La Commission nationale de l'informatique et des libertés,
Saisie par le Conseil départemental de la Seine-Maritime d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités la gestion des demandes et renouvellements des agréments des assistants maternels et familiaux ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment son article L. 421-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25-I-3° ;
Vu la loi n° 2005-706 du 27 juin 2005 relative aux assistants maternels et aux assistants familiaux ;
Vu la loi n° 2010-625 du 9 juin 2010 relative à la création des maisons d’assistants maternels et portant diverses dispositions relatives aux assistants maternels ;
Vu la loi n° 2016-457 du 14 avril 2016 relative à l’information de l’administration par l’autorité judiciaire et à la protection des mineurs ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2006-1153 du 14 septembre 2006 relatif à l’agrément des assistants maternels et des assistants familiaux et modifiant le code de l’action sociale et des familles (partie réglementaire) ;
Vu le décret n° 2012-364 du 15 mars 2012 relatif au référentiel fixant les critères d’agrément des assistants maternels ;
Vu le décret n° 2014-918 du 18 août 2014 relatif au référentiel fixant les critères d’agrément des assistants familiaux ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme. Marie-France MAZARS, commissaire en son rapport, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Conseil départemental de la Seine-Maritime.
Sur la finalité
Le traitement automatisé de données à caractère personnel a pour finalités :
la gestion des demandes des agréments des assistants maternels et familiaux ;
le renouvellement des agréments des assistants maternels et familiaux ;
la formation des assistants maternels.
L’article L. 421-3 du code de l’action sociale et des familles prévoit que l’agrément nécessaire pour exercer la profession d’assistant maternel ou d’assistant familial est délivré par le président du Conseil départemental du département où le demandeur réside.
Des référentiels approuvés par décret en Conseil d’Etat fixent les critères d’agrément des assistants maternels et familiaux (le décret n° 2012-364 du 15 mars 2012 relatif au référentiel fixant les critères d’agrément des assistants maternels, et le décret n° 2014-918 du 18 août 2014 relatif au référentiel fixant les critères d’agrément des assistants familiaux).
L’agrément est accordé à ces deux professions si les conditions d’accueil garantissent la sécurité, la santé et l’épanouissement des mineurs et majeurs de moins de vingt et un ans accueillis, en tenant compte des aptitudes éducatives de la personne.
La Commission considère que les finalités poursuivies sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée en août 2004.
Sur les données traitées
Les données collectées auprès des assistants maternels sont prévues par un arrêté du 18 octobre 2016 fixant le modèle de formulaire en vue de l’agrément des assistants maternels et la composition du dossier de demande d’agrément.
Celles collectées auprès des assistants familiaux sont prévues par un arrêté du 3 février 2017 fixant le modèle de formulaire en vue de l’agrément d’assistant familial et la composition du dossier de demande d’agrément.
En outre, sont également collectées les données relatives aux infractions, condamnations et mesures de sûreté (extrait du bulletin n°2 du casier judiciaire) conformément aux dispositions de l’article L. 421-3 du code de l’action sociale et des familles.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée en août 2004, dès lors qu’elles s’avèrent nécessaires et proportionnées dans le cadre du présent traitement.
Compte tenu de la nature des données collectées, la Commission considère qu’il y a lieu de faire application des dispositions de l’article 9-1 et 25-I-3° de la loi du 6 janvier 1978 modifiée en août 2004, qui soumettent à autorisation les traitements comportant des données relatives aux infractions.
Sur les destinataires
Les services en charge de l’instruction de l’agrément des assistants maternels ou familiaux au sein du Conseil départemental de la Seine-Maritime ont accès à l’ensemble des informations mentionnées ci-dessus, à raison de leurs attributions respectives et dans la limite du besoin d’en connaître.
Sont destinataires des informations relatives à l’identité de la personne (nom, prénoms, adresse, date et lieu de naissance, courriel, numéro de téléphone), à raison de leurs attributions respectives et dans la limite du besoin d’en connaître :
la CAF et PAJEMPLOI, conformément à l’article L. 421-9 du code de l’action sociale et des familles ;
les mairies, les communautés de communes (CDC), les relais des assistantes maternelles et les organisations syndicales, conformément à l’article L. 421-8 du code de l’action sociale et des familles.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes sont informées conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée en août 2004 par des mentions légales figurant sur les formulaires de demande d’agrément d’assistant maternel et familial (CERFA n°13394*04 et CERFA n°13395*02) qui sont complétés lors des demandes initiales et des renouvellements des agréments.
Les assistants maternels agréés sont également informés par des mentions légales figurant sur les formulaires coupon-réponse relatif au site mon-enfant.fr émis par les services du département.
Les droits d’accès et de rectification prévus aux articles 39 et 40 de la loi Informatique et Libertés du 6 janvier 1978 modifiée en août 2004 s’exercent auprès du Correspondant Informatique et Libertés du Conseil départemental de la Seine-Maritime.
Dans la mesure où le présent traitement répond à l’obligation légale prévue à l’article L. 421-3 du code de l’action sociale et des familles, le droit d’opposition est écarté conformément aux dispositions de l’article 38 de la loi du 6 janvier 1978 modifiée en août 2004.
Toutefois, elles disposent d’un droit d’opposition s’agissant de la transmission, par les services du département de la Seine-Maritime à la Caisse nationale des allocations familiales, des informations les concernant pour publication sur le site www.mon-enfant.fr .
La Commission considère que ces modalités d’information et d’exercice des droits des personnes, décrites ci-dessus, sont satisfaisantes.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.
L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules, majuscules et des chiffres lorsque l’authentification prévoit une restriction de l’accès au compte.
Les habilitations d’accès au système d’information sont définies en fonction des attributions des utilisateurs.
La Commission recommande que les accès à l’application fassent l’objet d’une journalisation. Elle rappelle que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée en août 2004.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les modalités d’octroi ainsi que la durée de l’agrément sont définies par le décret n° 2006-1153 du 14 septembre 2006 relatif à l'agrément des assistants maternels et des assistants familiaux et modifiant le code de l'action sociale et des familles (partie réglementaire). Cette durée peut être différente selon que l’agrément est délivré pour l’exercice de la profession d’assistant maternel ou d’assistant familial.
Les données sont conservées en base active le temps de la gestion des demandes et des renouvellements des agréments des assistants maternels et familiaux, à l’exception des données relatives aux infractions (extrait du bulletin n°2 du casier judiciaire) qui sont conservées trois mois en base active, et sont ensuite supprimées de manière sécurisée.
Elles font ensuite l’objet d’un archivage intermédiaire pour une durée de cinq ans à compter de la date de la cessation d’activité de l’assistant maternel ou familial conformément aux dispositions de la circulaire AD 98-6 du 6 juillet 1998 relative au traitement des archives produites dans le cadre de l’aide sociale en faveur des mineurs.
A l’expiration de cette période, les données sont détruites de manière sécurisée.
Certains dossiers sont conservés de manière définitive à des fins d’archivage patrimonial par la Direction des Archives Départementales conformément aux dispositions du Code du patrimoine.
Lorsqu’il existe un recours contre un tiers ou un contentieux, les données sont conservées jusqu’à l’intervention de la décision définitive.
La Commission considère que ces durées de conservation sont pertinentes au regard des finalités poursuivies.
Autorise, conformément à la présente délibération, le Conseil départemental de la Seine-Maritime à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS