Délibération n° 2016-160 du 16 novembre 2016 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Suivi des assurés télétravailleurs relevant de la C.C.S.S. » présenté par la Caisse de Compensation des Services Sociaux de Monaco.

Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la Convention franco-monégasque de sécurité sociale du 28 février 1952, modifiée ;
Vu l'Ordonnance-loi n° 397 du 27 septembre 1944 portant création d'une Caisse de Compensation des Services Sociaux de la Principauté de Monaco, modifiée ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu  la loi n° 1.428 du 4 juillet 2016 portant approbation de ratification de l'avenant n° 6 à la Convention du 28 février 1952, modifiée, susvisée, signé le 18 mars 2014 ;
Vu la loi n° 1.429 du 4 juillet 2016 relative au télétravail ;
Vu l'Ordonnance Souveraine n° 92 du 7 novembre 1949 modifiant et codifiant les ordonnances d'application de l'Ordonnance-loi n° 397 du 27 septembre 1944, modifiée, susvisée ;
Vu l'Ordonnance Souveraine n° 4.739 du 22 juin 1971 fixant le régime des prestations dues aux salariés, en vertu de l'Ordonnance-loi n° 397 du 27 septembre 1944, modifiée, en cas de maladie, accident, maternité, invalidité et décès ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l'arrêté ministériel n° 2010-638 du 23 décembre 2010 portant application de l'article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l'arrêté ministériel n° 2016-425 du 1er juillet 2016 portant application de la loi n° 1.429 du 29 juin 2016 relative au télétravail ;
Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d'informations nominatives ;
Vu la Recommandation CM/Rec(2015)5 du Conseil de l'Europe du 1er avril 2015 sur le traitement des données à caractère personnel dans le cadre de l'emploi ;
Vu la Recommandation R(86) du Conseil de l'Europe du 23 janvier 1986 relative à la protection des données à caractère personnel utilisées à des fins de sécurité sociale ;
Vu le traitement automatisé d'informations nominatives ayant pour finalité « Procédure d'embauchage » des Caisses Sociales de Monaco, objet d'un récépissé de mise en œuvre le 11 juillet 2001 ;
Vu la délibération n° 2013-144 du 16 décembre 2013 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre par la Caisse de Compensation des Services Sociaux du traitement automatisé d'informations nominatives ayant pour finalité « Gestion des accès aux Systèmes d'information opérés par les Caisses Sociales » ;
Vu la demande d'avis, reçue le 10 août 2016, concernant la mise en œuvre par la Caisse de Compensation des Services Sociaux d'un traitement automatisé ayant pour finalité « Suivi des assurés télétravailleurs relevant de la C.C.S.S. » ;
Vu la prorogation du délai d'examen de la présente demande d'avis notifiée au responsable de traitement le 7 octobre 2016, conformément à l'article 19 l'Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 16 novembre 2016 portant analyse dudit traitement automatisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
La Caisse de Compensation des Services Sociaux (C.C.S.S.), responsable de traitement, est un organisme de droit privé investi d'une mission d'intérêt général au sens de l'arrêté ministériel n° 2010-638 du 23 décembre 2010.
Ainsi, le traitement d'informations nominatives objet de la présente délibération est soumis à l'avis de la Commission conformément à l'article 7 de la loi n° 1.165 du 23 décembre 1993.

I. Sur la finalité et les fonctionnalités du traitement

Le traitement a pour finalité « Suivi des assurés télétravailleurs relevant de la C.C.S.S. ».
Il concerne les salariés de la Principauté de Monaco, assurés sociaux de la C.C.S.S.
Il a pour fonctionnalités :
- d'enregistrer dans le système d'information de la Caisse l'exercice d'une activité dans le cadre du télétravail et les périodes d'activité correspondantes ;
- d'assurer un suivi desdites périodes afin de totaliser la durée d'activité dans ce cadre ;
- d'établir des statistiques.
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.
Elle relève, toutefois, que si les informations relatives à l'exercice d'une activité de télétravail étaient inscrites dans le traitement ayant pour finalité « Procédure d'embauchage », susvisé, permettant l'échange d'informations entre la Direction du Travail, l'Office de la Médecine du Travail et la Caisse de Compensation des Services Sociaux, alors ledit traitement devrait faire l'objet d'une modification auprès de la C.C.I.N. afin de veiller à la conformité des procédures mises en place avec les dispositions de la loi n° 1.165 du 23 décembre 1993.

II. Sur la licéité et la justification du traitement

► Sur la licéité du traitement
La C.C.S.S. a été instituée par l'Ordonnance-loi n° 397 du 27 septembre 1944, pour assurer le service des allocations, prestations et pensions visées à l'article 1er de ladite ordonnance-loi.
Aux termes de l'article 5 de cette ordonnance-loi « les allocations, prestations et retraites sont dues aux salariés, à leurs conjoints ou à leurs enfants selon les modalités qui seront fixées par ordonnance souveraine ».
L'Ordonnance Souveraine n° 4.739 du 22 juin 1971 fixe les conditions d'immatriculation des salariés à la C.C.S.S. et d'ouverture des droits aux prestations lorsque leur employeur est affilié à cet organisme, en application de l'article 3 de l'Ordonnance-loi n° 397 du 27 septembre 1944.
Par ailleurs, l'avenant n° 6 à la Convention du 28 février 1952 entre la Principauté de Monaco et la France prévoit que les travailleurs salariés ou assimilés, résidant dans l'un des deux pays, qui exercent, pour le compte exclusif d'un employeur dont le siège social ou le domicile est établi dans l'un des deux Etats, une activité en télétravail depuis le territoire de l'autre Etat, sont soumis à la législation de sécurité sociale de l'Etat où l'employeur a son siège social ou son domicile, à condition d'effectuer au moins un tiers de leur temps de travail hebdomadaire dans les locaux de l'employeur.
Cette disposition implique que les salariés en télétravail d'une entreprise établie dans la Principauté de Monaco, résidant en France, restent soumis au régime de sécurité sociale de la Principauté lorsqu'ils sont en activité.
En outre, l'avenant prévoit, par dérogation aux principes fixés par la Convention, la prise en charge par moitié par les caisses de sécurité sociale françaises et monégasques des soins de santé des pensionnés qui auront été télétravailleurs, de manière continue ou discontinue, et de leurs ayants droit, sous réserve d'une activité en télétravail à Monaco d'une durée minimum de 15 années, au moyen d'un compte de partage.
Le présent traitement permet ainsi à la Caisse de collecter les informations se rapportant aux salariés télétravailleurs, et de disposer, à terme, des éléments permettant l'application des dispositions précitées.
La Commission considère donc que le traitement est licite au sens de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.

► Sur la justification du traitement
Le traitement est justifié par le respect des obligations légales de la Caisse précitées et par la réalisation d'un intérêt légitime de la Caisse de disposer d'un outil permettant de gérer et de conserver tout au long de la carrière d'un salarié les informations qui permettront la « totalisation des périodes exercées dans le cadre du télétravail », et ainsi de déterminer les conditions de sa prise en charge lors de son changement de statut d'actif à celui de retraité.
Par ailleurs, le responsable de traitement précise que le télétravail repose sur un accord bilatéral entre le salarié et son employeur, formalisé par un avenant au contrat de travail signé des deux Parties.
La Commission considère que le traitement est justifié, conformément aux dispositions de l'article 10-2 de la loi n° 1.165 du 23 décembre 1993.

III. Sur les informations traitées et leur origine

Les informations traitées sont :
- identité de l'assuré « télétravailleur » : matricule C.C.S.S. ;
- identité de l'employeur : matricule C.C.S.S. ;
- type d'activité salarié : télétravail (oui-non), lieu d'exercice (domicile ou lieu tiers), date d'effet (date de début et date de fin de la position de télétravailleur).
Les informations relatives à l'identité ont pour origine le traitement automatisé ayant pour finalité « Procédure d'embauchage », mis en œuvre le 11 juillet 2001.
Les informations relatives au type d'activité ont pour origine un document commun à la Direction du Travail support de la demande d'autorisation d'embauchage et de permis de travail, à la Caisse de Compensation des Services Sociaux et à la Caisse Autonome des Retraites support des demandes d'immatriculation aux deux organismes. Ce document est cosigné par l'employeur et le salarié. Il est communiqué à la C.C.S.S. par la Direction du Travail.
Ces informations « seront rattachées à un numéro de permis de travail référencé dans le cadre de la procédure d'embauchage ».
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.

IV. Sur les droits des personnes concernées

► Sur l'information des personnes concernées
L'information préalable des personnes concernées est assurée par une rubrique propre à la protection des données accessible en ligne sur le site internet des Caisses Sociales de Monaco.
La Caisse indique également que cette information est réalisée par le document précité rempli par le salarié et l'employeur. Cependant, la Commission observe qu'il s'agit d'un document commun à la Direction du Travail, à la C.C.S.S. et à la Caisse Autonome des Retraites, destiné à simplifier les démarches préalables à l'embauche d'un salarié dans la Principauté, et que, si un rappel général du droit d'accès des personnes concernées est indiqué, les mentions d'information des personnes concernées ne répondent pas aux obligations de l'article 14 de la loi n° 1.165 du 23 décembre 1993.

► Sur l'exercice du droit d'accès, de modification et de mise à jour
La Commission relève qu'aux termes de l'article 13 de la loi n° 1.165 du 23 décembre 1993, s'agissant d'un traitement mis en œuvre par un organisme de droit privé investi d'une mission d'intérêt général, les personnes concernées par le présent traitement ne disposent pas du droit de s'opposer au traitement de leurs informations.
Les personnes concernées par le traitement peuvent exercer leur droit d'accès et de rectification auprès du « correspondant C.C.I.N. » ou des personnes chargées de leur accueil.
Ainsi, toute personne concernée peut exercer ses droits par un accès en ligne à son dossier, par courrier électronique, par voie postale ou sur place.
La réponse à toute demande est réalisée dans les quinze jours suivant la réception. En cas de demande de modification ou de mise à jour des informations, une réponse sera apportée à l'intéressé par courrier électronique, par voie postale ou sur place.
La Commission considère que les modalités d'exercice des droits d'accès et de rectification sont conformes aux dispositions de la loi n° 1.165 du 23 décembre 1993.

V. Sur les destinataires et les personnes ayant accès au traitement

►Sur les personnes ayant accès au traitement
Les personnes ayant accès au traitement sont :
- les agents du service immatriculation de la Caisse : en inscription, modification et consultation ;
- les agents du service des prestations médicales et familiales de la C.C.S.S. habilités à consulter le traitement « procédure d'embauchage », susvisé ;
- les prestataires de service : accès liés à leur mission de maintenance.
S'agissant des prestataires de service, la Commission rappelle que conformément aux dispositions de l'article 17 de la loi n° 1.165 du 23 décembre 1993 leurs droits d'accès doivent être limités à ce qui est strictement nécessaire à l'exécution de leur contrat de prestation de service, et qu'ils sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
Ainsi, considérant les attributions de chacune de ces personnes, et eu égard à la finalité du traitement, les accès susvisés sont justifiés.

► Sur les destinataires
La Direction du Travail en charge de la gestion ou du suivi du télétravail est destinataire des informations, dans le cadre des attributions respectives de la C.C.S.S. et de cette Direction tenant à l'application de la réglementation sur le télétravail et ses incidences en matière de sécurité sociale.
La Commission considère que les communications sont conformes aux exigences légales.

VI. Sur les rapprochements et interconnexions avec d'autres traitements
Le responsable de traitement met en évidence les rapprochements et interconnexions suivants :
- « Procédure d'embauchage », susvisé ;
- « Gestion des accès aux Systèmes d'information opérés par les Caisses Sociales », susvisé.
La Commission relève que ces mises en relation sont conformes au principe de compatibilité de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.

VII. Sur la sécurité du traitement et des informations

Les mesures prises pour assurer la sécurité et la confidentialité du traitement n'appellent pas d'observation.
La Commission précise néanmoins que l'architecture technique repose sur des équipements de raccordement (switchs, routeurs, pare-feu) de serveurs et périphériques qui doivent être protégés par un login et un mot de passe réputé fort et que les ports non utilisés doivent être désactivés.
Elle rappelle que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de la période d'exploitation du présent traitement.

VIII. Sur la durée de conservation

Le responsable de traitement souhaite conserver les informations trente ans après le décès du dernier ayant droit de l'assuré.
Cette période passée les informations pourraient être pseudo-anonymisées dans le cadre du traitement ayant pour finalité « Procédure de dénomisation des informations détenues par la C.C.S.S. », ayant fait l'objet d'un avis favorable de la C.C.I.N. par délibération n° 2013-133 du 27 novembre 2013, une fois celui-ci mis en œuvre par le responsable de traitement.
La Commission relève que cette durée de conservation des données de trente ans après le décès du dernier ayant droit de l'assuré est la durée mentionnée dans les traitements concernant la gestion et le suivi des prestations aux assurés depuis 2001, année des premiers traitements automatisés mis en œuvre par les Caisses Sociales de Monaco. Ce délai de conservation pouvait être envisagé tenant compte du délai de prescription en matière civile qui était alors de trente ans.
Toutefois, depuis la loi n° 1.401 du 5 décembre 2013 relative à la prescription civile le délai de prescription des actions réelles mobilières et des actions personnelles a été fixé à cinq ans « à compter du jour où le titulaire d'un droit a connu ou aurait dû connaître les faits lui permettant de les exercer » (art. 2044 du Code civil).
Tenant compte des implications budgétaires, notamment au regard de l'élaboration et la gestion du compte de partage, la Commission considère que les informations nominatives exploitées dans le traitement en objet devraient être supprimées, ou devraient perdre leur forme nominative, cinq ans à compter de la fin de l'année comptable au cours de laquelle la date d'effet de retraite de l'assuré a été enregistrée.
Une fois ce délai expiré les informations pourraient faire l'objet d'un archivage « pour des raisons statistiques et historiques », comme envisagé par le traitement de dénomisation précité.
Après en avoir délibéré, la Commission :
Constate que si les informations relatives à l'exercice d'une activité de télétravail étaient inscrites dans le traitement ayant pour finalité « Procédure d'embauchage », susvisé, permettant l'échange d'informations entre la Direction du Travail, l'Office de la Médecine du Travail et la Caisse de Compensation des Services Sociaux, alors ledit traitement devrait faire l'objet d'une modification auprès de la C.C.I.N. afin de veiller à la conformité des procédures mises en place avec les dispositions de la loi n° 1.165 du 23 décembre 1993.
Rappelle que les serveurs et périphériques doivent être protégés par un login et un mot de passe réputé fort et que les ports non utilisés doivent être désactivés.
Considère que les informations nominatives exploitées dans le traitement en objet devraient être supprimées, ou devraient perdre leur forme nominative, cinq ans à compter de la fin de l'année comptable au cours de laquelle la date d'effet de la retraite de l'assuré a été enregistrée.
Invite la Caisse de Compensation des Services Sociaux à mettre en œuvre le traitement ayant pour finalité « Procédure de dénomination des informations détenues par la C.C.S.S. », ayant fait l'objet d'un avis favorable de la C.C.I.N. par délibération n° 2013-133 du 27 novembre 2013.
A la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par la Caisse de Compensation des Services Sociaux (C.C.S.S.) du traitement automatisé d'informations nominatives ayant pour finalité « Suivi des assurés télétravailleurs relevant de la C.C.S.S. ».

Le Président de la Commission
de Contrôle des Informations Nominatives.