(Demande d’autorisation n° 1467247)
La Commission nationale de l’informatique et des libertés,
Saisie par l'Association PRESENCE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité d’organiser l'accompagnement et le suivi éducatif, scolaire, pédagogique, social, thérapeutique, psycho-médical et rééducatif d'enfants, d'adolescents et de jeunes adultes présentant une déficience intellectuelle sévère.
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment son article L. 311-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25-I-1°, 25-I-3°, 25-I-6° et 25-I-7° ;
Vu la loi n° 2002-2 du 2 janvier 2002 rénovant l'action sociale et médico-sociale ;
Vu la loi n° 2005-102 du 11 février 2005 pour l'égalité des droits et des chances, la participation et la citoyenneté des personnes handicapées ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, rapporteur et après avoir entendu les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
L'Association PRESENCE, créée le 1er décembre 1993, est un organisme à but non lucratif et vise deux objectifs essentiels : d'une part, aider et maintenir à leur domicile des personnes ayant besoin d'assistance dans les actes de tous les jours ; d'autre part, favoriser la réinsertion sociale et professionnelle de demandeurs d'emploi.
L’association PRESENCE est agréée pour fonctionner comme une association prestataire de services et mandataire. En option prestataire, l'association est employeur et fait intervenir son personnel auprès des usagers. En option mandataire, la personne faisant appel à PRESENCE devient membre adhérent de l'association et a le statut d'employeur. Les interventions du personnel sont dans ce cas régies par la Convention Collective Nationale des Salariés du Particulier Employeur.
En premier lieu, l’association a pour objet de gérer l’établissement « IME Présence » qui prend en charge le suivi éducatif et social d’enfants, d’adolescents et de jeunes adultes présentant un retard intellectuel sévère.
Cet établissement est un établissement social et médico-social au sens de l’article L. 312-1-I-1° du code de l’action sociale et des familles. Conformément à l’article L. 311-1 du même code, il exerce donc une mission d’intérêt général et d’utilité sociale.
En second lieu, l’association a un double agrément préfectoral au titre des Emplois de Services aux Personnes : un agrément simple (1/00/PRO/300) et un agrément qualité (2/06/PRO/300).
En outre, elle a signé une convention avec le Conseil général du Var et l’Agence régionale de la Santé (ARS) ainsi qu’un contrat d’objectifs et de moyens.
En troisième lieu, s’agissant des conditions de création, d’organisation ou de fonctionnement de l’association, la Commission relève que l’association est entièrement financée par le Conseil général du Var.
A ce titre, le Conseil général contrôle la capacité d’accueil de l’établissement, tout changement dans l’organisation, la direction ou le fonctionnement de l’établissement, la comptabilité établie par référence au plan comptable des établissements publics hospitaliers et le budget prévisionnel (comprenant la prévision détaillée des charges, notamment l’organigramme du personnel, et des recettes), le compte d’exploitation et le bilan de l’association.
L’association est donc soumise à des contrôles d’activité annuels. Elle remet un bilan d’activité au Conseil général du Var tous les 5 ans.
Au regard de ce qui précède, la Commission considère que l’association PRESENCE gère un service public au sens de l’article 9-1° de la loi du 6 janvier 1978 modifiée.
Sur la finalité
La finalité du traitement est d’organiser l'accompagnement et le suivi éducatif, scolaire, pédagogique, social, thérapeutique, psycho-médical et rééducatif d'enfants, d'adolescents et de jeunes adultes présentant une déficience intellectuelle sévère.
La Commission considère que cette finalité est déterminée, explicite et légitime.
La Commission considère que le recours à la formalité de l’autorisation se justifie au regard de :
l’article 25-I-1° pour ce qui concerne le traitement de données de santé et d’autres données sensibles ;
l’article 25-I-3° pour ce qui concerne le traitement de données d’infraction, dans la mesure où l’association gère un service public au sens de l’article 9-1° ;
l’article 25-I-6° pour ce qui concerne le traitement du numéro de sécurité sociale ;
l’article 25-I-7° de la loi pour ce qui concerne les appréciations sur les difficultés sociales des personnes.
Sur les données traitées
Les catégories de données collectées sont relatives :
Le traitement de ces données apparaît adéquat, pertinent et non excessif.
à l’identification des jeunes accompagnés et de leurs responsables légaux ;
à la situation familiale et aux habitudes de vie des jeunes accompagnés ;
à la scolarité ou à la vie professionnelle des jeunes suivis ;
aux revenus et à la situation financière du jeune ou de ses responsables légaux ;
au numéro de sécurité sociale (conservé uniquement sous format papier pour présentation au médecin ou à une infirmière, si besoin, afin que ce dernier puisse échanger avec la sécurité sociale) ;
aux analyses médicales relatives au jeune portant mention, le cas échéant, de l’existence d’une trisomie 21 (information conservée sous format papier pour présentation au médecin ou à une infirmière) ;
aux infractions, condamnations et mesures de sûreté (jugement du juge des tutelles, convocation à d’éventuelles audiences du juge des enfants, éléments relatifs aux délits mineurs commis par les enfants accueillis) ;
aux appréciations sur les difficultés sociales des jeunes (données issues des enquêtes sociales ou des bilans dressés par les services de l’aide sociale à l’enfance du Conseil général et conservées uniquement sous format papier) ;
aux données de santé (dossier de santé de l’enfant conservé sous format papier et accessible uniquement par le médecin et par l’infirmière en charge du suivi de l’enfant) ;
à d’autres données sensibles (les données relatives à la vie sexuelle, aux origines ethniques et à la religion permettent un accompagnement personnalisé du jeune et sont collectées seulement si le jeune ou ses responsables légaux y consentent expressément).
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités de l’association et de l’établissement.
La Commission prend acte que l’habilitation à consulter des données de santé ne peut être attribuée qu’à des personnes soumises au secret médical, et dans la stricte limite de leurs missions.
La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données.
Sur l’information et le droit d’accès
Conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées au moyen de mentions spécifiques dans le règlement de fonctionnement de l’établissement et par affichage.
Les droits d’accès et de rectification s’exercent auprès du personnel habilité de l’association PRESENCE, Siège social, 255 avenue Charles de Gaulles, 83500 LA SEYNE SUR MER.
Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
La Commission observe que le traitement déclaré est le logiciel IDE SUIVI INDIVIDUEL.
Les habilitations des utilisateurs du traitement respectent les préconisations de la CNIL.
Elle prend également note du fait que les données de santé et les données relatives aux infractions sont conservées uniquement sous format papier dans une armoire fermée à clé.
Concernant les mesures d’authentification des utilisateurs, la Commission rappelle qu’il est impératif que celles-ci soient suffisamment robustes pour assurer une authentification fiable des utilisateurs.
Ainsi, le traitement doit obliger les utilisateurs à avoir recours à des mots de passe de 8 caractères minimum, contenant des lettres majuscules, des lettres minuscules, des chiffres et des caractères spéciaux, ou bien utiliser des techniques d’authentification apportant un niveau de sécurité analogue.
Concernant le contrôle des accès aux données, des mesures de traçabilité doivent permettre d’imputer toutes les opérations de consultation, modification ou de création à l’utilisateur à l’origine de cette opération, et ce afin de pouvoir détecter d’éventuelles opérations frauduleuses a posteriori.
Ces données de traçabilité doivent être conservées 6 mois dans des conditions permettant de garantir leur intégrité et leur confidentialité, et une procédure opérationnelle doit en définir les modalités d’accès.
Sur les autres caractéristiques du traitement
Les données sont conservées pour une durée de deux ans à compter de la dernière opération enregistrée, puis elles sont archivées pour une durée maximale de 30 ans.
Cette durée de conservation apparaît pertinente au regard de la finalité poursuivie par le traitement
Autorise, conformément à la présente délibération, l'Association PRESENCE à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN