(Demande d’autorisation n° 1590024)
La Commission nationale de l’informatique et des libertés ;
Saisie par le Conseil National de l’Ordre des Pédicures-Podologues d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des professionnels pédicures-podologues sur le territoire national ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment son article L. 4322-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean MASSOT, commissaire et après avoir entendu les observations de  Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le Conseil National de l’Ordre des Pédicures-Podologues (CNOPP)
Sur la finalité
La finalité du traitement est d’assurer :
Dans ce contexte, la Commission considère qu’il y a lieu de faire application des articles 25-I-3° et 9-1°de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
la gestion des inscriptions des professionnels au tableau de l’ordre des pédicures-podologues sur le territoire national ;
le recensement et suivi des condamnations prononcées par l’ensemble des juridictions ordinales et leurs conséquences pour l’exercice de la profession de pédicure-podologue.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
Sur les données traitées
Les données faisant l’objet d’un traitement sont les suivantes :
- les données d’identification des professionnels inscrits au tableau de l’ordre des pédicures-podologues (nom, prénom, adresse, date et lieu de naissance, lieu d’exercice professionnel),
- les données relatives à la date de leur éventuelle condamnation, à l’identification de la juridiction qui a prononcé la sanction, à la nature de la sanction (avertissement, blâme, interdiction d’exercer, radiation…), à la durée de la sanction s’il s’agit d’une interdiction provisoire d’exercer ou de donner des soins aux assurés sociaux.
Les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont :
- les personnels dûment habilités du CNOPP (service juridique, service comptable, service informatique) ;
- les présidents et les secrétaires administratifs des conseils régionaux de l’Ordre, sous l’autorité de leur président, pour les données des pédicures-podologues de leur région.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, par une mention sur leur dossier d’inscription, de la mise en œuvre du traitement et des modalités d’exercice de leurs droits auprès du service régional de gestion des inscriptions au tableau de l’ordre.
Une mention spécifique sur les dossiers d’inscription et sur le site Internet du CNOPP informe également les personnes de ce que leur nom, prénom, adresse et téléphone professionnels figureront sur l’annuaire en ligne de la profession accessible sur le site Internet du CNOPP.
Ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Concernant les modalités d’accès aux données, l’authentification des utilisateurs de la base s’effectue au moyen d’un mot de passe d’une taille de huit caractères, composé de trois caractères différents (minuscules, majuscules, chiffres ou caractères spéciaux), et changé tous les six mois.
L’authentification des administrateurs de la base s’effectue au moyen d’un mot de passe d’une taille de dix caractères, composé d’au moins trois caractères différents (minuscules, majuscules, chiffres ou caractères spéciaux), changé tous les six mois.
La Commission rappelle que les permissions d’accès doivent être supprimées pour tout utilisateur n’étant plus habilité.
Concernant les réseaux au travers desquels sera accessible le traitement, ceux-ci seront reliés entre eux par un réseau VPN présentant un niveau de sécurité suffisant.
Les mesures de sécurité mises en place n’appellent pas d’observation.
Sur les autres caractéristiques du traitement
Les données traitées seront conservées pendant dix ans à compter de la cessation d’exercice du professionnel concerné et conformément aux dispositions légales et réglementaires applicables.
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, le Conseil National de l’Ordre des Pédicures-Podologues à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
