La Commission nationale de l'informatique et des libertés,
Saisie par le conseil général de la Loire d'une déclaration de modification du traitement automatisé de données à caractère personnel ayant pour objet de gérer les bénéficiaires du revenu minimum d'insertion dans le département.
Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et notamment son article 25-7° ;
Vu la loi n° 2003-1200 du 18 décembre 2003 portant décentralisation en matière de revenu minimum d'insertion et créant un revenu minimum d'activité ;
Vu la loi n° 2005-32 du 18 janvier 2005 de programmation pour la cohésion sociale ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la délibération n° 2005-033 du 3 mars 2005 portant avis sur le projet de décret présenté par le ministre de l'emploi, du travail et de la cohésion sociale relatif au contrat d'avenir et au contrat insertion-revenu minimum d'activité et autorisant la mise en oeuvre du système d'information nécessaire à leur gestion ;
Après avoir entendu, Mme Anne Debet, commissaire, en son rapport et Mme Pascale Compagnie, commissaire du gouvernement, en ses observations ;
Formule les observations suivantes :
La Commission est saisie par le Conseil général de la Loire d'une déclaration de modification du traitement automatisé de données à caractère personnel relatif à la gestion des bénéficiaires du revenu minimum d'insertion.  La modification présentée à la Commission doit permettre au conseil général d'exercer les nouvelles responsabilités résultant de la loi du 18 décembre 2003 susvisée : l'attribution et le versement de l'allocation ainsi que la mise en place de la politique départementale d'insertion sociale et professionnelle.
Le traitement a pour objet la gestion des informations relatives aux usagers des services départementaux de la délégation à la vie sociale afin d'instruire les procédures d'attribution des prestations de RMI adaptées à leur situation sur la base d'un bulletin diagnostic et d'une fiche budget.  Il contribue à la mise en place des contrats d'insertion professionnelle (CI-RMA et contrat d'avenir) tels que prévus par la loi du 18 janvier 2005 susvisée. Il doit enfin permettre la gestion comptable et financière du service d'aide sociale générale et l'établissement de statistiques sur les situations et les besoins des usagers ainsi que sur leurs parcours d'insertion.
La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-7° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés de données comportant des appréciations sur les difficultés sociales des personnes.
Le traitement consiste en une base de données unique mise à la disposition, dans la limite de leur habilitation, des agents départementaux affectés aux missions d'aide et d'action sociale du conseil général de la Loire.
Les catégories de données à caractère personnel enregistrées sont relatives à l'identification des demandeurs ou des bénéficiaires des prestations, à la composition de leur famille, à leur situation économique et financière et à l'état des procédures et des actions en cours, en particulier pour ce qui concerne les contrats d'insertion professionnelle.  A cet égard, la Commission prend acte de la suppression du bulletin diagnostic de la rubrique dénommée "caractéristiques liées aux potentialités et aux difficultés".
Les données relatives aux usagers du service d'aide sociale concernant les différentes procédures ne sont pas conservées au-delà de vingt-quatre mois après la dernière mise à jour du dossier ; les données nominatives concernant la ou les personnes sont supprimées dés lors qu'aucune procédure n'est en cours et au terme des délais précités.
Les destinataires des données sont, dans la limite de leurs attributions et suivant une procédure d'habilitation particulière, les agents départementaux des services de la délégation à la vie sociale.  S'agissant des bulletins diagnostic établis pour les demandeurs du RMI, seuls en sont destinataires les référents de parcours RMI et les personnes de leur secrétariat.
Les mesures de sécurité mises en place pour garantir la confidentialité des données sont conformes aux recommandations de la Commission :  en particulier, définition des procédures d'habilitation en concertation avec les personnels concernés et le comité de veille mis en place, instauration d'une procédure d'analyse des connexions afin de détecter les tentatives d'accès frauduleux, mise en place d'une télémaintenance sur base fictive et d'une maintenance sur site sous le contrôle du responsable informatique.  De plus, il convient de relever que le conseil général a pris l'engagement d'élaborer une charte pour un bon usage des ressources informatiques.
Le droit d'accès et de rectification aux données s'exerce auprès de la délégation à la vie sociale.  Les personnes sont informées lors du dépôt de leur dossier des droits qui leur sont ouverts au titre de la loi du 6 janvier 1978 modifiée.
Autorise, dans ces conditions, la mise en oeuvre, par le conseil général de la Loire, d'un traitement automatisé de données à caractère personnel pour la gestion du dispositif RMI.
Le président, Alex TURK.
