Rencontre avec la CNIL du 22/12/2004
Analyses et propositions de DELIS au sujet d'ANAISS

Ligue des Droits de l'Homme
Collectif Informatique, Fichiers et Citoyenneté
Collectif pour les droits des citoyens face à l'informatisation de l'action sociale

Analyses et propositions au format PDF (75Ko)


Rappel sur les missions des services sociaux des Cram
Les missions des services sociaux des CRAM s'exercent dans trois domaines :
  accès aux soins, droit à la santé,
  prévention désinsertion professionnelle,
  prévention et traitement perte d'autonomie (malades, personnes handicapées, personnes âgées).
 
Rappel sur les finalités du traitement A.NA.I.S.S.
Délibération 1994
"La finalité du traitement est l'informatisation du poste de travail de l'assistant social (...)" permettre à l'assistant social de mémoriser sur micro ordinateur les données figurant jusqu'à présent dans les dossiers papier des assurés (...) permettre la production d'un certain nombre de courriers et documents destinés aux différents partenaires (...)"
 
Finalité : informatisation du dossier social
Délibération 1999
"ouvrir la possibilité aux assistants sociaux des unités locales (...) d'interroger selon différents critères la base des dossiers sociaux informatisés afin de pouvoir mener des actions soit personnalisées soit collectives de travail social " et " permettre la transmission aux échelons régionaux et nationaux du service social d'informations individuelles sur les difficultés sociales rencontrées par les personnes aidées et les actions entreprises afin d'élaborer les politiques d'actions sociales appropriées "
 
Finalité étendue pour les actions collectives et les statistiques
Projet de délibération 2005
" Gestion des dossiers action individuelle et collective "
" Pilotage : suivi de la production du service, suivi de l'activité des agents, gestion des signalements, suivi de la réalisation des objectifs "
" Analyse de l'activité, études de clientèles "
 
Aux finalités précédentes vient dont s'ajouter celle dite de "pilotage" qui inclut le "suivi de
la production du service", celui de "l'activité des agents"et de la "réalisation des objectifs"
 
Sur les questions relatives à la finalité nouvelle dite de "pilotage"
La finalité de suivi de l'activité des agents et de la production du service vise à renseigner les indicateurs CPG (contrat pluri-annuel de gestion), cf. pp. 6/38 et 34-35-36/38 du document CNAMTS soumis à la CNIL.
La nouvelle finalité dite de pilotage du traitement ANAISS consiste donc à mettre à disposition de l'encadrement des CRAM un outil de contrôle de l'activité individuelle et collective des assistants sociaux, dans le cadre du CPG. Le document soumis à la CNIL ne comporte pas de chapitre consacré spécifiquement au CPG, et aux conséquences qui découlent de l'application de ce dispositif pour les conditions de travail et de rémunération des agents des CRAM. Or il apparaît à la lecture de documents que nous adressons à la commission (CPG 2004-2005) que le CPG fixe des objectifs quantitatifs à atteindre et prévoit l'attribution de primes d'intéressement modulées selon le classement des services locaux (CRAM actuellement, mais la nouvelle classification des employés qui sera effective au premier janvier 2005 prévoit d'individualiser les rémunérations en fonction d'objectifs fixés entre chaque agent et son cadre) vis-à-vis du degré de réalisation de ces objectifs.
La finalité dite de " pilotage " du traitement ANAISS comporte donc une incidence forte en matière d'organisation nouvelle du contrôle d'activité des assistants sociaux des CRAM, et de ses conséquences sur l'organisation du travail et le statut de ces derniers.
De là découlent plusieurs questions et réflexions :
Le contrôle d'activité des AS va-t-il s'effectuer sur la seule base des informations issues d'ANAISS, ces informations seront-elles prédominantes parmi celles prises en compte dans le cadre des indicateurs du CPG ?
Il faut rappeler que la CNIL, dans ses deux précédentes délibérations, a indiqué d'une part que les bénéficiaires peuvent s'opposer au traitement de leur dossier dans ANAISS (droit d'opposition mentionné par la CNAMTS dans son document, p. 6/38), d'autre part que, compte tenu du caractère sensible des informations sur les difficultés sociales, " il ne saurait être fait obligation à l'assistant social de saisir dans le traitement la totalité des renseignements qu'il détient (1994) ", et " la saisie de ces informations [codes problèmes/objectifs] ne peut présenter un caractère systématique (1999) ".
Nous déduisons de ces conditions deux conclusions :
si le contrôle de l'activité des assistants sociaux et de la production des services est essentiellement basé sur les indicateurs CPG issus d'ANAISS dont l'atteinte conditionne le montant de l'intéressement financier, alors :
X
X
X
les équipes ayant un taux de bénéficiaires supérieur à la moyenne s'opposant à la saisie de leurs données dans ANAISS sont pénalisées en terme de résultats CPG ;
les assistants sociaux ne sont plus en situation de ne " saisir que dans les strictes limites des besoins du travail social poursuivi " ni de garder leur libre arbitre sur " la nature des informations à faire figurer dans le dossier ".
en tout état de cause, l'analyse des données enregistrées dans ANAISS, ou consignées sur papier, relatives aux difficultés des personnes reçues (catalogues " problèmes /; objectifs ", ou autre caractéristique qui n'est pas directement nécessaire à l'intervention de l'assistant social auprès de la personne) ne doit pas contribuer à l'évaluation de l'activité des agents et de la production des services au titre de la finalité " pilotage ", compte tenu du caractère non systématique de la saisie de ces données rappelée ci-dessus.
On notera que les pressions exercées sur les assistants sociaux pour cocher systématiquement des rubriques contribuant au renseignement des indicateurs CPG et pour atteindre les objectifs fixés à ce titre leur impose de facto des normes de productivité, incompatibles avec le code de déontologie de l'ANAS (art 7 notamment) qui définit les conditions d'une intervention sociale de qualité centrée sur l'usager (texte reproduit par la CNAMTS dans les documents complémentaires du dossier soumis à la CNIL, p. 80).
La CNIL a énoncé plusieurs recommandations dans son " Rapport relatif à la cybersurveillance sur les lieux de travail " publié en mars 2004, en particulier :

" L'article L.432-2 du code du travail dispose que " le comité d'entreprise est informé et consulté préalablement à tout projet important d'introduction de nouvelles technologies, lorsque celles-ci sont susceptibles d'avoir des conséquences sur [...] les conditions de travail du personnel " et précise que " lorsque l'employeur envisage de mettre en oeuvre des mutations technologiques importantes et rapides " le plan d'adaptation doit être transmis " pour information et consultation " au comité d'entreprise, lequel doit être " régulièrement informé et périodiquement consulté " sur la mise en oeuvre de ce plan.
Par ailleurs, l'article L.432-2-1 prescrit que le comité d'entreprise doit être " informé et consulté, préalablement à la décision de mise en oeuvre dans l'entreprise, sur les moyens ou les techniques permettant un contrôle de l'activité des salariés ".
Les textes applicables aux trois fonctions publiques prévoient pour leur part que les comités techniques paritaires " connaissent [...] des questions et des projets de textes relatifs ", notamment " aux programmes de modernisation des méthodes et techniques du travail et à leur incidence sur la situation du personnel ".
Il résulte clairement de ces textes qu'une information individuelle des salariés ou agents publics ne saurait dispenser les responsables concernés de l'étape de la discussion collective, institutionnellement organisée, avec les représentants élus du personnel.
Compte tenu de ces textes, la CNIL vérifie, lorsqu'elle est saisie d'une demande d'avis ou d'une déclaration relative à un traitement automatisé d'informations nominatives mis en oeuvre à des fins de contrôle, que ces consultations ont été effectuées préalablement à sa saisine, condition de régularité du projet de traitement déclaré à la Commission. "
Compte tenu que la nouvelle finalité de " pilotage " d'ANAISS comporte clairement un dispositif de contrôle de l'activité des salariés, nous posons la question de savoir si préalablement à la saisine de la CNIL, les comités d'entreprise des CRAM et des CGSS ont été consultés, élément d'information qui ne figure pas dans le dossier de demande d'autorisation dont nous disposons.Compte tenu que la nouvelle finalité de " pilotage " d'ANAISS comporte clairement un dispositif de contrôle de l'activité des salariés, nous posons la question de savoir si préalablement à la saisine de la CNIL, les comités d'entreprise des CRAM et des CGSS ont été consultés, élément d'information qui ne figure pas dans le dossier de demande d'autorisation dont nous disposons.
Sur ces bases, nous demandons que la future délibération CNIL ne soit prise qu'à l'issue de la consultation des comités d'entreprise des CRAM et des CGSS sur la nouvelle modalité de contrôle de l'activité des salariés découlant de la finalité "pilotage" du traitement ANAISS, et que la délibération prévoit que :
le contrôle d'activité des agents et de production des services dans le cadre des CPG ne peut pas s'opérer pour l'essentiel sur la base des données issues d'ANAISS ;
l'analyse des données enregistrées dans ANAISS relatives aux difficultés des personnes reçues (notamment catalogues "problèmes /; objectifs") ne doit pas contribuer à l'évaluation de l'activité des agents et de la production des services au titre de la finalité "pilotage" d'ANAISS.
 
Sur les questions liées au "secret partagé" et les conséquences sur l'accès au dossier social (définition des habilitations des différents acteurs, dispositifs sécurisés d'accès au dossier...)
Il ne s'agit pas, concernant ANAISS, du débat général sur le secret professionnel et les conditions de partage de l'information confidentielle dans toutes les circonstances de l'exercice professionnel, mais spécifiquement du partage de l'information dans le cadre des données nominatives consignées dans les dossiers sociaux et autres fichiers nominatifs prévus dans ANAISS.
L'enjeu essentiel est qu'ici l'information est consignée a priori dans un écrit (le dossier) qui n'est pas en soi un outil de partage d'information, et qu'elle ne fait donc pas l'objet dans cet outil d'une structuration particulière a priori, visant à sélectionner telle information strictement nécessaire et suffisante à une transmission dans telle ou telle situation. Or, le partage d'information, selon les règles indiquées dans le document CNAMTS soumis à la CNIL (p. 73 des documents complémentaires), suppose d'être soumis au jugement ad hoc de la part du professionnel détenteur face à chaque situation (prenant en compte les règles relatives à la communication du dossier social rappelées dans la circulaire CNAMTS, p. 66 des documents complémentaires). Cette conception répond bien à l'observation du Conseil supérieur du travail social (CSTS) qui dans son rapport " Nouvelles technologies de l'information et de la communication et travail social " (déc. 2000) précise, p. 40 : " La mise à disposition en libre consultation d'informations nominatives entre plusieurs professionnels (secret " partagé ") n'est donc pas conforme à la loi ".
Dès lors, il convient de prévoir un système d'habilitation pour l'accès aux dossiers et autres fichiers nominatifs qui permette au mieux à l'assistant social de rester maître du partage de l'information nominative, selon les diverses circonstances nécessitant un tel partage.
Les recommandations figurant à cet égard dans les délibérations CNIL du 28/6/1994 et du 8/7/1999[1] (à l'exception de celles relatives aux actions collectives qui instituent de fait une notion de secret partagé " en libre consultation ") restent parfaitement d'actualité et permettent de répondre aux diverses configurations existantes : assurer la continuité de l'intervention en cas d'indisponibilité de l'assistant social responsable du dossier, assurer un accès différencié aux informations selon leur nature et le contexte d'emploi (intervention d'un personnel de secrétariat, d'un cadre). Les délibérations indiquent que les procédures d'habilitations doivent être définies en concertation avec l'assistant social responsable du dossier, ce qui permet à ce dernier d'exercer sa responsabilité propre en matière de secret professionnel tout en prenant en compte les diverses situations professionnelles pouvant nécessiter l'accès d'un tiers autorisé aux données nominatives qu'il détient. Nous demandons en conséquence que les recommandations figurant dans les deux délibérations CNIL sus-mentionnées soient reprises dans la future délibération, en en précisant la teneur, à savoir que ces habilitations doivent rendre effectif un accès différencié aux informations selon leur nature, leur contexte d'emploi et les différents utilisateurs autorisés, sous la responsabilité de l'assistant social responsable de l'instruction du dossier.
Nous avons relevé, dans les années précédentes, de nombreux manquements à ces principes de la part des services locaux des CRAM : dans l'enquête que nous avons réalisée en 2002, à peine plus d'un tiers des assistants sociaux disent qu'il y a eu concertation sur les habilitations dans leur service comme le prévoit la délibération CNIL 1999. Nous demandons à la CNIL de veiller avec la plus grande attention à ce que les CRAM respectent ces procédures à l'avenir (procédures pourtant rappelées le 1er mars 2004 par la CNAMTS dans la lettre réseau reproduite p. 71 des documents complémentaires).
Concernant les dispositifs sécurisés d'accès aux éléments nominatifs, cf. chapitre sur la sécurité.

Nous demandons en conséquence que les recommandations figurant dans les deux délibérations CNIL du 28/6/1994 et du 8/7/1999, relatives à l'accès aux données nominatives et aux procédures d'habilitations, soient reprises dans la future délibération (à l'exception de celles relatives aux actions collectives qui instituent de fait une notion de secret partagé "en libre consultation").
Nous demandons à la CNIL que ces procédures soient rendues effectives (accès différencié aux informations selon leur nature, leur contexte d'emploi et les différents utilisateurs autorisés, sous la responsabilité de l'assistant social responsable de l'instruction du dossier). Il convient à notre sens que chaque assistant social ait la faculté de définir champ par champ à qui il octroie le privilège de consultation, de modification ou de suppression. C'est dans le cadre de la concertation prévue que devront être définis les éléments minimaux nécessaires pour assurer la continuité du service, en délimitant précisément les informations requises qui dépassent le cadre des données strictement administratives.
Nous demandons à la CNIL de veiller avec la plus grande attention à ce que les CRAM respectent ces procédures à l'avenir.

Sur les catalogues "problèmes/objectifs"
La délibération CNIL 1994 indiquait que " les informations mémorisées sont des renseignements objectifs et factuels à l'exclusion de toute appréciation d'ordre subjectif (...") " et que " l'assistant social responsable du dossier doit demeurer seul compétent pour apprécier la nécessité de compléter le traitement de telle ou telle information portée à sa connaissance par la personne qui a saisi le service social ". La délibération CNIL 1999 reprend ce dernier considérant et y ajoute, concernant les codifications qui détaillent les difficultés rencontrées (apparues entre 1994 et 1999 sans que la CNIL les aient autorisées), que " eu égard aux particularités des situations sociales rencontrées il peut s'avérer qu'aucun des codes proposés ne corresponde à la situation constatée ou que ce code la décrive de manière inadéquate " et que " ainsi la saisie de ces informations ne peut présenter un caractère systématique ". Il convient d'attirer l'attention de la CNIL sur le fait que des pressions nombreuses s'exercent sur les assistants sociaux, dans les unités locales, pour leur faire compléter systématiquement les dossiers à partir des items de ces catalogues, dans le cadre des indicateurs du CPG (cf. ci-dessus), en contradiction avec les recommandations de la CNIL (ainsi qu'en contradiction avec l'art. 7 du code de déontologie ANAS, reproduit p. 80 des documents complémentaires). Le CSTS, dans son rapport précédemment cité notait déjà (p. 35) que " malgré les recommandations de la CNIL sur le traitement des données sensibles, certains services employeurs tentent par une pression constante d'obtenir du travailleur social qu'il transmette la totalité des données (...) ".
L'utilisation des catalogues " problèmes/objectifs " s'inscrit dans une double finalité : pilotage (suivi de la production et de l'activité /; tableaux de bord de gestion pour le CPG) et connaissance des problématiques des populations rencontrées et des actions entreprises (études de clientèle et définition des politiques d'actions sociales /; évaluation qualitative du travail social).
Cette double finalité est poursuivie au moyen d'indicateurs communs complétés par les professionnels en situation d'intervention sociale d'aide à la personne. Il existe là une confusion d'objectifs, répondant à des logiques extrêmement différentes, qui rend périlleuse l'utilisation pertinente de ces catalogues, pour chacune des finalités considérée. Les conséquences fâcheuses de cette confusion des finalités avaient été relevées au titre des conclusions du rapport du CSTS[2].
 Concernant l'usage des catalogues " problèmes/objectifs " sur le plan individuel : il faut distinguer des problématiques objectives (" problème pour financer les soins ") qui s'appuient sur des éléments factuels pouvant faire objet d'un certain consensus parmi les acteurs professionnels concernés, d'appréciations d'ordre subjectives (par exemple " problème de prise en compte de la santé[3]") qui font beaucoup plus appel au système de valeur du professionnel qui les formule (cf. p. 31-33/38 du document CNAMTS les sous rubriques de cet item censées en guider la compréhension mais qui relèvent en fait d'une appréciation pouvant largement varier selon les présupposés idéologiques des professionnels).
On peut admettre que de telles formulations d'items subjectifs (" problème de prise en compte de la santé ", " problème pour élaborer ou aménager un projet de vie ", " problème pour recouvrer un statut dans la sphère privée et/ou exercer sa citoyenneté ", " problème de danger, de maltraitance ") correspondent à une certaine école en matière de conceptualisation dans le travail social, mais il ne paraît pas admissible d'y recourir pour catégoriser la situation de telle ou telle personne, car ces formulations sont nécessairement réductrices, normatives et susceptibles de ce fait d'être mal reçues par les personnes concernées, ce qui pourrait détériorer la relation de confiance avec le professionnel. Comment " négocier " avec le client après lui avoir asséné de tels jugements de valeur, cela est contradictoire avec une relation d'aide qui suppose au contraire des interprétations prudentes et nuancées sur les difficultés les plus complexes des personnes. Ces items subjectifs ne sauraient donc être destinés à faire l'objet d'un accord avec le bénéficiaire quant à la caractérisation de sa situation et à en déduire des objectifs " négociés " pour résoudre les problèmes. D'autant que de telles catégorisations peuvent, dans bien des cas, être interprétées par la personne comme lui faisant endosser la responsabilité objective (voire la culpabilité) de la situation ainsi résumée (" Vous fumez, vous mangez n'importe quoi, vous voyez bien que vous avez un problème de prise en compte de votre santé "). Cette attitude de culpabilisation des personnes en difficulté n'est malheureusement pas exceptionnelle et tend même souvent à se substituer à la réelle prise en compte de la difficulté, raison supplémentaire pour ne pas " graver dans le marbre d'ANAISS " des observations comportant cette connotation.
Dans leur utilisation pour l'organisation d'actions collectives, on imagine les impairs qui pourraient être commis, si l'assistant social qui organise de telles actions prend contact avec des personnes qu'il ne connaît pas sur la seule base de telles appréciations portées dans le dossier ! (cf. contradictions avec les règles relatives à la communication du dossier social rappelées dans la circulaire CNAMTS, p. 66 des documents complémentaires).
Concernant la demande faite aux assistants sociaux de cocher un degré d'atteinte des objectifs en lien avec les catalogues " problèmes/objectifs ", sous les déclinaisons " atteint, partiellement atteint, non atteint ", cette démarche paraît, en ce qui concerne les items complexes et/ou subjectifs, comme la caricature d'un processus d'évaluation qui prenne en compte l'usager dans la complexité de sa situation et dans la globalité de sa démarche.
Concernant l'usage des catalogues " problèmes/objectifs " sur le plan statistique, plusieurs questions méritent d'être soulevées :
pour les items subjectifs, la variabilité d'interprétation des situations par les assistants sociaux les conduisant à compléter un même item vient affaiblir la fiabilité de ces indicateurs sur le plan statistique. Autrement dit ces indicateurs ne sont pas assez robustes pour un usage statistique, compte tenu du contexte de leur recueil. On bute ici sur les biais d'interprétation (de " subjectivité ")[4] des situations.
pour l'ensemble des items de ces catalogues, le caractère non systématique de leur saisie (cf. délibérations CNIL) et les conséquences du droit d'opposition reconnu aux usagers introduisent également un biais de sélection[5], fragilisant la qualité attendue des statistiques ainsi constituées.
Sur ces deux aspects, on peut souligner l'importante similitude avec les considérants qui avaient conduit la CNIL à estimer, concernant le traitement ANIS dans l'Ain, que " aucune statistique établie sur la base de ces informations [les typologies pré-établies] ne pouvait constituer un instrument de mesure de l'activité des travailleurs sociaux ni des caractéristiques de la population suivie " (délibération CNIL n°98-094 du 13 octobre 1998).
Concernant l'usage des items " problèmes/objectifs " sur le plan de la finalité nouvelle de " pilotage " d'ANAISS, cf. ci-dessus.
Les assistants sociaux ont exprimé massivement leur faible intérêt pour l'utilisation de ces catalogues " problèmes/objectifs " : d'une part dans le cadre de notre enquête réalisée en 2002 auprès de 250 assistants sociaux (cf. document d'analyse transmis à la CNIL en 2003), d'autre part ce constat est corroboré par les chiffres que publie la CNAMTS, rapportés dans le document à la CNIL (p. 92 des documents complémentaires) : seuls 17,8% des assistants sociaux ont recours aux informations chiffrées pour une étude des caractéristiques des clients du secteur, seuls 6,6% pour une analyse des problèmes des clients, seuls 6,3% pour une vérification d'hypothèses de travail. Ces chiffres viennent largement tempérer la mention sur la pertinence attribuée aux données " problèmes/objectifs ", figurant au 2° alinéa p.23/38 du document CNAMTS.

Nous demandons que la future délibération rappelle le caractère facultatif de la saisie des items des catalogues " problèmes/objectifs ".
 Nous demandons la suppression, dans le catalogue "problèmes-besoins", des items "problème de prise en compte de la santé", "problème pour élaborer ou aménager un projet de vie[6]", "problème pour recouvrer un statut dans la sphère privée et/ou exercer sa citoyenneté[7]", "problème de danger, de maltraitance". De même, dans le catalogue " objectifs ", la suppression des items correspondants.
 Nous demandons que l'analyse des données issues des catalogues "problèmes /; objectifs" ne soit pas utilisée dans le cadre de l'évaluation de l'activité des agents et de la production des services au titre de la finalité "pilotage" d'ANAISS (cf. ci-dessus).

Sur les statistiques issues des données nominatives enregistrées dans Anaiss
Concernant les données locales d'activité et les statistiques a minima : il semble qu'elles soient demandées sur chaque secteur d'assistant social sans que la CNIL en ait encadré la procédure au travers des délibérations de 1994 et 1999. Ces statistiques locales devraient pourtant faire l'objet d'une procédure rendant impossible l'identification des usagers concernés, ainsi aucun dénombrement correspondant à des groupes de moins de 10 personnes ne devrait être autorisé. De même, il ne devrait pas être possible à partir de ces données locales d'éditer la liste des personnes concernées par telle ou telle caractéristique comme c'est actuellement le cas, ce qui rend caduque toute restriction à des cohortes supérieures à dix personnes.
Concernant les statistiques destinées aux échelons régionaux et nationaux : afin d'optimiser la procédure d'anonymisation, nous demandons l'anonymisation à la source reposant par exemple sur des techniques dite de hachage et de chiffrement des données, désormais bien éprouvées dans le cadre du traitement des données de santé (déclaration de séropositivité, et plus récemment accès aux données des feuilles de soins sous forme anonymisée autorisé pour la FNMF à titre expérimental[8]). Ce type de procédure avait aussi été recommandé par la CNIL, concernant les données sociales, dans sa délibération n°94-094 du 13/10/1998 relative à ANIS dans l'Ain.

Nous demandons que la future délibération fixe des conditions rendant impossible l'identification des bénéficiaires à partir des données locales d'activité /; statistiques a minima.
 Nous demandons que la délibération prévoit une procédure d'anonymisation irréversible à la source pour les statistiques destinées aux échelons régionaux et nationaux du service social, reposant sur des techniques éprouvées, appliquées à plusieurs traitements mis en oeuvre pour l'anonymisation des données personnelles de santé.
 
Sur les droits des usagers
Droit à l'information :
Les résultats de notre enquête 2002 ont montré que les assistants sociaux estiment que les usagers restent mal informés de leurs droits, malgré les documents écrits réalisés par la CNAMTS et malgré ses rappels auprès des services locaux (cf. lettre réseau reproduite p. 71 des documents complémentaires). Les assistants sociaux devraient être mieux formés sur ces droits pour être en mesure de les expliciter clairement. Mais aussi, notre enquête révélait que près des trois-quarts des assistants sociaux interrogés n'accepteraient pas de voir figurer eux-mêmes ou leurs proches dans la base ANAISS, les deux tiers estimant que la sécurité du système est relative. Ce constat laisse penser que si un haut niveau de sécurité n'est pas garanti, si les habilitations ne permettent pas aux assistants sociaux d'exercer leur pleine responsabilité sur l'information qu'ils détiennent, alors leur confiance dans le dispositif ANAISS ne sera pas assurée. Leur capacité d'informer en pleine connaissance de cause les personnes sur le traitement de leurs données et les droits qui leur sont reconnus en sera nécessairement réduite.
La pratique des " signalements " se traduisant par l'enregistrement de données nominatives dans ANAISS sans que les personnes concernées soient au courant a montré une faille dans le respect des droits des personnes. Nous prenons acte que la CNAMTS indique dans le document soumis à la CNIL (p. 36/38) que ces signalements interviendront après " information des clients potentiels de l'existence d'un tel traitement " (sachant que la pratique actuelle dans certains services est bien : 1°) enregistrement du signalement avec NIR et motif du signalement, 2°) envoi du courrier de mise à disposition avec mention de l'informatisation, 3°) que la personne accepte ou non l'informatisation : maintien du signalement et des données enregistrées jusqu'à la purge...). Cependant il faut de surcroît prévoir ici le droit pour les personnes, lorsque la procédure de signalement leur est signifiée par un professionnel et qu'elles en sont donc informées, de s'opposer certes au " signalement " mais aussi à l'enregistrement de leurs données dans ANAISS sur la base de ce simple signalement. D'autre part, il faut s'interroger sur la nécessité de saisir et de conserver les éléments relatifs aux signalements dans l'attente d'une réponse des personnes concernées. Si l'idée de la conservation des données enregistrées au titre du " signalement " devait être retenue, il faut prévoir une durée brève et justifiée n'excédant pas un mois, dans le cas où la personne ne donne pas suite à l'offre de service.

Droits d'accès, de rectification, de suppression d'informations nominatives : pour que les personnes soient en mesure de faire jouer ces droits, la qualité de l'information dont ils bénéficient est déterminante, cf. ci-dessus.
Droit d'opposition : les assistants sociaux doivent disposer des moyens de recueillir l'opposition éventuelle d'usagers à l'enregistrement de tout ou partie d'informations les concernant dans ANAISS. La suspicion et les pressions qui pèsent sur certains assistants sociaux du fait d'une part d'opposition plus significative sur leur secteur que sur d'autres secteurs doivent cesser. L'existence d'une procédure claire pour recueillir l'expression de l'opposition d'un usager est à favoriser (formulaire...). Les personnes faisant jouer leur droit d'opposition doivent pouvoir bénéficier des mêmes conditions de prise en compte de leurs demandes que celles dont les informations sont enregistrées dans ANAISS.

Nous demandons que la future délibération fasse référence à l'ensemble des droits reconnus aux personnes fichées (chapitre V section 2 de la loi Informatique et libertés) et recommande que la CNAMTS prenne tout moyen pour promouvoir l'effectivité de ces droits, en particulier en mettant l'accent sur l'information des usagers.
 Nous demandons que les coordonnées identifiantes des personnes accolées à un motif de signalement, dans le(s) seul(s) objectif(s) de rédiger un courrier d'offre de service et de contrôler la réactivité des assistants sociaux, ne soient pas conservées de manière injustifiée.
 Nous demandons que le droit d'opposition mentionné dans les délibérations de 1994 et 1999 soit rappelé et que les personnes qui y recourraient bénéficient des mêmes conditions de prise en compte de leurs demandes que si leurs données étaient enregistrées dans ANAISS.

Sur les questions liées à la sécurité
Le défaut, dans le document transmis par la CNAMTS à DELIS, d'un descriptif général des dispositifs pris pour sécuriser l'accès, le stockage, la transmission et la conservation des données nominatives est préjudiciable à la discussion sur ce point. Présenter les dispositions générales prises en matière de sécurité aurait été un gage de la confiance que place le responsable du traitement dans la qualité du dispositif mis en oeuvre. La non transparence en la matière n'est pas nécessairement une manifestation crédible de haute protection de la sécurité du système.
Les accès, définis selon des procédures d'habilitations différenciées cf. ci-dessus, doivent être sécurisés avec des moyens d'identification et d'authentification forts (carte, badge avec code, clé codée cryptée ou autre moyen en conformité avec l'état de l'art), les simples mots de passe ne garantissant pas un contrôle d'accès optimal.
Nous souhaitons obtenir une information tangible sur les mesures de protection prévues lors du stockage et des échanges transitant par les réseaux (chiffrement, cryptage,...), et nous rappelons ici la nécessité d'anonymisation irréversible à la source lors des extractions pour les statistiques.

Nous demandons que les mesures de protection requises pour l'accès, le stockage, la transmission et la conservation des données identifiantes dans ANAISS offrent un haut niveau de sécurité, équivalent à celui requis pour protéger les données personnelles de santé.
 A défaut d'information sur la nouvelle configuration du réseau et les mesures envisagées pour garantir l'accès aux bases de données qui seraient désormais sur des serveurs situés au niveau régional, nous émettons les plus fortes réserves sur les moyens dont se doteront les CRAM pour assurer la compatibilité d'une telle architecture avec le niveau de protection des données recherché. Ce point nous paraît devoir être rediscuté ultérieurement sur la base d'éléments tangibles.

 
[1] Extraits délibération 1994 : " Considérant que les seuls utilisateurs du traitement sont les assistants sociaux de l'unité locale du service social, y compris l'assistant social responsable de l'unité, les personnels administratifs assurant le secrétariat du service placés sous la responsabilité des assistants sociaux ;
RECOMMANDE que parmi les assistants sociaux, seuls deux d'entre eux, dont l'un à titre principal en sa qualité de responsable de l'instruction du dossier, l'autre étant choisi par le premier en cas d'indisponibilité de sa part, en concertation avec l'assistant social responsable de l'unité locale, aient un accès aux données nominatives enregistrées sur le compte du bénéficiaire de l'aide ;
RECOMMANDE que des mesures de sécurité soient prévues afin que tout assistant social sous la responsabilité duquel les données sont saisies détermine les modalités selon lesquelles les personnels administratifs assurant le secrétariat puissent avoir accès aux données ; que ces modalités soient compatibles avec la nécessité de respecter la confidentialité des informations collectées dans le cadre d'un travail social ; "

Extraits délibération 1999 : "  Considérant que les procédures d'habilitation doivent être définies en concertation avec les assistants sociaux et doivent être conçues pour assurer un accès différencié aux informations, sous forme de codes d'identification et d'accès personnalisés ; "

[2] Rapport du CSTS " Nouvelles technologies de l’information et de la communication et travail social " (déc. 2000), p. 76 : " Dans la mise en place ou la mise en œuvre des systèmes d’information, ils [les décideurs] ne doivent pas confondre les objectifs et les besoins du travail social quotidien avec ceux du pilotage politique. Il en résulterait à la fois, une non-pertinence globale, un impact abusif sur le traitement des cas individuels, un non respect de l’autonomie des intervenants lié à une excessive modélisation ".

[3] A cet égard, on peut souligner à quel point : le rapport à " la santé " est intimement personnel et marqué par des facteurs familiaux, culturels, psychologique et sociaux, environnementaux… enchevêtrés de façon complexe ; les conceptions des professionnels de santé et du social sont déterminées par leur savoir mais aussi par leur appartenance à la " middle-class " qui possède ses propres normes sur ces sujets ; les concepts en matière de " bon comportement de santé " évoluent rapidement dans le temps, etc. Un travailleur social peut-il légitimement dans ces conditions figer la problématique de l’usager dans la formulation de " non prise en compte de la santé " qui ne sera pas inscrite sur le dossier en tant que note personnelle mais comme une information potentiellement partageable. Il ne faut pas confondre une hypothèse de travail qui peut faire l’objet d’une élaboration avec un usager et la typologie ANAISS " caractérisant " sa situation en la rigidifiant.

[4] cf. Marcel Goldberg. L’épidémiologie sans peine. Paris, 1990, Editions Frison Roche, p.153-160

[5] Ibid.

[6] Nouvelle rédaction proposée dans le courrier CNAMTS du 17/11/2004 en remplacement de l’item "difficulté à reconstruire un projet de vie"

[7] Nouvelle rédaction proposée dans le courrier CNAMTS du 17/11/2004 en remplacement de l’item "difficulté à assumer, recouvrer son rôle, son statut, son identité"

[8] Echo des séances CNIL – 23/11/2004 (extrait) :
" L’expérimentation présentée par la FNMF sera réalisée avec des pharmaciens et des mutuelles volontaires et aura pour seule finalité d’effectuer des statistiques sur les données de santé anonymisées issues de feuilles de soins électroniques.
L'application recevra et traitera des demandes de remboursement électroniques (DRE) contenant des données de santé cryptées. Ces DRE seront acheminées via un flux électronique (SESAM Vitale 1.40) depuis les postes des pharmacies.
Le chiffrement des données de santé sera réalisé à la source sur le poste du professionnel de santé à l’aide d’une clé de chiffrement fournie par le GIE SESAM Vitale.
A la réception des données sur le système informatique de la FNMF, celles-ci feront l’objet d’un traitement spécifique, consistant à anonymiser, de façon irréversible, les données de santé. La procédure d’anonymisation ainsi mise en place transformera les données d’identification en un numéro d’anonymat irréversible, en recourant à un algorithme de hachage "
 
Analyses et propositions au format PDF (75Ko)