Délibération n°2016-370 du 1er décembre 2016 autorisant le Conseil départemental de la Charente Maritime à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des demandes et des renouvellements des agréments des accueillants familiaux pour personnes âgées et handicapées et le contrôle et suivi médico-social des personnes accueillies
Nature: Autre autorisation

(Demande d’autorisation n° 1917978
La Commission nationale de l'informatique et des libertés,
Saisie par le Conseil départemental de la Charente Maritime d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité  la gestion des demandes et des renouvellements des agréments des accueillants familiaux pour personnes âgées et handicapées et le contrôle et suivi médico-social des personnes accueillies
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu les articles R441-1 et L441-1 et suivants du Code de l’action sociale et des familles ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et  aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement.
Formule les observations suivantes :
Responsable du traitement
Le Conseil départemental de la Charente Maritime
Sur la finalité
Le traitement automatisé de données a pour finalités :
la gestion des demandes et des renouvellements des agréments des accueillants familiaux (évaluation des conditions matérielles et des aptitudes du candidat) ;
le contrôle des accueillants familiaux agréés (conditions matérielles, morales et sanitaires) ;
le suivi social et médico-social des personnes accueillies ;
la gestion du pré-contentieux.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
Sur les données traitées
A titre liminaire, la Commission rappelle que des données à caractère personnel ne peuvent être collectées que si elles sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie. 
Les catégories de données collectées auprès des candidats à l’agrément des accueillants familiaux et des accueillants familiaux agréés sont relatives :
à l’identification des personnes (nom, prénom, adresse,  date et lieu de naissance, copie de la carte d’identité des personnes majeures vivant au domicile et livret de famille) ;
à la vie personnelle (situation familiale, habitudes de vie, copie du permis de conduire pour le remboursement des frais de déplacement de l’accueillant à des formations organisées par le département, caractéristiques du logement d’accueil, attestation d’assurance responsabilité civile concernant le logement) ;
aux données bancaires pour les personnes agréées (RIB pour le remboursement des frais de déplacement) ;
à la vie professionnelle (situation professionnelle, scolarité, formation, expérience(s) antérieure(s)) ;
aux informations d’ordre économique et financier (revenus,   situation financière) ;
aux infractions et condamnations (extrait du casier judiciaire en application des dispositions de l’article 421-3 du code de l’action sociale et des familles) ;
aux appréciations sur les difficultés sociales (en application de l’article L441-1 du code de l’action sociale et des familles) ;
à l’état de santé (certificat médical attestant que l’état de santé du demandeur n’est pas incompatible avec l’accueil des personnes âgées ou des personnes adultes handicapées).
à l’identification (nom, prénom, adresse, date et lieu de naissance) ;
à la vie personnelle (habitudes de vie, situation familiale) ;
à la vie professionnelle (expériences professionnelles antérieures) ;
aux informations d’ordre économique et financier (situation financière, revenus) ;
aux appréciations sur les difficultés sociales ;
aux conditions matérielles de l’accueil ; 
à l’état de santé (pathologie, affection, données relatives aux soins, situation ou comportements à risques, besoins en équipement).
Les données collectées auprès des personnes accueillies lors des contrôles réalisés sont relatives :
à l’identification des personnes (nom, prénom, adresse,  date et lieu de naissance, copie de la carte d’identité des personnes majeures vivant au domicile et livret de famille) ;
à la vie personnelle (situation familiale, habitudes de vie, copie du permis de conduire pour le remboursement des frais de déplacement de l’accueillant à des formations organisées par le département, caractéristiques du logement d’accueil, attestation d’assurance responsabilité civile concernant le logement) ;
aux données bancaires pour les personnes agréées (RIB pour le remboursement des frais de déplacement) ;
à la vie professionnelle (situation professionnelle, scolarité, formation, expérience(s) antérieure(s)) ;
aux informations d’ordre économique et financier (revenus,   situation financière) ;
aux infractions et condamnations (extrait du casier judiciaire en application des dispositions de l’article 421-3 du code de l’action sociale et des familles) ;
aux appréciations sur les difficultés sociales (en application de l’article L441-1 du code de l’action sociale et des familles) ;
à l’état de santé (certificat médical attestant que l’état de santé du demandeur n’est pas incompatible avec l’accueil des personnes âgées ou des personnes adultes handicapées).
à l’identification (nom, prénom, adresse, date et lieu de naissance) ;
à la vie personnelle (habitudes de vie, situation familiale) ;
à la vie professionnelle (expériences professionnelles antérieures) ;
aux informations d’ordre économique et financier (situation financière, revenus) ;
aux appréciations sur les difficultés sociales ;
aux conditions matérielles de l’accueil ; 
à l’état de santé (pathologie, affection, données relatives aux soins, situation ou comportements à risques, besoins en équipement).
Pour éviter l’enregistrement de commentaires inappropriés, et garantir que les données contenues dans ces zones de commentaires soient pertinentes, adéquates et non excessives au regard de la finalité du traitement, la Commission recommande que la mention suivante apparaisse dans les champs libres à remplir par les agents : «  Seules doivent être saisies les informations susceptibles d’être pertinentes au regard du contexte. Elles ne doivent pas comporter d’appréciation subjective, ni faire apparaître, directement ou indirectement l’appartenance ou la non-appartenance, vraie ou supposée, à une ethnie, une nation, une prétendue race ou une religion déterminée, les opinions politiques ou philosophiques, les appartenances syndicales ou les mœurs de la personne concernée, ou être relatives à la santé ou à la vie sexuelle de celle-ci ».
Cependant, les opinions religieuses peuvent être recueillies sous réserve d’être collectées auprès des personnes concernées ou de leurs représentants légaux, après le recueil d’un consentement exprès et d’être strictement nécessaires à une prise en charge adaptée et respectueuse des convictions des personnes concernées.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée, dès lors qu’elles s’avèrent nécessaires et proportionnées dans le cadre du présent traitement.
Compte tenu de la nature des données collectées, la Commission considère qu’il y a lieu de faire application des dispositions des articles 9-1° et 25-I-3° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives aux infractions.
En outre, dans la mesure où le traitement peut comporter des appréciations sur les difficultés sociales des personnes, il y a également lieu de faire application des dispositions de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée.
Enfin, il convient de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements, automatisés ou non, justifiés par l’intérêt public portant sur des données relatives à la santé.
Sur les destinataires
Peuvent avoir accès aux données, les personnes et organismes qui, en raison de leurs fonctions et des missions qui leur sont confiées, participent au suivi et à l’accompagnement des personnes concernées, dans la limite des seuls cas les concernant et des seules informations nécessaires à l’accomplissement de leurs missions. Il s’agit :
Des personnes des services départementaux habilités à traiter les dossiers ;
Pour les personnes handicapées, les organismes conventionnés avec le département ;
Les organismes de formation pour les données d’identification des personnes agréées
La liste des accueillants familiaux avec leurs accords transmis aux particuliers ou organismes cherchant une place en famille d’accueil familial.
La Commission considère que ces destinataires ont un intérêt légitime à connaître ces données.
Sur l’information et le droit d’accès 
Les personnes sont informées conformément à l’article 32 de la loi du 6 janvier 1978 par des mentions figurant sur le questionnaire de collecte, sur le site internet du Conseil départemental et par voie d’affichage. Les droits d’accès et de rectification s’exercent auprès du Président du Conseil départemental de la Charente Maritime. La Commission considère ces modalités d’information et d’exercice des droits des personnes comme suffisantes.Elle rappelle néanmoins que l’information délivrée aux personnes doit être adaptée à leur état.
Sur les mesures de sécurité
Pour les données saisies, l’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux. Les habilitations d’accès au système d’information sont définies en fonction des missions strictes des utilisateurs. La Commission prend acte que les données sont conservées sous format papier et numérique.Des dispositifs de sécurité sont mis en place pour sécuriser les locaux (vidéosurveillance et badges d’accès, accueil physique filtrant et armoire sécurisée).Les mesures de sécurité mises en œuvre n’appellent pas d’observation de la part de la Commission. 
Sur les autres caractéristiques du  traitement 
Les données sont conservées : 
pour les candidats à l’agrément pendant toute la durée de la procédure de l’agrément. En cas de refus, d’abrogation ou de non renouvellement, cette durée est étendue à 3 ans. 
pour les accueillants familiaux pendant toute la durée de l’agrément et pendant une durée complémentaire de six ans en archivage intermédiaire.
Pour les données liées à la formation obligatoire des accueillants familiaux  pendant  toute la durée de la formation et pendant une durée complémentaire de dix ans en archivage intermédiaire.
pour les personnes accueillies pendant toute la durée de la période d’accueil et pendant une durée complémentaire de dix ans en archivage intermédiaire.
A l’issue de ces durées de conservation, les données sont purgées après échantillonnage versé aux archives départementales.
pour les candidats à l’agrément pendant toute la durée de la procédure de l’agrément. En cas de refus, d’abrogation ou de non renouvellement, cette durée est étendue à 3 ans. 
pour les accueillants familiaux pendant toute la durée de l’agrément et pendant une durée complémentaire de six ans en archivage intermédiaire.
Pour les données liées à la formation obligatoire des accueillants familiaux  pendant  toute la durée de la formation et pendant une durée complémentaire de dix ans en archivage intermédiaire.
pour les personnes accueillies pendant toute la durée de la période d’accueil et pendant une durée complémentaire de dix ans en archivage intermédiaire.
A l’issue de cette durée de conservation, les données seront  détruites.
Ces durées de conservation n’appellent pas d’observation de la part de la Commission.
La présente délibération abroge la délibération n° 2016-298 du 29 septembre 2016.
Autorise, conformément à la présente délibération, le Conseil départemental de la Charente Maritime à mettre en œuvre le traitement susmentionné.
Pour la Présidente
Le Vice-Président Délégué
Marie-France MAZARS