de dossiers qu’elles suivent, etc.).
Au regard de l’ensemble de ces éléments, la Commission estime que l’INAVEM est une personne morale gérant un service public, au sens de l’article 9-1° de la loi du 6 janvier 1978 modifiée, qui est en conséquence habilitée, dans le cadre de ses attributions, à traiter des données relevant dudit article.
Il y a dès lors lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation de la Commission le traitement de telles données.
Sur les données traitées
Les données traitées et relatives aux victimes qui font appel à l’INAVEM portent sur :
La Commission observe que les appels peuvent être anonymes et que l’anonymat peut être levé au cours de la conversation téléphonique avec l’accord de l’appelant. Dans ce cas, les données seront conservées deux ans puis seront anonymisées de façon systématique, indépendamment de la clôture du dossier par les associations locales. Ainsi les items noms, prénoms, coordonnées, dates et lieux de naissance sont automatiquement supprimés.
les nom et prénoms ;
les date et lieu de naissance ou l’âge approximatif pour les personnes ne souhaitant pas renseigner leurs date et lieu de naissance ;
le sexe, le statut marital ou civil de l’usager ou de la personne à aider ;
le lieu et la description des faits relatés et, le cas échéant, la qualification pénale de ces faits ;
l’existence de précédents ;
les renseignements sur les types d’aides apportées lors de l’entretien (sociale, psychologique, juridique ou matérielle).
le nom de l’association ou de l’institution (maison de justice, Défenseur des Droits, etc.) vers laquelle est orientée la personne aidée ;
son adresse, son téléphone ;
ses horaires d’ouverture ;
ses champs d’intervention.
Les données traitées et relatives aux agents de l’INAVEM portent sur le code de l’écoutant.
Les données traitées et relatives aux partenaires de l’INAVEM portent sur :
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
les nom et prénoms ;
les date et lieu de naissance ou l’âge approximatif pour les personnes ne souhaitant pas renseigner leurs date et lieu de naissance ;
le sexe, le statut marital ou civil de l’usager ou de la personne à aider ;
le lieu et la description des faits relatés et, le cas échéant, la qualification pénale de ces faits ;
l’existence de précédents ;
les renseignements sur les types d’aides apportées lors de l’entretien (sociale, psychologique, juridique ou matérielle).
le nom de l’association ou de l’institution (maison de justice, Défenseur des Droits, etc.) vers laquelle est orientée la personne aidée ;
son adresse, son téléphone ;
ses horaires d’ouverture ;
ses champs d’intervention.
Néanmoins, elle rappelle que les données relatives aux victimes ne devront être recueillies que dans le cas où le traitement du dossier le nécessite.
Sur les destinataires
Les destinataires des informations sont :
La Commission rappelle que les données transmises à ces partenaires doivent être limitées aux données strictement nécessaires à l’exercice de leurs missions.
les  associations d’aide aux victimes adhérentes à la fédération.
Le ministère de la Justice  est également destinataire de données statistiques.
La Commission considère que ces destinataires ont un intérêt légitime à connaitre des données collectées.
Sur l’information et le droit d’accès
Les personnes concernées par le traitement sont informées de la finalité du traitement, des destinataires des informations, de l’existence et des modalités d’exercice de leurs droits par des mentions figurant sur le site internet de l’INAVEM et sur les courriers de réponse. Ils sont également informés oralement lors des entretiens téléphoniques et via la messagerie vocale.
Les droits d’accès et de rectification prévus aux articles 39 et 40 de la loi s’exercent par courrier postal auprès de la Fédération nationale d’aide aux victimes et de médiation (INAVEM), sise  27, avenue Parmentier, 75011 PARIS, ou par voie électronique (contact@inavem.org).
La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Le responsable d’un traitement de données à caractère personnel est tenu, en application de l’article 34 de la loi du 6 janvier 1978 modifiée, de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment empêcher que des tiers non autorisés y accès.
La Commission observe que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.
L’authentification des utilisateurs est assurée par des mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.
Les habilitations d’accès au système d’information sont définies en fonction des attributions des utilisateurs.
Les accès aux données font l’objet d’une traçabilité et les  traces sont conservées six mois.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévues par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, l’INAVEM à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN