Après avoir entendu Mme Laurence DUMONT, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Les établissements, services ou organismes à vocation sociale participant à la lutte contre la pauvreté et l'exclusion sociale accompagnent les personnes et les familles qui connaissent des difficultés pour leur permettre de retrouver une autonomie individuelle et sociale.
La mise en œuvre de mesures d'un accompagnement adapté en faveur des personnes nécessitent au préalable de réaliser un diagnostic social, afin d'identifier les difficultés rencontrées et de proposer des solutions adéquates. Les traitements mis en œuvre dans ce cadre sont, par nature, susceptibles de porter sur des données relatives aux appréciations sur les difficultés sociales des personnes.
La commission constate également que les acteurs de l'accompagnement social interviennent dans des domaines variés : hébergement, alimentation, accès aux droits et aux prestations sociales, prévention et prise en charge en matière de santé (addictions), d'insertion et de réinsertion sociale et professionnelle des personnes placées sous main de justice, etc.
En conséquence, les traitements mis en œuvre dans le cadre des missions qui leur sont confiées sont susceptibles de comporter des données sensibles relatives à la santé ou à la religion ainsi que des données relatives aux infractions, aux condamnations ou aux mesures de sûreté. Dès lors, de tels traitements, relèvent des articles 8 (IV), 9 (1°) 25 (I, 1°), 25 (I, 3°), et 25 (I, 7°), de la loi du 6 janvier 1978 susvisée et doivent, à ce titre, être autorisés par la CNIL.
Afin d'alléger les formalités que doivent accomplir les professionnels du champ social, la Commission a décidé de faire application des dispositions de l'article 25 (II) de la loi du 6 janvier 1978 modifiée en vertu desquelles elle peut autoriser par une décision unique une catégorie de traitements qui répondent aux mêmes finalités, portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires.
Les traitements, qu'ils soient automatisés ou non, comportant des données sensibles au sens de la loi « informatique et libertés » ou des données relatives à des infractions, condamnations ou mesures de sûreté, ainsi que les seuls traitements automatisés comportant des données relatives aux appréciations sur les difficultés sociales, mis en œuvre par les organismes aux fins d'accompagnement et de suivi social des personnes, sont de ceux qui peuvent relever de cette définition.
Les responsables de traitement qui adressent à la commission une déclaration comportant un engagement de conformité pour les traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à les mettre en œuvre.
Tout traitement de données à caractère personnel qui excède le cadre ou les exigences définis par la présente autorisation unique doit en revanche faire l'objet d'une formalité spécifique auprès de la commission.