(Demande d’autorisation n° 1680660)
La Commission nationale de l'informatique et des libertés,
Saisie par le Conseil départemental des Alpes Maritimes d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des impayés et la prévention des expulsions locatives ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi 2014-366 du 24 mars 2014 pour l’accès au logement et un urbanisme rénové ;
Vu la loi du 25 mars 2009 de mobilisation pour le logement et la lutte contre l’exclusion ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme. Laurence Dumont, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Conseil départemental  des Alpes Maritimes.
Sur la finalité
Le traitement automatisé de données a pour finalité la gestion des impayés et la prévention des expulsions locatives.
La loi n°2009-323 du 25 mars 2009 de mobilisation pour le logement et la lutte contre l’exclusion a rendu obligatoire l’instauration  dans chaque département  d’une Commission de Coordination des Actions de prévention des expulsions locatives (CCAPEX).
La loi n°2014 - 366 du 24 mars 2014 pour l’accès au logement et un urbanisme rénové (dite loi ALUR) est venue renforcer le rôle de ces CCAPEX.
Elles ont notamment pour missions :
- de cordonner, d’évaluer et de piloter la stratégie de prévention des expulsions et la mobilisation des acteurs dans les départements.
- de délivrer des avis aux instances décisionnelles et des recommandations à l’ensemble des partenaires œuvrant localement à la prévention des expulsions.
Dans le cadre de ces missions, elles sont informées des cas d’expulsions et confient aux maisons départementales de solidarité l’accompagnement et le suivi social lié au logement des personnes intéressées (accompagnement éducatif budgétaire, appropriation de l’habitat, constitution d’un dossier de fonds de solidarité  de logement).
Au regard de la nature des données collectées dans le cadre du traitement, il convient de faire application de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés ou non, portant sur des données relatives aux appréciations sur les difficultés sociales des personnes.
La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites.
Sur les données traitées
Les catégories de données traitées sont relatives :
La Commission considère ces données pertinentes au regard de la finalité poursuivie.
à l’identification des personnes (nom, prénom, adresse, date et lieu de naissance, numéro d’allocataire de la CAF) ;
à la vie personnelle (situation familiale, composition familiale) ;
à la vie professionnelle (situation professionnelle) ;
aux informations d’ordre économique et financier (revenus, charges, aides financières accordées et ou demandées, dettes et prestations) ;
à leur situation sociale (difficultés rencontrées) et aux appréciations sur les difficultés sociales des personnes ;
au type et aux conditions du logement ;
aux cordonnées du bailleur ;
au parcours des interventions effectuées par le travailleur social (procédure et suivi des actions menées).
Sur les destinataires
Peuvent être destinataires des données en fonction de leurs attributions  les partenaires des CCAPEX :
- la préfecture ;
- le service social départemental ;
- les travailleurs sociaux ;
- le parquet.
La Commission rappelle que les données transmises doivent être limitées aux données strictement nécessaires à l’accompagnement des personnes.
La liste des destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes sont informées  conformément à l’article 32 de la loi du 6 janvier 1978 par des mentions légales figurant sur le questionnaire de collecte, sur le site du Conseil départemental et par voie d’affichage.
La Commission rappelle que cette information doit être fournie selon les modalités adaptées à l’état des personnes suivies.
Les droits d’accès et de rectification s’exercent auprès de la Direction Générale adjointe pour le développement des solidarités humaines (DGA DSH) du Conseil départemental des Alpes Maritimes.
Ces modalités d’information et d’exercice des droits des personnes apparaissent satisfaisantes.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.
L’authentification des utilisateurs du traitement est assurée par l’utilisation des mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et des lettres majuscules, des chiffres et des caractères spéciaux.
Les habilitations d’accès au système d’information sont définies en fonction des attributions des utilisateurs.
Les échanges de données effectués sur internet sont sécurisés par des procédés de chiffrement du transport des données.
La Commission recommande que les accès à l’application fassent l’objet d’une journalisation. Elle rappelle que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier  1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité  au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du  traitement
Les données sont conservées durant 2 ans  à compter de la date de l’avis ou de la recommandation adoptée par la CCAPEX.
A l’issue de cette durée de conservation, les données seront détruites.
La Commission considère que cette durée de conservation apparait pertinente au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, le Conseil départemental des Alpes Maritimes à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN