La Commission Nationale de l'Informatique et des Libertés,    Vu la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;    Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et notamment ses articles 1, 2, 15, 19, 29 et 44 ;    Vu le Code de la Santé Publique et notamment son article L164-1 ;    Vu la délibération de la CNIL n° 81-74 du 16 juin 1981 portant avis sur le traitement automatisé intitulé "GAMIN" ;    Vu la délibération n° 83-24 du 15 mars 1983 portant avis sur les traitements automatisés relatifs aux certificats de santé du jeune enfant ;    Vu la délibération n° 87-01 du 13 janvier 1987 portant recommandation sur les traitements automatisés des certificats de santé du jeune enfant par départements ;    Vu le projet d'arrêté présenté par le Président du Conseil Général du Département de la Corse du Sud ;    Après avoir entendu Monsieur Alain SIMON en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ;
Considérant que le traitement automatisé mis en oeuvre dans le service de protection maternelle et infantile du Département de la Corse du Sud a pour objet d'assurer la gestion des certificats de santé qui doivent être établis au 8ème jour, 9ème et 24ème mois de la vie des enfants et transmis au médecin départemental responsable du service de protection maternelle et infantile ;    Prenant acte que le traitement ne permet pas d'établir une pré-sélection par ordinateur des enfants à risques susceptibles d'un suivi individuel ; qu'il convient d'en faire mention dans le projet d'acte réglementaire ;    Considérant qu'outre les tâches de gestion inhérentes au service de protection maternelle et infantile, le traitement assure l'exploitation statistique des certificats de santé ;    Considérant que les informations traitées proviennent des certificats de santé tels que définis par l'arrêté du 6 mai 1986 ;    Considérant que le fichier est conçu de façon à ce que les informations administratives soient distinctes des données médicales accessibles aux seuls membres du service, désignés par le médecin responsable ;    Considérant que le traitement est exploité à partir de terminaux implantés dans les services de protection maternelle et infantile, reliés par ligne spécialisée à un ordinateur du centre régional de traitement de l'information de la Corse, géré par une société d'économie mixte locale constituée majoritairement des collectivités territoriales de Corse ;
Considérant que cette configuration informatique, dans la mesure où elle n'est pas entièrement dédiée au traitement des certificats de santé, impose l'adoption de dispositifs techniques et juridiques particuliers, afin de garantir la confidentialité des données et en éviter toute divulgation ;    Considérant que le centre informatique s'est engagé expressément à respecter un ensemble d'obligations de sécurité qu'il fera appliquer par l'ensemble de son personnel ; qu'il importe que cet engagement soit complété par la mention des sanctions pénales encourues au titre de l'article 378 du Code pénal et des articles 42 et 43 de la loi du 6 janvier 1978 ;    Considérant, en outre, que les techniciens du service informatique qui, à raison de leurs fonctions, peuvent avoir accès ponctuellement à l'application, doivent être dûment avertis par une clause dans leur contrat de travail de leur obligation au secret professionnel et des conséquences en cas de non-respect de cette obligation ;
Considérant que l'accès aux fichiers est protégé par un système d'identification et d'authentification individuelles des utilisateurs, placé sous la responsabilité du médecin chef du service ;    Considérant que les mots de passe individuels doivent être changés fréquemment et régulièrement ; qu'il importe de sensibiliser en conséquence le personnel du service ainsi que les techniciens du service informatique qui, à raison de leurs fonctions, peuvent avoir accès ponctuellement à l'application ;    Considérant que le traitement ne peut faire l'objet d'aucune interconnexion, rapprochement ou toute autre forme de mise en relation ; qu'il importe d'en faire mention dans le projet d'acte réglementaire ;    Considérant que, une fois par an les dossiers informatiques des enfants ayant atteint l'âge de six ans, feront l'objet d'une procédure de "banalisation", toutes les données permettant d'identifier l'enfant étant effacées du traitement ;    Considérant que les certificats de santé ainsi que tous les documents nominatifs devront également être détruits à l'expiration de ce délai ;    Considérant que la durée de conservation des données nominatives doit être mentionnée dans le projet d'acte réglementaire ;
Emet un avis favorable à la mise en oeuvre par le département de la Corse du Sud du traitement des certificats de santé du jeune enfant, sous réserve que le projet de décision créant le traitement soit modifié dans les sens des observations qui précèdent ;    Rappelle qu'en cas d'extension ou d'adjonction de finalité, une nouvelle demande d'avis devra être présentée à la Commission.     Le Président : Jacques FAUVET
