(Autorisation n°1517802)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004 et notamment son article 25-I-7° ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Après avoir entendu, M. Philippe GOSSELIN, commissaire en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés a été saisie par le Secours populaire français d’un traitement de données à caractère personnel dénommé « Popaccueil », ayant pour finalité la gestion des personnes accompagnées.
Ce traitement relève du régime de l’autorisation prévu à l’article 25-I-7° de la loi du 6 janvier 1978 modifiée, applicable aux traitements comportant des appréciations sur les difficultés sociales des personnes.
Sur les finalités poursuivies par le traitement
La finalité du traitement Popaccueil est :
d’une part, la gestion des personnes accompagnées soutenues par le Secours populaire français, notamment en ce qui concerne la gestion des adresses, la composition de chaque famille soutenue ainsi que les différentes aides prodiguées ;
d’autre part, la réalisation de statistiques permettant de quantifier l’activité d’accueil du Secours populaire français, et d’évaluer les besoins à couvrir.
Concernant la première finalité, ce traitement permet un accompagnement efficace des personnes aidées, notamment en donnant la possibilité d’effectuer des extractions multicritères.
Concernant la seconde finalité, l’évaluation de l’activité du Secours populaire permet une collecte anonyme ou semi-anonyme des données (personnes ne souhaitant pas révéler leur identité, maraudes, gens du voyage).
Sur les catégories de données traitées
Les données concernant la personne aidée concernent :
- son identité (nom, prénoms, date de naissance, adresse, courriel) ;
- les coordonnées du travailleur social en charge de son accompagnement ;
- sa situation face au logement (propriétaire, SDF, Squat, autre logement) ;
- les circonstances dans lesquelles la personne a connu le Secours populaire (venue spontanée, services sociaux, autres) ;
- sa vie personnelle et familiale (composition du foyer : nom et prénoms, lien de parenté, date de naissance, situation scolaire et professionnelle) ;
- sa vie scolaire et/ou professionnelle (salarié, demandeur d’emploi, retraité, étudiant) ;
- sa situation économique et financière (ressources, prestations sociales, surendettement) ;
- ses « droits-santé » (assuré social, aide médicale d’Etat, mutuelle, en attente de droits, CMU, CMU complémentaire) ;
- des informations permettant d’apprécier la situation des personnes, fin de gérer au mieux l’aide à leur apporter (situation de handicap : oui/non).
Le traitement vise également les identifiants ainsi que l’horodatage des connexions au traitement des salariés et des membres adhérents.
Ces données peuvent être directement saisies par les agents habilités du Secours populaire français à partir des informations communiquées par la personne concernée (ou par son représentant légal) ou bien à partir d’une extraction de la base de données Popamis, qui permet le référencement des bénévoles et des salariés du Secours populaire français (déclaration normale n°1522332).
Sur les catégories de destinataires
Sous format nominatif, seuls les agents habilités du Secours populaire français peuvent accéder aux données traitées (permanence d’accueil dans laquelle les personnes concernées ont été accueillies).
Sous format anonyme, les destinataires de ces données sont :
le comité ou la fédération départementale du Secours populaire français dont dépend la permanence d’accueil ;
l’association nationale du Secours populaire français ;
la Direction générale de la cohésion sociale (DGCS).
Ce qui n’appelle pas d’observation.
Sur la durée de conservation
Initialement, les données devaient être conservées pendant 3 années.
Sur recommandation de la Commission, le Secours populaire français a choisi de conserver les données 2 années à compter de la dernière opération enregistrée sur le dossier de la personne suivie.
Sur la sécurité
Concernant le mot de passe utilisé pour authentifier les agents habilités, la Commission rappelle que celui-ci doit être de 8 caractères, composé de lettres, de chiffres, de majuscules, de minuscules et d’au moins un caractère spécial. Il doit être renouvelé régulièrement, c'est-à-dire au moins une fois par an.
Une journalisation des connexions est effectuée concernant la consultation, la création, la mise à jour et la suppression des données. Toutefois, il est nécessaire que celle-ci renseigne les données accédées.
Enfin, la Commission a pris acte du chiffrement des données en base et des échanges (SSLv3).
Sur l’information des personnes concernées et le droit d’accès
L’information des personnes concernées sera effectuée par le biais de mentions sur le site internet du secours populaire français. Compte tenu de la situation des personnes aidées, elle recommande également que cette information soit proposée, à l’oral, par le travailleur social, lors des entretiens d’information d’accueil (la personne pourra alors choisir d’être renseignée sur l’ensemble des dispositions énumérées à l’article 32 de la loi du 6 janvier 1978 modifiée).
Le droit d’accès défini à l’article 39 de la loi du 6 janvier 1978 modifiée en 2004 s’exerce auprès de la Direction des systèmes d’information du Secours populaire français.
La Commission relève que le traitement déclaré correspond à une gestion efficace, légitime et strictement nécessaire des données relatives aux personnes bénéficiant d’un accompagnement.
Dans ces conditions, la Commission autorise le Secours populaire français à mettre en œuvre le traitement de données à caractère personnel présenté.
