Délibération n° 2014-24 du 4 février 2014 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité «Gestion des consultations juridiques» présenté par son Président
Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel du 28 janvier 1981 et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu la délibération n° 2010-08 du 1er mars 2010 de la Commission relative à la mise en œuvre du traitement ayant pour finalité «Organisation et gestion des missions et activités du Secrétariat de la CCIN» ;
Vu la demande d’avis déposée par le Président de la Commission de Contrôle des Informations Nominatives le 13 janvier 2014 relative à la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité «Gestion des consultations juridiques» ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 4 février 2014 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
La Commission de Contrôle des Informations Nominatives est une autorité administrative indépendante, organisme de droit public.
Par délibération n° 2010-08 du 1er mars 2010, elle a mis en œuvre un traitement ayant pour finalité «Organisation et gestion des missions et activités du Secrétariat de la CCIN».
Pour répondre à l’accroissement de ses activités et à la nouvelle organisation interne du Secrétariat Général, la CCIN a procédé à la refonte complète de son système d’information.
Dans ce cadre, il est apparu nécessaire de préciser certaines fonctionnalités du traitement susmentionné, et de les intégrer dans un traitement distinct.
Au vu de ces éléments, et en application de l’article 7 de la loi n° 1.165 du 23 décembre 1993, le Président de la Commission a décidé de soumettre à l’avis de la Commission un nouveau traitement ayant pour finalité «Gestion des consultations juridiques».
I. Sur la finalité et les fonctionnalités du traitement
Le traitement a pour finalité «Gestion des consultations juridiques».
Les personnes concernées sont les agents du Secrétariat Général, le Secrétaire Général, le Président ainsi que les tiers qui contactent la CCIN pour une consultation juridique.
Enfin, les fonctionnalités du traitement sont les suivantes :
- Réception de courriers ou d’emails de la part des responsables de traitement ou de particuliers interrogeant la CCIN sur leurs droits ou obligations et d’une manière générale, sur l’application de la législation relative à la protection des informations nominatives ;
- Traitement des demandes par les collaborateurs juridiques en charge des dossiers ;
- Rédaction de tout rapport juridique en lien avec les missions de la CCIN ;
- Statistiques sur les demandes ou consultations reçues ;
- Interconnexion avec le traitement «Gestion de l’imprimante multifonction» pour la traçabilité des travaux d’impression effectués à partir du présent traitement ;
- Interconnexion (filtrage) avec le traitement «Gestion des habilitations» pour les accès aux répertoires partagés ;
- Rapprochement avec les traitements suivants :
• «Gestion de l’activité instruction, contrôle et contentieux» pour les demandes susceptibles de donner lieu à une plainte, une procédure de contrôle ou tout autre activité entrant dans le cadre dudit traitement ;
• «Gestion de la messagerie électronique professionnelle» pour la réception d’emails de responsables de traitement ou de particuliers souhaitant interroger la CCIN sur leurs droits et obligations, ou pour l’envoi de projets de réponse en interne, ou de réponses aux personnes concernées ;
• «Gestion des travaux préparatoires des réunions plénières de la Commission» pour la présentation à la Commission de certains travaux objets du présent traitement, selon l’appréciation du Président ;
• «Gestion de l’activité administrative du Secrétariat Général» pour l’enregistrement des courriers ou emails en lien avec le présent traitement.
Au vu de ces éléments, la Commission considère que la finalité du traitement est «déterminée, explicite et légitime», tel qu’exigé par l’article 10-1 de la loi n° 1.165, modifiée.
II. Sur la licéité et la justification du traitement
La Commission relève que les fonctionnalités du traitement dont s’agit ont vocation à répondre aux missions conférées à la CCIN par l’article 2 de la loi n° 1.165, modifiée - missions ayant vocation à assurer la protection des libertés et droits fondamentaux visés par le Titre III de la Constitution.
C’est pourquoi elle considère que le traitement dont s’agit est également justifié par le respect d’obligations légales ainsi qu’un motif d’intérêt public.
Par conséquent, elle estime que le traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
Les informations objets du traitement sont les suivantes :
- Identité : nom, prénom de l’agent du Secrétariat Général, du Secrétaire Général, du Président ou du tiers contactant la CCIN ou sujet de la consultation ;
- Situation de famille : civilité ;
- Coordonnées : adresse postale, numéro de téléphone fixe et/ou mobile de l’agent (signature email) ou du tiers contactant la CCIN ou sujet de la consultation ;
- Vie professionnelle : fonction de l’agent (signature email), du Président (courriers) ou du tiers contactant la CCIN ou sujet de la consultation ;
- Données d’identification électronique : email du tiers interrogeant la CCIN par ce biais ; email de l’agent en charge du dossier s’il répond par ce biais ; horodatage des emails ;
- Rapports juridiques divers : rapports rédigés en réponse à une consultation ou relativement à une problématique juridique particulière ;
- Correspondances : emails ou courriers en réponse aux consultations ou en lien avec une problématique juridique particulière.
Les données relatives à l’identité, la civilité, les coordonnées et la vie professionnelle ont pour origine les rapports juridiques et les correspondances susvisés. Les données d’identification électroniques proviennent des demandes de consultation reçues sur la messagerie générique de la CCIN (ccin@ccin.mc) ou celles des agents du Secrétariat Général ou du Secrétaire Général, ainsi que des réponses subséquentes faites par email, le cas échéant. Enfin, les rapports juridiques et les correspondances susmentionnés sont rédigés par les agents du Secrétariat Général, le Secrétaire Général ou le Président.
Considérant les dispositions de l’article 10-1 de la loi n° 1.165, modifiée, la Commission estime que les informations traitées sont «adéquates, pertinentes et non excessives» au regard de la finalité du traitement.
IV. Sur les droits des personnes concernées
• Sur l’information des personnes concernées
La Commission observe que l’information préalable des personnes concernées est effectuée suivant plusieurs modalités.
Tout d’abord, les collaborateurs de la CCIN sont informés par le biais de la charte informatique de la CCIN, qui comprend un article spécifique à la protection des informations nominatives. Y sont mentionnés les traitements exploités par la Commission ainsi que les modalités d’exercice, par les collaborateurs, de leurs droits.
Par ailleurs, les tiers sont informés par le biais des mentions légales du site Internet de la CCIN, qui comprend un paragraphe spécifique à la protection des informations nominatives.
Enfin, l’ensemble des personnes concernées est informé par un affichage à l’entrée des locaux de la CCIN.
La Commission relève que ces mentions sont complètes au regard des exigences de l’article 14 de la loi n° 1.165, modifiée.
Ainsi, elle considère que les modalités d’information préalable des personnes concernées sont conformes aux exigences légales.
• Sur l’exercice des droits d’accès, de rectification et d’opposition
La Commission observe que les droits d’accès, de rectification et de suppression des personnes concernées peuvent être exercés sur place ou par voie postale, à l’attention du Secrétariat Général de la CCIN.
Le délai de réponse est de 30 jours.
Elle considère donc que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.
V. Sur les destinataires et les personnes ayant accès au traitement
• Sur les destinataires
Les tiers ayant interrogé la CCIN sur la protection des données ou adressé à la CCIN des demandes de consultations juridiques sont rendus destinataires des correspondances faisant suite à ces demandes. Dans certains cas, la CCIN est également susceptible de correspondre avec d’autres personnes lorsque celles-ci sont également concernées par une problématique juridique qui lui est soumise, et sous réserve du respect de la confidentialité et des droits des personnes concernées.
La Commission considère que ces transmissions sont conformes aux exigences légales.
• Sur les personnes ayant accès au traitement
Chaque agent du Secrétariat Général ainsi que le Secrétaire Général et le Président ont accès aux documents dont ils sont chargés de la rédaction ou de la relecture (inscription, modification).
Ces documents sont enregistrés et peuvent donc être consultés :
- sur le réseau nominatif de l’agent en charge ou du Secrétaire Général, uniquement par lui ;
- sur le réseau commun pour les documents nécessitant un travail entre plusieurs agents ou avec le Secrétaire Général, par tous les agents du Secrétariat Général, le Secrétaire Général ainsi que le Président.
L’agent administrateur informatique du Secrétariat Général dispose de tous les droits d’accès dans le cadre de la maintenance du système d’information.
La Commission considère que les accès susvisés sont conformes aux exigences légales.
VI. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation particulière.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VII. Sur la durée de conservation
Les rapports juridiques sont anonymisés au terme d’un délai de cinq ans.
Les emails sont supprimés de la messagerie au terme d’un délai d’un an, ou jusqu’à la clôture du dossier si le traitement du dossier dépasse le délai d’un an.
Les projets de correspondances éventuellement conservés sur le disque dur du collaborateur en charge sont effacés ou anonymisés au terme d’un délai de deux ans. Il s’agit uniquement de brouillons, les courriers définitifs étant quant à eux enregistrés dans la base courriers et faisant à ce titre partie du traitement ayant pour finalité «Gestion de l’activité administrative du Secrétariat Général».
Les données objets du traitement peuvent être conservées pour un délai plus long pour les besoins d’une procédure judiciaire.
La Commission considère que ces durées de conservation sont conformes aux exigences légales.
Au vu de ces éléments,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Président de la Commission de Contrôle des Informations Nominatives, du traitement automatisé d’informations nominatives ayant pour finalité «Gestion des consultations juridiques».
