(Demande d’autorisation n°1554539)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n°108, du 28 janvier 1981, du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L.2111-2, L.2112-2, L.2132-2 et L.2132-3 ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment ses articles 8-IV et 25-I-1°;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifié ;
Vu le dossier et ses compléments ;
Sur la proposition de Monsieur GOSSELIN, commissaire et après avoir entendu les observations de Mme ROLIN, commissaire du Gouvernement ;
Sur le responsable du traitement
Conseil général du Val d’Oise
Sur les finalités
La Commission a été saisie par le Conseil général du Val d’Oise d’une demande d’autorisation de mise en œuvre d’un traitement de données ayant pour finalité la gestion et le suivi des certificats de santé du jeune enfant, des avis de grossesse, des actes de naissance et de décès des enfants de moins de 6 ans.
La Commission considère qu’il y a lieu de faire application des articles 8-IV et 25-I, 1° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure de l’autorisation les traitements de données de santé qui sont justifiés, comme en l’espèce, par un intérêt de santé publique.
Ce traitement de données est mis en œuvre dans le service de protection maternelle et infantile (PMI) du Département du Val d’Oise.
L’objet du traitement est, pour le service de la PMI de gérer les certificats de santé du très jeune enfant (8ème jour, 9ème et 24ème mois), ainsi que les avis de grossesse, actes de naissance, de décès des enfants de moins de 6 ans.
Il répond également à l’obligation des officiers d’Etat civil de transmettre une copie des actes de naissance et de décès des jeunes enfants de moins de 6 ans à la PMI.
La Commission prend acte que ce traitement ne permet d’établir aucune présélection des enfants à risque susceptibles d’un suivi individuel.
Les finalités poursuivies par ce traitement de données à caractère personnel poursuivent un objectif de santé publique.
Sur les données traitées
Concernant les femmes enceintes et les enfants, les données traitées correspondent à des données :
L’ensemble des informations traitées proviennent des actes de naissance envoyés par les services de l’Etat civil, ainsi que des certificats de santé, des avis de grossesse et certificats de décès.
d’identification (nom, prénom, date et lieu de naissance),
relatives à la situation familiale de la mère ;
relatives à la situation professionnelle/scolaire de celle-ci ;
relatives à la santé de la mère et de l’enfant (pathologies, antécédents familiaux, soins, comportements à risque tels que consommation d’alcool et de tabac).
La Commission prend acte de ce que les avis de grossesse comportent le NIR, qui ne sera pas reproduit ni traité dans le cadre de ce traitement de données à caractère personnel. Une information et une sensibilisation des personnes en charge du renseignement du fichier permettraient toute erreur de saisie du NIR des personnes.
La Commission considère que les données sont adéquates, pertinentes et non excessives au regard des finalités du traitement.
Sur les destinataires
Les catégories de destinataires habilités à recevoir communication des données traitées sont exclusivement des personnels de la PMI, à raison de leurs attributions respectives à savoir :
Compte tenu du caractère sensible des données, la Commission appelle l’attention du Conseil général sur le fait que le régime d’habilitation doit être strictement défini.
les médecins,
les sages-femmes,
les puéricultrices,
les secrétaires dans la limite de leurs habilitations et ce sous la responsabilité d’un professionnel de santé de la PMI.
Sur l’information et le droit d’accès
L’information des personnes (droits d’accès, de rectification et d’opposition) s’effectuera par des mentions légales sur le formulaire de saisie des données.
En cela, la Commission prend acte de ce que le Conseil général du Val d’Oise répond aux exigences de l’article 32 de la loi n°78-17 du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
La Commission a pris acte que la gestion des mots de passe individuels des membres du service de la PMI est conforme aux recommandations de la CNIL. En effet, un mot de passe composé de 8 caractères alphanumériques, modifié tous les 6 mois et un verrouillage du poste en cas de 5 échecs consécutifs sont organisés.
Elle recommande que le traitement soit mis en œuvre sur un ordinateur dédié à la gestion des certificats de santé des jeunes enfants, implanté dans le service de la PMI.
Compte tenu de la sensibilité des données traitées, un chiffrement des données identifiantes serait souhaitable.
Pour garantir la confidentialité des données en dehors du service de la PMI, la Commission rappelle que les obligations suivantes doivent être respectées :
Enfin, la Commission recommande que la journalisation des données effectuée comporte une journalisation des contenus accédés et des opérations effectuées.
tout échange dématérialisé de données sur la santé de la mère et de l’enfant en dehors du service PMI du Conseil général du Val d’Oise doit faire l’objet d’un chiffrement, à tout le moins de l’ensemble des données identifiantes de la mère et de l’enfant ;
le traitement de gestion des certificats ne doit faire l’objet d’aucune interconnexion, d’aucun rapprochement ni d’aucune autre forme de mise en relation.
La Commission rappelle au Conseil général du Val d’Oise ses obligations en qualité de responsable de traitement notamment en matière de sécurité, en application de l’article 34 de la loi n°78-17 du 6 janvier 1978 modifiée.
Sur les caractéristiques particulières du traitement
Les données nominatives des demandeurs sont conservées dans le traitement 6 ans, à compter de la date de naissance de l’enfant.
Cette durée de conservation des données traitées est proportionnée au regard des finalités poursuivies par le traitement, conformément aux dispositions de l’article 6-2° de la loi n°78-17 du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, le Conseil général du Val d’Oise à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE PIERROTIN