(Demande d’autorisation n° 1797038)
La Commission nationale de l'informatique et des libertés,
Saisie par l’APASE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’accompagnement social des mineurs et le soutien à la parentalité ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment son article L312-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, et notamment son article 25-I-7°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme. Laurence Dumont, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’APASE, située rue des Landelles à Cesson Sévigné (35510).
Cette association est un établissement social et médico-social au sens de l’article L.312-1 du code de l’action sociale et des familles.
Elle a notamment pour but de soutenir l’intégration sociale des familles et d’assurer aux enfants une éducation et des conditions de vie permettant leur épanouissement en favorisant autant que possible le maintien auprès de leurs parents.
Sur la finalité
Le traitement mis en œuvre vise à permettre  l’accompagnement des mineurs faisant l’objet d’une protection administrative ou judiciaire notamment en assurant le lien avec leurs parents et leur famille.
La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites.
Elle estime qu’il y a lieu de faire application de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation, les traitements automatisés ou non portant sur des données relatives aux appréciations sur les difficultés sociales des personnes concernées.
Sur les données traitées
Les  données traitées sont relatives :
- à l’identification de l’enfant et des parents (nom, prénom, adresse, date et lieu de naissance) ;
-  au numéro d’allocataire à la caf  des parents ;
- au nom du centre départemental d’action sociale (CDAS)  de référence de l’enfant pris en charge ;
- à la date et aux  références du jugement concernant l’enfant rendu par le tribunal des enfants ;
-  à l’origine de la mesure et motif de la levée ;
-  au nom du travailleur social suivant l’enfant ;
-  à la vie personnelle (habitude de vie, situation familiale) et à la  vie professionnelle (scolarité, formation) de l’enfant ;
- à la situation sociale (difficultés rencontrées) et aux appréciations sur les difficultés sociales de l’enfant.
Ces données apparaissent pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Les données sont accessibles en interne par les personnels de l’association dûment habilités en raison de leur fonction.
La Commission relève que les données relatives aux appréciations sur les  difficultés sociales des personnes concernées seront uniquement consultables en interne afin d’apprécier les solutions éducatives pouvant être instaurées par le personnel de l’établissement.
La Commission prend acte que les données traitées dans le cadre du présent traitement peuvent être transmises aux autorités administratives de tutelle (Juge des enfants, CDAS et direction de l’enfance et de la famille).
La liste des destinataires n’appelle pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes sont informées conformément à l’article  32 de la loi du 6 janvier 1978 par des mentions légales figurant, sur le livret d’accueil de l’usager et par voie d’affichage.
La Commission rappelle que cette information doit être fournie selon des modalités adaptées à l’état des personnes suivies.
Les droits d’accès et de rectification s’exercent auprès de  l’APASE.
Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.
L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.
Les habilitations d’accès au système d’information sont définies en fonction des attributions des utilisateurs.
Les échanges de données effectuées sur internet sont sécurisés  par des procédés  de chiffrement de transport des données.
La Commission recommande que les accès à l’application fassent l’objet d’une journalisation. Elle rappelle que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du  traitement
Les données sont conservées dix ans après la majorité de l’enfant concerné conformément aux dispositions de  l’article 7 du code de procédure pénale relatives à la prescription des crimes.
La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de sa finalité poursuivie.
Autorise, conformément à la présente délibération, l’APASE à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN