La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 25-I-1° et 25-I-6° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu, M. Philippe Gosselin, commissaire en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Autorise, dans les conditions définies dans le dossier et ses compléments, l'association Entraide Vivre à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion des stagiaires en centre de réinsertion professionnelle.
Responsable du traitement
L'association Entraide Vivre a pour objet de favoriser, principalement par la réadaptation professionnelle, l'insertion sociale des personnes en situation de handicap physique ou psychique et de les aider à trouver une place dans la société.
Cette association à but non lucratif permet de contribuer à l'amélioration de la prise en charge, de l'accompagnement et de l'assistance des personnes concernées.
Au regard de ce qui précède, la Commission considère que la mission de l'association Entraide Vivre est d'intérêt public.

La finalité du présent traitement est la gestion des stagiaires que l'association accueille au sein des centres de réinsertion professionnelle qu'elle gère.
Données traitées
Les catégories de données collectées sont relatives :
•          à l'identification (nom, prénom, adresse, photographie, date et lieu de naissance) ;
•          à la vie personnelle (situation familiale) ;
•          à la vie professionnelle (CV, situation professionnelle, scolarité, formation, distinctions) ;
•          aux données de connexion (identifiants de connexion) ;
•          au numéro de sécurité sociale (exclusivement dans le cadre de facturations ou d'échanges avec la sécurité sociale) ;
•          aux données de santé (dates de visites médicales, motifs).
Ces données apparaissent pertinentes au regard de la finalité poursuivie.
Dans ce contexte, la Commission considère qu'il y a lieu de faire application des dispositions des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l'intérêt public.
Elle considère que le recours à la formalité de l'autorisation se justifie également au regard de l'article 25-I-6° de la loi pour ce qui concerne le traitement du numéro de sécurité sociale.
Destinataires
Les destinataires des données sont les personnels dûment habilités de l'association.
La Commission prend acte que l'habilitation à consulter des données de santé ne peut être attribuée qu'à des personnes soumises au secret professionnel, et dans la stricte limite de leurs missions.
Durée de conservation
Les données sont conservées pour une durée de deux ans à compter de la fin de la dernière opération enregistrée, puis elles sont archivées.
Information et droit d'accès
Les personnes concernées sont informées, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, par voie d'affichage dans les locaux, ainsi que par une mention sur le site Internet et sur le formulaire de collecte des données.
Les droits d'accès et de rectification s'exercent auprès des personnels de l'association Entraide Vivre, 54, avenue F.V. Raspail - 94110 ARCUEIL.

La Commission observe que le traitement comprend une fonctionnalité de journalisation des opérations effectuées sur les données : tous les types d'accès sont enregistrés et incluent un horodatage ainsi qu'un identifiant de l'utilisateur à l'origine de l'opération.
Les modalités d'authentification des utilisateurs, ainsi que de gestion des habilitations apparaissent satisfaisantes.
Concernant la sécurité des données traitées, celle-ci sont chiffrées en base au moyen de l'algorithme AES associé à une clé de 128 bits.
Les échanges de données à partir de l'application sont également chiffrés au moyen du protocole HTTPS. Les sauvegardes sont aussi chiffrées.
Enfin, le réseau interne de l'organisme est constitué de plusieurs réseaux interconnectés au moyen d'un VPN IPsec, qui permettent de garantir la confidentialité des données y transitant.
La Présidente
Isabelle FALQUE-PIERROTIN
