Délibération n° 2017-051 du 09 mars 2017 autorisant la Caisse nationale de solidarité pour l’autonomie à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation des personnes hébergées en EHPAD ou en USLD.
Nature: Autre autorisation

La Commission nationale de l'informatique et des libertés,
Saisie par la Caisse nationale de solidarité pour l’autonomie d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation des personnes hébergées en EHPAD ou en USLD ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment ses articles L. 313-12 et L. 314-9 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu la loi n° 2015-1776 du 28 décembre 2015 relative à l’adaptation de la société au vieillissement, et notamment son article 58 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 4 juin 2007 relatif aux indicateurs nationaux de référence et à leur prise en compte dans le cadre de la tarification des besoins en soins requis dans certains établissements relevant du I de l'article L. 313-12 du code de l'action sociale et des familles ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Caisse nationale de solidarité pour l'autonomie (CNSA) est un établissement public à caractère administratif créé par la loi du 30 juin 2004. 
Depuis la loi sur l’égalité des droits et des chances des personnes handicapées du 11 février 2005, la CNSA vise à : 
financer les aides en faveur des personnes âgées dépendantes et des personnes handicapées ; 
garantir l’égalité de traitement sur tout le territoire et pour l’ensemble des handicaps ; 
assurer une mission d’expertise du service rendu aux personnes âgées dépendantes. 
En tant qu’agence d’appui technique, la CNSA doit faciliter la mise en œuvre de l’arrêté du 4 juin 2007 relatif aux indicateurs nationaux de référence et à leur prise en compte dans le cadre de la tarification des besoins en soins requis dans des établissements avec services médico-sociaux tels que les établissements d’hébergement pour personnes âgées dépendantes (EHPAD) et les Unités de soins de longue durée (USLD). 
Les indicateurs nationaux de référence visés par l’arrêté précité correspondent, d’une part, à la grille « Autonomie gérontologie groupe iso-ressources » (Grille AGGIR), permettant d’évaluer le degré d’autonomie d’une personne, et, d’autre part, à la grille permettant d’identifier une pathologie (Grille PATHOS). 
Sur la finalité
Le traitement soumis à la CNIL, dénommé GALAAD (« Gérontologie, approche logistique pour une aide à l’analyse et à la décision »), a été conçu pour analyser le système d’offres de services et de soins pour personnes âgées en EPHAD ou en USDL et, le cas échéant, améliorer ce système. 
Il a pour finalité une évaluation des personnes hébergées en EHPAD ou en USLD au moyen des nomenclatures AGGIR et PATHOS. Cette évaluation sera soumise aux médecins des Agences régionales de santé (ARS) afin d’être validée et de garantir, au moyen des statistiques dressées à partir de ces grilles, une qualité et une dotation de soins adaptées aux besoins réels des personnes concernées.
Ainsi, dans un souci d’amélioration du service rendu, il permettra de collecter auprès des EPHAD des données relatives aux personnes prises en charge afin que l’ARS compétente contrôle la cohérence des évaluations proposées par l’EHPAD.
La Commission considère que ces finalités sont déterminées, explicites et légitimes au sens de l’article 6-2° de la loi Informatique et Libertés.
Sur les données traitées
La plateforme GALAAD permettra la saisie de données indirectement identifiantes. Seul un champ de GALAAD permettra indirectement au médecin coordonnateur en charge de valider les évaluations saisies d’identifier les personnes concernées, par recoupement avec les fichiers de l’établissement. Cette identification ne sera possible que pendant la durée de la validation des évaluations saisies. 
Les données traitées seront uniquement des données de santé, à l’exclusion de toute donnée d’identification directe. Elles correspondront : 
aux données issues de la grille d’évaluation AGGIR (cohérence, orientation, toilette, habillage, alimentation, élimination, déplacement, communication à distance qui indiquent le degré de perte d’autonomie d’une personne à travers six nomenclatures) ; 
aux données issues de la grille d’évaluation PATHOS (qui propose une nomenclature des différentes natures de pathologies observées) ; 
aux bilans dressés par le médecin coordonnateur en rapprochant ces grilles du dossier médical individuel des personnes concernées dans l’EHPAD.
Ces données apparaissent adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi Informatique et Libertés. 
Pour éviter l’enregistrement de données inappropriées et garantir que les données contenues dans les zones commentaires libres sont pertinentes, adéquates et non excessives au regard de la finalité du traitement, la Commission recommande que la mention suivante apparaisse (en filigrane ou en surimpression) dans chacun des champs libres accessibles sur le progiciel : « Seules doivent être saisies les informations pertinentes au regard du contexte. Elles ne doivent pas faire apparaître, directement ou indirectement, l’appartenance ou la non-appartenance, vraie ou supposée, à une ethnie, une nation, une prétendue race ou une religion déterminée, les opinions politiques ou philosophiques, les appartenances syndicales ou les mœurs  de la personne ou être relatives à la santé ou à la vie sexuelle de celle-ci. Les personnes concernées ont un accès à ces champs libres ».
Sur les destinataires
Les destinataires des données sont dans le cadre de leurs fonctions : 
le médecin et l’infirmier coordonnateurs au sein de l’EHPAD ;
les médecins et infirmiers « valideurs » au sein du Conseil départemental ;
les médecins de l’ARS ; 
les médecins de la CNSA.
Ce point n’appelle pas d’observation.
Sur l’information et le droit d’accès 
Conformément à l’article 32 de la loi Informatique et Libertés, les personnes concernées sont informées du traitement de leurs données à caractère personnel et de leurs droits d’accès, de rectification et d’opposition dans le règlement intérieur de l’EHPAD ou de l’USLD.
En application de l’article 39 de la loi Informatique et Libertés, le droit d’accès des personnes hébergées s’exerce auprès de l’EHPAD ou de l’USLD concerné. 
Au regard de ces éléments, la Commission considère que les droits des personnes sont effectivement garantis. 
Sur les mesures de sécurité
La Commission considère que, eu égard à la finalité assignée au dispositif, à la sensibilité des informations appelées à figurer dans le système et aux modalités d’exploitation de celles-ci, la mise en œuvre des mesures garantissant la confidentialité des données est de nature à garantir un risque limité d’atteinte aux données.
En particulier, la Commission prend note que l’accès aux fiches médicales est subordonné à une habilitation ad hoc.
La Commission relève en outre que le traitement est mis en œuvre chez un hébergeur dont les centres de données sont situés en France.
Elle recommande qu’une traçabilité des accès soit effectuée et que le journal de connexion à GALAAD soit conservé douze mois.
Sur les autres caractéristiques du traitement
Les données traitées dans GALAAD sont conservées pendant cinq ans plus l’année de validation de la première coupe PATHOS ou AGGIR.
La Commission estime que cette durée de conservation des données n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 6-5° de la loi Informatique et Libertés.
La présente délibération abroge la délibération n° 2013-268 du 19 septembre 2013.
Autorise, conformément à la présente délibération, la Caisse nationale de solidarité pour l’autonomie à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS