La Commission nationale de l'informatique et des libertés,
Saisie par le Conseil départemental des Alpes-Maritimes d’une demande d’autorisation concernant un traitement de données à caractère personnel ayant pour finalité l’évaluation, l’accueil, la gestion et le suivi des mineurs non accompagnés (MNA) confiés à l’aide sociale à l’enfance ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale, notamment ses articles L. 221-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25 ;
Vu la loi n° 2016-297 du 14 mars 2016 relative à la protection de l’enfant ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2016-840 du 24 juin 2016 pris en application de l’article L. 221-2-2 du code de l’action sociale et des familles et relatif à l’accueil et aux conditions d’évaluation de la situation des mineurs privés temporairement ou définitivement de la protection de leur famille ;
Vu l’arrêté du 6 septembre 2013 portant création d’un traitement automatisé de données à caractère personnel dénommé administration des mineurs isolés étrangers ;
Vu l’arrêté du 28 juin 2016 pris en application du décret n° 2016-840 du 24 juin 2016 relatif aux modalités de calcul de la clé de répartition des orientations des mineurs privés temporairement ou définitivement de la protection de leur famille ;
Vu l’arrêté du 17 novembre 2016 pris en application du décret n° 2016-840 du 24 juin 2016 relatif aux modalités de l’évaluation des mineurs privés temporairement ou définitivement de la protection de leur famille ;
Vu la circulaire interministérielle du 25 janvier 2016 relative à la mobilisation des services de l’Etat auprès des conseils départementaux concernant les mineurs privés temporairement ou définitivement de la protection de leur famille et les personnes se présentant comme tels ;
Vu la délibération n° 2016-096 du 14 avril 2016 portant autorisation unique de traitements de données à caractère personnel mis en œuvre dans le cadre de la prévention et de la protection de l’enfance (autorisation unique n° 49) ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
A titre liminaire, la Commission rappelle qu’elle a adopté, le 14 avril 2016, une délibération portant autorisation unique de traitements de données à caractère personnel mis en œuvre dans le cadre de la prévention et de la protection de l’enfance (AU-49).
Elle observe que le traitement objet de la présente délibération ne répond pas aux conditions prévues par cette autorisation unique, notamment s’agissant du périmètre de la demande, des données collectées, de la durée de conservation et des destinataires.
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement, au regard des principes relatifs à la protection des données à caractère personnel et, notamment, des alinéas 2, 3 et 5 de l’article 6 de la loi du 6 janvier 1978 modifiée.
Sur la finalité
Les missions du Conseil départemental en matière d’aide sociale à l’enfance et de protection des mineurs en danger sont définies aux articles L. 221-1 et suivants du code de l’action sociale et des familles.
Elles comprennent la prise en charge des mineurs non accompagnés, conformément aux dispositions du décret n° 2016-840 du 24 juin 2016 pris en application de l’article L. 221-2-2 du code de l’action sociale et des familles relatif à l’accueil et aux conditions d’évaluation de la situation des mineurs privés temporairement ou définitivement de la protection de leurs familles.
Conformément aux dispositions de l’article R. 221-11 du code de l’action sociale et des familles, le président du conseil départemental procède aux investigations nécessaires en vue d’évaluer la situation de la personne se déclarant mineure et privée temporairement ou définitivement de la protection de sa famille, au regard notamment de ses déclarations, son identité, son âge, sa famille d’origine, sa nationalité et son état d’isolement.
Pour mettre en œuvre les missions qui lui sont confiées dans ce cadre, le Conseil départemental des Alpes-Maritimes souhaite créer un traitement de données à caractère personnel permettant, d’une part, l’évaluation de la situation de la minorité de la personne concernée et, d’autre part, la prise en charge effective par les services de l’aide sociale à l’enfance des mineurs non accompagnés et des jeunes majeurs de moins de vingt-et-un ans, conformément à la circulaire interministérielle du 25 janvier 2016 précitée.
La Commission estime que ces finalités sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée en août 2004.
Sur les données traitées
La Commission rappelle que seules les données strictement nécessaires à l’évaluation de la situation de la minorité, d’une part, et à l’accompagnement et au suivi social de la personne concernée, d’autre part, ont vocation à être recueillies.
Dans le cadre de l’évaluation de la situation de la minorité de la personne concernée, le Conseil départemental des Alpes-Maritimes se limite à la collecte des informations prévues par l’arrêté du 17 novembre 2016 pris en application du décret n° 2016-840 et relatif aux modalités de l’évaluation des mineurs privés temporairement ou définitivement de la protection de leur famille et, qui fixe une liste non exhaustive des informations qui peuvent être collectées lors de l’évaluation.
Dans le cadre de la prise en charge effective des mineurs non accompagnés et des jeunes majeurs de moins de vingt-et-un ans, de l’accompagnement social et professionnel ainsi que du suivi, par les services de l’aide sociale à l’enfance du conseil départemental, peuvent également être collectées et traitées les informations relatives :
à l’identification des bénéficiaires de l’accompagnement et du suivi social et, le cas échéant, de leurs représentants légaux : nom, prénoms, sexe, adresse, courriel, numéro de téléphone, date et lieu de naissance, photographie, numéro d’identification de rattachement à un organisme (numéro d’adhérent ou allocataire) ;
à la vie personnelle : situation et composition familiale du foyer et, le cas échéant, l’identification d’enfants pris en charge dans le cadre de la protection de l’enfance, les centres d’intérêts, la langue parlée, dans la mesure où cette information est indispensable pour mentionner le besoin d’un interprète ;
à la nature de la mesure de la protection juridique et, le cas échéant, les coordonnées du mandataire ;
au parcours professionnel et de formation dans le cadre de l’aide à l’insertion professionnelle (scolarité, situation au regard de l’emploi, de la formation et de la qualification) ;
à l’admission d’un mineur dans un établissement ou en famille d’accueil ainsi que les coordonnées de l’accueillant ;
aux conditions de vie matérielles : situation financière (ressources, charges, crédits, dettes), prestations et avantages sociaux perçus (nature, montant, quotient familial, numéro allocataire), situation face au logement et à l’hébergement (type et caractéristiques du logement ou modalités d’hébergement mobile, hébergement d’urgence, hébergement d’insertion), moyens de mobilité ;
à la couverture sociale : organismes de rattachement et régimes d’affiliation, droits ouverts ;
aux coordonnées bancaires, dans la mesure où cette information est nécessaire au versement d’une prestation ;
aux mesures d’accompagnement du jeune et de la famille : le type, les motifs et objectifs de la mesure, le parcours, les actions d’insertion prévues, les d’entretiens ;
dans le cadre de l’évaluation sociale des personnes concernées, aux conditions d’éducation et contexte de vie de l’enfant ou du majeur de moins de 21 ans, à l’évaluation des capacités parentales, aux difficultés personnelles qui peuvent concourir à mettre le mineur ou jeune majeur en difficulté ou en danger, aux événements familiaux impactant la vie du mineur ou du jeune majeur et permettant de comprendre sa situation, à la synthèse des comptes-rendus des entretiens avec les personnes concernées, s’il y a lieu, avec les autres intervenants dans l’accompagnement ;
à la grossesse : suivi PMI (protection maternelle et infantile) sous la forme oui/non , date présumée d’accouchement ;
à l’existence d’une situation de danger ou de risque ou de danger (information préoccupante et signalement) ;
aux infractions, condamnations et mesures de sûreté, dans la mesure où leur enregistrement est strictement nécessaire au suivi de la mesure prononcée à l’égard du mineur ou du jeune. Cette catégorie de données ne peut être collectée et traitée que par des personnes morales gérant un service public et agissant dans le cadre de leurs attributions légales ;
à l’identification des personnes concourant à l’accompagnement et au suivi social : nom, prénom, qualité, organisme d’appartenance, numéro de téléphone, adresse professionnelle, courriel, téléphone.
Par ailleurs, la Commission relève que tant au stade de l’évaluation que dans le cadre de la prise en charge, de l’accompagnement et du suivi du mineur non accompagné, des données sensibles au sens de l’article 8-I de la loi Informatique et Libertés peuvent être collectées, et plus particulièrement des informations relatives à la santé à des fins d’administration de soins, à la vie sexuelle, aux opinions religieuses, aux origines raciales ou ethniques ainsi qu’aux opinions politiques.
Aussi, la Commission constate que lors de leur arrivée au sein du département, les mineurs non accompagnés ne disposent pas d’un représentant légal, et les délais pour obtenir la désignation d’un administrateur ad hoc ou d’un tuteur sont longs. Dès lors, elle relève qu’au regard de la période d’absence de tutelle plus ou moins longue selon les cas, le consentement du représentant légal ne peut pas être recueilli. Par conséquent, la Commission considère qu’il y a lieu de faire application du IV de l’article 8 de la loi Informatique et Libertés qui prévoit que ne sont pas soumis à l’interdiction prévue au I les traitements, automatisés ou non, justifiés par l’intérêt public.
Compte-tenu de la nature des données collectées, la Commission considère qu’il y a lieu de faire application du 1°, 3° et 7° de l’article 25 de la loi susvisée, qui soumettent à autorisation les traitements automatisés de données qui sont justifiés par l’intérêt public et qui comportent des données relatives aux infractions, condamnations ou mesures de sûreté, ainsi que des appréciations sur les difficultés sociales des personnes.
La Commission estime que les données collectées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée en août 2004, dès lors qu’elles s’avèrent nécessaires et proportionnées dans le cadre du présent traitement.
Sur les destinataires
La Commission rappelle qu’il revient au responsable de traitement, avant chaque transmission des données, d’opérer un tri parmi ces dernières pour s’assurer que le destinataire accède aux seules données strictement nécessaires et proportionnées au regard de la justification de la transmission.
