(Autorisation n°1520206)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n°108, du 28 janvier 1981, du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment ses articles 8-IV, 25-I-1° et 25-I-7° ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifié ;
Vu les articles L.311-4, L.114-3, L.146-7 et D.116-1 et suivants du code de l’action sociale et des familles ;
Vu la demande d’autorisation du Directeur Général du Conseil général de la Gironde d’une demande d’autorisation relative au traitement de données à caractère personnel ayant pour finalité la gestion des trois certificats de santé du jeune enfant ;
Après avoir entendu M. Philippe GOSSELIN, commissaire, en son rapport et Mme ROLIN, commissaire du Gouvernement, en ses observations ;

La Commission a été saisie par le Conseil général de la Gironde d’une demande d’autorisation relative au traitement de données à caractère personnel ayant pour finalité le suivi des demandes de protection et de signalements de maltraitance des personnes âgées (PA) ou handicapées (PH).
La Commission considère qu’il y a lieu de faire application des articles 8-IV, 25-I-1° et 25-I-7° de la loi du 6 janvier 1978 modifiée.
Dans le cadre des subventions versées par le Conseil général aux établissements d’accueil pour personnes âgées ou handicapées du département, le Conseil général doit répondre d’une obligation de veiller à la bien traitance des personnes accueillies. Ce traitement de données est mis en œuvre afin de mieux répondre à cette exigence.
Sur les finalités
La finalité du traitement est de permettre l’instruction de tous les signalements de maltraitance concernant les personnes âgées ou handicapées, quel que soit leur mode d’accueil.
Dans cet objectif, la Commission prend acte que le fichier Excel créé ne servira qu’au suivi des différentes étapes de l’instruction (état d’avancement), à l’exclusion de tout diagnostic social ou médical.
Sur les données collectées
Les données traitées concernent :
l’identification des personnes (nom, prénom, adresse, date et lieu de naissance) ;
la situation familiale et les habitudes de vie de la personne victime de maltraitance ;
la situation sociale de celle-ci ;
l’état général de santé de celle-ci (pathologies, antécédents familiaux, soins, situations à risque).
Les informations traitées permettent uniquement aux personnels compétents du Conseil général et au Procureur de prendre connaissance de la procédure en cours.
Les informations relatives aux dossiers de maltraitance (faits allégués ou observés, actions et suivis mis en œuvre) figurent uniquement dans des dossiers sous format « papier ». Ceux-ci ne restent accessibles qu’aux personnels habilités à instruire les signalements de maltraitance.
Sur les destinataires
Les catégories de destinataires habilités à recevoir communication des données traitées sont, à raison de leurs attributions respectives, les agents habilités du Conseil général et le Procureur.
Compte tenu du caractère sensible des données, la Commission appelle l’attention du Conseil général sur le fait que le régime d’habilitation doit être strictement défini. Il s’agira particulièrement de veiller à ce que tous les agents habilités soient soumis au secret professionnel ou, a minima, à un devoir de réserve (agents administratifs).
Sur la durée de conservation
Les données nominatives des demandeurs sont conservées dans le traitement soit la durée de la prescription légale des faits (c’est à dire 3 ans à compter de la commission des faits) soit la durée du contentieux en cours. Cette durée de conservation n’appelle aucune observation de la Commission.
Sur la sécurité
La Commission a pris acte que le traitement de données sera effectué sur un fichier de type Excel.
Du fait du caractère particulièrement sensible des données susceptibles d’être traitées (données de santé saisies sous format nominatif), elle recommande que le traitement de ces données soit effectué au moyen d’un logiciel permettant une gestion plus satisfaisante des profils d’habilitation.
Elle attire l’attention du Conseil général de la Gironde sur le fait que, compte tenu de la sensibilité des données traitées, un chiffrement des données identifiantes (noms, prénoms, dates et lieux de naissance, signes distinctifs) doit être mis en œuvre.
De même, pour garantir la confidentialité des données en dehors du Conseil général, la Commission rappelle que tout échange dématérialisé de données sur la santé des personnes concernées doit faire l’objet d’un chiffrement.
Le traitement de ces données ne doit faire l’objet d’aucune interconnexion, d’aucun rapprochement ni d’aucune autre forme de mise en relation.
Enfin, la Commission recommande que soit mise en œuvre une journalisation des données permettant de tracer les contenus accédés et les types d’opérations effectuées.
Sur les droits des personnes
L’information des personnes (droits d’accès, de rectification et d’opposition) s’effectuera par deux moyens : un affichage spécifique dans les lieux d’accueil des personnes âgées ou handicapées ainsi que des mentions mises à disposition sur le site Internet du Conseil général de la Gironde.
Isabelle FALQUE-PIERROTIN