La Commission nationale de l'informatique et des libertés,
Saisie par l’Office français de l’immigration et de l’intégration  d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation médicale des étrangers ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses  articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission a été saisie, par l’ Office français de l’immigration et de l’intégration (OFII), d’une demande d’autorisation préalable à la mise en œuvre d’un traitement portant sur l’évaluation médicale qui s’inscrit dans une procédure permettant à l’étranger d’obtenir un titre de séjour pour soins (étranger malade), la validation de son titre de séjour (étranger autorisé à séjourner plus de trois mois) ou l’adaptation de son hébergement (demandeur d’asile).
Créé en 2009, l’OFII est un établissement public administratif de l'État, qui met en œuvre la politique définie par le ministère chargé de l’immigration.
Placé sous la tutelle du Ministère de l’Intérieur, l’OFII remplit quatre principales missions déléguées par l’Etat :
- la gestion des procédures régulières aux côtés ou pour le compte des préfectures et des postes diplomatiques et consulaires ;
- l’accueil et l’intégration des immigrés autorisés à séjourner durablement en France et signataires à ce titre d’un contrat d’accueil et d’intégration avec l’Etat ;
- l’accueil des demandeurs d’asile ;
- l’aide au retour et à la réinsertion des étrangers dans leur pays d’origine.
La santé des immigrés est au centre des missions de l’OFII. Il est en effet nécessaire de pouvoir prévenir le risque de propagation de maladies sur le territoire français mais également d’adapter l’accueil des étrangers en fonction de possibles pathologies ou handicap. L’OFII est aussi en charge de procéder à l’évaluation médicale de la demande de titre de séjour pour soins.
A ce titre, le pôle santé de l’OFII est en charge de:
-         La gestion des vulnérabilités des demandeurs d’asile ;
-         La gestion des étrangers malades ;
-         La gestion des visites médicales.
L’OFII propose, à ce titre, différentes aides aux immigrés ayant des problèmes de santé, allant d’une orientation vers une prise en charge des soins à l’adaptation de l’hébergement. L’évaluation médicale implique ainsi la collecte et le traitement de données de santé.
La Commission considère qu’il y a lieu de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation de la  Commission, les traitements de données de santé qui sont justifiés, comme en l’espèce, par un intérêt de santé publique.
Sur la finalité du traitement :
La finalité du traitement est l’évaluation médicale afin de permettre à l’étranger d’obtenir un titre de séjour pour soins (étranger malade), la validation de son titre de séjour (étranger malade autorisé à séjourner plus de trois mois) ou l’adaptation de son hébergement.
La loi n°2016-2074 du 7 mars 2016 relative au droit des étrangers en France modifie la procédure relative aux étrangers malades sur le territoire français. Elle confie au 1er janvier 2017 le nouveau dispositif aux médecins de l’OFII. Avant cette loi, la procédure était dévolue aux médecins ARS et au médecin-chef de la préfecture de police de Paris.
Un décret en Conseil d’Etat du 28 octobre 2016 a été pris en application de cette loi (décret n° 2016-1456). Il détermine les modalités de la nouvelle procédure médicale.  La Commission a rendu un avis sur ce texte (délibération n° 2016-393).
L’objectif du présent traitement soumis à l’examen de la Commission s’inscrit dans le prolongement de ces modifications législatives et porte spécifiquement sur l’évaluation médicale des étrangers demandeurs d’un titre de séjour pour soins (étranger malade), la validation de leur titre de séjour (étranger autorisé à séjourner plus de trois mois) ou l’adaptation de leur hébergement (demandeur d’asile).
Un arrêté du 27 décembre 2016 relatif aux conditions d’établissement et de transmission des certificats médicaux, rapports médicaux et avis mentionnés aux articles R. 313-22, R. 313-23 et R. 511-1 du code de l’entrée et du séjour des étrangers et du droit d’asile précise par ailleurs les conditions dans lesquelles les données de santé sont collectées et communiquées.
La Commission estime que la finalité poursuivie est déterminée, explicite et légitime.
Sur la nature des données traitées :
Les catégories de données traitées sont les suivantes :
-         données d’identification : nom, prénom, adresse, date de naissance, nationalité, âge, numéro de dossier à la préfecture, type d’hébergement, photo, langues parlées, email, numéro de mobile, situation maritale, nom des représentants légaux.
-         données de santé : examen médical, anamnèse, diagnostic (avec codification CIM10), prise en charge, examens complémentaires, compte-rendu hospitalisation, évolution, complications, dépendance, radiographie pulmonaire, propositions dépistages, vaccinations, nom du médecin ayant rempli le certificat médical type.
La Commission considère que les données enregistrées sont adéquates, pertinentes et non excessives au regard de la finalité ci-dessus déterminée.
Sur la durée de conservation des données :
Les données traitées sont conservées pendant une durée de cinq ans, durée nécessaire à l’étranger pour faire valoir ses droits.
La Commission considère que cette durée de conservation est justifiée au regard de la finalité poursuivie par le traitement.
Sur les destinataires des données :
S’agissant de l’évaluation médicale des étrangers demandeurs d’un titre de séjour pour soins, la demande (accompagnée d’un certificat médical) de l'étranger malade est examinée par un collège de trois médecins instructeurs de l’OFII. L’avis du Collège est rendu dans des conditions garantissant la confidentialité des données de santé de la personne concernée.
Concernant les demandeurs d’asile, il s’agit d’évaluer la vulnérabilité de santé afin d’aménager l’hébergement qui leur sera proposé en raison de leur état de santé. Cette évaluation se fait à partir, d’une part, d’un questionnaire conforme aux dispositions de l’arrêté  du 23 octobre 2015 relatif au questionnaire de détection des vulnérabilités dites  objectives  des demandeurs d’asile prévu à l’article L. 744-6 du CESEDA rempli par l’auditeur, et d’autre part, le cas échéant, par un certificat de santé du médecin du demandeur d’asile. Sur cette base, les médecins rendent un avis sur l’hébergement le mieux adapté au demandeur d’asile.
Les destinataires de ces données sont exclusivement les médecins de l’OFII.
Enfin concernant les étrangers autorisés à séjourner légalement sur le territoire français, une visite médicale permet d’orienter vers des centres de soins ou de dépistage : les destinataires sont exclusivement des entités médicales qui permettront de dépister les maladies : médecins traitants des étrangers malades, médecins des centres de radiologie, de vaccination, de lutte antituberculeuse et de dépistages conventionnés avec l’OFII.
Cette liste de destinataires n’appelle pas d’observations de la part de la Commission.
Sur l'information des personnes, les droits d'accès, de rectification et d'opposition des personnes :
Les mentions légales portant sur les droits d’accès des personnes concernées par le traitement de données à caractère personnel sont inscrites sur le certificat médical type qui est édité et remis en préfecture aux étrangers malades (certificat médical type annexé à l’arrêté du 27 décembre 2016).
Le certificat médical est rempli par le médecin traitant et le demandeur (ou son représentant légal si le patient est mineur) l’adresse sous pli confidentiel au médecin de l’OFII. Quand la personne est en rétention, c’est le médecin du centre de rétention qui l’adresse au médecin de l’OFII (arrêté du 27 décembre 2016).
Il est par ailleurs rappelé dans le certificat médical, qu’aucune attestation médicale ni information médicale n’est à fournir à la préfecture.
Les droits d’accès s’exercent auprès l’OFII.
La Commission considère que ces modalités d’information et de droits d’accès sont satisfaisantes.
Sur la sécurité des données et la traçabilité des actions :
Les données de santé sont hébergées par un hébergeur agréé. Par ailleurs L’OFII utilise le SSSLTS (protocole de chiffrement dans les transferts) pour l’envoi des données de santé vers l’hébergeur. L’intégrité des données venant des préfectures est garantie par le CFT (Cross File Transfer). Une Journalisation des accès aux dossiers est prévue ainsi qu’une politique d’habilitations et de mot de passe.
Ces mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.  La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise l’Office Français de l’Immigration et de l’Intégration à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité l’évaluation médicale des étrangers.
Pour La Présidente
Le vice-Président Délégué
Marie-France MAZARS