Délibération n° 2014-352 du 18 septembre 2014 autorisant la ville de WISSOUS à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalités le suivi et la gestion des dossiers des personnes âgées accompagnées par le service social.
Nature: Autre autorisation

(Demande d’autorisation n° 1691896)
La Commission nationale de l'informatique et des libertés,
Saisie par la ville de WISSOUS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités le suivi et la gestion des dossiers des personnes âgées accompagnées par le service social;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment l’article 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le service social de la ville de WISSOUS, place de la Libération à WISSOUS (91320).
Sur la finalité
La ville de WISSOUS a signé une convention de Partenariat avec le Centre Local d’Information et de Coordination gérontologique «Les Portes de l’Essonne » afin d’organiser les modalités de leur coopération dans le développement des actions collectives destinées aux personnes âgées. 
Dans ce contexte, le service social de la ville de WISSOUS a notamment pour missions : 
l’information, l’orientation et l’accompagnement des personnes âgées et leurs familles ;
l’évaluation des besoins des personnes afin de les orienter vers les structures de soins et de prise en charge les plus adaptées à leur situation, en mobilisant les partenaires des secteurs médico-social et social ; 
l’aide aux démarches administratives ; 
l’accompagnement dans l’accès aux droits et prestations : constitution de dossiers pour l’allocation personnalisée d’autonomie (APA), demande de service d’aide ménagère à domicile (AMD), de repas à domicile, de services de soins infirmiers à domicile, etc.
Le traitement mis en œuvre a pour finalité le suivi et la gestion des dossiers des personnes âgées concernées. La Commission considère la finalité poursuivie comme déterminée, légitime et explicite. 
La Commission estime que le recours à la formalité de l’autorisation se justifie au regard de l’article 25-I-7° de la loi 6 janvier 1978 modifiée pour ce qui concerne les traitements automatisés de données comportant des appréciations sur les difficultés sociales des personnes.
Sur les données traitées
Les données renseignées dans le traitement concernant la personne aidée sont relatives :
à l’identité (nom, prénom, adresse, date et lieu de naissance) ;
aux informations d’ordre économique et financier (revenus, situation financière) ;
à la vie personnelle (habitudes de vie, situation familiale,
à des appréciations sur les difficultés sociales des personnes (difficultés sociales, mesures de protection).
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
Enfin, elle relève que les prestations justifiant le traitement du NIR auxquelles peuvent prétendre les personnes accompagnées ne relèvent pas du ressort du service social de la Ville de WISSOUS. 
Le besoin de traiter le NIR se limite au stade de la mise en place du plan d’aide au bénéfice de la personne âgée dépendante, à savoir  la constitution et la transmission d’un dossier de demande d’APA ou d’AMD au Conseil général ou à la caisse de retraite de cette personne ou pour la prise en charge de la personne par un professionnel de santé.
Aussi, le service social  peut légitiment avoir connaissance du NIR des personnes dans  le cadre de sa mission d’accompagnement dans leurs droits et démarches, la Commission estime en revanche qu’il n’apparaît pas justifié que cette donnée soit enregistrée et conservée par le service social.
Sur les destinataires
Les destinataires des données sont dans la limite de leurs attributions respectives :
les partenaires médicaux et paramédicaux ;
les services de soins à domicile ;
les établissements d’hébergement ;
les services sociaux du Conseil général.
Sur l’information et le droit d’accès 
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par affichage au sein du service social de la ville de WISSOUS, par l’insertion de mentions dans le dossier d’inscription de la personne aidée ou par l’envoi d’un courrier personnalisé.La Commission rappelle que cette information doit être fournie selon des modalités adaptées à leur état.Les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès de la ville de WISSOUS.
Sur les mesures de sécurité
La Commission rappelle que des mesures de protection physique et logique doivent être mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.L’authentification des utilisateurs doit être assurée par des mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.Les habilitations d’accès au système d’information doivent être définies en fonction des attributions des utilisateurs. Les échanges de données effectués sur internet doivent être sécurisés par des procédés de chiffrement du transport des données.La Commission recommande que les accès à l’application fassent l’objet d’une journalisation. Elle rappelle que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.Les mesures de sécurité mises en œuvre doivent être conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle qu’une mise à jour des mesures de sécurité doit être réalisée au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant la période d’accueil ou d’accompagnement de l’usager et pendant une durée complémentaire de deux ans à compter du dernier contact avec ce dernier. Le cas échéant, les données sont archivées conformément aux obligations légales et réglementaires. La Commission considère que cette durée de conservation apparaît pertinente au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, la ville de WISSOUS à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN