(Demande d’autorisation n° 1703571)
La Commission nationale de l'informatique et des libertés,
Saisie par l’association France Terre d’Asile d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion de l’accompagnement des demandeurs d’asile et des mineurs isolés étrangers ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment ses articles L. 226-3, L. 228-3 et L. 312-1 ;
Vu le code de l’entrée et du séjour des étrangers et du droit d’asile ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
France Terre d’asile (FTDA), association « loi 1901 », qui a notamment pour missions de défendre le droit d'asile, de garantir l’application des conventions internationales protégeant les droits des migrants et d’accueillir, accompagner et protéger les mineurs isolés étrangers.
Sur la finalité
L’association FDTA souhaite mettre en place une base de  données lui permettant d’assurer le suivi efficace des demandeurs d’asile domiciliés et accompagnés dans les dispositifs de premier accueil qu’elle gère ainsi que des mineurs isolés étrangers suivis dans le cadre de dispositifs pour mineurs dont la gestion lui a été confiée par les pouvoirs publics, dans le cadre de conventions annuelles ou pluriannuelles.
Le traitement permettra également d’établir des statistiques fiables et de justifier, auprès des financeurs publics des dispositifs gérés par FTDA, de l’exécution de ses obligations de suivi et d’accompagnement des personnes accueillies.
La Commission estime que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes.
La base de données projetée contenant des appréciations sur les difficultés sociales des personnes, il y a lieu de faire application des dispositions de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les données seront collectées directement auprès des personnes concernées, après recueil de leur consentement.
La Commission constate que pour les mineurs isolés étrangers, le consentement d’un représentant légal ne pourra être systématiquement recueilli car, par définition, les mineurs isolés ne disposent pas d’un représentant légal lors de leur arrivée dans un dispositif d’accueil et les délais pour obtenir la désignation d’un administrateur ad hoc ou d’un tuteur sont très longs. Ainsi, afin de ne pas paralyser la mise en place des mesures de protection et de respecter la personne du mineur isolé étranger, c’est le consentement de ce dernier qui sera recueilli.
Afin d’aider les membres de l’association à organiser et suivre efficacement l’accompagnement des personnes accueillies, seront collectées des données à caractère personnel relatives à :
pour toutes les personnes accompagnées :
l’identité de la personne
sa situation familiale
la perception d’allocations pour les demandeurs d’asile et réfugiés
son éventuelle prise en charge médicale
pour les seuls mineurs isolés étrangers :
la présence de sa famille en France, dans l’Union européenne, dans son pays d’origine
sa prise en charge scolaire et sociale
Il est en outre prévu la possibilité de collecter la photographie de la personne accueillie. Cette collecte sera facultative. La Commission prend acte que, pour les mineurs étrangers accompagnés, la collecte de la photographie permettra d’éditer des documents relatifs à leur prise en charge ou des documents à usage interne à l’association, tandis que, pour les majeurs, cette collecte sera réservée à l’édition de documents nécessaires pour accéder aux dispositifs d’hébergement d’urgence. Elle prend également acte qu’aucun dispositif de reconnaissance faciale ne sera mis en œuvre.
pour toutes les personnes accompagnées :
l’identité de la personne
sa situation familiale
la perception d’allocations pour les demandeurs d’asile et réfugiés
son éventuelle prise en charge médicale
pour les seuls mineurs isolés étrangers :
la présence de sa famille en France, dans l’Union européenne, dans son pays d’origine
sa prise en charge scolaire et sociale
Sera par ailleurs renseigné le type de vulnérabilité de la personne suivie (femme ou homme isolé ; personne âgée, handicap/maladie ; femme avec enfant mineur) en cochant une case. Il est également prévu une zone libre de « commentaires » relative à cet état de vulnérabilité. La Commission prend acte que l’alimentation de ce champ est facultative et que l’évaluation de la situation sociale de la personne concernée est destinée à orienter prioritairement une personne vers un type d’hébergement ou de dispositif d’accompagnement adapté à sa situation.
Des données relatives à la prise en charge médicale du migrant pourront également être enregistrées dès lors que l’état de santé de la personne accompagnée pourra donner lieu à une orientation spécifique. La Commission prend acte que la pathologie affectant une personne accompagnée ne sera toutefois pas renseignée.
Enfin, afin de permettre aux intervenants sociaux d’organiser le plus efficacement possible le suivi des mineurs isolés étrangers, des informations concernant leurs suivis éducatifs seront enregistrées (notamment le type de formation suivie, le type de budget alloué au mineur et les accompagnements et entretiens réalisés par les intervenants sociaux).
L’ensemble de ces données étant nécessaires aux fins de suivi et d’accompagnement personnalisé des demandeurs d’asile et des mineurs étrangers isolés et de contrôle, par les autorités, de l’activité des dispositifs conventionnés gérés par FTDA, la Commission considère que la collecte de celles-ci est proportionnée et pertinente au regard des finalités poursuivies.
La Commission rappelle toutefois la nécessité de ne recueillir que les données strictement nécessaires à l’appréciation de la situation sociale de la personne accueillie et accompagnée et à son orientation envers les dispositifs les plus adaptés à celle-ci.
Sur les destinataires
Les données enregistrées dans la base ne seront accessibles qu’aux seuls salariés de l’association qui assurent l’accueil et le suivi des demandeurs d’asile ou des mineurs, à leur chef de service et aux salariés des directions thématiques du siège social de l’association.
La Commission relève que l’étendue des accès aux données enregistrées dans la base sera fonction des habilitations des utilisateurs.
Ainsi, les salariés des directions thématiques du siège social de l’association disposeront d’un profil d’administrateur général leur conférant accès à l’ensemble des données de la base. En revanche, les salariés travaillant au sein d’un dispositif d’accueil et de suivi local n’auront accès qu’aux données relatives aux personnes suivies au sein de ce dispositif particulier.
La Commission relève par ailleurs que certaines administrations pour lesquelles l’association gère un dispositif conventionné (notamment les Conseils généraux, l’Office Français d’Immigration et de l’Intégration (OFII), la Direction Régionale et Interdépartementale de l'Hébergement et du Logement. (DRIHL)) ainsi que les services de l’aide sociale à l’enfance, autorité de tutelle des établissements d’accueil des mineurs étrangers isolés gérés par FTDA, seront également destinataires de données confidentielles ou de statistiques afin notamment d’adapter l’accueil de ces migrants sur le territoire. Ces organismes n’auront pas d’accès direct à la base de données envisagée, mais pourront recevoir communication de données de portée générale et collective, transmises par les responsables des dispositifs de suivi.
La Commission rappelle la nécessité de sécuriser les supports contenant ces données et leurs modes de transmission.
Au regard de ces éléments, la Commission considère que ces personnes ont toutes un intérêt légitime à être destinataires, dans la limite du besoin d’en connaître, des données traitées.
Sur l’information et le droit d’accès
Les personnes accueillies et accompagnées par FTDA seront individuellement informées de leurs droits oralement, au moment de leur entrée dans le dispositif de suivi, ainsi que par des mentions écrites sur le contrat de prise en charge.
La Commission relève que les contrats de prise en charge seront traduits dans les principales langues parlées par les personnes suivies dans les dispositifs gérés par l’association et que, pour les usagers parlant d’autres langues, il sera fait appel à des interprètes en début de prise en charge. La Commission estime que cette traduction dans une langue étrangère comprise par la personne concernée lors du premier contact est à même de garantir l’effectivité de cette information.
Le responsable de traitement procèdera également à l’information des personnes concernées par voie d’affichage. Les mentions d’information sur les affiches seront rédigées en français et en anglais.
Les personnes seront de la même manière informées des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition, qu’elles pourront exercer auprès du siège de l’association FTDA, 24 rue Marc Seguin 75018 Paris.
Elle considère que l’information ainsi délivrée aux personnes concernées par le traitement est conforme à l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
La Commission relève que le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès.
Le responsable de traitement s’assure que les postes des utilisateurs de la base de données bénéficient d’un support technique permettant la correction de failles de sécurité et de défauts.
Les données sont ainsi stockées sur des serveurs extérieurs, gérés par la société EthicWeb. Tous les serveurs de ce prestataire sont hébergés dans le Data center de la société Netissime qui est en charge de la sécurité des locaux. Cette société utilise un dispositif biométrique (empreintes digitales), qui a fait l’objet des formalités préalables idoines auprès de la Commission, pour protéger les accès aux serveurs situés dans le Data Center. Ce dispositif biométrique est une mesure complémentaire à la vidéosurveillance des locaux.
La base de données ainsi que les sauvegardes sont chiffrées selon l’état de l’art et les accès aux outils informatiques d’administration sont sécurisés.
Des profils d’habilitation sont définis. Le contrôle d’accès logique se fait par compte usager et par certificat logiciel d’authentification, en respectant les recommandations de la Commission. Les droits administrateurs locaux pour chacun des sites sont attribués par deux personnes identifiées de l’administration générale.
Les personnes habilitées font l’objet d’une clause contractuelle avec engagement de confidentialité.
Une traçabilité est présente par une journalisation des accès à l’application et à la consultation des données. À ce titre, les informations collectées sont un horodatage de connexion et de déconnexion ainsi que l’horodatage de l’accès aux données.
Les mesures de sécurité mises en place sont donc conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données collectées sont conservées en base active pendant la durée du suivi et de l’accompagnement au sein du dispositif d’accueil. À compter de la date de sortie de la personne du dispositif de suivi, les données sont conservées pendant deux ans en base inactive afin de permettre aux personnes accompagnées par l’association d’avoir accès, en cas de besoin et sur demande, à leur dossier, après la fin de leur prise en charge. La Commission prend acte que les salariés de l’association ne consulteront les données ainsi désactivées que lorsqu’une personne sortie du dispositif demandera à accéder à son dossier. À l’issue de ce délai de deux ans, les données sont automatiquement purgées de la base de données.
Compte tenu de ces éléments, la Commission considère que la durée de conservation est conforme aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, l’association France Terre d’Asile à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN