Délibération n° 2016-15 du 24 février 2016 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Gestion et suivi des statuts et prestations attribués aux personnes handicapées », de la Direction de l’Action et de l’Aide Sociales présenté par le Ministre d’Etat
Vu la Constitution ;
Vu la Convention de sauvegarde des Droits de l’Homme et des Libertés fondamentales du Conseil de l’Europe du 4 novembre 1950, rendue exécutoire par l’ordonnance souveraine n° 408 du 15 février 2006 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel du 28 janvier 1981, et son Protocole additionnel ;
Vu la loi n° 335 du 19 décembre 1941 portant création d’un office d’assistance sociale, modifiée ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la loi n° 1.410 du 2 décembre 2014 sur la protection, l’autonomie et la promotion des droits et des libertés des personnes handicapées ;
Vu l’ordonnance souveraine n° 16.605 du 10 janvier 2005 portant organisation des Départements ministériels ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l’ordonnance souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l’Administration et l’administré, modifié ;
Vu l’ordonnance souveraine n° 5.193 du 30 janvier 2015 relative à la Commission d’évaluation du handicap ;
Vu l’ordonnance souveraine n° 5.194 du 30 janvier 2015 relative à la Commission d’orientation des travailleurs handicapés ;
Vu l’ordonnance souveraine n° 5.353 du 8 juin 2015 relative à la formation des aidants familiaux ;
Vu l’ordonnance souveraine n° 5.641 du 14 décembre 2015 portant création d’une Direction de l’Action et de l’Aide Sociales ;
Vu l’arrêté ministériel n° 2015-380 du 8 juin 2015 relatif à l’aide sociale en faveur des personnes handicapées ;
Vu l’arrêté ministériel n° 2015-381 du 8 juin 2015 fixant les modalités et les conditions de l’attribution d’une aide financière afin de faciliter l’accès des travailleurs handicapés à l’emploi en milieu ordinaire de travail ;
Vu l’arrêté ministériel n° 2015-382 du 8 juin 2015 relatif aux modalités de délivrance de la carte de stationnement pour personnes handicapées, de la carte de transport public gratuit, de la carte « priorité pour personne handicapée » et de la carte « personne handicapée » ;
Vu l’arrêté ministériel n° 2015-383 du 8 juin 2015 relatif à l’attribution du statut d’aidant familial ;
Vu la Recommandation n° R(86) 1 du Conseil de l’Europe du 23 janvier 1986 relative à la protection des données à caractère de sécurité sociale ;
Vu la Recommandation n° R(97) 5 du Conseil de l’Europe du 13 février 1997 relative à la protection des données médicales ;
Vu les délibérations n° 2012-107 du 16 juillet 2012 et n° 2014-111 du 28 juillet 2014 portant avis favorable à la mise en œuvre par la Commune de Monaco du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des prestations de maintien à domicile » ;
Vu la demande d’avis déposée par le Ministre d’Etat, le 7 décembre 2015, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité « Gestion et suivi des statuts et prestations attribués aux personnes handicapées » ;
Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 5 février 2016, conformément à l’ordonnance souveraine n° 2.230, susmentionnée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 24 février 2016 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
La loi n° 1.410 du 2 décembre 2014 sur la protection, l’autonomie et la promotion des droits et des libertés des personnes handicapées, susvisée, pose les définitions, principes et organisation de l’attribution du statut de personne handicapée, d’aidant familial, de travailleur handicapé, et des aides et prestations qui peuvent leur être attribuées en fonction de leur situation.
Les dossiers établis dans ce cadre sont suivis par la Direction de l’Action et de l’Aide Sociales (DASO). La mise en œuvre du traitement automatisé d’informations nominatives permettant la gestion et le suivi des mesures encadrées est soumise à l’avis préalable de la Commission de Contrôle des Informations Nominatives, conformément à l’article 7 de la loi n° 1.165, susvisée.
I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité « Gestion et suivi des statuts et prestations attribués aux personnes handicapées ».
Il a pour objet de permettre à la Direction de l’Action et de l’Aide Sociales de traiter les demandes de statuts, de prestations et d’aides destinés à accompagner les personnes souffrant d’un handicap, et, de suivre les dossiers des demandeurs et attributaires dans le temps.
Il concerne, à titre principal, les demandeurs et attributaires desdits statuts, prestations et aides, et, selon le cas, les responsables légaux et membres de la famille du demandeur ou de l’attributaire (les enfants à charge du foyer, son conjoint).
Il concerne également le médecin traitant et le médecin spécialiste qui suivent le demandeur, les personnes de la DASO intervenant dans la gestion du dossier (comme le Directeur de la DASO et les travailleurs sociaux), les membres de la Commission d’évaluation du handicap et de la Commission d’orientation des travailleurs handicapés, ainsi que le médecin du travail lorsque le dossier concerne un travailleur handicapé.
Ses fonctionnalités sont les suivantes :
- enregistrer les demandes reçues par le Directeur de l’Action et de l’Aide Sociales, en vérifier la complétude puis assurer son acheminement vers les différents interlocuteurs (comme la Commissions d’évaluation Commission d’évaluation du handicap, la Commission d’Orientation des Travailleurs Handicapés, l’Office de Protection Sociale) ;
- gérer les informations des demandeurs et des bénéficiaires des différents statuts et aides destinés à assurer la protection, l’autonomie et la promotion des droits et des libertés des personnes handicapées ;
- identifier le niveau d’incapacité, les ressources financières, les besoins en ressources humaines et matériel, notamment dans le cadre du plan d’aide à la compensation du handicap ;
- établir le montant des prestations et des aides ainsi que leur adaptation dans le temps ;
- gérer et suivre les informations liées aux dossiers d’attribution (création, modification, réévaluation, suspension, suppression) ;
- organiser et suivre les procédures de contrôles et, le cas échéant les litiges et contentieux ;
- assurer le secrétariat de la Commission d’évaluation du handicap et de la Commission d’Orientation des Travailleurs Handicapés (préparation des réunions, établissement des convocations et procès-verbaux de réunion) ;
- échanger des correspondances avec les demandeurs et bénéficiaires des statuts, aides et prestations prévus par la réglementation ;
- transférer les données nécessaires au traitement des dossiers vers l’Office de Protection Sociale, organisme payeur ;
- transférer des informations à l’autorité de tutelle (Département des Affaires Sociales et de la Santé) afin de lui permettre la mise en œuvre d’actions d’information au bénéfice des personnes handicapées et de promouvoir les mesures prises à leur endroit ;
- transférer des informations à l’autorité de tutelle aux fins d’exercice de contrôle de la légalité de l’attribution des différents statuts et aides destinés aux personnes handicapées ;
- communiquer, le cas échéant, à l’autorité compétente les éléments pertinents dans le cadre des recours ouverts par la réglementation concernant les décisions du Directeur de l’Action et de l’Aide Sociales ;
- établir des statistiques sur la base de données anonymisées et évaluer l’efficacité du dispositif.
La Commission constate que la finalité du traitement est déterminée conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
La Commission relève que les dispostions de la loi n° 1.410 du 2 décembre 2014, susvisée, encadrent les modalités d’attribution des aides, prestations et allocations diverses permettant d’accompagner les personnes handicapées ou leur accompagnant sur le territoire de la Principauté. Elle observe que les décisions d’attribution des statuts et des aides relèvent du Directeur de l’Action et de l’Aide Sociales auprès duquel les demandes doivent être déposées.
Le responsable de traitement précise que, tenant compte des modifications organisationnelles formalisées par l’ordonnance souveraine n° 5.641 du 14 décembre 2015 susvisée, l’autorité compétente pour l’attribution des différentes aides et statuts, à l’exception de l’aide à l’accès des travailleurs handicapés en milieu ordinaire qui relève du Ministre d’Etat, est le Directeur de l’Action et de l’Aide Sociales. Le Service instructeur est la DASO. « Le Ministre d’Etat intervient (…) au titre des recours hiérarchiques susceptibles d’être exercés en ces matières, conformément au droit commun. »
Dans ce sens, le traitement des informations nominatives mis en place permet au Directeur de l’Action et de l’Aide Sociales de mener à bien sa mission, et aux personnes de la DASO, particulièrement de la division de l’inclusion sociale et du handicap, d’accompagner les demandeurs dans leurs démarches et dans l’établissement de leur dossier selon leur situation.
Par ailleurs, le traitement porte sur des données de santé et des mesures à caractère social dans le respect des dispostions de l’article 12 de la loi n° 1.165, susvisée.
• Sur la justification du traitement
Le traitement est justifié par le respect d’une obligation légale à laquelle est soumis le responsable de traitement et par la réalisation d’un intérêt légitime sans méconnaître l’intérêt ou les droits et libertés fondamentaux des personnes concernées.
A l’appui de cette justification, le responsable de traitement met en évidence les « missions et tâches à caractère social » de la DASO, les fonctions de son Directeur et l’organisation structurée par la réglementation destinée à la protection, l’autonomie et la promotion des droits et des libertés des personnes handicapées.
La Commission considère que ce traitement est justifié conformément aux dispositions des articles 10-2 et 12 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
Si la réglementation prévoit que les personnes concernées fournissent des informations personnelles sur leurs difficultés, la composition de leur foyer, leurs revenus… le responsable de traitement précise que seules les informations strictement nécessaires à la réalisation des fonctionnalités précitées seront traitées de manière automatisée.
Ainsi, les informations nominatives suivantes sont traitées sur le demandeur, le bénéficiaire, et, le cas échéant, sur le représentant légal, le conjoint et les personnes dont l’ouvrant droit à la charge :
- identité : nom patronymique, nom d’usage, prénoms, âge, date et lieu de naissance, nationalité ;
- identité de l’employeur : nom patronymique prénoms, raison ou objet sociale, lorsque la demande concerne un travailleur handicapé ;
- situation familiale : situation matrimoniale ou conjugale, nombre d’enfants ou de personnes à charge ;
- sécurité sociale : identification du régime et de l’organisme de sécurité sociale de rattachement, qualité de bénéficiaire, identification d’une complémentaire santé ;
- adresses et coordonnées : adresse du domicile, coordonnées téléphoniques, adresse électronique du demandeur, du bénéficiaire, du représentant légal et, le cas échéant, de l’employeur pour les attributaires du statut de personne handicapée ;
- formation - Diplôme - Vie professionnelle :
• pour les mineurs : établissements scolaires fréquentés, type d’établissement (établissement scolaire classique ou un établissement adapté), classe ;
• pour les majeurs : activité professionnelle, fonction occupée, statut (salarié ; indépendant…), modalités d’exercice de l’activité professionnelle (temps plein ; temps partiel), milieu ordinaire ou milieu adapté ; parcours professionnel ; diplômes du demandeur ou de la personne en charge du mineur ;
- caractéristiques financières : Coordonnées bancaires, montants et origines des revenus, rémunérations, pensions et indemnités de toute nature, y compris les prestations familiales et allocations assimilées, perçus par l’attributaire du statut de personne handicapée et les personnes vivant habituellement à son foyer au cours des douze derniers mois, à l’exception des ressources expressément exclus par la réglementation ;
- données de santé : troubles de santé, pathologies, maladie, déficiences de nature à justifier l’existence d’un handicap, son origine, les circonstances de son apparition, douleur ressenti, poids, taille, appréciation de son évolution, typologie (trouble visuel, psychiatrique, digestif, neurologique etc…), existence de traitements en cours, noms des médecins traitants ou consultés au titre du handicap (incluant médecins libéraux ou de l’Unité de Psychiatrie et de Psychologie médicale), modalités de prise en charge, existence d’appareillage, impact sur les conditions de vie et l’autonomie de la personne, impact sur les conditions professionnelles, sur la scolarité et sur la vie sociale en général, taux d’incapacité ;
- mesures à caractère social : régime de protection juridique et, le cas échéant, identité du représentant légal ou de la personne désignée au titre d’un régime d’assistance légale, qualité de détenteurs des diverses aides sociales requises au titre de l’évaluation des ressources ;
- plan d’aide à la compensation du handicap : moyens humains et matériels mis en œuvre, avec identification des différents intervenants et prestataires ;
- éléments de suivi du dossier : année d’ouverture des droits, date de convocation, type d’allocation attribuée, type de logement.
Les informations ont pour origine l’intéressé ou son représentant légal par le biais de formulaires établis conformément aux dispositions de la loi n° 1.410 du 2 décembre 2014 et des textes pris en son application susvisés, ou d’une demande formalisée sur papier libre par ces personnes.
Certaines informations relatives à la santé ont également pour origine le certificat médical communiqué sous pli confidentiel au médecin-inspecteur de l’Action et de l’Aide Sociales.
Les informations relatives aux personnes intervenant dans le processus de gestion du dossier concernent leur Identité : civilité, nom, prénom, fonction.
Elles ont pour origine l’organigramme de la DASO.
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
• Sur l’information préalable
L’information préalable des personnes concernées est réalisée par un courrier adressé aux intéressés. A terme, une mention sera insérée sur les formulaires établis conformément à l’arrêté ministériel n° 2015-380 du 8 juin 2015 relatif à l’aide sociale en faveur des personnes handicapées, susvisé.
La Commission rappelle que l’information, qu’elle soit réalisée par le biais d’un courrier ou d’un formulaire, doit respecter les mentions telles que fixées à l’article 14 de la loi n° 1.165, susvisée.
• Sur l’exercice du droit d’accès, de modification et de mise à jour
Le droit d’accès s’exerce auprès de la DASO.
Il peut être exercé par voie postale ou sur place. Une réponse est adressée dans les 30 jours suivants la demande.
En cas de demande de modification, de mise à jour ou de suppression des informations, la réponse est adressée par les mêmes voies.
La Commission constate que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 12, 13, 15 et 16 de la loi n° 1.165, susvisée.
V. Sur les destinataires et les personnes ayant accès au traitement
• Sur les personnes ayant accès au traitement
Les habilitations permettant l’accès au traitement et aux informations relèvent de l’autorité du responsable de traitement et sont toutes rattachées à la DASO.
Les personnes ayant accès aux informations sont :
- le médecin-inspecteur de la DASO : accès en inscription, mise à jour, consultation et suppression à toutes les données, dont les données de santé (traitées de manière non automatisée) ;
- le personnel de la DASO en charge du handicap, notamment au sein de la division de l’inclusion sociale et du handicap (assistante sociale et éducateurs spécialisés) : accès en inscription, mise à jour, consultation, suppression des données, à l’exception des données de santé ;
- le Directeur de la DASO : accès en consultation à toutes les données, à l’exception des données de santé.
De plus les prestataires de services techniques dans leur mission de maintenance pour le Service Informatique du Gouvernement ont également accès au traitement.
La Commission considère que ces accès sont dévolus en considération des missions et des fonctions des personnes auxquelles ils sont attribués.
En ce qui concerne les prestataires, elle rappelle que conformément à l’article 17 de la loi n° 1.165, modifiée, leurs droits d’accès doivent être limités à ce qui est strictement nécessaire à l’exécution de leur contrat de prestation de service. De plus ceux-ci sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
• Sur les destinataires des informations
Sont destinataires d’informations nominatives issues du présent traitement :
- le Directeur et l’agent comptable de l’Office de Protection Sociale en charge du versement des prestations et allocations financières allouées par l’Etat dans les conditions prévues par les textes susvisés, notamment les articles 41, 42 de la loi n° 1.410 du 2 décembre 2014, l’article 3 de l’ordonnance souveraine n° 5.353 du 8 juin 2015, les articles 1er, 5, 28, 29 et 30 de l’arrêté ministériel n° 2015-380, l’article 7 de l’arrêté ministériel n° 2015-382 ;
- les Membres de la Commission d’évaluation du handicap et de la Commission d’orientation des travailleurs handicapés, afin de leur permettre de répondre à leurs attributions telles que respectivement fixées, notamment aux articles 2 et 26 de la loi n° 1.410 du 2 décembre 2014 susvisée ;
- le Ministre d’Etat, comme évoqué au point I, notamment en application de l’article 9 de la loi n° 1.410 du 2 décembre 2014, susvisée ;
- le Département des Affaires Sociales et de la Santé, comme évoqué au point I ;
- les prestataires de services intervenant dans l’accompagnement des personnes handicapées (ex. service maintien à domicile de la Commune pour la mise en place d’auxiliaire de vie, sociétés de prestations de services spécialisées).
La Commission rappelle que si les destinataires des informations mentionnés précédemment devaient les traiter de manière automatisée, les formalités préalables devront être déposées auprès de la Commission afin de veiller au respect des dispositions de la loi n° 1.165, susvisée.
Dans ce sens, le responsable de traitement précise que des communications d’informations nominatives sont réalisées par rapprochements avec l’Office de Protection Sociale (OPS). La Commission observe que ces communications et le traitement ultérieur des données par l’OPS sont compatibles avec la finalité du présent traitement. Toutefois, elle rappelle que le traitement de ces informations nominatives par cet établissement devra être mis en conformité avec les dispositions de la loi n° 1.165, susvisée.
Par ailleurs, le responsable de traitement mentionne la possibilité d’une mise en relation avec le traitement de la Commune de Monaco quant à la gestion des prestations de maintien à domicile. La Commission relève que le traitement afférent, tel que mis en œuvre le 24 octobre 2014, prévoit que les services sociaux participant à la prise en charge de cette prestation communiquent des informations au Service d’Actions Sociales de la Commune.
Enfin, le responsable de traitement précise que les prestataires de service impliqués dans l’accompagnement des personnes handicapées peuvent recevoir des informations portant sur leur identité et leur adresse. Il précise que ces prestataires sont liés par des obligations de confidentialité, que ce soit par profession ou par des clauses de confidentialité dans le cadre des mesures d’application du plan d’aide à la compensation du handicap.
Tenant compte de la particularité des situations des personnes concernées et de la sensibilité des informations que ces prestataires pourraient avoir à traiter afin de répondre à leurs demandes ou besoins, la Commission considère que les personnes concernées, ou leurs représentants légaux, doivent donner leur consentement écrit et exprès préalablement à toute communication d’informations.
Elle rappelle de plus que, conformément aux dispositions de l’article 17 de la loi n° 1.165, les prestataires impliqués dans l’accompagnement des personnes concernées sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement.
Enfin, il appert de l’analyse du dossier, qu’afin de permettre les échanges de documents, le présent traitement fait l’objet d’un rapprochement avec la messagerie de l’Administration. Le traitement automatisé d’informations nominatives afférent répond à la finalité de « Gestion des techniques automatisées de communication » mis en œuvre par le Ministre d’Etat par décision du 10 octobre 2005, modifiée le 2 août 2012, après avis favorable de la CCIN.
VI. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient appellent les observations suivantes.
Tout d’abord, la Commission relève que l’exploitation et les communications d’informations dites sensibles, au sens de l’article 12 de la loi n° 1.165, doivent faire l’objet de mesures de sécurité renforcées.
Aussi, elle demande que les échanges automatisés comportant de telles données soient chiffrées avant envoi et que les documents établis et conservés de manière automatisée fassent l’objet d’une sauvegarde sécurisée par un chiffrement SSL (128 bits).
En outre, elle constate que l’architecture technique repose sur des équipements de raccordement (switchs, routeurs, pare feux), de serveurs et périphériques qui doivent être protégés par un login et un mot de passe réputé fort et que les ports non utilisés doivent être désactivés.
Elle rappelle, enfin, que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation et d’archivage du présent traitement.
VII. Sur la durée de conservation
La conservation des informations est réalisée dans le respect des règles d’archivage des données telles qu’établies en vertu de l’ordonnance souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l’Administration et l’administré, modifiée.
Ainsi, de manière générale, les informations sont conservées tant que la personne est attributaire ou bénéficiaire de l’aide, puis 5 années à compter de la cessation du statut ou du dernier versement de l’aide tenant compte du délai de prescription quinquennale de droit commun prévue à l’article 2044 du Code civil.
Toutefois le dossier médical papier est conservé 5 années après l’âge de 65 ans du bénéficiaire ou 5 années après son décès s’il intervient avant l’âge de 65 ans.
Pour les non attributaires, les informations sont conservées pendant une année à compter de la demande, « de manière à faciliter, dans l’intérêt du demandeur, la gestion de son dossier dans l’hypothèse où une nouvelle demande serait à nouveau adressée ».
La Commission relève que ces durées de conservation sont conformes aux dispositions de l’article 10-1 de la loi n° 1.165, susvisée.
Après en avoir délibéré, la Commission :
Rappelle que :
- l’information, qu’elle soit réalisée par le biais d’un courrier ou d’un formulaire, doit respecter les mentions telles que fixées à l’article 14 de la loi n° 1.165, susvisée ;
- si les destinataires des informations nominatives les traitent de manière automatisée, les traitements afférents doivent être mis en œuvre dans le respect des dispositions de la loi n° 1.165, susvisée ;
- le traitement ultérieur des informations nominatives par l’Office de Protection Sociale permettant notamment le versement des aides et prestations devra être mis en conformité avec les dispositions de la loi n° 1.165, susvisée ;
- les équipements de raccordement (switchs, routeurs, pare feux), de serveurs et périphériques doivent être protégés par un login et un mot de passe réputé fort et que les ports non utilisés doivent être désactivés ;
Demande que :
- la communication d’informations aux prestataires intervenant par le biais de la Direction de l’Action et de l’Aide Sociales afin d’aider et d’accompagner les ouvrants droits dans leur quotidien fasse l’objet d’un consentement écrit et exprès de ces derniers ou de leurs représentants légaux ;
- les données sensibles envoyées par email soient chiffrées, et que les sauvegardes fassent l’objet d’un chiffrement SSL (128 bits).
Sous réserve de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par le Ministre d’Etat du traitement automatisé d’informations nominatives ayant pour finalité « Gestion et suivi des statuts et prestations attribués aux personnes handicapées » de la Direction de l’Action et de l’Aide Sociales.
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la Convention de sauvegarde des Droits de l’Homme et des Libertés fondamentales du Conseil de l’Europe du 4 novembre 1950, rendue exécutoire par l’ordonnance souveraine n° 408 du 15 février 2006 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel du 28 janvier 1981, et son Protocole additionnel ;
Vu la loi n° 335 du 19 décembre 1941 portant création d’un office d’assistance sociale, modifiée ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la loi n° 1.410 du 2 décembre 2014 sur la protection, l’autonomie et la promotion des droits et des libertés des personnes handicapées ;
Vu l’ordonnance souveraine n° 16.605 du 10 janvier 2005 portant organisation des Départements ministériels ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l’ordonnance souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l’Administration et l’administré, modifié ;
Vu l’ordonnance souveraine n° 5.193 du 30 janvier 2015 relative à la Commission d’évaluation du handicap ;
Vu l’ordonnance souveraine n° 5.194 du 30 janvier 2015 relative à la Commission d’orientation des travailleurs handicapés ;
Vu l’ordonnance souveraine n° 5.353 du 8 juin 2015 relative à la formation des aidants familiaux ;
Vu l’ordonnance souveraine n° 5.641 du 14 décembre 2015 portant création d’une Direction de l’Action et de l’Aide Sociales ;
Vu l’arrêté ministériel n° 2015-380 du 8 juin 2015 relatif à l’aide sociale en faveur des personnes handicapées ;
Vu l’arrêté ministériel n° 2015-381 du 8 juin 2015 fixant les modalités et les conditions de l’attribution d’une aide financière afin de faciliter l’accès des travailleurs handicapés à l’emploi en milieu ordinaire de travail ;
Vu l’arrêté ministériel n° 2015-382 du 8 juin 2015 relatif aux modalités de délivrance de la carte de stationnement pour personnes handicapées, de la carte de transport public gratuit, de la carte « priorité pour personne handicapée » et de la carte « personne handicapée » ;
Vu l’arrêté ministériel n° 2015-383 du 8 juin 2015 relatif à l’attribution du statut d’aidant familial ;
Vu la Recommandation n° R(86) 1 du Conseil de l’Europe du 23 janvier 1986 relative à la protection des données à caractère de sécurité sociale ;
Vu la Recommandation n° R(97) 5 du Conseil de l’Europe du 13 février 1997 relative à la protection des données médicales ;
Vu les délibérations n° 2012-107 du 16 juillet 2012 et n° 2014-111 du 28 juillet 2014 portant avis favorable à la mise en œuvre par la Commune de Monaco du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des prestations de maintien à domicile » ;
Vu la demande d’avis déposée par le Ministre d’Etat, le 7 décembre 2015, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité « Gestion et suivi des statuts et prestations attribués aux personnes handicapées » ;
Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 5 février 2016, conformément à l’ordonnance souveraine n° 2.230, susmentionnée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 24 février 2016 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
La loi n° 1.410 du 2 décembre 2014 sur la protection, l’autonomie et la promotion des droits et des libertés des personnes handicapées, susvisée, pose les définitions, principes et organisation de l’attribution du statut de personne handicapée, d’aidant familial, de travailleur handicapé, et des aides et prestations qui peuvent leur être attribuées en fonction de leur situation.
Les dossiers établis dans ce cadre sont suivis par la Direction de l’Action et de l’Aide Sociales (DASO). La mise en œuvre du traitement automatisé d’informations nominatives permettant la gestion et le suivi des mesures encadrées est soumise à l’avis préalable de la Commission de Contrôle des Informations Nominatives, conformément à l’article 7 de la loi n° 1.165, susvisée.
I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité « Gestion et suivi des statuts et prestations attribués aux personnes handicapées ».
Il a pour objet de permettre à la Direction de l’Action et de l’Aide Sociales de traiter les demandes de statuts, de prestations et d’aides destinés à accompagner les personnes souffrant d’un handicap, et, de suivre les dossiers des demandeurs et attributaires dans le temps.
Il concerne, à titre principal, les demandeurs et attributaires desdits statuts, prestations et aides, et, selon le cas, les responsables légaux et membres de la famille du demandeur ou de l’attributaire (les enfants à charge du foyer, son conjoint).
Il concerne également le médecin traitant et le médecin spécialiste qui suivent le demandeur, les personnes de la DASO intervenant dans la gestion du dossier (comme le Directeur de la DASO et les travailleurs sociaux), les membres de la Commission d’évaluation du handicap et de la Commission d’orientation des travailleurs handicapés, ainsi que le médecin du travail lorsque le dossier concerne un travailleur handicapé.
Ses fonctionnalités sont les suivantes :
- enregistrer les demandes reçues par le Directeur de l’Action et de l’Aide Sociales, en vérifier la complétude puis assurer son acheminement vers les différents interlocuteurs (comme la Commissions d’évaluation Commission d’évaluation du handicap, la Commission d’Orientation des Travailleurs Handicapés, l’Office de Protection Sociale) ;
- gérer les informations des demandeurs et des bénéficiaires des différents statuts et aides destinés à assurer la protection, l’autonomie et la promotion des droits et des libertés des personnes handicapées ;
- identifier le niveau d’incapacité, les ressources financières, les besoins en ressources humaines et matériel, notamment dans le cadre du plan d’aide à la compensation du handicap ;
- établir le montant des prestations et des aides ainsi que leur adaptation dans le temps ;
- gérer et suivre les informations liées aux dossiers d’attribution (création, modification, réévaluation, suspension, suppression) ;
- organiser et suivre les procédures de contrôles et, le cas échéant les litiges et contentieux ;
- assurer le secrétariat de la Commission d’évaluation du handicap et de la Commission d’Orientation des Travailleurs Handicapés (préparation des réunions, établissement des convocations et procès-verbaux de réunion) ;
- échanger des correspondances avec les demandeurs et bénéficiaires des statuts, aides et prestations prévus par la réglementation ;
- transférer les données nécessaires au traitement des dossiers vers l’Office de Protection Sociale, organisme payeur ;
- transférer des informations à l’autorité de tutelle (Département des Affaires Sociales et de la Santé) afin de lui permettre la mise en œuvre d’actions d’information au bénéfice des personnes handicapées et de promouvoir les mesures prises à leur endroit ;
- transférer des informations à l’autorité de tutelle aux fins d’exercice de contrôle de la légalité de l’attribution des différents statuts et aides destinés aux personnes handicapées ;
- communiquer, le cas échéant, à l’autorité compétente les éléments pertinents dans le cadre des recours ouverts par la réglementation concernant les décisions du Directeur de l’Action et de l’Aide Sociales ;
- établir des statistiques sur la base de données anonymisées et évaluer l’efficacité du dispositif.
La Commission constate que la finalité du traitement est déterminée conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
La Commission relève que les dispostions de la loi n° 1.410 du 2 décembre 2014, susvisée, encadrent les modalités d’attribution des aides, prestations et allocations diverses permettant d’accompagner les personnes handicapées ou leur accompagnant sur le territoire de la Principauté. Elle observe que les décisions d’attribution des statuts et des aides relèvent du Directeur de l’Action et de l’Aide Sociales auprès duquel les demandes doivent être déposées.
Le responsable de traitement précise que, tenant compte des modifications organisationnelles formalisées par l’ordonnance souveraine n° 5.641 du 14 décembre 2015 susvisée, l’autorité compétente pour l’attribution des différentes aides et statuts, à l’exception de l’aide à l’accès des travailleurs handicapés en milieu ordinaire qui relève du Ministre d’Etat, est le Directeur de l’Action et de l’Aide Sociales. Le Service instructeur est la DASO. « Le Ministre d’Etat intervient (…) au titre des recours hiérarchiques susceptibles d’être exercés en ces matières, conformément au droit commun. »
Dans ce sens, le traitement des informations nominatives mis en place permet au Directeur de l’Action et de l’Aide Sociales de mener à bien sa mission, et aux personnes de la DASO, particulièrement de la division de l’inclusion sociale et du handicap, d’accompagner les demandeurs dans leurs démarches et dans l’établissement de leur dossier selon leur situation.
Par ailleurs, le traitement porte sur des données de santé et des mesures à caractère social dans le respect des dispostions de l’article 12 de la loi n° 1.165, susvisée.
• Sur la justification du traitement
Le traitement est justifié par le respect d’une obligation légale à laquelle est soumis le responsable de traitement et par la réalisation d’un intérêt légitime sans méconnaître l’intérêt ou les droits et libertés fondamentaux des personnes concernées.
A l’appui de cette justification, le responsable de traitement met en évidence les « missions et tâches à caractère social » de la DASO, les fonctions de son Directeur et l’organisation structurée par la réglementation destinée à la protection, l’autonomie et la promotion des droits et des libertés des personnes handicapées.
La Commission considère que ce traitement est justifié conformément aux dispositions des articles 10-2 et 12 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
Si la réglementation prévoit que les personnes concernées fournissent des informations personnelles sur leurs difficultés, la composition de leur foyer, leurs revenus… le responsable de traitement précise que seules les informations strictement nécessaires à la réalisation des fonctionnalités précitées seront traitées de manière automatisée.
Ainsi, les informations nominatives suivantes sont traitées sur le demandeur, le bénéficiaire, et, le cas échéant, sur le représentant légal, le conjoint et les personnes dont l’ouvrant droit à la charge :
- identité : nom patronymique, nom d’usage, prénoms, âge, date et lieu de naissance, nationalité ;
- identité de l’employeur : nom patronymique prénoms, raison ou objet sociale, lorsque la demande concerne un travailleur handicapé ;
- situation familiale : situation matrimoniale ou conjugale, nombre d’enfants ou de personnes à charge ;
- sécurité sociale : identification du régime et de l’organisme de sécurité sociale de rattachement, qualité de bénéficiaire, identification d’une complémentaire santé ;
- adresses et coordonnées : adresse du domicile, coordonnées téléphoniques, adresse électronique du demandeur, du bénéficiaire, du représentant légal et, le cas échéant, de l’employeur pour les attributaires du statut de personne handicapée ;
- formation - Diplôme - Vie professionnelle :
• pour les mineurs : établissements scolaires fréquentés, type d’établissement (établissement scolaire classique ou un établissement adapté), classe ;
• pour les majeurs : activité professionnelle, fonction occupée, statut (salarié ; indépendant…), modalités d’exercice de l’activité professionnelle (temps plein ; temps partiel), milieu ordinaire ou milieu adapté ; parcours professionnel ; diplômes du demandeur ou de la personne en charge du mineur ;
- caractéristiques financières : Coordonnées bancaires, montants et origines des revenus, rémunérations, pensions et indemnités de toute nature, y compris les prestations familiales et allocations assimilées, perçus par l’attributaire du statut de personne handicapée et les personnes vivant habituellement à son foyer au cours des douze derniers mois, à l’exception des ressources expressément exclus par la réglementation ;
- données de santé : troubles de santé, pathologies, maladie, déficiences de nature à justifier l’existence d’un handicap, son origine, les circonstances de son apparition, douleur ressenti, poids, taille, appréciation de son évolution, typologie (trouble visuel, psychiatrique, digestif, neurologique etc…), existence de traitements en cours, noms des médecins traitants ou consultés au titre du handicap (incluant médecins libéraux ou de l’Unité de Psychiatrie et de Psychologie médicale), modalités de prise en charge, existence d’appareillage, impact sur les conditions de vie et l’autonomie de la personne, impact sur les conditions professionnelles, sur la scolarité et sur la vie sociale en général, taux d’incapacité ;
- mesures à caractère social : régime de protection juridique et, le cas échéant, identité du représentant légal ou de la personne désignée au titre d’un régime d’assistance légale, qualité de détenteurs des diverses aides sociales requises au titre de l’évaluation des ressources ;
- plan d’aide à la compensation du handicap : moyens humains et matériels mis en œuvre, avec identification des différents intervenants et prestataires ;
- éléments de suivi du dossier : année d’ouverture des droits, date de convocation, type d’allocation attribuée, type de logement.
Les informations ont pour origine l’intéressé ou son représentant légal par le biais de formulaires établis conformément aux dispositions de la loi n° 1.410 du 2 décembre 2014 et des textes pris en son application susvisés, ou d’une demande formalisée sur papier libre par ces personnes.
Certaines informations relatives à la santé ont également pour origine le certificat médical communiqué sous pli confidentiel au médecin-inspecteur de l’Action et de l’Aide Sociales.
Les informations relatives aux personnes intervenant dans le processus de gestion du dossier concernent leur Identité : civilité, nom, prénom, fonction.
Elles ont pour origine l’organigramme de la DASO.
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
• Sur l’information préalable
L’information préalable des personnes concernées est réalisée par un courrier adressé aux intéressés. A terme, une mention sera insérée sur les formulaires établis conformément à l’arrêté ministériel n° 2015-380 du 8 juin 2015 relatif à l’aide sociale en faveur des personnes handicapées, susvisé.
La Commission rappelle que l’information, qu’elle soit réalisée par le biais d’un courrier ou d’un formulaire, doit respecter les mentions telles que fixées à l’article 14 de la loi n° 1.165, susvisée.
• Sur l’exercice du droit d’accès, de modification et de mise à jour
Le droit d’accès s’exerce auprès de la DASO.
Il peut être exercé par voie postale ou sur place. Une réponse est adressée dans les 30 jours suivants la demande.
En cas de demande de modification, de mise à jour ou de suppression des informations, la réponse est adressée par les mêmes voies.
La Commission constate que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 12, 13, 15 et 16 de la loi n° 1.165, susvisée.
V. Sur les destinataires et les personnes ayant accès au traitement
• Sur les personnes ayant accès au traitement
Les habilitations permettant l’accès au traitement et aux informations relèvent de l’autorité du responsable de traitement et sont toutes rattachées à la DASO.
Les personnes ayant accès aux informations sont :
- le médecin-inspecteur de la DASO : accès en inscription, mise à jour, consultation et suppression à toutes les données, dont les données de santé (traitées de manière non automatisée) ;
- le personnel de la DASO en charge du handicap, notamment au sein de la division de l’inclusion sociale et du handicap (assistante sociale et éducateurs spécialisés) : accès en inscription, mise à jour, consultation, suppression des données, à l’exception des données de santé ;
- le Directeur de la DASO : accès en consultation à toutes les données, à l’exception des données de santé.
De plus les prestataires de services techniques dans leur mission de maintenance pour le Service Informatique du Gouvernement ont également accès au traitement.
La Commission considère que ces accès sont dévolus en considération des missions et des fonctions des personnes auxquelles ils sont attribués.
En ce qui concerne les prestataires, elle rappelle que conformément à l’article 17 de la loi n° 1.165, modifiée, leurs droits d’accès doivent être limités à ce qui est strictement nécessaire à l’exécution de leur contrat de prestation de service. De plus ceux-ci sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
• Sur les destinataires des informations
Sont destinataires d’informations nominatives issues du présent traitement :
- le Directeur et l’agent comptable de l’Office de Protection Sociale en charge du versement des prestations et allocations financières allouées par l’Etat dans les conditions prévues par les textes susvisés, notamment les articles 41, 42 de la loi n° 1.410 du 2 décembre 2014, l’article 3 de l’ordonnance souveraine n° 5.353 du 8 juin 2015, les articles 1er, 5, 28, 29 et 30 de l’arrêté ministériel n° 2015-380, l’article 7 de l’arrêté ministériel n° 2015-382 ;
- les Membres de la Commission d’évaluation du handicap et de la Commission d’orientation des travailleurs handicapés, afin de leur permettre de répondre à leurs attributions telles que respectivement fixées, notamment aux articles 2 et 26 de la loi n° 1.410 du 2 décembre 2014 susvisée ;
- le Ministre d’Etat, comme évoqué au point I, notamment en application de l’article 9 de la loi n° 1.410 du 2 décembre 2014, susvisée ;
- le Département des Affaires Sociales et de la Santé, comme évoqué au point I ;
- les prestataires de services intervenant dans l’accompagnement des personnes handicapées (ex. service maintien à domicile de la Commune pour la mise en place d’auxiliaire de vie, sociétés de prestations de services spécialisées).
La Commission rappelle que si les destinataires des informations mentionnés précédemment devaient les traiter de manière automatisée, les formalités préalables devront être déposées auprès de la Commission afin de veiller au respect des dispositions de la loi n° 1.165, susvisée.
Dans ce sens, le responsable de traitement précise que des communications d’informations nominatives sont réalisées par rapprochements avec l’Office de Protection Sociale (OPS). La Commission observe que ces communications et le traitement ultérieur des données par l’OPS sont compatibles avec la finalité du présent traitement. Toutefois, elle rappelle que le traitement de ces informations nominatives par cet établissement devra être mis en conformité avec les dispositions de la loi n° 1.165, susvisée.
Par ailleurs, le responsable de traitement mentionne la possibilité d’une mise en relation avec le traitement de la Commune de Monaco quant à la gestion des prestations de maintien à domicile. La Commission relève que le traitement afférent, tel que mis en œuvre le 24 octobre 2014, prévoit que les services sociaux participant à la prise en charge de cette prestation communiquent des informations au Service d’Actions Sociales de la Commune.
Enfin, le responsable de traitement précise que les prestataires de service impliqués dans l’accompagnement des personnes handicapées peuvent recevoir des informations portant sur leur identité et leur adresse. Il précise que ces prestataires sont liés par des obligations de confidentialité, que ce soit par profession ou par des clauses de confidentialité dans le cadre des mesures d’application du plan d’aide à la compensation du handicap.
Tenant compte de la particularité des situations des personnes concernées et de la sensibilité des informations que ces prestataires pourraient avoir à traiter afin de répondre à leurs demandes ou besoins, la Commission considère que les personnes concernées, ou leurs représentants légaux, doivent donner leur consentement écrit et exprès préalablement à toute communication d’informations.
Elle rappelle de plus que, conformément aux dispositions de l’article 17 de la loi n° 1.165, les prestataires impliqués dans l’accompagnement des personnes concernées sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement.
Enfin, il appert de l’analyse du dossier, qu’afin de permettre les échanges de documents, le présent traitement fait l’objet d’un rapprochement avec la messagerie de l’Administration. Le traitement automatisé d’informations nominatives afférent répond à la finalité de « Gestion des techniques automatisées de communication » mis en œuvre par le Ministre d’Etat par décision du 10 octobre 2005, modifiée le 2 août 2012, après avis favorable de la CCIN.
VI. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient appellent les observations suivantes.
Tout d’abord, la Commission relève que l’exploitation et les communications d’informations dites sensibles, au sens de l’article 12 de la loi n° 1.165, doivent faire l’objet de mesures de sécurité renforcées.
Aussi, elle demande que les échanges automatisés comportant de telles données soient chiffrées avant envoi et que les documents établis et conservés de manière automatisée fassent l’objet d’une sauvegarde sécurisée par un chiffrement SSL (128 bits).
En outre, elle constate que l’architecture technique repose sur des équipements de raccordement (switchs, routeurs, pare feux), de serveurs et périphériques qui doivent être protégés par un login et un mot de passe réputé fort et que les ports non utilisés doivent être désactivés.
Elle rappelle, enfin, que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation et d’archivage du présent traitement.
VII. Sur la durée de conservation
La conservation des informations est réalisée dans le respect des règles d’archivage des données telles qu’établies en vertu de l’ordonnance souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l’Administration et l’administré, modifiée.
Ainsi, de manière générale, les informations sont conservées tant que la personne est attributaire ou bénéficiaire de l’aide, puis 5 années à compter de la cessation du statut ou du dernier versement de l’aide tenant compte du délai de prescription quinquennale de droit commun prévue à l’article 2044 du Code civil.
Toutefois le dossier médical papier est conservé 5 années après l’âge de 65 ans du bénéficiaire ou 5 années après son décès s’il intervient avant l’âge de 65 ans.
Pour les non attributaires, les informations sont conservées pendant une année à compter de la demande, « de manière à faciliter, dans l’intérêt du demandeur, la gestion de son dossier dans l’hypothèse où une nouvelle demande serait à nouveau adressée ».
La Commission relève que ces durées de conservation sont conformes aux dispositions de l’article 10-1 de la loi n° 1.165, susvisée.
Après en avoir délibéré, la Commission :
Rappelle que :
- l’information, qu’elle soit réalisée par le biais d’un courrier ou d’un formulaire, doit respecter les mentions telles que fixées à l’article 14 de la loi n° 1.165, susvisée ;
- si les destinataires des informations nominatives les traitent de manière automatisée, les traitements afférents doivent être mis en œuvre dans le respect des dispositions de la loi n° 1.165, susvisée ;
- le traitement ultérieur des informations nominatives par l’Office de Protection Sociale permettant notamment le versement des aides et prestations devra être mis en conformité avec les dispositions de la loi n° 1.165, susvisée ;
- les équipements de raccordement (switchs, routeurs, pare feux), de serveurs et périphériques doivent être protégés par un login et un mot de passe réputé fort et que les ports non utilisés doivent être désactivés ;
Demande que :
- la communication d’informations aux prestataires intervenant par le biais de la Direction de l’Action et de l’Aide Sociales afin d’aider et d’accompagner les ouvrants droits dans leur quotidien fasse l’objet d’un consentement écrit et exprès de ces derniers ou de leurs représentants légaux ;
- les données sensibles envoyées par email soient chiffrées, et que les sauvegardes fassent l’objet d’un chiffrement SSL (128 bits).
Sous réserve de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par le Ministre d’Etat du traitement automatisé d’informations nominatives ayant pour finalité « Gestion et suivi des statuts et prestations attribués aux personnes handicapées » de la Direction de l’Action et de l’Aide Sociales.
Le Président de la Commission
de Contrôle des Informations Nominatives.