Traitement de données à caractère personnel

Selon les termes de l’article R. 262-116-1 du code de l’action sociale et des familles, « est autorisée la création par la Caisse nationale des allocations familiales d’un traitement de données à caractère personnel dénommé « @RSA » mis à la disposition des organismes instructeurs du revenu de solidarité active » (1).

La finalité de ce traitement, composé de deux modules, est double :

• Instruire les demandes. Un module d’instruction dont l’objet est, d’une part, le recueil de données relatives à la demande de RSA permettant aux organismes instructeurs de réaliser l’instruction et, d’autre part, le recueil des données relatives à la demande de protection complémentaire ;
• faciliter l’orientation des demandeurs vers un accompagnement social et professionnel adapté ainsi que l’accès à la protection complémentaire en matière de santé. Un module d’aide à l’orientation, dont l’objet est le recueil des informations permettant de préparer la décision d’orientation des bénéficiaires du RSA prise par le président du Conseil départemental.

Ce traitement assure la mise en commun de données à caractère personnel et d’informations déjà détenues par ces organismes ainsi que par Pôle emploi. Ne peuvent accéder directement aux données à caractère personnel que les agents habilités individuellement par le directeur de la CAF territorialement compétente. Lorsqu’un autre organisme instructeur des demandes de RSA utilise le traitement « @RSA », une convention entre le directeur de la CAF et l’organisme détermine les conditions de délivrance, de renouvellement et de durée de l’habilitation des agents de l’organisme instructeur. Sont également déterminés les pouvoir du directeur de la CAF aux fins de contrôle du respect effectif de l’habilitation sur pièce et sur place. Pour ce qui concerne les demandes de complémentaire santé, seuls les agents habilités par le directeur de la caisse d’assurance maladie territorialement compétente peuvent accéder aux données à caractère personnel.

Le législateur a également déterminé de façon précise la nature des données à caractère personnel pouvant être saisies. Dans le module « instruction » sont saisies des données communes d’identification, à savoir les noms, numéro de sécurité sociale, nationalité, adresse, numéro d’allocataire CAF/CMSA, lieu de naissance, éléments relatifs au droit à pension, situation professionnelle et données relatives au logement. Pour les données relatives à la complémentaire santé, l’organisme d’assurance dont il relève, ainsi que l’organisme de protection complémentaire choisi. Dans le module d’aide à l’orientation seront saisies les informations relatives à la situation antérieure à la demande de RSA, les difficultés perçues par le demandeur comme un obstacle à son insertion professionnelle (problèmes de santé, reconnaissance de la qualité de travailleur handicapé, difficultés de lecture, d’écriture ou de compréhension du français, difficultés à faire des démarches administratives, endettement...). Seront également recueillies les informations relatives au bénéfice d’actions d’accompagnement et à la nature de cet accompagnement ; les informations relatives au logement et à la capacité du foyer à faire face à ses charges, le niveau d’études et les compétences professionnelles, situation professionnelle actuelle et mobilité du demandeur.

Le système « @RSA » conserve les données pendant la durée nécessaire à leur validation et à leur transmission au département et aux organismes chargés du service de la prestation ou aux caisses d’assurance maladie. Le demandeur doit donner son accord à la transmission des données relatives à la complémentaire santé. Dans tous les cas, le délai maximum pour effectuer les transmissions de données est fixé à cinq mois (2). Par ailleurs, les organismes chargés du service du RSA et de l’instruction des demandes de complémentaire santé conservent les données pendant une durée de trois ans à compter de leur collecte ou de leur transmission (3). En revanche, il n’y a pas de durée maximale de conservation pour la CNAF ou la Caisse centrale de la MSA devant répondre à des obligations statistiques. La seule exigence étant d’anonymiser les données par un système de codage informatique (4). Conformément à la loi « Informatiques et Libertés » du 6 janvier 1978, les bénéficiaires disposent d’un droit d’accès et de rectification (5). En revanche, ils ne peuvent s’opposer à l’informatisation de leur dossier (6). L’agent instructeur informe le demandeur des conditions dans lesquelles les données sont recueillies dans chaque module. Ensuite, il vérifie auprès du bénéficiaire, l’exactitude des informations saisies. Le ou les récépissé(s) correspondant(s) à ces saisies sont remis au demandeur.

À noter : « Les traitements de données à caractère personnel destinés à l’instruction, au service et au contrôle du revenu de solidarité active, mis en œuvre par les organismes chargés du service de cette prestation, par les départements, par Pôle emploi ou par les organismes qui versent les rémunérations ou les aides à l’emploi ou à la formation, pour répondre aux seules finalités mentionnées au cinquième alinéa de l’article L. 262-40, peuvent utiliser le numéro d’inscription au répertoire national d’identification des personnes physiques » (7).

La transmission au président du conseil départemental des inscriptions, cessations d’inscription et radiations sur la liste des demandeurs d’emploi fait l’objet de dispositions précises du code de l’action sociale et des familles (8).

À cette fin, la création par Pôle emploi d’un traitement de données à caractère personnel, dénommé « Listes transmises aux présidents des conseils généraux » a été autorisée. La finalité de cette transmission consiste à permettre au président du conseil départemental (PCD) :

• de suivre les inscriptions, cessation d’inscription et radiation sur la liste des demandeurs d’emploi des bénéficiaires du RSA ;
• de contrôler le respect, par les bénéficiaires du RSA, des obligations afférentes à leur situation ;
• le cas échéant, de prononcer une sanction.

La nature des informations saisies est déterminée par la loi. Il s’agit de nom, numéro de sécurité sociale, identifiant attribué par Pôle emploi, nature de l’opération effectuée sur la liste de Pôle emploi (inscription, cessation d’inscription ou radiation) et les motifs de la cessation ou de la radiation.

Les données à caractère personnel et informations enregistrées sont conservées par Pôle emploi pendant une période de deux mois suivant leur transmission au président du conseil départemental. Seuls les agents de Pôle emploi dûment habilités sont destinataires des données et informations à caractère personnel. Une convention entre le directeur de Pôle emploi et le département utilisateur détermine les conditions de délivrance, de durée et de renouvellement de l’habilitation. Par ailleurs les traces des consultations, mises à jour et échanges sont conservées durant un an à compter de la réalisation de ces opérations. Enfin, le demandeur bénéficie d’un droit d’accès et de rectification conformément aux dispositions de la loi « Informatiques et Libertés » du 6 janvier 1978. En revanche, le droit d’opposition à l’informatisation du dossier ne lui est pas reconnu.

Le code de l’action sociale et des familles contient des dispositions relatives au « traitement de données à caractère personnel relatif à l’orientation et l’accompagnement des bénéficiaires du revenu de solidarité active » (9).

La création par Pôle emploi d’un traitement de données à caractère personnel, dénommé « échange de données entre Pôle emploi et les départements pour l’orientation et l’accompagnement des bénéficiaires du RSA » a également été autorisée.

La finalité de ce traitement est triple :

• simplifier les démarches des bénéficiaires du RSA ;
• faciliter et améliorer leur orientation en coordonnant les actions d’insertion dont ils bénéficient ;
• informer les PCG des mesures d’accompagnement prises à l’égard des bénéficiaires du RSA orientés vers Pôle emploi.

L’échange des données entre Pôle emploi et les départements est encadré par la loi et concerne trois types de données :

• les données détenues par Pôle emploi pouvant être importées dans les systèmes de traitement de données à caractère personnel des départements à des fins d’orientation et d’accompagnement (date et catégorie d’inscription comme demandeur d’emploi, niveau de formation, date de la notification du PPAE ainsi que son objectif...) ;
• les données détenues par le département pouvant être importées dans les systèmes de traitement de données à caractère personnel de Pôle emploi à des fins de mise en cohérence des parcours d’accompagnement (date et nature de l’orientation du bénéficiaire du RSA prise par le PCD, organisme au sein duquel le référent unique a été désigné, nom et coordonnées du correspondant désigné par le PCD) ;
• les données permettant des rapprochements des traitements automatisés des données à caractère personnel mise en œuvre par Pôle emploi et les départements (numéro de sécurité sociale, éléments d’identité...).

Le traitement institué conserve les données pendant la durée nécessaire (au maximum deux mois) à leur transmission à Pôle emploi ou un département. Une convention conclue entre le directeur de Pôle emploi et le président du conseil départemental détermine les modalités selon lesquelles les données à caractère personnel sont échangées. Par ailleurs, les départements et Pôle emploi ne pourront conserver les données transmises au-delà d’un délai de trois ans. Sont destinataires des données les agents du département concerné et de Pôle emploi désignés et habilités par l’autorité responsable de ces administrations et organismes. Les agents du département ne sont destinataires que des données relatives aux demandeurs d’emploi domiciliés dans leur département. Enfin, le demandeur bénéficie d’un droit d’accès et de rectification conformément aux dispositions de la loi « Informatiques et Libertés » du 6 janvier 1978. En revanche, et à l’instar des cas vus précédemment, le droit d’opposition à l’informatisation du dossier ne lui est pas reconnu. Les différents traitements mis en place ont fait l’objet d’un avis de la CNIL (10) sollicité le 20 juillet 2011 par le ministère des Solidarités et de la Cohésion sociale.