Délibération n°2010-415 du 9 novembre 2010 autorisant la Direction Régionale de la Jeunesse, des Sports et de la Cohésion Sociale Rhône-Alpes à mettre en œuvre le traitement COHPHRA ayant pour finalité la « Connaissance de l’Offre d’Hébergement et de la Population Hébergée en Rhône-Alpes »
Nature: Autre autorisation

(demande d’autorisation n°1436502)
La Commission nationale de l’informatique et des libertés,
Saisie par la Direction Régionale de la Jeunesse, des Sports et de la Cohésion Sociale Rhône-Alpes (DRJSCS) d’une demande d’autorisation relative à la modification du traitement COHPHRA ;
Vu la Convention n°108, du 28 janvier 1981, du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment son article 25-I-7° ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu la loi n°2007-290 du 5 mars 2007 instituant le droit au logement opposable et portant diverses mesures en faveur de la cohésion sociale ; 
Vu l’article L.345-1 et suivants du code de l’action sociale et des familles ;
Après avoir entendu M. Philippe GOSSELIN, commissaire, en son rapport et  Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
En application des dispositions de son article 25-I-7° de la loi du 6 janvier 1978 modifiée le 6 août 2004, la Commission a été saisie par la Direction Régionale de la Jeunesse, des Sports et de la Cohésion Sociale Rhône-Alpes (DRJSCS) d’une demande d’autorisation relative à la modification du traitement COHPHRA.
Le traitement COHPHRA, qui signifie Connaissance de l’Offre d’Hébergement et de la Population Hébergée en Rhône-Alpes, répond expressément et exclusivement à une mission d’observation et d’évaluation de l’hébergement social.
Il fait l’objet d’une Charte Partenariale dont l’article 1er précise que l’ambition du dispositif est « d’améliorer la conduite des politiques publiques dans ce domaine en offrant, dans la région Rhône-Alpes, une meilleure visibilité globale de l’offre et de la demande d’hébergement ainsi que des sorties des populations vers le logement ou d’autres solutions provisoires ».
COHPHRA « fonctionne grâce à un système informatique de type Extranet qui rassemble les informations sur les capacités d’hébergement d’une part, les demandes, admissions et sorties d’hébergement d’autre part » (article 7 de la Charte).
Le projet de base de données et d’informations partagées « est piloté par un Comité de Pilotage Régional qui décide des orientations générales du projet et de son financement, assure sa cohérence d’ensemble, décide des travaux d’études régionales ou pluri-départementales à mener » (article 3 de la Charte). 
Ce comité de pilotage est animé par les représentants de la Direction Régionale de la Jeunesse, des Sports et de la Cohésion Sociale Rhône-Alpes (DRJSCS) et de la Direction Régionale de l’Equipement de Rhône-Alpes et se réunit au moins trois fois par an.
Il est composé des institutions partenaires adhérant au projet, à savoir : les structures d’hébergement qui collectent et saisissent l’information sur la demande d’hébergement, les institutions qui financent le projet et les institutions invitées par les Comités de pilotage Régional ou Départementaux en raison de leurs compétences spécifiques. 
Sur les finalités
En 2006, la finalité du système d’information COHPHRA déclarée par la DRJSCS était d’« élaborer une connaissance qualitative de l’offre d’hébergement des publics hébergés et de leur devenir en Rhône-Alpes ».
En 2010, la finalité du système COHPHRA est de collecter et d’exploiter l’information nécessaire à une « connaissance des populations privées de logement, en recherche d’hébergement [et à] l’application efficace des politiques publiques concernant l’accès au logement ordinaire ».
Le traitement a donc une finalité exclusivement statistique. 
La DRJCCS souligne que le traitement COHPHRA est également mis au service des structures d’hébergement elles-mêmes pour suivre la structure et l’évolution de leur propre public, d’une part, et comparer leur activité et la population qu’ils accueillent aux statistiques fournies à l’échelle départementale et régionale, d’autre part.
La Commission rappelle qu’elle ne s’est jamais montrée hostile au traitement des données personnelles dans une finalité d’observation des situations sociales ou d’évaluation des politiques publiques dès lors que des garanties suffisantes sont apportées, notamment s’agissant de l’information des personnes et des mesures de sécurité.
En ce sens, elle prend en considération que, de 2006 à 2010, la finalité du traitement COHPHRA a évolué en intégrant notamment « l’objectif d’une application efficace des politiques publiques », et celui d’une meilleure connaissance de leur population par les structures d’hébergement. 
Sur les données collectées
Tout d’abord, la Commission relève que, dans le cadre d’un traitement anonymisé des données, le traitement des données mentionnées pourrait effectivement être pertinent, sans nuire au droit au respect de la vie privée de la personne concernée.
Les données collectées correspondent aux données traitées dans les fiches de demande d’hébergement, les fiches d’admission en hébergement et les fiches de sortie. 
Concernant la fiche de demande d’hébergement social, il s’agit notamment de données relatives aux types d’hébergement, à la nationalité du chef de famille, à la nature des ressources, à la situation d’endettement des ménages concernés, au type d’endettement, à la situation par rapport à l’emploi, au domicile actuel du demandeur, à la suite donnée à la demande, au motif du refus le cas échéant, au mode d’orientation du demandeur et au motif principal du recours à l’hébergement.
Concernant la fiche d’admission en hébergement social, il s’agit notamment de données relatives à la nature des ressources, à la situation d’endettement des ménages concernés, au type d’endettement, à la situation par rapport à l’emploi, au mode d’orientation du demandeur, au motif principal du recours à l’hébergement, au motif secondaire de recours à l’hébergement, au département ou à la Commune d’hébergement, au type d’hébergement, à la commune du dernier domicile stable, à la situation administrative, à la couverture sociale et au suivi social.
Concernant la fiche de sortie de l’hébergement social, il s’agit notamment de données relatives à la nature des ressources, à la situation d’endettement des ménages concernés, au type d’endettement, à la situation par rapport à l’emploi, au motif de sortie, à la destination géographique et à la situation de logement.
La Commission remarque que la saisie de données relatives aux « problèmes de comportement » ou à d’« autres informations », permet de collecter des informations d’une fiabilité aléatoire, notamment au regard des divergences d’interprétation, et donc d’encodage, des situations identifiées. Ces données sont susceptibles de comporter des appréciations sur les difficultés sociales des personnes.
Dès lors, il sera nécessaire de s’assurer que les données contenues dans les zones commentaires soient pertinentes, adéquates et non excessives au regard de la finalité statistique du traitement.
Pour éviter l’enregistrement de commentaires inappropriés, la Commission recommande d’informer les contributeurs du caractère objectif et strictement nécessaire des données à saisir.
La Commission prend en considération que certaines des variables collectées en 2010 (« incarcération », « alternatives à l’incarcération », « violences conjugales », « sortie de prison », ou « de services psychiatriques ») sont susceptibles de relever des articles 25-I-1° ainsi que 25-I-3° de la loi. 
L’intérêt statistique de fournir une information sur « l’amélioration de la situation sociale des populations entre l’entrée et la sortie de l’hébergement » justifie le traitement des données susmentionnées, mais pas sous format nominatif, étant donnés les risques de « fichage » des populations hébergées.
La Commission rappelle que la collecte de données à caractère personnel dans le cadre d’une étude statistique n’est ni proportionnée à la finalité d’évaluation, ni strictement nécessaire. Par principe, seul un traitement de données anonymisées convient.
C’est pourquoi la Commission approuve pleinement l’évolution du système en cours, compte tenu qu’elle permettra « de laisser à la seule structure qui saisit la demande et qui héberge le foyer la possibilité de « voir » noms, prénoms et dates de naissance, ces données étant rendues illisibles par les autres partenaires et remplacées par des numéros d’ordre », eux mêmes irréversibles. 
En conséquence, étant donnée la finalité strictement statistique du traitement, la Commission approuve le chiffrement des données identifiantes (nom, prénom, date de naissance) des personnes concernées afin de garantir leur anonymat, tout en permettant leur suivi statistique dans le temps.
Sur les destinataires
La Commission relève avec intérêt que les Référents Régional et Départementaux chargés de la Cohésion Sociale de la DRJSCS et des Directions Départementales de la Cohésion Sociale et de la protection des populations (DDCSPP) sont destinataires des données ayant fait l’objet d’un premier chiffrement par les structures d’hébergement.
Les destinataires des données agrégées sont les Directions régionales et départementales chargées de la Cohésion Sociale (DRJSCS et DDCSPP), la Direction Régionale de l’Environnement, de l’Aménagement et du Logement ainsi que les Etablissements d’hébergement.
Les adhérents au projet accèdent à des exploitations statistiques de cette base soit directement par le biais du module inclus dans le système informatique, soit sur demande auprès des Référents Régional et Départementaux.
Sur la sécurité
Concernant l’anonymisation des données, la Commission recommande l’utilisation de la fonction SHA-256. 
Un numéro d’anonymat sera généré au niveau de la structure d’hébergement. Il sera constitué par application de la fonction de hachage aux nom, prénom et année de naissance de la personne concernée. 
Lors de la réception de ce fichier par la DRJSCS, ce numéro d’anonymat fera également l’objet d’une anonymisation, effectuée en introduisant un paramètre connu exclusivement de la DRJSCS. Puis le premier numéro sera détruit au profit du second.
La Commission prend acte que cet algorithme de hachage garantira une base de données purement anonyme et ne permettra plus, ni directement, ni indirectement, d’identifier les personnes concernées.
La Commission recommande d’avoir recours au chiffrement des données lors du stockage local des informations et de leur transmission.
Elle préconise également que la DRJSCS diffuse auprès des départements et des structures d’hébergement des recommandations concernant le respect de leurs obligations de sécurité et de confidentialité. 
Concernant les habilitations, une charte d’utilisation du système a été définie. Les profils disponibles sont au nombre de trois : le profil des administrateurs, le profil des structures, le profil des institutions-consultantes (accès au seul module statistique).
De fait, la Commission approuve que COHPHRA identifie 3 catégories de personnels habilités :
- les structures (établissements d’hébergement et réseaux associatifs qui les regroupent) ont accès aux données concernant les foyers qu’elles hébergent, aux fiches de demande des foyers, au module d’exportation des données, aux modules statistiques.
- les institutions (services régionaux et départementaux de l’Etat en charge des politiques de l’hébergement et du logement, ainsi que certaines collectivités locales qui ont accepté de cofinancer le projet) n’ont accès qu’aux modules statistiques.
- les administrateurs de la région et du département (1 par département), qui ont la charge de gérer le système au quotidien, ont accès à l’ensemble des données et des fonctionnalités. 
La Commission prend note que les postes de travail de l’administrateur régional et des utilisateurs en Direction Départementale font partie du réseau WAN interne au Ministère de la Santé et des sports. L’accès aux ressources réseau nécessite un login et un mot de passe qui est changé tous les trois mois.
Les droits d’accès aux informations contenues dans le système informatique sont gérés et attribués par les Référents Opérationnels Régional et Départementaux sous le contrôle des Comités de Pilotage.
La Commission prend note que chaque structure utilisatrice s’est vue attribuer un identifiant et a choisi son mot de passe, qu’elle est incitée à modifier régulièrement. La structure du mot de passe a été adaptée aux préconisations de la CNIL (8 caractères alphanumériques avec des caractères spéciaux à modifier tous les trois mois). En outre, la session sera verrouillée à partir de 5 minutes d’inactivité de l’opérateur. 
Concernant les journaux de logs, seuls les sous-traitants applicatifs (Micropole) et hébergement (CFI) ont accès à la sauvegarde des traces de connexion (accès, incidents).
Sur la durée de conservation
La Commission rappelle qu’avant anonymisation, la conservation des données par les structures d’hébergement ne saurait excéder vingt-quatre mois à compter de la dernière opération enregistrée sur la personne concernée. 
La durée de conservation des données anonymisées durant trois ans n’appelle pas d’observation.
Sur les droits des personnes
En application de l’article 32 de la loi du 6 janvier 1978 modifiée, l’information des candidats et des personnes hébergées est effectué par voie d’affichage au sein de la structure. Le droit d’accès des personnes concernées sera également indiqué sur le site internet de la DRJSCS.
Conformément à l’article 38 de la loi du 6 janvier 1978 modifiée en 2004, les candidats à l’hébergement dans les structures participant au dispositif COHPHRA conservent la faculté de ne pas participer à l’étude.
Compte tenu du caractère sensible et subjectif des données collectées, et de la situation d’urgence et/ou de détresse des personnes interrogées, il doit être clairement et préalablement porté à l’attention des personnes concernées que cette étude reste facultative, qu’elle donnera lieu à anonymisation et que les personnes interrogées peuvent librement exercer leurs droit d’accès, de rectification et d’opposition auprès de la DRJSCS.
Par ailleurs, il serait nécessaire de s’assurer que cette information comporte des dispositions précises sur l’absence de conséquences d'un défaut de réponse, en particulier à l’égard des demandeurs d’hébergement.
En outre, en application de l’article 39 de la loi du 6 janvier 1978 modifiée, la Commission rappelle qu’une copie des informations saisies doit pouvoir être demandée par les demandeurs d’hébergement tout comme les personnes hébergées. 
*
La Commission prend acte que, dans ces conditions, la mise en œuvre technique du traitement ne pourra intervenir qu’à compter du 1er mars 2011.
Eu égard à la multiplicité des dispositifs d’évaluation du secteur de l’hébergement social mis en place depuis quelques années, le dispositif COHPHRA rappelle la nécessité de mieux encadrer le traitement statistique des données à caractère social afin de ne pas glisser d’un travail d’évaluation du secteur de l’hébergement social vers une logique de fichage des personnes.
Dès lors, la Commission autorise la mise en œuvre du traitement COHPHRA compte tenu que :
- l’anonymisation des données par fonction de hachage ne permettra plus l’identification directe, ni l’identification indirecte des personnes ;
- la collecte des données traitées sera strictement encadrée afin de ne pas basculer d’un recueil de données objectives vers un fichage subjectif des demandeurs d’hébergement et des personnes hébergées ; 
- une distinction claire sera établie, avant la saisie des données, entre les données collectées à titre facultatif dans le cadre du traitement statistique COHPHRA et les données qui doivent être recueillies au titre du suivi individuel du demandeur d’hébergement ;
- concernant les données stockées avant anonymisation, les personnes concernées seront informées de leurs droits d’accès, de rectification et d’opposition, de la faculté d’exercer librement ces droits auprès des structures d’hébergement concernées, et de l’absence de conséquences, en particulier à l’égard des demandeurs d’hébergement, d'un défaut de réponse.
Le président,
Alex TURK