Délibération n° 2016-199 du 30 juin 2016 autorisant le Conseil départemental des Alpes-Maritimes à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalités la gestion et le suivi des signalements de maltraitance et des demandes de protection des personnes âgées et des personnes handicapées
Nature: Autre autorisation

(Demande d’autorisation n° 1880735)
La Commission nationale de l'informatique et des libertés,
Saisie par le Conseil départemental des Alpes-Maritimes d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités la gestion et le suivi des signalements de maltraitance et des demandes de protection des personnes âgées et des personnes handicapées;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu les articles  du Code de l’action sociale et des familles, notamment ses articles L.113-2 et suivants, L.114-3 et suivants et L.121-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-II-1°, 9-1°, 25-I-3° et 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et  aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence Dumont  commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Compte tenu de la nature des données collectées, la Commission considère qu’il y a lieu de faire application des dispositions de l’article 9-1° et 25-I-3° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives aux infractions, condamnations et mesures de sûreté.
Dans la mesure où le traitement peut comporter des appréciations sur les difficultés sociales des personnes, il y a également lieu de faire application des dispositions de l’article 25-I-7° de la loi.
Responsable du traitement
Le traitement est mis en œuvre par le Conseil départemental des Alpes-Maritimes, en application de l’article L. 121-1 du code de l’action sociale qui prévoit que le département participe à la définition et à la mise en œuvre de la politique d'action sociale. 
Dans le cadre du dispositif national de lutte contre la maltraitance, le département participe plus particulièrement à la détection, la prise en charge et la prévention de la maltraitance envers les personnes âgées et les personnes handicapées, qu’elles soient accueillies à leur domicile, en établissement ou qu’elles bénéficient d’un accueil familial. A ce titre, il doit être en mesure de recevoir et traiter les signalements émis en la matière.
Ce dispositif est mis en œuvre par voie de circulaires et d’instruction ministérielle et notamment, par la circulaire DGAS/SD2 n° 2002-280 du 3 mai 2002 relative à la prévention et à la lutte contre la maltraitance envers les adultes vulnérables, et notamment les personnes âgées, ainsi que par l’instruction ministérielle DGAS/2A/2007/112 du 22 mars 2007 relative au développement de la bientraitance et au renforcement de la politique de lutte contre la maltraitance.
En cas de maltraitance signalée en établissement, le conseil départemental peut voir sa compétence partagée avec l’Agence Régionale de Santé (ARS) :
dans le cadre de signalement de maltraitance dans des établissements de compétence conjointe entre l’ARS et le conseil départemental, ce dernier est tenu de signaler la situation à l’ARS. L’agence procède alors à une évaluation de la situation, pouvant aboutir à une inspection de l’établissement menée conjointement par l’ARS et par le conseil départemental ;
dans le cadre de signalement de maltraitance dans des établissements relevant exclusivement de la compétence du conseil départemental, la procédure décrite ci-avant est appliquée par les services départementaux.
Sur la finalité
Le traitement automatisé de données a pour finalités la gestion et le suivi des signalements de maltraitance et des demandes de protection des personnes âgées ou des personnes handicapées, résidant à leur domicile, bénéficiant d’un accueil familial ou accueillies en établissement.La Commission considère que les finalités poursuivies sont déterminées, explicites et légitimes.
Sur les données traitées
Dans le cadre de la procédure de signalement de maltraitance, les données collectées diffèrent selon que la personne âgée ou la personne handicapée réside toujours à son domicile, est accueillie au sein d’un établissement ou bénéficie d’un accueil familial.
Les données collectées auprès des personnes âgées ou des personnes handicapées sont relatives :
à l’identité  et aux coordonnées des personnes, et le cas échéant à celles des membres de la famille ou de l’entourage susceptible d’être contacté ;
à la vie personnelle (situation familiale, habitudes de vie) ;
aux informations d’ordre économique et financier (dans le cadre d’aides sociales aux personnes âgées ou aux personnes handicapées, et en cas de maltraitance financière et d’abus de faiblesse) ;
à la situation sociale ;
aux appréciations sur les difficultés sociales (parfois indiquées dans le cas d’un signalement de maltraitance) ;
à l’état de santé (pathologies, affections, soins, situations ou comportements à risque).
à l’identification des personnes (nom, prénom, adresse, date et lieu de naissance) ;
à la vie personnelle (situation familiale, habitude de vie) ;
à la vie professionnelle (situation professionnelle) ;
aux informations d’ordre économique et financier (revenus, situation financière) dans les cas de maltraitance financière et d’abus de faiblesse ;
aux infractions, condamnations et mesures de sûreté (uniquement liées au signalement de maltraitance) ;
à la situation sociale ;
aux appréciations sur les difficultés sociales (parfois indiquées dans le cas d’un signalement de maltraitance) ;
à l’état de santé au moment du signalement (pathologies, antécédents familiaux, soins, situations à risque).
à l’identification de la personne en charge de la personne âgée ou de la personne handicapée (nom, prénom) ;
à l’identification du chef d’établissement (nom, prénom).
à l’identification des personnes concernées (nom, prénom, coordonnées) ;
à la vie professionnelle (situation professionnelle) ;
aux éléments d’ordre économique et financier (dans le cas de maltraitance financière et d’abus de faiblesse) ;
aux infractions, condamnations et mesures de sûreté (uniquement liées au signalement de maltraitance).
Lorsque la personne âgée ou la personne handicapée est prise en charge par un accueillant familial, les catégories de données collectées sur ce dernier sont relatives : 
à l’identité  et aux coordonnées des personnes, et le cas échéant à celles des membres de la famille ou de l’entourage susceptible d’être contacté ;
à la vie personnelle (situation familiale, habitudes de vie) ;
aux informations d’ordre économique et financier (dans le cadre d’aides sociales aux personnes âgées ou aux personnes handicapées, et en cas de maltraitance financière et d’abus de faiblesse) ;
à la situation sociale ;
aux appréciations sur les difficultés sociales (parfois indiquées dans le cas d’un signalement de maltraitance) ;
à l’état de santé (pathologies, affections, soins, situations ou comportements à risque).
à l’identification des personnes (nom, prénom, adresse, date et lieu de naissance) ;
à la vie personnelle (situation familiale, habitude de vie) ;
à la vie professionnelle (situation professionnelle) ;
aux informations d’ordre économique et financier (revenus, situation financière) dans les cas de maltraitance financière et d’abus de faiblesse ;
aux infractions, condamnations et mesures de sûreté (uniquement liées au signalement de maltraitance) ;
à la situation sociale ;
aux appréciations sur les difficultés sociales (parfois indiquées dans le cas d’un signalement de maltraitance) ;
à l’état de santé au moment du signalement (pathologies, antécédents familiaux, soins, situations à risque).
à l’identification de la personne en charge de la personne âgée ou de la personne handicapée (nom, prénom) ;
à l’identification du chef d’établissement (nom, prénom).
à l’identification des personnes concernées (nom, prénom, coordonnées) ;
à la vie professionnelle (situation professionnelle) ;
aux éléments d’ordre économique et financier (dans le cas de maltraitance financière et d’abus de faiblesse) ;
aux infractions, condamnations et mesures de sûreté (uniquement liées au signalement de maltraitance).
Lorsque la personne âgée ou la personne handicapée est accueillie au sein d’un établissement, les données collectées sont relatives :
à l’identité  et aux coordonnées des personnes, et le cas échéant à celles des membres de la famille ou de l’entourage susceptible d’être contacté ;
à la vie personnelle (situation familiale, habitudes de vie) ;
aux informations d’ordre économique et financier (dans le cadre d’aides sociales aux personnes âgées ou aux personnes handicapées, et en cas de maltraitance financière et d’abus de faiblesse) ;
à la situation sociale ;
aux appréciations sur les difficultés sociales (parfois indiquées dans le cas d’un signalement de maltraitance) ;
à l’état de santé (pathologies, affections, soins, situations ou comportements à risque).
à l’identification des personnes (nom, prénom, adresse, date et lieu de naissance) ;
à la vie personnelle (situation familiale, habitude de vie) ;
à la vie professionnelle (situation professionnelle) ;
aux informations d’ordre économique et financier (revenus, situation financière) dans les cas de maltraitance financière et d’abus de faiblesse ;
aux infractions, condamnations et mesures de sûreté (uniquement liées au signalement de maltraitance) ;
à la situation sociale ;
aux appréciations sur les difficultés sociales (parfois indiquées dans le cas d’un signalement de maltraitance) ;
à l’état de santé au moment du signalement (pathologies, antécédents familiaux, soins, situations à risque).
à l’identification de la personne en charge de la personne âgée ou de la personne handicapée (nom, prénom) ;
à l’identification du chef d’établissement (nom, prénom).
à l’identification des personnes concernées (nom, prénom, coordonnées) ;
à la vie professionnelle (situation professionnelle) ;
aux éléments d’ordre économique et financier (dans le cas de maltraitance financière et d’abus de faiblesse) ;
aux infractions, condamnations et mesures de sûreté (uniquement liées au signalement de maltraitance).
Enfin, lorsque la personne âgée ou la personne handicapée réside à son domicile, des données sont collectées sur l’intervenant à domicile et sont relatives :
à l’identité  et aux coordonnées des personnes, et le cas échéant à celles des membres de la famille ou de l’entourage susceptible d’être contacté ;
à la vie personnelle (situation familiale, habitudes de vie) ;
aux informations d’ordre économique et financier (dans le cadre d’aides sociales aux personnes âgées ou aux personnes handicapées, et en cas de maltraitance financière et d’abus de faiblesse) ;
à la situation sociale ;
aux appréciations sur les difficultés sociales (parfois indiquées dans le cas d’un signalement de maltraitance) ;
à l’état de santé (pathologies, affections, soins, situations ou comportements à risque).
à l’identification des personnes (nom, prénom, adresse, date et lieu de naissance) ;
à la vie personnelle (situation familiale, habitude de vie) ;
à la vie professionnelle (situation professionnelle) ;
aux informations d’ordre économique et financier (revenus, situation financière) dans les cas de maltraitance financière et d’abus de faiblesse ;
aux infractions, condamnations et mesures de sûreté (uniquement liées au signalement de maltraitance) ;
à la situation sociale ;
aux appréciations sur les difficultés sociales (parfois indiquées dans le cas d’un signalement de maltraitance) ;
à l’état de santé au moment du signalement (pathologies, antécédents familiaux, soins, situations à risque).
à l’identification de la personne en charge de la personne âgée ou de la personne handicapée (nom, prénom) ;
à l’identification du chef d’établissement (nom, prénom).
à l’identification des personnes concernées (nom, prénom, coordonnées) ;
à la vie professionnelle (situation professionnelle) ;
aux éléments d’ordre économique et financier (dans le cas de maltraitance financière et d’abus de faiblesse) ;
aux infractions, condamnations et mesures de sûreté (uniquement liées au signalement de maltraitance).
Les informations traitées permettent uniquement aux personnels compétents du Département et au Procureur de la République de prendre connaissance de la procédure en cours.
Les informations relatives aux dossiers de maltraitance (faits allégués ou observés, actions et suivis mis en œuvre) ne sont accessibles qu’aux personnels habilités à instruire les signalements de maltraitance.
Les données de santé sont collectées avec le consentement exprès des personnes concernées sauf impossibilité.
La Commission prend acte que les données relatives aux appréciations sur les difficultés sociales ne sont pas collectées dans le cadre de l’élaboration  d’un suivi social des personnes concernées. Leur collecte est réalisée seulement lorsque cela permet à l’ARS d’apprécier la situation sociale de la personne, en cas de signalement.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée, dès lors qu’elles s’avèrent nécessaires et proportionnées dans le cadre du présent traitement.
Sur les destinataires
Peuvent avoir accès aux données, les personnes et organismes qui, en raison de leurs fonctions et des missions qui leur sont confiées par la loi, interviennent dans la lutte contre les maltraitances des personnes âgées ou des personnes handicapées et à ce titre, sont susceptibles d’être destinataires de signalements. 
Peuvent ainsi avoir accès aux données :
les agents habilités du Département ;
l’Agence régionale de santé (ARS), en ce qui concerne le signalement de maltraitance en établissement de compétence conjointe ; 
le Procureur de la République, le cas échéant ;
le préfet, le cas échéant.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes sont informées conformément à l’article 32 de la loi du 6 janvier 1978 par des mentions légales figurant sur le site web du Département des Alpes-Maritimes.Une information par voie d’affichage est également prévue dans les locaux du Département accueillant du public.Enfin, les courriers adressés aux personnes concernées comportent une mention informative en bas de page.Les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès du Correspondant informatique et libertés du Département des Alpes-Maritimes mais les demandes sont traitées, in fine, par la Direction générale adjointe du Développement des solidarités humaines (DGA DSH) du Département. La Commission considère que ces modalités d’information et d’exercice des droits des personnes, décrites ci-dessus, sont satisfaisantes.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique sont mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe renouvelés tous les trois mois et constitués de huit caractères dont trois spéciaux, avec un historique de cinq mots de passe non réutilisables.La Commission recommande que les accès à l’application fassent l’objet d’une journalisation. Elle rappelle que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.Les échanges de données effectués sur Internet sont sécurisés par des procédés de chiffrement de transport des données.Des profils d’habilitations, encadrant les accès aux données et aux fonctionnalités du système d’information, sont définis en fonction des missions et attributions des utilisateurs.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier  1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité  au regard de la réévaluation régulière des risques.
 Sur les autres caractéristiques du  traitement 
Les données sont conservées pendant la durée de l’instruction et jusqu’à épuisement des voies de recours. La Commission considère que cette durée de conservation est pertinente au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, le Conseil départemental des Alpes-Maritimes à mettre en œuvre le traitement susmentionné.
Pour La Présidente,
Le Vice-Président délégué,
Marie-France MAZARS