Délibération n° 2014-351 du 18 septembre 2014 autorisant l’association Claire Joie à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalités la gestion et l’administration des demandes d’hébergement temporaire des personnes en situation de handicap
Nature: Autre autorisation

(Demande d’autorisation n° 1699859)
La Commission nationale de l'informatique et des libertés,
Saisie par l’association Claire Joie d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités la gestion et l’administration des demandes d’hébergement temporaire des personnes en situation de handicap;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment son article L. 312-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’association Claire Joie, 6 rue de Tarascon à AMIENS (80090).Cette association est un établissement social et médico-social au sens de l’article L. 312-1 du code de l’action sociale et des familles qui gère l’accueil et l’hébergement des personnes en situation de handicap.
Sur la finalité
Le traitement mis en œuvre a pour finalités la gestion et l’administration des places médico-sociales d’accueil et d’hébergement pour personnes en situation de handicap. Il permet à l’association de faire connaître en temps réel, aux aidants familiaux et professionnels, la disponibilité des places d’accueil temporaire au sein de son établissement.Le traitement mis en œuvre permet également aux personnes de demander un rendez-vous ou de réserver une place d’accueil par internet.La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites. Le traitement, justifié par l’intérêt public, peut faire apparaître des informations relatives à la santé des personnes. Dès lors, il y a lieu de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements, automatisés ou non, portant sur de telles données.Il convient également de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements parmi lesquelles figurent le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques.
Sur les données traitées
Les catégories de données collectées sont relatives : 
à l’identification (nom, prénom, adresse, date et lieu de naissance) ;
à la vie personnelle (habitudes de vie, situation familiale, mesure tutélaire éventuelle) ;
au numéro de sécurité sociale (aux seules fins de facturations et d’échanges avec la sécurité sociale) ;
aux données de santé (handicap, pathologie, affection, situations ou comportements à risques, sécurité alimentaire). 
La Commission considère ces données pertinentes au regard de la finalité poursuivie. 
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités de l’établissement, de la MDPH et des services de l’Assurance maladie.Des données statistiques anonymisées sont par ailleurs adressées au Conseil général et à l’Agence Régionale de Santé (ARS).La Commission prend acte que l’habilitation à consulter des données de santé ne peut être attribuée qu’à des personnes soumises au secret professionnel, et dans la stricte limite de leurs missions. Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention sur le formulaire de collecte des données et sur le site internet, ainsi que dans le contrat de séjour et dans le règlement de fonctionnement de l’établissement. Les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès de l’association Claire Joie.La Commission considère ces modalités d’information et d’exercice des droits des personnes comme suffisantes. 
Sur les mesures de sécurité
La Commission rappelle que des mesures de protection physique et logique doivent être mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.L’authentification des utilisateurs doit être assurée par des mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.Les habilitations d’accès au système d’information doivent être définies en fonction des attributions des utilisateurs. Les échanges de données effectués sur internet doivent être sécurisés par des procédés de chiffrement du transport des données.La Commission recommande que les accès à l’application fassent l’objet d’une journalisation. Elle rappelle que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.Les mesures de sécurité mises en œuvre doivent être conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle qu’une mise à jour des mesures de sécurité doit être réalisée au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant la période d’accueil ou d’accompagnement de l’usager et pendant une durée complémentaire de deux ans à compter du dernier contact avec ce dernier. Le cas échéant, les données sont archivées conformément aux obligations légales et réglementaires. La Commission considère que cette durée de conservation apparaît pertinente au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, l’association Claire Joie à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN