Délibération n°2011-278 du 21 septembre 2011 autorisant le Centre communal d’action sociale de Dijon à mettre en œuvre le traitement des données Easy-Soins relatif à la prise en charge de soins des personnes âgées dépendantes placées en structure d’accueil
Nature: Autre autorisation

(Autorisation n°1478482)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004 et notamment ses articles 8-IV, 25-I-1°, 25-I-6° et 25-I-7° ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu la loi n°97-60 du 24 janvier 1997 tendant, dans l'attente du vote de la loi instituant une prestation d'autonomie pour les personnes âgées dépendantes, à mieux répondre aux besoins des personnes âgées par l'institution d'une prestation spécifique dépendance ;
Vu la loi n°2002-2 du 2 janvier 2002 rénovant l’action sociale et médico-sociale ; 
Après avoir entendu, M. Philippe GOSSELIN, commissaire en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés a été saisie par le Centre communal d’action sociale (CCAS) de Dijon d’un traitement de données à caractère personnel ayant pour finalité la gestion des données dénommé Easy-Soins relatif à la prise en charge de soins des personnes âgées dépendantes placées en structure d’accueil.
Ce traitement relève du régime de l’autorisation prévu aux articles 8-IV, 25-I-1°, 25-I-6° et 25-I-7°de la loi du 6 janvier 1978 modifiée, applicable aux traitements comportant des données de santé, le numéro d’inscription des personnes au répertoire national d'identification des personnes physiques (NIR) ainsi que des appréciations sur les difficultés sociales des personnes.
Sur les finalités poursuivies par le traitement
La finalité du traitement est de permettre au CCAS de gérer la prise en charge des soins (médicaux, infirmiers et psychologiques) des personnes âgées dépendantes placées en structure d’accueil.
Ce traitement permet notamment de répondre aux exigences de la loi n°2002-2 du 2 janvier 2002 rénovant l’action sociale et médico-sociale et de la loi n°97-60 du 24 janvier 1997 tendant, dans l'attente du vote de la loi instituant une prestation d'autonomie pour les personnes âgées dépendantes, à mieux répondre aux besoins des personnes âgées par l’institution d'une prestation spécifique dépendance. 
Sur les catégories de données traitées
Les données renseignées dans le traitement concernant la personne aidée sont relatives à : 
- son identité, y compris le NIR (le NIR des personnes suivies étant utilisé par le CCAS pour gérer la facturation et les échanges effectués avec la Sécurité sociale) ;
- sa situation familiale et professionnelle ;
- sa santé (soins, pathologies, antécédents familiaux, degré de dépendance) ; 
- aux difficultés sociales des personnes (difficultés financières, difficultés d’expression orale ou écrite). 
La Commission recommande que la saisie des autres items, en champ libre, soit strictement encadrée. 
Pour éviter l’enregistrement de commentaires inappropriés, et garantir que les données contenues dans les zones commentaires sont pertinentes, adéquates et non excessives au regard de la finalité du traitement, elle recommande que la mention suivante apparaisse dans les champs libres à remplir par les agents : « Seules doivent être saisies les informations susceptibles d’être pertinentes au regard du contexte. Elles ne doivent pas comporter d’appréciation subjective, ni faire apparaître, directement ou indirectement, les origines raciales, les opinions politiques, philosophiques ou religieuses, les appartenances syndicales ou les mœurs de la personne concernée ».
Ces données peuvent être : 
saisies directement par les agents habilités du CCAS à partir des informations communiquées par la personne concernée ou, le cas échéant, le représentant légal de la personne concernée (pour l’ensemble des données collectées à l’exception des données de santé) ; 
renseignées par les partenaires médicaux et paramédicaux du CCAS (données de santé).
Sur les catégories de destinataires
Les travailleurs sociaux et les personnels habilités en charge des dossiers peuvent accéder aux données traitées, dans la stricte limite des missions qui leur sont dévolues. Il s’agit :
des partenaires médicaux et paramédicaux du CCAS,
des organismes de tutelle concernés,
de l’Agence régionale de la Santé (ARS), 
du Conseil général de la Côte d’Or.
Ce qui n’appelle pas d’observation.
Sur la durée de conservation
Les données seront conservées pendant la prise en charge de la personne. Cette durée de conservation n’appelle aucune observation de la Commission. 
Sur la sécurité
En premier lieu, la Commission rappelle que le mot de passe utilisé pour authentifier les agents habilités doit être de 8 caractères, composé de lettres, de chiffres, de majuscules, de minuscules et d’au moins un caractère spécial. Il doit être renouvelé régulièrement, c'est-à-dire au moins une fois par an.
En outre, le système de gestion des habilitations doit distinguer les agents en fonction de leurs profils et de leurs missions.
Compte tenu de la présence de données sensibles, la Commission recommande que la conservation des données précise le mécanisme d’archivage (notamment la manière dont la sortie du dispositif d’hébergement est indiquée dans l'application). 
Par ailleurs, la Commission  préconise que le CCAS : 
procède, a minima, à un chiffrement des données permettant l’identification des personnes concernées (nom, prénom, date de naissance, coordonnées).
garantisse la confidentialité des données par une gestion des clés de chiffrement par un autre administrateur que l’administrateur de la base de données.
Enfin, concernant les mécanismes d’anonymisation, il conviendra de s’assurer que les statistiques produites ne permettent aucune identification, même indirecte, des personnes concernées. 
Sur l’information des personnes concernées et le droit d’accès
L’information des personnes concernées sera effectuée par affichage au sein du CCAS et par l’insertion de mentions « Informatique et libertés » (dispositions énumérées à l’article 32 de la loi du 6 janvier 1978 modifiée) dans le dossier d’inscription de la personne aidée.
Le droit d’accès défini à l’article 39 de la loi du 6 janvier 1978 modifiée en 2004 s’exerce auprès de la Direction des retraités et des personnes âgées du CCAS.
La Commission relève que le traitement déclaré correspond à une gestion efficace, légitime et strictement nécessaire des données relatives aux personnes bénéficiant d’une aide.
Dans ces conditions, la Commission autorise le CCAS de Dijon à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK