(Demande d’autorisation n° 1706936)
La Commission nationale de l'informatique et des libertés,
Saisie par le Conseil départemental des Alpes Maritimes d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité  le suivi des agents victimes d’agression ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses article 9-1° et  25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence Dumont, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Conseil départemental des Alpes Maritimes.
Sur la finalité
Le traitement automatisé de données a pour finalités la gestion et le suivi d’un accompagnement personnalisé des agents ayant subi une agression dans le cadre de leur fonction.
La personne agressée pourra être orientée vers la direction des affaires juridiques, le service médical ou encore le service d’hygiène et sécurité en fonction de l’orientation donnée par la cellule « conditions de travail » et la demande de l’agent agressé.
La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites.
La Commission observe que la description des incidents est susceptible de faire apparaitre des données relatives aux infractions.
Il convient  de faire application des articles 9-1° et 25-I-3° de la loi du 6 janvier 1978 modifiée autorisant les personnes morales gérant un service public à collecter des données relatives aux infractions et mesures de sûreté.
Sur les données traitées
Les catégories de données traitées sont les suivantes :
La Commission considère compte tenu de la finalité poursuivie, que les données sont pertinentes et adéquates.
nom, prénom de la personne agressée et adresse professionnelle ;
nom, prénom et adresse des témoins éventuels ;
fonction de la personne agressée ;
déclaration d’accident de travail  (sous la forme oui/non) ;
dépôt de plainte ou main courante le cas échéant (sous la forme oui/non) ;
demande d’assistance juridique par l’agent agressé si nécessaire ;
descriptif et contexte de l’agression.
Sur les destinataires
Seuls ont accès au présent traitement dans la limite de leurs attributions, les personnels habilités :
-  de la hiérarchie de l’agent agressé ;
- de la direction des affaires juridiques ;
- de la cellule RH « conditions de travail » ;
-  de la cellule hygiène et sécurité  reçoit des statistiques.
La liste de destinataires n’appelle pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes sont informées conformément à l’article 32 de la loi du 6 janvier 1978 modifiée par des mentions figurant sur le questionnaire de collecte, sur le site Internet du Conseil départemental et par voie d’affichage.
La Commission rappelle que cette information doit être fournie selon des modalités adaptées à l’état des personnes suivies.
Les droits d’accès et de rectification s’exercent auprès de la cellule RH « conditions du travail » du Conseil départemental des Alpes Maritimes.
Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logiques seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.
L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.
Les habilitations d’accès au système d’information sont définies en fonction des attributions des utilisateurs.
Les échanges de données effectués sur internet sont sécurisés par des procédés de chiffrement de transport des données.
La Commission recommande que les accès à l’application  fassent l’objet d’une journalisation. Elle rappelle que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du  traitement
Les données sont conservées le temps du suivi de la personne concernée.
A l’issue de cette durée de conservation, les données seront détruites.
La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Autorise, conformément à la présente délibération, le Conseil départemental des Alpes Maritimes  à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
