La Commission nationale de l'informatique et des libertés,
Saisie par le Conseil départemental du Bas-Rhin d’une demande d’autorisation portant sur un traitement de données à caractère personnel ayant pour finalité le ciblage des contrôles du revenu de solidarité active (RSA) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles ;
Vu la loi n° 2008-1249 du 1er décembre 2008 généralisant le revenu de solidarité active et réformant la politique d’insertion ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I 5° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Eric PERES, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Conformément aux dispositions de  l'article L. 262-13 du code de l'action sociale et des familles (CASF), la décision d'attribution du revenu de solidarité active (RSA) relève de la compétence du Président du Conseil départemental du département dans lequel réside le demandeur.
Dans l’exercice de ses missions, et en particulier en vertu des articles L. 133-2 et L. 262-40 du code de l’action sociale et des familles, le Conseil départemental peut obtenir auprès de différents organismes, les informations nécessaires à l’instruction des demandes ou au contrôle de cette prestation.
Le Conseil départemental du Bas-Rhin souhaite mettre en place un traitement de données à caractère personnel permettant d’améliorer le ciblage des contrôles du RSA afin de les rendre plus efficaces.
À cette fin, il souhaite interconnecter différents fichiers, un premier destiné à la gestion du RSA, un deuxième portant sur la gestion du fond de solidarité pour le logement et le troisième comprenant des données cadastrales transmises par la Direction générale des finances publiques (DGFIP).
Dans la mesure où le traitement projeté a pour objet l’interconnexion de fichiers relevant d’une personne morale gérant un service public, et dont les finalités correspondent à des intérêts publics différents, il est soumis aux dispositions de l’article 25-I-5° de la loi du 6 janvier 1978 modifiée et doit dès lors être autorisé par la Commission.
Sur la finalité et les fonctionnalités du traitement :
Le traitement envisagé par le Conseil départemental du Bas-Rhin vise à améliorer le ciblage des contrôles des déclarations des bénéficiaires du RSA. Il s’agira plus précisément :
d’être plus efficace dans l’identification de situations nécessitant des investigations complémentaires ;
d’améliorer le ratio de contrôles.
Dans ce cadre, une interconnexion sera réalisée à partir d’un fichier destiné à la gestion du RSA comprenant les déclarations des bénéficiaires de cette prestation, un fichier destiné à la gestion du fond de solidarité pour le logement, et enfin un fichier  comprenant des données cadastrales transmises par la DGFIP.
Cette interconnexion permettra au Conseil départemental d’établir un fichier des anomalies constatées afin que les agents habilités identifient les situations pour lesquelles des vérifications sont nécessaires et pour déterminer, le cas échéant, si un contrôle doit être diligenté.
La Commission note que, conformément à l’article 10 de la loi, le traitement projeté ne constituera qu’un moyen de détecter des anomalies venant en complément de l’examen de la situation effectuée au cas par cas par un agent dans le cadre des procédures habituelles de vérification et de contrôle.
La Commission estime que ces finalités sont déterminées, explicites et légitimes conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :
Le fichier créé à l’issue de l’interconnexion comportera des données relatives :
à l’identification de la personne (nom, prénom, date de naissance, lieu de naissance, adresse, le numéro de téléphone) ;
à la vie personnelle (situation maritale et composition familiale) ;
à la situation au regard de l’emploi ;
à la situation financière comprenant les revenus et les ressources perçues, et prises en compte pour le calcul du RSA ;
au patrimoine mobilier et immobilier (nombres de parcelles, nombres de bâties et adresse du lieu) ;
montant des impôts fonciers.
La Commission prend acte que le traitement ne comporte ni le numéro de sécurité sociale ni aucune donnée sensible au sens de l’article 8 de la loi du 6 janvier 1978 modifiée.
Elle estime que les données traitées dans le cadre du traitement projeté sont adéquates, pertinentes et non excessives conformément à l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
Les résultats des requêtes seront conservés par le Conseil départemental du Bas-Rhin pour une durée de 5 jours ouvrés.
À l’issue de cette durée, seules les données concernant les personnes pour lesquelles une suspicion de fraude a été détectée seront enregistrées dans un autre traitement dédié à la gestion du RSA aux fins de vérifications par les agents habilités.
La Commission estime que la durée de conservation des résultats des requêtes n’excède pas celle nécessaire à l’exercice des finalités pour lesquelles les données sont collectées conformément à l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données :
Dans la limite de leurs attributions respectives, et chacun pour ce qui le concerne, sont destinataires des données contenues dans le traitement :
les agents de la Mission aménagement développement et emploi :
le directeur et la directrice adjointe de la Mission aménagement développement et emploi,
la responsable du secteur inclusion développement et emploi,
le coordinateur du secteur inclusion développement et emploi,
les agents en charge du contrôle RSA ;
la chargée de mission de pilotage contrôle du RSA ;
le chef de projet informatique ;
le chef de projet utilisateur.
Le responsable du service administratif et financier n’accède qu’à des données agrégées ne permettant pas une ré-identification des personnes, notamment par recoupement d’informations.
La Commission considère que ces personnes ont un intérêt légitime à être destinataires des données enregistrées dans le traitement projeté.
Sur les droits des personnes concernées :
Les bénéficiaires du RSA sont informés de la réalisation d’éventuels contrôles lors de l’ouverture de leur dossier allocataire par une mention apposée sur les formulaires de demande de RSA.
Le Conseil départemental s’est engagé à compléter cette mention par une information portant sur l’existence du traitement projeté. Une information sera également apposée sur les courriers envoyés aux allocataires dans le cadre de la gestion du RSA. La Commission en prend acte.
Par ailleurs, une information sera diffusée dans le Bulletin départemental d’information publié sous format papier et accessible sur le site web du Conseil départemental du Bas-Rhin.
Les droits d’accès, de rectification et d’opposition pour motifs légitimes prévus aux articles 38 à 40 de la loi du 6 janvier 1978 modifiée s’exercent auprès de la Mission Aménagement Développement et Emploi du Conseil départemental du Bas-Rhin.
Votre rapporteur estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur mesures de sécurité :
Chaque utilisateur dispose d'un identifiant qui lui est propre. Le Conseil Départemental s’est engagé à ce que les modalités d’authentification soient conformes à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe.
L’application ne sera disponible que sur le réseau interne du Conseil départemental. Ce réseau comprend des points d’accès Wi-Fi dont les communications sont chiffrées avec des algorithmes à l’état de l’art, et dont l’accès nécessite une authentification préalable des postes de travail ou des agents.
Les requêtes et leurs résultats feront l’objet de sauvegardes régulières. Les suspicions de fraude seront traitées séparément et ne seront pas gérées dans l’application concernée.
Les résultats des requêtes seront conservés pendant 5 jours ouvrés. A l’expiration de ce délai, les requêtes seront rejouées et leurs résultats mis à jour. L’analyse des résultats des requêtes sera entièrement manuelle.
Concernant les mesures de traçabilité des accès et des opérations effectuées dans l’application, celles-ci incluront les opérations de lecture et d’écriture de données. Les traces seront conservées pendant 6 mois et ne seront accessibles qu’aux administrateurs fonctionnels et deux administrateurs techniques.
La sécurité des postes de travail prévoit l’installation d’un antivirus.
Les supports de stockage destinés à la destruction font l’objet d’une procédure de destruction physique réalisée par la Direction des systèmes d’information du Conseil départemental.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise le Conseil départemental du Bas-Rhin à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité le ciblage des contrôles du revenu de solidarité active (RSA).
La Présidente
Isabelle FALQUE-PIERROTIN