(Demande d’autorisation n° 1757175)
La Commission nationale de l'informatique et des libertés,
Saisie par l’UNADEV d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi social des bénéficiaires et adhérents de l’association ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, et notamment ses articles 25-I-1° et 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme. Laurence Dumont, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’UNADEV, située rue de Cursol à Bordeaux (33300) est une association régie par la loi de 1901 qui œuvre dans le champ de l’accompagnement et de l’intégration des personnes atteintes de déficiences visuelles.
Sur la finalité
Le traitement mis en œuvre a pour finalité le suivi social des adhérents et des bénéficiaires de l’association.
Au regard des missions poursuivies par l’association, le traitement justifié par l’intérêt public peut faire apparaitre des données relatives à l’état de santé des personnes concernées, il convient de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée.
En outre, il convient également de faire application de l’article 25-I-7° de la loi du 6 janvier 1978, autorisant les traitements automatisés ou non à collecter des données relatives aux appréciations sur les difficultés sociales des personnes concernées.
La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites.
Sur les données traitées
Les catégories de données traitées sont relatives :
- à l’identification des personnes concernées (nom, prénom, adresse, date et lieu de naissance, téléphone, mail) ;
-  à la vie personnelle (situation familiale, personne à contacter en urgence) ;
-  à la vie professionnelle (situation professionnelle) ;
- aux données de santé (certificat médical d’ophtalmologie ou carte d’invalidité) ;
- à la situation sociale et aux appréciations sur les difficultés sociales des personnes ;
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée, dès lors qu’elles s’avèrent nécessaires et proportionnées dans le cadre du présent traitement.
Sur les destinataires
Les données sont accessibles en interne par les personnels de l’association dûment habilités en raison de leurs fonctions.
La liste des destinataires n’appelle pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes sont informées conformément à l’article  32 de la loi du 6 janvier 1978 modifiée  par des mentions légales figurant sur le formulaire de collecte et oralement.
Les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès du service informatique de l’UNADEV.
La Commission rappelle que cette information doit être fournie selon des modalités adaptées à l’état des personnes suivies.
Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
La Commission rappelle  que des mesures de protection  physiques et logiques doivent être mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.
L’authentification des utilisateurs doit être assurée par des mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.
Les habilitations d’accès au système d’information doivent être définies en fonction des attributions des utilisateurs.
Les échanges de données effectués sur internet doivent être sécurisés par des procédés de chiffrement du transport des données.
La Commission recommande que les accès à l’application fassent l’objet d’une journalisation. Elle rappelle que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.
Les mesures de sécurité mises en œuvre doivent être conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle qu’une mise à jour des mesures de sécurité doit être réalisée au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du  traitement
Les données à caractère personnel  sont conservées le temps nécessaire au suivi et à l’accompagnement des personnes.
A l’issue de cette durée de conservation, les données seront  détruites.
La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de sa finalité poursuivie.
Autorise, conformément à la présente délibération, l’UNADEV à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
