(Demande d’autorisation n° 1551655 et 1551779)
La Commission nationale de l’informatique et des libertés ;
Saisie par le Conseil général du Cher d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion du contentieux des fraudes aux prestations sociales ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment son article L. 262-46 ;
Vu le code de la sécurité sociale, notamment ses articles L.114-9 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-1°, 25-I-3° et 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, commissaire et après avoir entendu les observations de  Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le Conseil général du Cher participe, notamment en partenariat avec les Caisses d’allocation familiale (CAF) et de mutualité sociale agricole (MSA), à la gestion des prestations sociales.
Dans le cadre de ces missions, il peut être informé, par la CAF ou la MSA qui assure le versement de ces prestations ou bien par la police judiciaire (en cas de réquisition), de certains cas de suspicion de fraudes.
Sur la finalité
Le traitement INTRAQUAL DYNAMIC sera l’outil de gestion des contentieux du Conseil général du Cher dans le cadre des fraudes aux prestations sociales.
Une fiche sera enregistrée par le Conseil général du Cher à l’encontre de toute personne suspectée de fraude aux prestations sociales. Une fiche pourra également être enregistrée concernant tout bénéficiaire de l’une de ces prestations ouvrant une procédure à l’encontre du Conseil général du Cher.
Il permettra ainsi un suivi régulier, efficace et homogène des dossiers contentieux, notamment en offrant la possibilité de générer des courriers types via une application sécurisée.
La Commission relève particulièrement que l’outil ne permettra pas de recherche par mot clé sur le contenu des pièces jointes.
Par conséquent, elle considère que le traitement répond à des finalités déterminées, explicites et légitimes.
Sur les données traitées
Lorsqu’elles sont pertinentes par rapport au litige, les catégories de données traitées sont relatives :
- à l’identité de la personne concernée : nom, prénom et adresse ;
- à son identification, uniquement lorsque celle-ci est mentionnée dans les courriers des organismes de prestation sociale : numéro d’allocataire CAF ou MSA de la personne concernée ;
- à sa vie personnelle (exemple : statut marital) ;
- à sa situation professionnelle (exemple : demandeur d’emploi) ;
- à sa situation économique et financière (exemple : revenus, endettement) ;
- à sa santé, uniquement dans le cadre d’une prestation sociale conditionnée par l’état de santé de la personne concernée et lorsque les données concernées sont mentionnées dans les pièces jointes au dossier ;
- à sa situation sociale et aux difficultés sociales telles que mentionnées dans les rapports sociaux du Conseil général (exemple : rapport relatif à l’agrément PMI dans le cadre d’une contestation auprès du Conseil général) ;
- aux infractions commises, uniquement lorsque celles-ci sont mentionnées dans le jugement joint au dossier ;
- à la procédure suivie : juridiction(s), sanction(s), appel, pourvoi, sanctions finales.
Concernant le traitement du numéro d’allocataire CAF ou MSA, la Commission rappelle que, si le n° CAF n’est soumis à aucun régime juridique particulier, il n’en va pas de même du n° MSA, qui correspond au NIR.
Aussi, compte tenu de la finalité du traitement INTRAQUAL DYNAMIC, la Commission demande au Conseil général du Cher de « griser » le NIR sur les documents transmis par la MSA et donnant lieu à un enregistrement.
La Commission considère que les autres données traitées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées.
Enfin, s’agissant les zones commentaires, pour éviter l’enregistrement de données subjectives, non pertinentes ou excessives, la Commission préconise que la mention suivante soit portée à la connaissance des agents habilités (dans l’application ou via un guide d’utilisateur) : « Seules doivent être saisies les informations pertinentes au regard du contexte. Elles ne doivent pas comporter d’appréciation subjective, ni faire apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci. Les personnes concernées ont accès à ces champs libres ».
Sur les destinataires
Les destinataires des données sont :
Ce point n’appelle aucune observation de la Commission.
les agents spécifiquement habilités, du fait de leurs fonctions, au sein du service des affaires juridiques du Conseil général du Cher ;
le chef du service du Conseil général gérant la prestation sociale objet de la fraude, ainsi que son supérieur hiérarchique.
Sur l’information et le droit d’accès
Les personnes concernées seront informées au moyen de mentions légales jointes au formulaire de collecte de leurs données à caractère personnel.
Le droit d’accès s’exercera auprès du Service des Affaires Juridiques du Conseil général du Cher, Hôtel du département, Place Marcel PLAISANT, 18023 BOURGES Cedex.
Sur les mesures de sécurité
Le traitement repose sur un progiciel mis en œuvre au sein d’un intranet.
La Commission considère que les mesures d’authentification des utilisateurs assurent une authentification fiable des utilisateurs.
Concernant le contrôle des accès aux données, des mesures de traçabilité permettent d’imputer toutes les opérations de modification ou de création à l’utilisateur à l’origine de cette opération.
Ainsi, la Commission considère que les mesures de sécurité proposées sont conformes à l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données traitées seront conservées jusqu’à l’aboutissement de la procédure contentieuse, ce qui n’appelle aucune observation de la Commission.
Autorise, conformément à la présente délibération, le Conseil général du Cher à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN