Délibération n° 2016-395 du 15 décembre 2016 autorisant la crèche Brins d’Etoiles à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des enfants au sein de la structure.
Nature: Autre autorisation

(Demande d’autorisation n° 1836070)
La Commission nationale de l'informatique et des libertés,
Saisie par la crèche Brins d’Etoiles d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des enfants au sein de la structure.
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme. Laurence Dumont, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La crèche Brins d’Etoiles est une micro-crèche privée (SAS), intégrée dans l’offre d’accueil de la ville d’Oullins. 
Sur la finalité
Le traitement permet de poursuivre les finalités suivantes :
la gestion des enfants au sein de la structure ;
l’élaboration de statistiques annuelles d’accueil de la petite enfance à partir de données individuelles (ces données sont préalablement anonymisées).
Ces statistiques permettront d’avoir une vision globale de l’accueil, et de connaître les besoins des familles présentes sur la commune d’Oullins.
L’analyse des informations obtenues permettront également d’établir une cartographie afin de répondre aux besoins des familles via une meilleure connaissance des profils de ces dernières.
La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites.
Sur les données traitées
Les catégories de données concernant les usagers sont relatives à :
l’identité (nom, prénom, adresse, date et lieu de naissance des enfants) ;
au lieu de résidence des parents (données statistiques permettant de mesurer le nombre de demande d’accueil en crèche par des personnes extérieures au territoire de la ville d’Oullins) ;
aux informations d’ordre économique et financier (revenus) ;
aux appréciations sur les difficultés sociales des parents (données statistiques permettant à la ville d’Oullins de mesurer la variation du nombre de personnes en situation sociale difficile afin d'apporter des réponses adaptées en termes d'accueil) ;
à la santé (vaccination des enfants, information obligatoire pour l’entrée en collectivité), handicap.
Les données relatives au handicap servent, le cas échéant, à mettre en place un protocole d’accueil individualisé avec le médecin de la PMI, afin de permettre d’accueillir les enfants dans des conditions de sécurité optimales.
La Commission estime qu’il y a lieu de faire application des dispositions de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des appréciations sur les difficultés sociales des personnes.
Le traitement, justifié par l’intérêt public, peut faire apparaître des informations relatives à la santé des personnes. Dès lors, il y a lieu de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements, automatisés ou non, portant sur de telles données.
Ces données apparaissent pertinentes au regard de la finalité poursuivie conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Peuvent avoir accès aux données, les personnes et organismes qui, en raison de leurs fonctions et des missions qui leur sont confiées, participent au suivi ou à l’accompagnement des personnes concernées, dans la limite des seuls cas les concernant et des seules informations nécessaires à l'accomplissement de leurs missions. Il s’agit :
du personnel strictement habilité de la crèche ;
de la CAF ;
de la mairie (statistiques préalablement anonymisées) ;
le médecin de la PMI ;
du Conseil départemental (statistiques préalablement anonymisées).
La Commission prend acte de ce que seuls des professionnels de santé sont en mesure de renseigner le volet médical du dossier et de déterminer les données liées à la santé des enfants qu’ils estiment nécessaire de communiquer à l’équipe médico-sociale et dans la stricte limite de leurs missions.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes sont informées conformément à l’article 32 de la loi du 6 janvier 1978, par des mentions légales sur le formulaire de collecte des données, et par des mentions sur le site internet de la crèche.Les droits d’accès, de rectification et d’opposition s’exercent auprès de la crèche Brins d’Etoiles - 48 rue des Célestins - 69600 Oullins.Ces modalités d’information et d’exercice des droits des personnes apparaissent satisfaisantes.
Sur les mesures de sécurité
La Commission prend acte de ce que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.Les habilitations d’accès au système d’information sont définies en fonction des attributions des utilisateurs. Seules deux personnes sont habilitées à détenir ces données et à avoir accès au traitement.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement 
Les données sont conservées pendant la période d’accueil de l’enfant au sein de la structure.A l'expiration de cette période, et sauf dispositions législatives contraires, les données sont détruites de manière sécurisée, ou archivées, conformément aux dispositions de la délibération de la CNIL portant adoption d'une recommandation concernant les modalités d'archivage électronique de données à caractère personnel pour les organismes relevant du secteur privé.Les justificatifs recueillis, y compris sous format papier, qui n’ont plus d’utilité, soit parce qu’ils sont trop anciens pour justifier de la situation de l’usager, soit parce que le dossier pour lequel ils ont été demandés est constitué, doivent être détruits.La Commission considère que cette durée de conservation apparaît pertinente au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, la crèche Brins d’Etoiles à mettre en œuvre le traitement susmentionné.
Pour la Présidente
Le Vice-Président délégué.
Marie-France MAZARS