(Demande d’autorisation n° 1527211)
La Commission nationale de l’informatique et des libertés,
Saisie par la société Qualione d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des personnes utilisatrices de son dispositif d’écoute psychologique et de conseil par téléphone,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Monsieur Emmanuel de GIVRY, commissaire et après avoir entendu les observations de  Madame Elisabeth ROLIN, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La société par actions simplifiée Qualione est pour partie composée d’un établissement dénommé Qualisocial spécialisé dans la gestion de la souffrance au travail.
Les missions de Qualisocial sont reparties en trois activités principales :
le conseil en gestion des risques psychosociaux ;
la formation en matière de bien-être au travail ;
la gestion des salariés en difficulté par l’intermédiaire de psychologues sur les sites des clients et la mise à disposition d’un numéro d’écoute et d’accompagnement psychologique accessible en permanence.
Sur la finalité
La finalité du traitement consiste à suivre les personnes utilisatrices du dispositif d’écoute psychologique et de conseil par téléphone de la société Qualione mis en œuvre par l’établissement Qualisocial.
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Elle estime qu’il y a lieu de faire application de l’article 25-I-7° de la loi 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données permettant d’apprécier les difficultés sociales des personnes.
Sur les données traitées
Les catégories de données collectées concernent les seules personnes utilisant le dispositif d’écoute et de conseil téléphonique et sont relatives :
Les données qui concernent d’autres personnes que les utilisateurs du dispositif d’écoute et de conseil ne sont ni enregistrées ni conservées.
à l’identification (nom, prénom, adresse) ;
à la vie personnelle (habitude de vie, situation familiale) ;
à la vie professionnelle (situation professionnelle) ;
à des appréciations sur les difficultés sociales des personnes ;
Par ailleurs, les psychologues sont informés qu’ils ne doivent renseigner que les seules informations qu’ils jugent pertinentes par rapport aux besoins des utilisateurs du dispositif.
La Commission considère que les données collectées sont pertinentes, adéquates et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Seuls les psychologues avec lesquels les utilisateurs se sont entretenus, les psychologues coordinateurs et les psychologues chargés des permanences de la cellule peuvent accéder aux données à caractère personnel traitées par l’intermédiaire du présent traitement.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées de leurs droits d’accès, de rectification et de suppression à l’issue de leur entretien téléphonique avec un psychologue.
Les droits d’accès et de rectification s’exercent par courrier électronique, par téléphone, par voie postale ou sur place auprès du service Qualisocial de la société Qualione.
Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
La Commission rappelle que l’authentification des utilisateurs du traitement doit respecter ses préconisations et, en particulier, que les mots de passe doivent être d’un niveau de complexité suffisant (8 caractères avec des lettres minuscules, majuscules, des chiffres et des caractères spéciaux) et régulièrement renouvelés.
Le traitement doit également comporter une fonctionnalité de journalisation des opérations de consultation, création et modification des données à caractère personnel pour sa partie accessible à plus de trois personnes, d’une part, et les journaux de connexion doivent être conservés pendant six mois, d’autre part.
En outre, lorsque le traitement est accessible sur internet, le protocole HTTPS doit être utilisé pour garantir la confidentialité des données échangées.
Lorsque les données sont échangées sur des canaux non sécurisés, ces échanges doivent également être chiffrés afin de garantir la confidentialité des données.
Sur les autres caractéristiques du traitement
Les données sont conservées en base active pendant un an à compter de la dernière communication téléphonique avec l’utilisateur concerné.
Les données font par la suite l’objet d’un archivage sur un serveur sécurisé pendant quatre ans, étant précisé qu’un dossier archivé est reversé en base active pendant un an si la personne concernée utilise à nouveau le  dispositif d’écoute et de conseil.
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, la société Qualione à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN