Source: https://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000029264289
Timestamp: 2019-11-18 12:40:45+00:00

Document:
Délibération n° 2014-123 du 3 avril 2014 portant autorisation unique des traitements de données à caractère personnel mis en œuvre par les organismes de droit public ou de droit privé gérant un patrimoine immobilier à caractère social aux fins de gestion du précontentieux et du contentieux, d'une part, et de mise en œuvre des décisions de justice ayant une incidence sur un lieu de résidence, d'autre part | Legifrance
Vous êtes dans : Accueil> Les autres textes législatifs et réglementaires> Délibération n° 2014-123 du 3 avril 2014 portant autorisation unique des traitements de données à caractère personnel mis en œuvre par les organismes de droit public ou de droit privé gérant un patrimoine immobilier à caractère social aux fins de gestion du précontentieux et du contentieux, d'une part, et de mise en œuvre des décisions de justice ayant une incidence sur un lieu de résidence, d'autre part
Délibération n° 2014-123 du 3 avril 2014 portant autorisation unique des traitements de données à caractère personnel mis en œuvre par les organismes de droit public ou de droit privé gérant un patrimoine immobilier à caractère social aux fins de gestion du précontentieux et du contentieux, d'une part, et de mise en œuvre des décisions de justice ayant une incidence sur un lieu de résidence, d'autre part
NOR: CNIX1417233X
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25-I (3°), 25-I (7°) et 25-II ;
Vu la loi n° 89-462 du 6 juillet 1989 tendant à améliorer les rapports locatifs ;
Les propriétaires des locaux à usage d'habitation doivent faire cesser, dans les conditions prévues par l'article 6 (1°) de la loi n° 89-462 du 6 juillet 1989 tendant à améliorer les rapports locatifs, les troubles de voisinage causés par les personnes qui occupent ces locaux.
L'article 4 g de cette loi permet d'insérer dans un bail d'habitation une clause de résiliation de plein droit en cas de non-paiement du loyer, des charges ou du dépôt de garantie, en cas de non-souscription d'une assurance garantissant les risques locatifs ou, enfin, en cas de non-respect, résultant de troubles de voisinage constatés par une décision de justice passée en force de chose jugée, de l'obligation d'user paisiblement des locaux loués.
Les organismes de droit public ou privé gérant un patrimoine immobilier à caractère social peuvent ainsi être amenés à mettre en œuvre des traitements de données à caractère personnel pour gérer des précontentieux et contentieux. Les traitements mis en œuvre dans ce cadre sont, par nature, susceptibles de porter sur des données relatives aux infractions, condamnations ou mesures de sûreté.
Par ailleurs, lors de l'attribution initiale d'un logement ou à l'occasion d'une demande de mutation, ces organismes peuvent être amenés à prendre en compte des décisions de justice lorsqu'elles ont une incidence sur un lieu de résidence. Les traitements mis en œuvre dans ce cadre, qu'ils soient automatisés ou non, peuvent porter sur des condamnations.
Dès lors, il y a lieu de faire application de l'article 25-I (3°) de la loi du 6 janvier 1978 modifiée, qui prévoit que les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté ne peuvent être mis en œuvre qu'après une autorisation de la commission.
Les organismes de droit public ou privé gérant un patrimoine immobilier à caractère social sont fondés, en application de l'article 9 de la loi du 6 janvier 1978 modifiée et de la décision n° 2004-499 DC du 29 juillet 2004 du Conseil constitutionnel, à traiter de telles données en qualité de victime ou d'organisme gérant un service public au sens de la jurisprudence du Conseil d'Etat.
En application de l'article 25-II de la loi du 6 janvier 1978 modifiée, la commission peut autoriser par une décision unique une catégorie de traitements qui répondent aux mêmes finalités, portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires.
Les traitement automatisés de données à caractère personnel utilisés par les gestionnaires publics ou privés de patrimoine immobilier à caractère social à des fins de gestion du précontentieux et du contentieux, d'une part, et de mise en œuvre des décisions de justice ayant une incidence sur un lieu de résidence, d'autre part, sont de ceux qui peuvent, sous certaines conditions, relever de cette définition.
Seuls peuvent faire l'objet d'un engagement de conformité en référence à la présente autorisation unique les traitements mis en œuvre, par les organismes de droit public ou privé gérant un patrimoine immobilier à caractère social, aux fins :
- de gestion de leurs précontentieux et contentieux avec leurs cocontractants, les demandeurs de logement, les occupants des logements et les tiers responsables d'atteintes à leur personnel ou à leur patrimoine ;
- d'exécution des décisions de justice ayant une incidence sur un lieu de résidence, telles que les décisions ordonnant l'éloignement d'un résident ou un relogement en urgence.
Le responsable de traitement doit être en mesure de justifier du caractère nécessaire des données à caractère personnel effectivement collectées.
Sous cette réserve, pour gérer des contentieux et précontentieux ou mettre en œuvre des décisions de justice ayant une incidence sur un lieu de résidence, les gestionnaires publics ou privés de patrimoine immobilier à caractère social peuvent collecter et traiter :
- des données d'identification relatives aux victimes, aux témoins et aux parties à la procédure (nom ; nom d'usage ; prénoms ; sexe ; date et lieu de naissance ; nationalité ; adresse, numéros de téléphone et de fax, adresse électronique) ;
- des données relatives à la vie personnelle (situation familiale ; difficultés rencontrées) ;
- des données relatives à la vie professionnelle (situation professionnelle) ;
- des données relatives à la situation économique et financière (ressources ; montant, durée et échéance des crédits en cours ; dettes ; impayés) ;
- des données relatives à la santé, sous réserve d'être directement collectées auprès des personnes concernées, ou de leurs représentants légaux, après le recueil d'un consentement exprès, d'une part, et d'être strictement nécessaires au regard de la finalité poursuivie, d'autre part ;
- des appréciations sur des difficultés sociales, sous réserve du consentement des personnes concernées ou de leurs représentants légaux, d'une part, et d'être strictement nécessaires au regard de la finalité poursuivie, d'autre part (difficultés rencontrées, appréciation du contexte, préconisations, commentaires, existence d'un suivi social) ;
- des données relatives aux infractions, condamnations ou mesures de sûreté nécessaires à la sauvegarde d'un droit en justice :
- faits présumés constitutifs d'une infraction, d'un trouble de jouissance ou d'une inexécution contractuelle (trouble de voisinage ; impayé locatif ; impayé en matière d'accession à la propriété ou relatif aux charges ; non-respect du bail ou du règlement intérieur ; atteinte aux personnes ; atteinte aux biens ; manquement contractuel) ;
- documents recueillis et pièces de procédure tendant à caractériser ou à démontrer le caractère litigieux d'un comportement (constat ; témoignage ; attestation ; mise en demeure ; images extraites d'un dispositif de vidéoprotection ; fiche de constat des faits ; dépôt de plainte ; certificat médical en lien avec une expertise médico-légale) ;
- caractéristiques du contentieux (date de début et de clôture du litige, juridiction saisie, date de l'assignation, date d'audience, état de la procédure, nature et objet des demandes, griefs, argumentations, observations et avis des représentants légaux, date du jugement) ;
- date, nature, motifs et montants des condamnations ;
- commentaires relatifs à la description et au suivi de la procédure.
- des décisions de justice ayant une incidence sur un lieu de résidence, telles que les décisions ordonnant l'éloignement d'un résident ou un relogement en urgence, sous réserve d'être collectées directement auprès des personnes en bénéficiant.
Sous les mêmes réserves, les gestionnaires publics ou privés de patrimoine immobilier à caractère social peuvent également collecter et traiter des données d'identification relatives aux auxiliaires de justice participant à la gestion des contentieux et précontentieux (nom ; nom d'usage ; prénoms ; sexe ; adresse, numéro de téléphone, adresse électronique).
La commission rappelle, à toutes fins utiles, que le responsable d'un traitement de données à caractère personnel est tenu, en application de l'article 34 de la loi du 6 janvier 1978 modifiée, de prendre toutes les garanties utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher que des tiers non autorisés y aient accès.
A ce titre, le responsable d'un traitement de données à caractère personnel doit, avant de transmettre des données à un organisme, opérer un tri parmi ces dernières pour s'assurer que le destinataire accède aux seules données adéquates, pertinentes et non excessives au regard de la justification de la communication.
Dans les limites de leurs attributions respectives, et chacun pour ce qui le concerne, peuvent accéder aux données visées à l'article 2 de la présente décision unique :
- les employés du responsable de traitement habilités à gérer et suivre les litiges amiables et les procédures contentieuses dans le cadre de leurs fonctions, d'une part, ainsi que ceux habilités à mettre en application les décisions de justice ayant un incidence sur le lieu de résidence, d'autre part ;
- les auxiliaires de justice et officiers ministériels ;
- l'autorité judiciaire saisie d'un litige ;
- les organismes tiers autorisés par une disposition légale à obtenir la communication de données à caractère personnel relatives à des précontentieux, contentieux ou condamnations.
Les données collectées et traitées dans le cadre de la gestion du précontentieux doivent être supprimées à compter du règlement du litige amiable ou, à défaut, de la prescription de l'action en justice correspondante.
Les données collectées et traitées dans le cadre de la gestion d'un contentieux doivent être supprimées lorsqu'est prescrite l'action en exécution d'une décision de justice passée en force de chose jugée.
Les condamnations définitivement prononcées dans le cadre des contentieux visés à l'article 1er peuvent être conservées par le responsable de traitement jusqu'au départ du résident concerné, aux fins de traitement différencié en cas de faits répétés, ou de l'employé victime d'une agression, pour éviter tout contact entre ce dernier et la personne condamnée.
Information des personnes, droits d'accès et de rectification.
Politique de confidentialité, de sécurité et de traçabilité.
- que toute transmission d'information via un canal de communication non sécurisé, par exemple internet, s'accompagne de mesures adéquates permettant de garantir la confidentialité des données échangées, telles qu'un chiffrement des données. Les moyens utilisés doivent être conformes à l'état de l'art et, le cas échéant, respecter les recommandations de la commission.
- que les personnes habilitées disposant d'un accès aux données doivent s'authentifier avant tout accès à des données à caractère personnel, au moyen d'un identifiant et d'un mot de passe personnels respectant les recommandations de la CNIL, ou par tout autre moyen d'authentification apportant au moins le même niveau de sécurité.
- qu'un mécanisme de gestion des habilitations est mis en œuvre et régulièrement mis à jour pour garantir que les personnes habilitées n'ont accès qu'aux seules données effectivement nécessaires à la réalisation de leurs missions. Le responsable de traitement doit définir et formaliser une procédure permettant de garantir la bonne mise à jour des habilitations.
- que des mécanismes de traitement automatiques garantissent que les données à caractère personnel seront automatiquement supprimées, à l'issue de leur durée de conservation, ou feront l'objet d'une procédure d'anonymisation rendant impossible une ré-identification des personnes concernées.
- que les accès à l'application font l'objet d'une traçabilité afin de permettre la détection d'éventuelles tentatives d'accès frauduleux ou illégitimes. Les accès aux données considérées comme sensibles, au regard de la loi du 6 janvier 1978 modifiée, doivent quant à eux être spécifiquement tracés en incluant un horodatage, l'identifiant de l'utilisateur, ainsi que l'identification des données concernées, et ceci pour les accès en consultation, modification ou suppression. Les données de journalisation doivent être conservées pendant une durée de six mois glissants.
La commission rappelle que l'usage d'outils ou de logiciels développés par des tiers dans le cadre de la mise en œuvre d'un traitement de données à caractère personnel reste sous la responsabilité du responsable de traitement qui doit notamment vérifier que ces outils ou logiciels respectent l'ensemble des obligations que la loi du 6 janvier 1978 modifiée met à sa charge.

References: l'article 6

L'article 4
 l'article 25
 l'article 9
 l'article 25
 l'article 34
 l'article 2
 l'article 1