CNIL, 30 juin 2016, 2016-201

(Demande d'autorisation n° 1928601) La Commission nationale de l'informatique et des libertés,

Saisie par

le ministère des affaires sociales et de la santé d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la réalisation d'une enquête nationale de santé auprès des élèves scolarisés en classe de troisième ;

Vu

la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-II-7° et 25-I ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu l'avis de conformité et l'attribution du label d'intérêt général et de qualité statistique émis par le Comité du label de la statistique publique du Conseil national de l'information statistique le 22 février 2016 sous le numéro 131/L002/Label ; Vu le dossier et ses compléments ; Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,

Formule les observations suivantes

: La Commission a été saisie le 8 février 2016 par la direction de la recherche, des études, de l'évaluation et des statistiques (DREES) du ministère des affaires sociales et de la santé d'une demande d'autorisation relative à la mise en place d'une enquête portant sur la santé d'adolescents scolarisés en classe de troisième. Responsable du traitement La DREES du ministère des affaires sociales et de la santé. Sur la finalité La finalité du traitement est de réaliser une enquête statistique nationale de santé auprès des élèves scolarisés en classe de troisième, afin d'éclairer l'action publique sur la santé des adolescents et de mettre en évidence d'éventuelles inégalités sociales de santé. Ce traitement s'inscrit dans le cadre d'un dispositif d'enquêtes menées en milieu scolaire sur trois niveaux (la grande section de maternelle, le cours moyen deuxième année et la classe de troisième). Ces enquêtes constituent l'un des objectifs prioritaires du contrat-cadre de partenariat en santé publique entre les ministères en charge de la santé et de l'éducation nationale. Sans caractère obligatoire, l'enquête sera réalisée entre les mois de septembre 2016 et juin 2017 et portera sur un échantillon de 11 000 élèves scolarisés en classe de troisième dans les établissements publics et privés de la métropole et des départements d'Outre-mer. La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes. Elle estime qu'il y a lieu de faire application des dispositions combinées des articles 8-II-7° et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à une autorisation de la Commission les traitements statistiques réalisés par l'un des services statistiques ministériels dans le respect de la loi n° 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques. Sur les données traitées et les modalités de la collecte L'enquête a donné lieu à un avis du Comité du label de la statistique publique qui a attribué le label d'intérêt général et de qualité statistique à l'enquête. S'agissant des données traitées Les données appelées à faire l'objet d'un traitement sont celles relatives aux adolescents qui participent à l'enquête, ainsi qu'à leurs responsables légaux. S'agissant des adolescents, il est prévu que les informations seront recueillies par les personnels de santé de l'éducation nationale, d'une part, par le biais d'un « questionnaire principal » portant sur le mois et l'année de naissance, le sexe, l'identifiant de l'établissement scolaire, le département de résidence, les habitudes de vie, la situation familiale et la santé (données staturo-pondérales, données relatives à la vision, à l'audition, à la santé bucco-dentaire, respiratoire et à la couverture vaccinale), et d'autre part, par le biais d'un « auto-questionnaire » renseigné par les adolescents eux-mêmes, portant notamment sur la fréquence de la consommation éventuelle de cigarettes, de cannabis et d'alcool, sur d'éventuels actes de mutilation, d'éventuels troubles du comportement alimentaire, pensées ou tentatives de suicide. Par ailleurs, il est prévu que certaines des données seront extraites du carnet de santé de l'adolescent (le poids et la taille à la naissance, à la sixième année, le statut vaccinal). S'agissant du (ou des) parent(s) de l'adolescent participant à l'enquête ou des adultes avec lesquels il vit, leur situation professionnelle sera également collectée. La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément à l'article 6-3° de la loi Informatique et Libertés. S'agissant des modalités de la collecte Les personnels de santé de l'éducation nationale (infirmiers ou médecins) renseignent le « questionnaire principal » et disposent d'une table de correspondance entre les nom et prénom des adolescents participant à l'enquête et le numéro d'ordre attribué à chacun d'entre eux. L'adolescent renseigne seul « l'auto-questionnaire » sur sa santé mentale et le glisse dans une enveloppe cachetée qui est remise au personnel de santé de l'éducation nationale. Ces documents sont ensuite adressés aux infirmiers coordonnateurs des services départementaux. Ces derniers les adresseront par voie postale pour saisie informatique à un prestataire qui les transmettra ensuite à la DREES. La Commission en prend acte et rappelle, s'agissant du recours à un sous-traitant pour la saisie des informations, qu'un contrat doit être établi avec le responsable de traitement dans des conditions qui doivent satisfaire à l'article 35 de la loi Informatique et Libertés. Sur les destinataires Les données collectées seront rendues accessibles aux partenaires de l'enquête (l'Agence nationale Santé publique France, la Direction de l'Evaluation, de la Prospective et de la Performance du ministère de l'éducation nationale, le Réseau Quételet), sous un identifiant non signifiant à l'exception de l'identifiant de l'établissement scolaire et du département de résidence des adolescents. Ces destinataires n'appellent pas d'observation de la part de la Commission. Sur l'information et le droit d'accès Les adolescents participant à l'enquête seront informés du caractère facultatif de leur participation, oralement par les infirmiers enquêteurs et par écrit sur la première page de l'auto-questionnaire, de leur droit de ne pas répondre à certaines questions, ainsi que du caractère confidentiel des réponses qui ne seront lues par aucune personne de l'établissement. Afin de garantir le respect des dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, le ou les titulaires de l'autorité parentale seront informé(s) de l'enquête par l'envoi d'un courrier ou courriel d'information par les infirmiers de l'établissement scolaire concerné. Les représentants légaux sont informés qu'en cas d'opposition à la participation de leur enfant à l'enquête, ils sont invités à renvoyer un coupon-réponse à ce même professionnel de santé. La Commission prend acte de ce que la note d'information adressée aux parents sera modifiée afin de préciser le délai pendant lequel les représentants légaux sont invités à faire connaître, le cas échéant, leur opposition, ce délai étant fixé à 10 jours ouvrés. Le droit d'accès s'exerce par écrit auprès de l'infirmier de l'établissement scolaire ayant mené l'enquête. A cet égard, la Commission relève que les modalités d'exercice du droit d'accès des représentants légaux tel que prévu par l'enquête limitent celui-ci aux résultats des examens effectués par le professionnel de santé. Elle rappelle que ce droit doit porter sur l'ensemble des données à caractère personnel faisant l'objet du traitement et invite le ministère à adapter en conséquence les documents diffusés pour l'enquête. Sur les mesures de sécurité Les questionnaires transmis à la DREES sous pli confidentiel seront conservés dans un local fermé à clef. Le seul ordinateur donnant accès aux données saisies sera accessible par l'utilisation d'une carte à puce personnelle associée à un code secret, attribuée à l'agent habilité de la DREES lors de sa prise de fonction et reprise lors de son départ. La Commission prend acte de ce que les transferts des données vers les partenaires sont chiffrés au moyen d'un algorithme asymétrique, impliquant l'utilisation d'une clé publique et d'une clé privée. La Commission recommande au responsable de traitement de mettre en œuvre les moyens nécessaires pour assurer la sécurité de cette paire de clés et notamment la confidentialité de la clé secrète et l'authenticité de la clé publique. Sous réserve de ces observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. Sur les autres caractéristiques du traitement Les données de l'enquête sont conservées pendant un an à compter de leur collecte. A l'expiration de ce délai, les données sont archivées sous une forme ne permettant pas la réidentification des personnes concernées. La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.

Autorise, conformément à la présente délibération

, la Direction de la recherche, des études, de l'évaluation et des statistiques du ministère des affaires sociales et de la santé à mettre en œuvre le traitement susmentionné. Pour La Présidente, Le Vice-Président délégué, La présidente Marie-France MAZARS