Délibération n° 2009-681 du 03 décembre 2009 autorisant la mise en œuvre par l’association CIMADE d’un traitement de données à caractère personnel ayant pour finalitéla gestion des dossiers des étrangers placés en centre de rétention administrative
Nature: Autre autorisation

Délibération n° 2009-681 du 03 décembre 2009 autorisant la mise en œuvre par l’association CIMADE d’un traitement de données à caractère personnel ayant pour finalité la gestion des dossiers des étrangers placés en centre de rétention administrative
(demande d’autorisation n° 1277242)
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25 ;
Vu le code de l’entrée et du séjour des étrangers et du droit d’asile ; 
Vu le code pénal ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la demande d’autorisation, présentée par l’association CIMADE d’un traitement de données à caractère personnel ayant pour finalité la gestion des dossiers des permanences de l’association dans les centres de rétention administrative ; 
Après avoir entendu Monsieur Sébastien Huyghe, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du gouvernement, en ses observations ;
Formule les observations suivantes :
La CIMADE est une association « loi 1901 » qui a notamment pour missions d’apporter son expertise et ses conseils juridiques aux migrants et demandeurs d’asile, et d’accompagner et de défendre les droits des étrangers placés en centre de rétention administrative (CRA). La décision de placement en CRA est ordonnée par l’autorité administrative pour les étrangers qui font l’objet d’une mesure d’éloignement du territoire français et qui ne peuvent quitter immédiatement le territoire français, dans les conditions prévues par l’article L. 551-1 du code de l’entrée et du séjour des étrangers et du droit d’asile (CESEDA). 
La Commission relève que la CIMADE est explicitement chargée d’une mission d’information et d’assistance juridique des étrangers retenus en CRA, dans le cadre d’une convention conclue avec le ministère chargé de l’immigration en application de l’article R.553-14 du CESEDA. Elle observe cependant que le décret n° 2008-817 du 22 août 2008 permet à l’Etat de conclure des conventions visant à permettre l'exercice effectif de leurs droits par les étrangers retenus avec d’autres personnes morales. Dès lors, la Commission rappelle que la présente autorisation est limitée aux CRA dans lesquels la CIMADE est expressément chargée d’une mission d’assistance par les pouvoirs publics, et que les données relatives aux étrangers retenus dans un CRA où une autre personne morale est chargée de cette mission devront être effacées sans délai par la CIMADE.
Sur les finalités du traitement
La CIMADE a adressé à la Commission un dossier de formalités préalables relatif à la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité la gestion des dossiers des étrangers retenus en CRA. La CIMADE souhaite enregistrer dans un traitement informatique, dénommé « centre de rétention », les données relatives aux étrangers placés en CRA afin de les suivre et de les assister dans leurs démarches auprès des administrations (obtention de carte de séjour, de visa, de la nationalité française ou durant la procédure devant l’Office français de protection des réfugiés et des apatrides et la Cour Nationale du Droit d’Asile) ou pour les recours qu’ils forment devant les juridictions (contre les interdictions de territoire, les refus de séjour ou les arrêtés d’expulsion). Ce traitement concernerait environ 30 000 personnes par an.
La Commission prend acte de ces finalités d’information et d’assistance juridique des étrangers retenus en CRA, qui correspondent aux missions conférées à la CIMADE par la convention susmentionnée conclue avec le ministère chargé de l’immigration.
Elle prend également acte ce que le traitement projeté permet l’établissement de statistiques anonymes sur la base des informations qui y sont enregistrées, afin que la CIMADE puisse rendre compte à l’administration de son activité, conformément à ses obligations dans le cadre du marché de prestation conclu avec le ministère de l’immigration, et aux fins de rédaction de ses rapports annuels sur les centres et locaux de rétention administrative.
Sur les catégories de données enregistrées
La Commission relève que la CIMADE souhaite enregistrer dans ce traitement des données relatives aux infractions commises par les personnes concernées ou aux condamnations prononcées à leur encontre. Ainsi, les données suivantes seraient enregistrées dans le traitement : la décision à l’origine de la rétention (arrêté d’expulsion, mesure de reconduite à la frontière, mesure d’interdiction du territoire, autres mesures prises dans le cadre de l’Union européenne et de la convention Schengen) ; l’établissement pénitentiaire où aurait précédemment séjourné le retenu ; ainsi que des informations sur la rétention et les recours (lieu ou centre de rétention, date d’arrivée dans le centre, type de recours exercés). Or, certaines décisions à l’origine de la rétention ont le caractère d’une peine, comme l’interdiction du territoire français qui peut être prononcée dans les conditions prévues aux articles 131-30 à 131-30-2 du code pénal. En outre, la CIMADE souhaite pouvoir enregistrer dans le traitement les éventuelles condamnations pénales ayant motivé la mesure d’éloignement en question. 
La Commission estime dans ces conditions qu’il y a lieu de faire application des dispositions de l’article 25-I.3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté. Elle rappelle que l’article 9-1° de la loi du 6 janvier 1978 modifiée réserve notamment la faculté de mettre en œuvre des traitements relatifs à des infractions aux personnes morales gérant un service public et agissant dans le cadre de leurs attributions légales.
A cet égard, la Commission relève que l’association CIMADE, reconnue d’utilité publique, est chargée par les pouvoirs publics d’une mission d’information et d’assistance juridique des étrangers retenus en CRA. Elle considère que les prestations du marché public conclu avec l’Etat relèvent d’une mission de service public, en permettant aux étrangers d’assurer l’exercice effectif de leurs droits, comme l’a rappelé le Conseil d’Etat dans sa décision n°321841 du 3 juin 2009. 
En outre, ces données apparaissent nécessaires à l’exercice des missions de la CIMADE définies, dans la mesure où chacune des mesures à l’origine de la rétention répond à un régime procédural spécifique, que les services de l’association doivent nécessairement connaître afin d’aider les retenus à exercer leurs droits.
Dès lors, et au regard des dispositions de l’article 9-1° de la loi du 6 janvier 1978 modifiée, la Commission estime que l’association CIMADE est habilitée à procéder au traitement de telles données relatives aux étrangers placés en CRA. 
La Commission relève par ailleurs que la CIMADE souhaite enregistrer dans le traitement « centre de rétention » des données nécessaires à la constitution des dossiers de demande d’asile auprès de l’OFPRA et des dossiers de recours contre les décisions de l’OFPRA déposés auprès de la CNDA. Dès lors, le traitement projeté pourrait enregistrer des données relevant de l’article 8 de la loi du 6 janvier 1978 modifiée, dans la mesure où les persécutions subies par les personnes concernées peuvent avoir des motifs ethniques, politiques, religieux, ou encore liés à l’orientation sexuelle des personnes. 
Les données relatives aux procédures et aux dossiers de demande d’asile seraient enregistrées dans un champ libre, afin d’empêcher toute requête informatique ciblée sur ces données. La Commission considère que l’enregistrement de ces données est nécessaire au regard des finalités du traitement, dans la mesure où ces informations sont essentielles aux procédures de demande d’asile, dans le cadre desquelles les étrangers retenus peuvent demander l’assistance juridique des personnels de la CIMADE intervenant dans les CRA..
Elle considère en outre que le traitement de ces données est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice, en l’espèce du droit d’asile reconnu par la Constitution française. Dès lors, la Commission estime que le traitement de ces données est conforme à l’exception prévue par le 5° du II de l’article 8 de la loi du 6 janvier 1978 modifiée. 
La CIMADE souhaite également enregistrer dans certains cas les données relatives à l’état de santé des personnes concernées suivantes : « état de santé nécessitant une prise en charge médicale » et « avis du médecin inspecteur de santé publique » (existence d’une pathologie grave ; nécessité de suivi d’un traitement et durée ; existence d’un traitement dans le pays d’origine). La Commission considère que la collecte de ces données est nécessaire au regard des finalités du traitement, dans la mesure où les articles L. 511-4 et L. 521-3 du CESEDA disposent respectivement que « l'étranger résidant habituellement en France dont l'état de santé nécessite une prise en charge médicale dont le défaut pourrait entraîner pour lui des conséquences d'une exceptionnelle gravité, sous réserve qu'il ne puisse effectivement bénéficier d'un traitement approprié dans le pays de renvoi » ne peut faire l’objet d’une obligation de quitter le territoire français ou d'une mesure de reconduite à la frontière, ou d'une mesure d'expulsion. 
La Commission relève que ces données sont limitées aux renseignements administratifs strictement nécessaires pour permettre le suivi juridique de la démarche administrative, et sont exclusives de toute appréciation subjective du personnel de la CIMADE ainsi que de toute référence à telle ou telle pathologie. 
OU [Elle considère en outre que le traitement de ces données est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice, et qu’il est donc conforme à l’exception prévue par le 5° du II de l’article 8 de la loi du 6 janvier 1978 modifiée.]
OU [Elle considère en outre que le traitement de ces données est en l’espèce justifié par l’intérêt public, dans la mesure où il participe de l’exercice effectif de leurs droits par les étrangers retenus en CRA, et qu’il y a donc lieu de l’autoriser en application du IV de l’article 8 de la loi du 6 janvier 1978 modifiée.]
Enfin, les autres données à caractère personnel enregistrées dans le traitement, relatives à l’identification des personnes concernées (nom, prénom, sexe, date de naissance, adresse, date d’entrée en France), à leur situation familiale (situation maritale, enfants) et à leur situation professionnelle, n’appellent pas d’observations particulières de la Commission. Cependant, elle rappelle que l’enregistrement des coordonnées de l’avocat du retenu ou d’un proche de celui-ci, pouvant par exemple lui apporter des documents, lui produire des attestations ou accomplir pour lui des formalités, nécessite l’information préalable de ces personnes et la possibilité pour celles-ci de s’opposer au traitement de données les concernant, conformément aux articles 32 et 38 de la loi du 6 janvier 1978 modifiée. 
La Commission prend acte de ce que la CIMADE a prévu une durée de conservation maximale de l’ensemble de ces données d’un an après la sortie du CRA de la personne concernée. Cette durée apparaît en effet nécessaire à la finalité statistique du traitement et aux fins de suivi des dossiers en cas de nouvelle décision administrative affectant les mêmes personnes. 
Sur les destinataires et les sécurités du traitement 
La Commission prend acte de ce que les intervenants de chaque CRA n’auront accès qu’aux seules données relatives aux étrangers retenus dans le centre concerné. Ces intervenants sont soit des permanents de la CIMADE soit des bénévoles ayant suivi un processus de formation et d’intégration préalable au sein de l’association. 
L’accès au traitement sera en effet conditionné à la saisie de clés d’accès individuelles, connues des seuls intervenants et renouvelées périodiquement. La Commission prend acte de ce que cette clé d’accès consiste en un identifiant et un mot de passe individuels, ce dernier étant de neuf caractères et devant contenir des caractères spéciaux, et de ce que l’ensemble des accès au traitement feront l’objet d’une journalisation. Elle relève également que les systèmes informatiques utilisés sont situés dans des locaux sécurisés.
La Commission prend acte de ce que l’habilitation des personnels ayant accès au traitement sera donnée à la fois par le siège de la CIMADE, pour une durée égale à la durée du contrat pour ses salariés, et de six mois pour les bénévoles, et par le ministère chargé de l’immigration, dans le cadre de la convention susmentionnée. Elle relève que dans le cadre de celle-ci, les destinataires des données enregistrées dans le traitement sont tenus à des obligations supplémentaires de confidentialité concernant les informations reçues dans le cadre de leur mission. 
Enfin, la Commission prend acte de ce que deux responsables nationaux de la CIMADE seront habilités à accéder à l’ensemble des données du traitement afin de pouvoir réactiver un dossier clos en cas de survenance d’une nouvelle situation de rétention administrative. 
Sur les droits des personnes concernées
La Commission prend acte de ce que l’information des personnes concernées sera effectuée par écrit et par voie d’affichage dans les locaux de la CIMADE situés dans les CRA, dans les langues retenues par le CESEDA, soit en français, en anglais, en mandarin, en espagnol et en arabe littéraire. Elle prend également acte de ce que les documents remis aux personnes concernées seront en outre traduits dans d’autres langues, en fonction des nationalités plus précisément représentées dans chaque centre. 
Ces documents mentionneront notamment les modalités d’exercice des droits d’opposition, d’accès et de rectification ou de suppression des données qui les concernent, conformément aux articles 38 à 40 de la loi du 6 janvier 1978 modifiée, qui devront s’exercer par voie postale auprès du siège de la CIMADE. 
Le document écrit remis aux personnes concernées contiendra en outre une mention spécifique concernant les données relatives à l’état de santé des intéressés ainsi que les données pouvant faire apparaître, directement ou indirectement, les origines raciales ou ethniques des personnes, ou leurs opinions politiques, philosophiques ou religieuses.
Dans ces conditions, la Commission autorise l’association CIMADE à mettre en œuvre le traitement de données à caractère personnel dénommé « centre de rétention » et ayant pour finalité la gestion des dossiers des étrangers placés en centre de rétention administrative.
Le Président, 
Alex TURK