Délibération n° 2012-155 du 2 mai 2012 autorisant la délégation départementale de Paris de la Croix-Rouge française à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la gestion et le suivi des personnes rencontrées dans le cadre de ses activités dites de « Samu social » et de « Maraude ».
Nature: Autre autorisation

(Demande d’autorisation n° 1546478)
La Commission nationale de l’informatique et des libertés, 
Saisie par la délégation départementale de Paris de la Croix-Rouge française d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion et le suivi des personnes rencontrées dans le cadre de ses activités dites de « Samu social » et de « Maraude » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 9-1°, 25-I-1°, 25-I-3°, et 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Monsieur Philippe Gosselin, rapporteur, et après avoir entendu les observations de Madame Elisabeth Rolin, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La Croix-Rouge française est une association reconnue d’utilité publique.Elle est reconnue par les pouvoirs publics comme une société de secours volontaire, autonome, auxiliaire des pouvoirs publics et en particulier du service de santé des armées, conformément à la 1ère convention de Genève.La Croix-Rouge française a pour objet de prévenir et d’apaiser toutes les souffrances humaines. Elle exerce sa mission dans les domaines de l’urgence et du secourisme, de l’action sociale, de la santé, de la formation et de la solidarité internationale. La Croix-Rouge française est l’auxiliaire des pouvoirs publics dans leurs activités humanitaires et elle apporte son concours à ces derniers, notamment, dans le domaine de la sécurité civile.Le conseil d’administration de la Croix-Rouge française comprend 4 personnes, ayant voix consultative, désignées par les ministres du Travail et de la Solidarité, de l’Intérieur, de la Défens        e et des Affaires étrangères.Le Président de la Croix-Rouge française est élu par son conseil d’administration et agréé par décret.La Croix-Rouge française bénéficie de subventions de l’Etat, des régions, des départements, des communes, des établissements publics et de l’Union européenne.Elle publie annuellement ses comptes et les transmet avec un rapport au ministre de l’Intérieur et au Préfet de la région d’Ile de France. Par ailleurs, elle justifie tous les ans auprès de ces derniers de l’emploi des fonds provenant de toutes les subventions accordées au cours de l’exercice écoulé.
Le règlement intérieur de la Croix-Rouge française, ainsi que ses modifications, est adressé au ministre de l’Intérieur et au Préfet de la région d’Ile de France. Il ne peut entrer en vigueur qu’après approbation du ministre de l’Intérieur. La Croix-Rouge française est une personne morale unique organisée sur le territoire national en délégations locales, départementales et régionales.Au regard de ce qui précède, la Commission considère que la délégation départementale de Paris de la Croix-Rouge française gère un service public au sens de l’article 9-1° de la loi du 6 janvier 1978 modifiée, d’une part, et que sa mission est d’intérêt public, d’autre part.
Sur la finalité
Dans le cadre de ses activités dites de « Samu social » et de « Maraude », la délégation départementale de Paris de la Croix-Rouge française va à la rencontre de personnes vivant dans la rue pour établir un contact avec elles, leur apporter de l’aide, évaluer leurs situations puis, le cas échéant, les orienter vers le ou les organismes à même de répondre au mieux à leur situation sans transférer à ces organismes de données à caractère personnel.La finalité du traitement vise à la gestion et au suivi des personnes rencontrées dans le cadre des activités dites de « Samu social » et de « Maraude » de la délégation départementale de Paris de la Croix-Rouge française.La Commission estime qu’il y a lieu de faire application des dispositions des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements justifiés par l’intérêt public qui comportent des données relatives aux origines raciales ou ethniques, aux opinions politiques ou religieuses, à la santé et à la vie sexuelle.Dans la mesure où la délégation départementale de Paris de la Croix-Rouge française gère un service public au sens de l’article 9-1° de la loi du 6 janvier 1978 modifiée, la Commission considère qu’il convient également de retenir l’application de l’article 25-I-3° de ladite loi pour ce qui concerne le traitement des données relatives aux infractions, condamnations ou mesures de sûreté.  La Commission considère enfin que le recours à la formalité de l’autorisation se justifie au regard de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée, pour ce qui concerne les traitements comportant des données permettant d’apprécier les difficultés sociales des personnes. 
Sur les données traitées
Les catégories de données collectées concernent les personnes rencontrées à l’occasion des activités de « Samu social » et de « Maraude » et sont relatives :
à l’identification (nom, prénom, surnom, date et lieu de naissance, sexe, nationalité, lieu où la personne a été rencontrée) ;
à la vie personnelle (habitude de vie, situation familiale, hobbies, centres d’intérêts) ;
à la vie professionnelle (curriculum vitae, situation professionnelle, scolarité) ;
à des informations d’ordre économique et financier (revenus, situation financière) ;
aux infractions, condamnations ou mesures de sûreté pour aider la personne concernée dans le cadre d’une procédure et/ou l’orienter vers un organisme spécialisé ;
à des appréciations sur les difficultés sociales des personnes ;
à la santé (pathologie, affection, antécédents familiaux, soins, situations ou comportements à risques, demande d’intervention d’un professionnel de santé) ;
aux origines raciales ou ethniques, aux opinions politiques ou religieuses, et ce, exclusivement pour évaluer la possibilité de déposer une demande d’asile avant d’orienter la personne, le cas échéant, vers un organisme spécialisé chargé de constituer le dossier ;
à la vie sexuelle pour mettre en place une prévention médicale et/ou faire intervenir un professionnel de santé si la personne concernée est confrontée à des risques particuliers au regard de sa sexualité.
La Commission relève, par ailleurs, que des données relatives aux bénévoles participants à l’opération sont également collectées (adresses de courriel).
Ces données apparaissent pertinentes au regard de la finalité poursuivie. 
Sur les destinataires
Les données visées ci-dessus sont accessibles aux seules personnes dûment habilitées de la délégation départementale de la Croix-Rouge de Paris et de ses délégations locales.La Commission prend acte que les données du présent traitement ne peuvent en aucun cas être transmises à d’autres organismes.Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, lors de la rencontre avec la personne concernée et de l’entretien oral qui s’ensuit.Les droits d’accès et de rectification s’exercent par courrier électronique, par téléphone, par voie postale ou sur place auprès de la délégation départementale de la Croix-Rouge de Paris (12, rue Chardin, 75016 Paris).  Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes. 
Sur les mesures de sécurité
La Commission relève que des profils d’habilitation définissant les fonctions ou les types d’informations accessibles à un utilisateur ont été mis en œuvre, d’une part, et que l’authentification des utilisateurs est assurée par l’utilisation de mots de passe alphanumériques de 9 caractères régulièrement renouvelés, d’autre part. La Commission observe également que le traitement comporte une fonctionnalité de journalisation des opérations de consultation, création, mise à jour et suppression.La Commission prend note que les échanges de données sont réalisés par l’intermédiaire d’internet et que les sessions sont sécurisées par l’utilisation d’un certificat dit « SSL ». Elle rappelle que les échanges de données réalisés par l’intermédiaire de canaux non sécurisés, tels que des clefs « USB », doivent être cryptés afin de garantir la confidentialité des données transmises.La Commission observe également que les opérations de maintenance sont réalisées par un sous-traitant en présence d’un informaticien de la Croix-Rouge française.Enfin, la Commission relève que des clefs « USB » cryptées au moyen de l’algorithme « AES » sont utilisées comme support de sauvegarde. Ces mesures de sécurité apparaissent satisfaisantes.
Sur les autres caractéristiques du traitement
Les données sont conservées tant que les équipes la délégation départementale de Paris de la Croix-Rouge française rencontrent la personne concernée. Elles sont détruites au maximum 2 ans à compter de la dernière rencontre. Cette durée de conservation apparaît pertinente au regard de la finalité poursuivie par le traitement. A l’issue de ce délai, la Commission observe que des données ne permettant pas d’identifier directement ou indirectement des personnes physiques sont conservées dans un but statistique, et ce, pour permettre à la Croix-Rouge française d’étudier l’évolution dans le temps de ses activités et des demandes des bénéficiaires. Ce constat n’appelle aucune observation de la Commission, si ce n’est que l’anonymisation des données conservées dans un but statistique ne doit pas permettre, même indirectement, d’identifier des personnes physiques.
Autorise, conformément à la présente délibération, la délégation départementale de Paris de la Croix-Rouge française à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN