Newsletters
11.05.2020Hélène Lebon

Les traitements de données associés aux opérations de distribution de masques

Un grand nombre de communes ont prévu de distribuer gratuitement des masques à leurs administrés.

Ces communes souhaitent n’oublier personne et ne pas en donner à des administrés qui en ont déjà eu. Au-delà d’un certain nombre d’habitants, ceci nécessite de gérer la distribution à l’aide d’un traitement de données sur les habitants.

Pour assister les communes, la CNIL a donc publié un article sur les modalités pratiques à mettre en œuvre pour procéder à une distribution des masques dans le respect du RGPD.

La CNIL indique donc que les traitements de données personnelles susceptibles d’être mis en œuvre, par les communes en particulier, vont avoir principalement pour finalités :

  • d’informer les administrés sur la procédure à suivre pour récupérer les masques,
  • d’organiser la prise de rendez-vous, ou d’établir le fichier nécessaire à un envoi postal,
  • de contrôler les opérations de distribution des masques, en s’assurant du respect des conditions définies par la collectivité, et d’en assurer le suivi.

 Voici un tableau synthétisant la position de la CNIL :

QUELS FICHIERS PEUVENT UTILISER LES COMMUNES POUR INFORMER LES ADMINISTRES SUR LA DISTRIBUTION DES MASQUES ?
Le fichier de communication municipale Lorsque la commune dispose d’un fichier de communication institutionnelle, destiné à informer les administrés des événements de la vie municipale et des services offerts, à les consulter sur des projets, à réaliser des enquêtes, à accueillir les nouveaux arrivants, etc.

Ce fichier peut tout à fait être utilisé dans le cadre de la communication liée au Covid 19 et, bien entendu, pour la distribution des masques.
Les registres communaux d’information et d’alerte des populations

 

 Les données contenues dans les dispositifs d’alerte et d’information des populations, que sont les registres constitués dans le cadre du plan départemental d’alerte et d’urgence (données relatives aux personnes âgées et handicapées) ou du plan communal de sauvegarde, peuvent être utilisées par les personnes habilitées pour renseigner personnellement les intéressés sur les modalités d’obtention d’un masque de protection (par ex. : possibilité d’une livraison à domicile).

Mais certains de ces fichiers peuvent ne contenir qu’une certaine partie de la population.
La liste électorale Le code électoral (art. L37) permet à tout électeur, candidat, parti ou groupement politique de prendre communication et copie de la liste électorale, à condition de s’engager à ne pas en faire un usage commercial, rien ne s’oppose à ce qu’un maire exploite les données contenues dans ce fichier pour adresser aux administrés des courriers d’information sur les modalités de mise en œuvre des opérations de distribution de masques.

Là encore, ce fichier n’est pas exhaustif.
Les autres fichiers Les communes peuvent utiliser les autres fichiers qu’elles mettent en œuvre pour donner des informations liées à la gestion de crise sanitaire en lien avec la finalité de ceux-ci (par exemple : utilisation du fichier des inscriptions scolaires pour informer sur les horaires de la cantine scolaire, etc.).
Les fichiers de tiers Les communes peuvent également s’appuyer sur les fichiers de tiers, en particulier les fichiers de partenaires institutionnels.
Le recours à des partenaires Les communes peuvent également demander à leurs partenaires institutionnels, intervenant dans le secteur sanitaire, social et médico-social (ex. : centre communal d’action sociale, maison départementale des personnes handicapées, caisses de sécurité sociale), de relayer auprès de leurs usagers l’information utile quant aux modalités qu’elles ont prévues pour la délivrance de masques.
Cependant, aucune donnée d’usagers (identité, adresse, composition du foyer) ne peut être transmise directement aux communes par ces partenaires pour enrichir ou établir une « liste de diffusion », SAUF SI :

  • Les personnes concernées ont donné leur consentement ou
  • Un texte particulier le prévoit expressément.

LE CAS PARTICULIER DU FICHIER DE LA TAXE D’HABITATION

Le fichier de la taxe d’habitation ne peut pas être utilisé en l’état

 Dans une première version de son document, la CNIL a tout d’abord indiqué que le fichier de la taxe d’habitation ne peut pas, en l’état actuel des textes, être utilisé pour la réalisation d’actions de communication institutionnelle sans lien direct avec la gestion de la fiscalité locale.

Cependant, à l’occasion d’une réunion du 30 avril 2020, l’Assemblée plénière de la CNIL a revu sa position :

La CNIL a donc indiqué qu’il est possible de procéder à une extraction du fichier de la taxe d’habitation.

Ce nouveau fichier devra :

  • respecter l’ensemble des principes du RGPD et
  • en particulier, être détruit à l’issue des opérations de distribution.

Les administrés devront être informés de la mise en œuvre de ce traitement, en particulier par une mention dans les courriers adressés et sur le site internet de la collectivité.

L’ORGANISATION, LE CONTROLE ET LE SUIVI DE LA DISTRIBUTION
L’organisation Les collectivités peuvent mettre en place des dispositifs d’inscription dans un fichier de diffusion, ou de prise de rendez-vous par téléphone ou en ligne. Ces traitements de données personnelles devront tenir compte des principes « informatique et libertés » garantissant la protection des informations enregistrées :

  • Respect du principe de finalité,
  • Minimisation des données traitées,
  • Mise en place de mesures de sécurité,
  • Conservation des données pendant une durée limitée,
  • Respect des droits des personnes.

Ainsi, les fichiers constitués ne devraient pas contenir d’autres données que celles strictement nécessaires à l’organisation et à la préparation de la remise des masques :

  • l’identité des personnes qui viendront les récupérer,
  • le point de distribution concerné au regard du lieu de résidence,
  • le nombre de masques devant être délivrés en raison de la composition du foyer ou de la détention de procurations ;
  • d’éventuels engagements sur l’honneur quant à la véracité des déclarations effectuées et le respect des conditions posées par la collectivité (par exemple : être résident dans la collectivité à titre principal, avoir un âge minimum ou exercer telle ou telle profession).
Le contrôle de la qualité des demandeurs et du nombre de maque délivrés Compte tenu de l’impératif d’une gestion rigoureuse de la distribution des masques, il est possible que les collectivités décident de :

  • subordonner leur délivrance à certaines conditions :
    • comme résider au sein de la commune,
    • avoir un âge minimum ou
    • exercer une profession spécifique.
  • limiter la quantité de masques fournie à chacun des intéressés, sur la base de critères objectifs et prédéfinis.

Des contrôles peuvent être réalisés par les collectivités, en particulier à partir des pièces justificatives dont les administrés auront été préalablement invités à se munir des éléments suivants :

  • pièce d’identité,
  • document attestant de l’adresse du domicile (ex. : facture d’eau, avis d’imposition, quittance de loyer)
  • document attestant de la composition du foyer (ex. : avis d’imposition, livret de famille, attestation CAF, etc.),
  • de l’exercice d’une profession ou de toute autre situation particulière.
La tenue d’un fichier de suivi Là encore, les principes du RGPD doivent être respectés (respect de la finalité, minimisation des données, etc.).

Si des données relatives à l’identité des réceptionnaires des masques, et au nombre de masques délivrés, pourront naturellement être renseignées, aucune pièce justificative ne devrait être enregistrée (copiées, scannées, etc.).

Si le nom des personnes ayant donné procuration à une autre pourra utilement être mentionné, il n’est pas nécessaire de renseigner l’identité de toutes les personnes occupant un même foyer et pour le compte desquelles les masques sont récupérés.