(Demande d’autorisation n° 1564134)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi           n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le livre II, titre VI, chapitre II, section IV et V du code de l’action sociale et de la famille (CASF) ;
Vu la demande d’autorisation présentée par le Conseil général de la Drôme relative à la gestion des procédures pénales des allocataires présumés ou reconnus coupables de fraude ou d’escroquerie ;
Après avoir entendu M. Emmanuel de GIVRY, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
Sur le responsable du traitement
Le Conseil général de la Drôme.
Sur la finalité
La Commission nationale de l’informatique et des libertés a été saisie par le Conseil général de la Drôme d’une demande d’autorisation de mise en œuvre d’un traitement de données à caractère personnel destiné à tenir à jour l’ensemble des procédures pénales relatives aux allocataires présumés coupables ou reconnus coupables de fraude ou d’escroquerie au RMI/RSA.
Cette demande d’autorisation est prise sur le fondement de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée, dans la mesure où le traitement porte sur des données relatives aux infractions. En effet, les faits répréhensifs constitutifs de fraudes aux RMI/RSA sont passibles des articles 313-1 et 313-3 et 441-1du code pénal.
Une convention a été signée entre le Conseil général de la Drôme et la CAF concernée afin que les informations issues des contrôles réalisés par la caisse d’allocations familiales (CAF) en matière de lutte contre la fraude au RMI/RSA soient communiquées au conseil général qui décidera de poursuivre la procédure ou d’y mettre un terme.
La mise en œuvre des poursuites est assurée par le conseil général conformément à la convention signée entre le Conseil général de la Drôme et la caisse d’allocations familiales de la Drôme, le 2 juillet 2009. Cette convention prévoit en son article 8 que :
« La CAF lorsqu’elle détecte une éventuelle fraude, soumet le dossier à une commission interne qui apprécie le caractère frauduleux ou non. Si la fraude est retenue la CAF décide des poursuites à engager et informe le Conseil général de la Drôme pour mise en œuvre. »
Par ailleurs, la Commission relève que l’article L.262-46 du CASF dispose que :
« Tout paiement indu de revenu de solidarité active est récupéré par l’organisme chargé du service de celui-ci ainsi que, dans les conditions définies au présent article, par les collectivités débitrices du revenu de solidarité active. »
La Commission considère que la finalité poursuivie en l’espèce est déterminée, explicite et légitime.
Sur les données traitées
Les données enregistrées dans le traitement de données à caractère personnel que le Conseil général de la Drôme envisage de mettre en œuvre seront :
La Commission relève que le NIR n’est pas utilisé pour ce traitement.
Le nom et prénom de l’allocataire ;
La référence interne (numéro attribué aléatoirement par le logiciel et utilisé par le service en charge du traitement) ;
Les informations issues des contrôles menés par les agents de la CAF ;
La date de réception du dossier par le conseil général ;
La date de dépôt de plainte au parquet ;
La nature de la plainte déposée au parquet ;
La date de l’audience ;
Le montant de la fraude ;
Le résultat de l’audience ;
Les observations particulières en lien avec la procédure (délai de prescription, jonction de procédure en cas de fraude identique à deux personnes issues du même foyer, dépôt de plainte au commissariat par le conseil général) ;
L’existence d'une retenue administrative ou d'un échéancier de remboursement de la dette (montant de l'échéance et nombre de mensualités).
L’alinéa 5 de l’article L.262-40 du CASF dispose :
« Les informations demandées, que ces administrations, collectivités et organismes sont tenus de communiquer, doivent être limitées aux données nécessaires à l'instruction du droit au revenu de solidarité active, à sa liquidation et à son contrôle ainsi qu'à la conduite des actions d'insertion ».
La Commission considère, par conséquent, que le Conseil général de la Drôme est légalement fondé à détenir ces données dans un traitement de données à caractère personnel ayant pour finalité d’assurer la mise en œuvre des poursuites résultant des contrôles relatifs à la lutte contre la fraude au RMI/RSA.
Sur les destinataires
Sont destinataires de toutes ou parties des données, les personnes habilitées du service juridique et du service insertion du Conseil général de la Drôme dans le cadre de leurs missions.
La CAF de la Drôme sera également destinataire des suites données aux dossiers contentieux traités par le conseil général.
La Commission considère que ces organismes ont un intérêt légitime à être destinataire de ces données.
Sur l’information et le droit d’accès
Les bénéficiaires du RSA sont informés de la réalisation de contrôles qui peuvent faire l’objet de poursuites lors de l’ouverture de leur dossier d’allocataire, notamment au travers de mentions apposées sur les formulaires de demande de RSA et les récépissés des demandes de RSA.
Par ailleurs, le Conseil général de la Drôme a prévu d’informer les personnes concernées par l’envoi d’un courrier postal personnalisé.
Enfin, elle prend acte que les personnes concernées seront informées de leur droit d’accès et de rectification.
La Commission considère ainsi que les mesures prévues au titre de l’information des personnes concernées sont satisfaisantes.
Sur les mesures de sécurité
Les actions réalisées dans le traitement en cause seront journalisées, en incluant la référence des données accédées ainsi que l’identifiant de la personne à l’origine de ces actions. La Commission rappelle à cet égard que ces journaux doivent être régulièrement analysés et doivent être conservés pendant une durée limitée n’excédant pas leur durée d’utilité effective.
La Commission prend acte du fait que les échanges par mail entre le conseil général et la CAF de la Drôme seront chiffrés.
S’agissant de l’authentification des utilisateurs, la Commission rappelle que ses recommandations en matière de mots de passe consistent à utiliser au moins huit caractères, contenant obligatoirement des lettres majuscules, minuscules, des chiffres et des caractères spéciaux. Cette structure de mot de passe doit être imposée aux utilisateurs lors de toute opération de modification de mot de passe.
Les mesures de sécurité mises en place n’appellent pas de remarque particulière de la Commission.
Sur les autres caractéristiques du traitement
Le Conseil général de la Drôme conservera les données relatives aux procédures pénales pendant une durée de 3 ans correspond à la prescription triennale pour les délits.
Autorise, conformément à la présente délibération, le Conseil général de la Drôme à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN