(Demande d’autorisation n° 1594415)
La Commission nationale de l’informatique et des libertés,
Saisie par le Centre d’action sociale de la ville de Paris (CASVP) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’amélioration et l’individualisation du projet de vie des personnes agées dépendantes résidant dans les établissement d’hébergement pour personnes âgées (EHPAD) du CASVP;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le centre d’action sociale de la ville de Paris (CASVP) est un établissement public municipal qui met en œuvre l’action sociale sur le territoire parisien. Il gère notamment des équipements pour l’accueil ou l’hébergement des personnes âgées.
Sur la finalité
Les EHPAD, sont des établissements sociaux et médico-sociaux au sens de l’article L.312-1 du code de l’action sociale et des familles, Ce sont des structures d’hébergement collectif qui accueillent des personnes âgées en perte d’autonomie physique et/ou psychique. Ces structures sont toutes médicalisées ; elles offrent les aides et les soins nécessaires aux résidants dans le cadre d’un projet de vie personnalisé.
Le centre d'action sociale de la ville de Paris (CASVP) gère huit EHPAD publics à Paris et six en banlieue et province, étant précisé que trois autres EHPAD sont actuellement en cours de construction.
La finalité du présent traitement est l’amélioration et l’individualisation du projet de vie des personnes âgées dépendantes résidant dans l’établissement d’hébergement pour personnes âgées (EHPAD) du CASVP.
La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites.
La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
Les catégories de données collectées sont relatives :
Le NIR sera recueilli directement auprès de la personne hébergée au sein d’un EHPAD du CASVP, ou indirectement via une extraction de l’interface ACTARUS du CASVP. ACTARUS est un logiciel permettant la mise en œuvre du traitement de données à caractère personnel ayant pour finalité la facturation des actes et prestations réalisées au sein des établissements du CASVP.
à l’identification des personnes (nom, prénom, adresse, date et lieu de naissance, photographie, le NIR) ;
à leur vie personnelle et professionnelle (habitude de vie, situation familiale, groupe d’activités professionnelles) ;à leurs données de santé (pathologies, affection, données relatives aux soins, degré de dépendance) ;
et à leurs opinions religieuses.
Les opinions religieuses seront collectées directement auprès de la personne concernée après recueil de son consentement exprès. Cette donnée est nécessaire en matière d’organisation des obsèques et de présence d’un ministre du culte.
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités des EHPAD et les professionnels de santé, médicaux et paramédicaux, exerçant en leur sein.
L’habilitation à consulter des données de santé ne peut être attribuée qu’à des personnes soumises au secret médical, et dans la stricte limite de leurs missions.
Sur l’information et le droit d’accès
Les personnes concernées sont les résidents des EHPAD ainsi que les professionnels médicaux et paramédicaux exerçant au sein des EHPAD du CASVP.
Les résidents seront informés du traitement de données par une clause du contrat d’hébergement qu’ils signeront pour les nouveaux arrivants, et, pour les personnes d’ores et déjà accueillies au sein de l’établissement, un avenant à leur contrat leur sera transmis.
Les droits d’accès et de rectification s’exercent auprès de la sous-direction des services aux personnes âgées du CASVP située au 5 boulevard Diderot, 75012 Paris.
La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Concernant les modalités d’accès aux données, les utilisateurs ayant accès à l’application sont authentifiés au moyen d’un mot de passe respectant les recommandations de la Commission en la matière. Des profils d’habilitation permettent de déterminer les données auxquelles peuvent accéder les utilisateurs.
Concernant les mesures de traçabilité, l’ensemble des accès en création, modification, mise à jour et suppression sont tracés et conservés dans le dossier du patient.
Concernant les réseaux au travers desquels sera accessible le traitement, ceux-ci seront reliés entre eux par un réseau VPN (Virtual Network Computer) présentant un niveau de sécurité suffisant.
La Commission estime que les mesures de sécurité mises en place sont satisfaisantes.
Sur les autres caractéristiques du traitement
Les données de santé collectées et traitées seront hébergées chez un prestataire agréé en qualité d’hébergeur de données de santé par le ministère des affaires sociales et de la santé, et ce conformément aux dispositions de l’article L.1111-8 du code de la santé publique.
Les données seront conservées pendant toute la durée du séjour de la personne hébergée, pour être ensuite archivées dans une base intermédiaire pendant huit ans à compter du décès de la personne ou dix-huit ans à compter du départ de la personne (si la date de décès est inconnue). A l’issue de cette durée de conservation, et après autorisation des Archives publiques (en l’espèce il s’agira des archives départementales), les données seront définitivement supprimées.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, le Centre d’Action sociale de la ville de Paris à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN