(Demande d’autorisation n° 1600988)
La Commission nationale de l'informatique et des libertés,
Saisie par Madame Chrystel MARTINEAU, prise en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel, d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous curatelle ou sous tutelle ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code civil, notamment son article 515 ;
Vu le code de l’action sociale et des familles, notamment ses articles L. 361-1, L. 471-1 à L. 473-4 et R. 472-1 à R. 472-26 ;
Vu le code de procédure pénale, notamment ses articles 706-112 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 29 mai 2009 du Préfet de la région Aquitaine portant désignation des personnes habilitées pour être désignées en qualité de mandataire judiciaire à la protection des majeurs par les juges des tutelles pour exercer des mesures de protection des majeurs au titre de la tutelle, de la curatelle ou du mandat spécial auquel il peut être recouru dans le cadre de la sauvegarde de justice ;
Après avoir entendu Madame Laurence DUMONT, commissaire, en son rapport, et Monsieur. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission est saisie par Madame Chrystel MARTINEAU, prise en sa qualité de mandataire judiciaire à la protection des majeurs au titre de la tutelle, de la curatelle ou du mandat spécial auquel il peut être recouru dans le cadre de la sauvegarde de justice.
La Commission relève, au regard des dispositions de l’article L. 471-1 du code de l’action sociale et des familles (CASF), que les mandataires judiciaires à la protection des majeurs exercent à titre habituel les mesures de protection des majeurs que le juge des tutelles leur confie.
En application de l’article L. 471-2 du CASF, ces mandataires sont inscrits sur une liste dressée et tenue à jour par le représentant de l’Etat dans le département.
L’article L. 472-1 du CASF prévoit, quant à lui, que les personnes physiques qui exercent à titre individuel et habituel les mesures de protection des majeurs ordonnées par l'autorité judiciaire doivent, préalablement à leur inscription sur cette liste, faire l’objet d’un agrément en qualité de mandataire judiciaire à la protection des majeurs. Cet agrément est délivré par le représentant de l'Etat dans le département, après vérification que la personne satisfait aux conditions prévues par les articles L. 471-4 et L. 472-2 du CASF et avis conforme du procureur de la République. L’agrément doit s’inscrire dans les objectifs et répondre aux besoins fixés par le schéma régional d’organisation sociale et médico-sociale prévu à l’article L.312-5 du CASF.
La Commission relève que Madame Chrystel MARTINEAU, par arrêté du Préfet de la Gironde en date du 29 mai 2009, est habilitée pour être désignée en qualité de mandataire judiciaire à la protection des majeurs, par le juge des tutelles, pour exercer des mesures de protection des majeurs au titre de la tutelle, de la curatelle ou du mandat spécial auquel il peut être recouru dans le cadre de la sauvegarde de justice.
La Commission considère que les missions confiées par le juge des tutelles à Madame Chrystel MARTINEAU sont justifiées par l’intérêt public et peuvent, dès lors, justifier le traitement de données relevant de l’article 8 de la loi du 6 janvier 1978 modifiée.
Elle relève en outre que les dispositions de l’article 706-113 du code de procédure pénale prévoient, dans certaines circonstances, la communication par l’autorité judiciaire de données relatives à des infractions, condamnations ou mesures de sûreté aux mandataires judiciaires à la protection des majeurs. Ces dispositions impliquent que le législateur a entendu ouvrir une possibilité spécifique de collecte de telles données par ces mandataires. Cette faculté légale vient ainsi compléter le régime général, tel que prévu par l’article 9 de la loi du 6 janvier 1978 modifiée, régissant le traitement de ce type d’informations. Il en résulte que les mandataires judiciaires à la protection des majeurs peuvent traiter des données relevant dudit article, dans les limites prévues par les dispositions légales en vigueur.
Sur la finalité du traitement :
Madame Chrystel MARTINEAU a saisi la Commission, en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel, d’une demande d’autorisation préalablement à la mise en œuvre d’un traitement ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous curatelle ou sous tutelle et relevant de son mandat.
La Commission considère que cette finalité est déterminée, explicite et légitime et peut conduire, en fonction des mandats confiés par le juge des tutelles, à la collecte ou au traitement de données sensibles telles que le paiement de cotisations politiques ou syndicales, les dons à des organismes religieux, des appréciations sur les difficultés sociales des personnes concernées, des données relatives à leur santé, ou des informations en lien avec les poursuites judicaires dont les  personnes précitées feraient l’objet, dans le respect des dispositions du code de procédure pénale.
Elle estime, dès lors, qu’il y a lieu de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements, automatisés ou non, justifiés par l’intérêt public qui font apparaître directement ou indirectement les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses, l’appartenance syndicale ou qui sont relatives à la santé ou à la vie sexuelle des personnes.
La Commission considère qu’il convient également de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.
Elle estime qu’il y a également lieu de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant sur des données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques.
La Commission estime, enfin, que le recours à la formalité de l’autorisation se justifie au regard de l’article 25-I-7° de la loi 6 janvier 1978 modifiée pour ce qui concerne les traitements automatisés de données comportant des appréciations sur les difficultés sociales des personnes.
Sur la nature des données traitées :
Les données du présent traitement sont, en fonction du type de mesure de protection (sauvegarde de justice, curatelle ou tutelle), du contenu précis de la mesure prononcée par le juge et de la nature des actes à accomplir, relatives :
à  l’identification des personnes et, le cas échéant, à celle de leurs conjoints et enfants (nom, prénom, adresse, date et lieu de naissance) ;
à leur vie personnelle (situation familiale, adresse de résidence et fiscale, type d’hébergement) ;
à  leur vie professionnelle (situation professionnelle, scolarité, formation) ;
à des informations d’ordre économique et financier (revenus, situation financière, dépenses, recettes, contrôle du budget) ;
à l’appartenance religieuse, politique ou syndicale et à la santé ;
aux infractions, condamnations ou mesures de sûreté, dans les limites prévues par les dispositions législatives en vigueur ;
au numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (numéro de sécurité sociale), uniquement dans le cadre d’échanges avec des professionnels de santé, des organismes de sécurité sociale, de prévoyance ou de retraite, ainsi que des financeurs de prestations sociales ou médico-sociales;
à des appréciations sur les difficultés sociales des personnes ;
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie, dès lors qu’elles s’avèrent nécessaires à l’exercice d’un mandat de représentation.
Sur la durée de conservation des données :
Les données à caractère personnel du présent traitement sont conservées jusqu’à la prescription de l’action en reddition des comptes, en revendication ou en paiement diligentée par la personne protégée ou ses héritiers à savoir, en application de l’article 515 du code civil, cinq ans à compter de la fin de la mesure de protection sauf interruption ou suspension de la prescription.
La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Sur les destinataires des données :
Seul le responsable de traitement et, le cas échéant, les membres habilités de son personnel soumis à une obligation de confidentialité peuvent accéder au présent traitement.
Seuls ces utilisateurs sont habilités à transmettre des données aux destinataires suivants.
Le juge des tutelles compétent peut être destinataire de l’intégralité des données du traitement.
La direction départementale de la cohésion sociale et les organismes financeurs, au nombre desquels figurent notamment les caisses d’allocations familiales ou de mutualité sociale agricole, la caisse des dépôts et des consignations ou encore les caisses primaires d’assurance maladie, peuvent être destinataires des données d’identification, des données relatives à la vie personnelle et des numéros de sécurité sociale.
La Commission considère que ces destinataires présentent un intérêt légitime à connaître de ces données.
Elle estime, par ailleurs, que le responsable du traitement peut également communiquer des données aux organismes en relation avec les personnes représentées, sous réserve que ces transmissions soient indispensables à ces relations, d’une part, et que les données concernées soient limitées au strict nécessaire, d’autre part.
Sur l'information des personnes :
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales sur des notices d’information.
La Commission considère que cette modalité d’information des personnes est satisfaisante. Elle rappelle que cette information doit être fournie selon des modalités adaptées à leur état.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Sauf décision contraire du juge des tutelles, les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès de Madame Chrystel MARTINEAU par courrier, téléphone, fax ou courriel.
La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes.
Sur la sécurité des données et la traçabilité des actions :
L’authentification des utilisateurs est assurée par des mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.
Des profils d’habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs.
Le traitement n’est accessible que sur un réseau interne privé, ce qui offre une garantie quant à la sécurité des données y transitant.
Les échanges de données effectués sur internet sont sécurisés par l’utilisation du protocole dit « HTTPS » et de certificats électroniques. Les télétransmissions bancaires sont, quant à elles, réalisés selon les normes dites « ETEBAC » et/ou « EBICS ».
Une fonctionnalité de journalisation des opérations de consultation, de modification ou de création permet d’identifier  l’utilisateur à l’origine d’une opération. Les données de traçabilité sont conservées pendant six mois dans des conditions permettant de garantir leur intégrité et leur confidentialité.
Les interventions de maintenance sont enregistrées dans une main courante et les opérations de télémaintenance nécessitent l’utilisation d’un certificat dit « SSL ».
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise Madame Chrystel MARTINEAU, en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel, à mettre en œuvre un traitement de données à caractère personnel ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous curatelle ou sous tutelle.
La Présidente
Isabelle FALQUE-PIERROTIN