Dans le cadre de l’évaluation de la situation de minorité et d’isolement, de la prise en charge, de l’accompagnement et du suivi des personnes, peuvent être destinataires des informations contenues dans le traitement, dans les limites de leurs attributions respectives et chacun pour ce qui le concerne :
le personnel au sein de chaque établissement, service ou organisme concourant à la protection de l’enfance et des jeunes majeurs, dans les conditions prévues par l’article L. 226-2-2 du code de l’action sociale et des familles, et soumis au secret professionnel ;
l’autorité judiciaire (le procureur de la République, le juge des enfants, le juge des tutelles) ;
les structures d’accueil, et plus particulièrement le foyer départemental de l’enfance, les organismes conventionnés avec les conseils départementaux (les lieux de vie et d’accueil, les maisons d’enfants à caractère social) ;
la cellule d’Etat @MNA ;
les conseils départementaux ;
la préfecture de police ;
les professionnels et tout membre du personnel de l’établissement, du service ou organisme externe participant à la prise en charge et à l’accompagnement de la personne et toute autre personne en relation, de par ses activités, avec ces établissements ou organismes externes, dans la limite de leurs attributions respectives et des règles encadrant le partage et l’échange d’informations ;
les agents du département participant aux missions de protection de l’enfance et de l’action sociale de terrain à l’exclusion des informations relatives à la nature des difficultés rencontrées et à l’évaluation du travail social qui sont réservées aux seuls travailleurs sociaux en charge du dossier ;
les organismes instructeurs et payeurs de prestations sociales dans la limite de leurs attributions et pour les informations les concernant. Dans le cadre de l’instruction des demandes de prestations, les organismes peuvent échanger des informations afin de vérifier les droits des demandeurs et contrôler leur situation et vérifier leurs droits aux prestations servies sous condition de ressources ;
les organismes financeurs et gestionnaires, s’agissant exclusivement de données préalablement à l’exception de ceux autorisés par une disposition légale ou réglementaire à obtenir la communication de données à caractère personnel relatives aux personnes concernées par le traitement.
La Commission estime que ces destinataires présentent un intérêt légitime à connaître de ces données.
Sur l’information et le droit d’accès
Les personnes sont informées conformément aux dispositions de l’article 32 de la loi Informatique et Libertés du 6 janvier 1978 modifiée en août 2004, dans un langage compréhensible et selon des modalités appropriées et adaptées à leur état, lors de l’entretien d’évaluation de la situation de minorité avec la personne concernée, et par des mentions figurant sur le site web du Conseil départemental ainsi que par voie d’affichage.
La Commission considère que ces modalités d’information des personnes sont satisfaisantes.
Les droits d’opposition, de rectification et de suppression prévus aux articles 38, 39 et 40 de la loi susvisée s’exercent auprès du correspondant informatique et libertés (CIL) du Conseil départemental des Alpes-Maritimes.
La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes.
Sur la durée de conservation
Les données utilisées pour l’évaluation des jeunes qui n’ont pas été reconnus comme MNA seront conservées jusqu’à l’extinction des voies de recours ordinaires et extraordinaires.
A l’expiration de ces périodes, les données seront archivées conformément aux dispositions du code du patrimoine relatives aux obligations d’archivage des informations du secteur public.
Concernant les jeunes ayant été reconnus mineurs non accompagnés, les données nécessaires à leur prise en charge et à leur accompagnement social seront conservées pendant une durée maximale de deux ans par les services de l’aide sociale à l’enfance à compter du dernier contact avec la personne concernée, puis archivées conformément aux dispositions de la circulaire susvisée concernant le traitement des archives produites dans le cadre de l’aide sociale en faveur des mineurs.
La Commission considère que ces durées de conservation sont pertinentes au regard des finalités poursuivies.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.
Des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur. Ceux-ci ainsi que leurs droits respectifs sont spécifiés et documentés de manière détaillée, et prennent en compte les accès différentiés aux informations en fonction du besoin d’en connaître.
La Commission rappelle qu’elle recommande que les permissions d’accès soient attribuées pour une durée déterminée, qu’elles soient supprimées pour tout utilisateur n’étant plus habilité, et qu’une revue globale des habilitations soit opérée régulièrement.
L’authentification des utilisateurs du traitement est assurée par l’utilisation des mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des majuscules, des chiffres et des caractères spéciaux lorsque l’authentification prévoit une restriction de l’accès au compte, conformément à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe.
La Commission rappelle qu’elle recommande de réaliser un contrôle des traces de manière automatique, afin de détecter les comportements anormaux, et lever les alertes.
Des sauvegardes régulières sont réalisées et stockées dans un endroit garantissant leur sécurité et leur disponibilité. La Commission tient à rappeler l’importance de tester régulièrement les sauvegardes.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, le conseil départemental des Alpes-Maritimes à mettre en œuvre le traitement susmentionné.
Le Vice-Président délégué
Marie-France MAZARS