Délibération n° 2012-150 du 2 mai 2012 autorisant l’association chrétienne de coordination d'entraide et de solidarité à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des demandes d’hébergement d’urgence et de logement d’insertion
Nature: Autre autorisation

(Demande d’autorisation n° 1575933)
La Commission nationale de l’informatique et des libertés, 
Saisie par l’association chrétienne de coordination d'entraide et de solidarité d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des demandes d’hébergement d’urgence et de logement d’insertion ; 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment son article L. 345-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-7° ;
Vu la loi n° 2007-290 du 5 mars 2007 instituant le droit au logement opposable et portant diverses mesures en faveur de la cohésion sociale ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Philippe GOSSELIN, rapporteur et après avoir entendu les observations de Mme Rolin, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
L’association chrétienne de coordination d'entraide et de solidarité gère des demandes d’hébergement d’urgence et de logement d’insertion via l’utilisation d’une plateforme informatique unique, commune à l’ensemble des gestionnaires d’hébergement et de logement (GHL) du département.Le traitement 4D-CHRS répondra aux exigences de la loi n°2007-290 du 5 mars 2007 instituant le droit au logement opposable et portant diverses mesures en faveur de la cohésion sociale et des circulaires du 8 avril 2010 et du 7 juillet 2010, dont l’objectif est de réorganiser le secteur de l’hébergement et du logement social par la création d’un nouveau dispositif de gestion de l’offre et de la demande, dénommé Service intégré d’accueil et d’orientation (SIAO).
Sur la finalité
Le traitement 4D-CHRS sera utilisé pour gérer l’ensemble des demandes d'hébergement d'urgence et d’insertion. Il répond à une triple finalité : 
une meilleure gestion de l’offre et de la demande en hébergement social au sein du département, via  l’identification des places disponibles, des besoins de chaque demandeur, et du service à rendre de la manière la plus adaptée ; 
une mission d’observation et d’évaluation statistique de la qualité de l’hébergement social ;
un suivi personnalisé des personnes hébergées, du traitement de leur demande d’hébergement social en urgence vers leur réinsertion.
Le traitement permettra, d’une part, à l’opérateur SIAO, aux gestionnaires d’hébergement et de logement, aux travailleurs sociaux et aux gestionnaires du 115 de gérer les données relatives aux demandeurs d’hébergement sous format nominatif, et, d’autre part, à l’opérateur SIAO de transmettre des données sous format anonymisé aux services déconcentrés de l’Etat.
La Commission considère que ces finalités sont pertinentes, adéquates et légitimes.
Sur les données traitées
Les finalités d’adaptation de l’offre et de la demande ainsi que du suivi personnalisé des personnes hébergées comportent la nécessité, pour les partenaires du secteur social, de saisir des informations détaillées sur la situation sociale de ces personnes. 
Les données traitées concernent : 
l’accueil des personnes : nom et prénom de la personne qui a saisi les informations ; admission directe (oui/non) ; nature de la demande (urgence/insertion/stabilisation/ allocation temporaire de logement) ; 
le suivi spécifique des personnes accueillies : profil du demandeur (nom, prénom, date de naissance ou âge) ; la nationalité sous la forme: « Français/ressortissants UE/ hors UE/ Apatride/ Non renseigné », suivi des cas spécifiques (femme enceinte ou handicapée) et des demandes de logement adapté (personnes à mobilité réduite…) et situation familiale (nombre total de personnes composant le ménage ou le groupe, lien de parenté, nombre d’enfants à charge, présence des enfants en structure) ; 
la situation du demandeur face au logement ;
le cas échéant, la catégorie de logement actuel ;
les besoins d’accompagnement de la personne concernée ;
le motif de sa demande (expulsion locative, logement insalubre, rupture des liens familiaux…) ;
le cas échéant, le type d’accompagnement souhaité ;
dans le cadre de l’accompagnement social de la personne concernée, des informations sur les ressources et sur la situation administrative de la personne : situation professionnelle, endettement, crédit en cours, moyen de locomotion ;
le type de couverture sociale ;
l’obtention ou la durée de validité du titre de séjour ;
le nom du référent unique -qui remplace le « référent social » (numéro de téléphone, nom du remplaçant, structure d’origine du référent) ;
Le cas échéant, « arrivée massive » : oui/non.
Ces données apparaissent pertinentes au regard de la finalité poursuivie, mais appellent plusieurs observations de la Commission. 
Concernant les données d’identification, elle prend note que lorsqu'une personne n’est pas en mesure d’indiquer son identité, l’outil génère une identité fictive, suivi d’un numéro séquentiel généré automatiquement par ordre d’arrivée des personnes concernées. 
La Commission prend acte du fait que l’insertion de la réponse « Non renseigné » à ces demandes garantit le caractère facultatif de ces saisies d’informations. 
Elle rappelle le caractère strictement facultatif de la transmission de pièces permettant d’accompagner les personnes, notamment concernant l’obtention ou le renouvellement de leur titre de séjour. Cette communication soumise au consentement exprès de la personne ne pourra pas donner lieu à un stockage dématérialisé des pièces dans le traitement. 
Elle considère que le traitement de ces données ne doit faire l’objet d’aucune transmission nominative, ou réutilisation, contraire à l’intérêt de la personne en particulier l’information relative au « titre de séjour », aux « ressources » et à l’« endettement ». 
Elle recommande enfin que la saisie des autres items, en champ libre, soit strictement encadrée. Pour éviter l’enregistrement de commentaires inappropriés, la Commission recommande que la mention suivante apparaisse dans chacun des champs libres accessible sur le progiciel : « Seules doivent être saisies les informations susceptibles d’être pertinentes au regard du contexte. Elles ne doivent pas comporter d’appréciation subjective, ni faire apparaître, directement ou indirectement, les origines raciales, les opinions politiques, philosophiques ou religieuses, les appartenances syndicales ou les mœurs de la personne concernée ».
Sur les destinataires
Les destinataires des données sont exclusivement les membres du SIAO, les travailleurs sociaux (TS) et les gestionnaires d’hébergement et de logement (GHL).La Commission prend note que le personnel du service téléphonique 115 accède aux données de 4D-CHRS en mode « création », « saisie » et « consultation », mais pas en mode suppression.Elle approuve que les partenaires publics des SIAO, et notamment la Direction départementale de la Cohésion Sociale et des politiques publiques (DDCSPP), soient uniquement destinataires de données sous format anonymisé ou agrégé, dans le cadre de l’évaluation des politiques publiques.
Sur l’information et le droit d’accès 
Dans le respect du principe de l’inconditionnalité de l’accueil, les personnes interrogées peuvent librement refuser de répondre aux questions posées. L’ensemble des informations à saisir reste donc entièrement facultatif. En application de l’article 32 de la loi du 6 janvier 1978 modifiée, et eu égard à la présence de données portant sur les difficultés sociales des personnes, la Commission recommande que l’information des personnes sur leurs droits d’accès, d’opposition, de rectification et de suppression soit proposée, individuellement, lors de la saisie des données, soit par voie orale (dans le cadre du service téléphonique 115 ou lors de l’entretien individuel avec le demandeur d’hébergement), soit, le cas échéant, par le recours à des mentions spécifiques sur le questionnaire de demande d’hébergement utilisé. Cette information devra comporter des dispositions explicites sur l’absence de conséquences d'un défaut de réponse, en particulier à l’égard des demandeurs d’hébergement.En application de l’article 39 de la loi du 6 janvier 1978 modifiée, une copie des informations saisies doit pouvoir être sollicitée par les demandeurs d’hébergement, notamment les éléments qui figurent dans les zones commentaires, les personnes hébergées et les personnes sorties des structures d’hébergement. 
Sur les mesures de sécurité
Les habilitations des personnes concernées relèveront des fonctions propres de chaque utilisateur (personnel du SIAO, personnel des GHL, travailleurs sociaux, personnel du 115), la DDCSPP n’accédant qu’aux données statistiques.L’association chrétienne de coordination d'entraide et de solidarité mettra en place une journalisation des accès en lecture et en écriture aux dossiers, et une conservation de ces journaux pendant 12 mois.Un mécanisme de chiffrement des données identifiantes (nom, prénom, date de naissance, numéro d'identification) sera mis en place dans la base de données. Ce mécanisme reposera sur l’algorithme RSA, utilisé avec une longueur de clé de 1024 bits. Le mot de passe permettant d’accéder au traitement sera de 8 caractères minimum, contiendra des chiffres et des caractères spéciaux, et disposera d’une durée de validité limitée.La Commission considère ces éléments comme satisfaisants. 
Sur les autres caractéristiques du traitement
Les données collectées sur les personnes sont conservées durant vingt quatre mois à compter de la dernière opération enregistrée dans le traitement 4D-CHRS, tandis que les données concernant les hébergements alloués sont conservées le temps du séjour de la personne concernée. Ce qui n’appelle aucune observation.
Autorise, conformément à la présente délibération, l’association chrétienne de coordination d'entraide et de solidarité à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN