Après avoir entendu Mme Laurence DUMONT, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La protection de l'enfance a pour objectifs la prévention des situations de danger et de risque de danger ainsi que la protection des enfants et des jeunes de moins de 21 ans (ci-après « jeunes majeurs »). Elle se matérialise par un ensemble d'interventions destinées à leur venir en aide ainsi qu'à leur famille.
Ces interventions peuvent prendre des formes variées : accueil provisoire des mineurs et jeunes majeurs, mesures d'accueil, suivi, allocation d'aides financières, assistance des parents dans leurs fonctions éducatives, actions éducatives en milieu ouvert ou à domicile, etc. Ces mesures peuvent être prises au titre de la protection administrative ou de la protection judiciaire civile et pénale.
Dans ce contexte, les traitements mis en œuvre par l'ensemble des professionnels des établissements, services et organismes chargés d'accueillir et d'accompagner les mineurs et les jeunes majeurs sont notamment susceptibles de comporter des données sensibles relatives à la santé, à l'éducation, à la vie sexuelle ou à la religion, des données relatives aux mesures judiciaires prononcées, aux appréciations sur les difficultés sociales ainsi que le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (NIR). Dès lors, de tels traitements relèvent des articles 8 (IV), 9 (1°), 25 (I, 1°), 25 (I, 3°), 25 (I, 6°) et 25 (I, 7°) de la loi du 6 janvier 1978 susvisée et doivent, à ce titre, être autorisés par la CNIL.
Afin d'alléger les formalités que doivent accomplir les professionnels du champ social et médico-social, la commission a décidé de faire application des dispositions de l'article 25-II de la loi du 6 janvier 1978 modifiée en vertu desquelles elle peut autoriser par une décision unique une catégorie de traitements qui répondent aux mêmes finalités, portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires.
Les traitements, qu'ils soient automatisés ou non, comportant des données sensibles au sens de la loi « informatique et libertés » ou des données relatives à des infractions, condamnations ou mesures de sûreté, ainsi que les seuls traitements automatisés comportant des données relatives aux appréciations sur les difficultés sociales mis en œuvre par les établissements et services intervenant dans le cadre de la protection de l'enfance, sont de ceux qui peuvent relever de cette définition.
Les responsables de traitement qui adressent à la commission une déclaration comportant un engagement de conformité pour les traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à les mettre en œuvre.
Tout traitement de données à caractère personnel qui excède le cadre ou les exigences définis par la présente autorisation unique doit en revanche faire l'objet d'une formalité spécifique auprès de la commission.