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel du 28 janvier 1981 et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu la délibération n° 2010-08 du 1er mars 2010 de la Commission relative à la mise en œuvre du traitement ayant pour finalité «Organisation et gestion des missions et activités du Secrétariat de la CCIN» ;
Vu la demande d’avis déposée par le Président de la Commission de Contrôle des Informations Nominatives le 13 janvier 2014 relative à la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité «Gestion des consultations juridiques» ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 4 février 2014 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
La Commission de Contrôle des Informations Nominatives est une autorité administrative indépendante, organisme de droit public.
Par délibération n° 2010-08 du 1er mars 2010, elle a mis en œuvre un traitement ayant pour finalité «Organisation et gestion des missions et activités du Secrétariat de la CCIN».
Pour répondre à l’accroissement de ses activités et à la nouvelle organisation interne du Secrétariat Général, la CCIN a procédé à la refonte complète de son système d’information.
Dans ce cadre, il est apparu nécessaire de préciser certaines fonctionnalités du traitement susmentionné, et de les intégrer dans un traitement distinct.
Au vu de ces éléments, et en application de l’article 7 de la loi n° 1.165 du 23 décembre 1993, le Président de la Commission a décidé de soumettre à l’avis de la Commission un nouveau traitement ayant pour finalité «Gestion des consultations juridiques».
I. Sur la finalité et les fonctionnalités du traitement
Le traitement a pour finalité «Gestion des consultations juridiques».
Les personnes concernées sont les agents du Secrétariat Général, le Secrétaire Général, le Président ainsi que les tiers qui contactent la CCIN pour une consultation juridique.
Enfin, les fonctionnalités du traitement sont les suivantes :
- Réception de courriers ou d’emails de la part des responsables de traitement ou de particuliers interrogeant la CCIN sur leurs droits ou obligations et d’une manière générale, sur l’application de la législation relative à la protection des informations nominatives ;
- Traitement des demandes par les collaborateurs juridiques en charge des dossiers ;
- Rédaction de tout rapport juridique en lien avec les missions de la CCIN ;
- Statistiques sur les demandes ou consultations reçues ;
- Interconnexion avec le traitement «Gestion de l’imprimante multifonction» pour la traçabilité des travaux d’impression effectués à partir du présent traitement ;
- Interconnexion (filtrage) avec le traitement «Gestion des habilitations» pour les accès aux répertoires partagés ;
- Rapprochement avec les traitements suivants :
• «Gestion de l’activité instruction, contrôle et contentieux» pour les demandes susceptibles de donner lieu à une plainte, une procédure de contrôle ou tout autre activité entrant dans le cadre dudit traitement ;
• «Gestion de la messagerie électronique professionnelle» pour la réception d’emails de responsables de traitement ou de particuliers souhaitant interroger la CCIN sur leurs droits et obligations, ou pour l’envoi de projets de réponse en interne, ou de réponses aux personnes concernées ;
• «Gestion des travaux préparatoires des réunions plénières de la Commission» pour la présentation à la Commission de certains travaux objets du présent traitement, selon l’appréciation du Président ;
• «Gestion de l’activité administrative du Secrétariat Général» pour l’enregistrement des courriers ou emails en lien avec le présent traitement.
Au vu de ces éléments, la Commission considère que la finalité du traitement est «déterminée, explicite et légitime», tel qu’exigé par l’article 10-1 de la loi n° 1.165, modifiée.
II. Sur la licéité et la justification du traitement
La Commission relève que les fonctionnalités du traitement dont s’agit ont vocation à répondre aux missions conférées à la CCIN par l’article 2 de la loi n° 1.165, modifiée - missions ayant vocation à assurer la protection des libertés et droits fondamentaux visés par le Titre III de la Constitution.
C’est pourquoi elle considère que le traitement dont s’agit est également justifié par le respect d’obligations légales ainsi qu’un motif d’intérêt public.
Par conséquent, elle estime que le traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
Les informations objets du traitement sont les suivantes :
- Identité : nom, prénom de l’agent du Secrétariat Général, du Secrétaire Général, du Président ou du tiers contactant la CCIN ou sujet de la consultation ;
- Situation de famille : civilité ;
- Coordonnées : adresse postale, numéro de téléphone fixe et/ou mobile de l’agent (signature email) ou du tiers contactant la CCIN ou sujet de la consultation ;
- Vie professionnelle : fonction de l’agent (signature email), du Président (courriers) ou du tiers contactant la CCIN ou sujet de la consultation ;
- Données d’identification électronique : email du tiers interrogeant la CCIN par ce biais ; email de l’agent en charge du dossier s’il répond par ce biais ; horodatage des emails ;
- Rapports juridiques divers : rapports rédigés en réponse à une consultation ou relativement à une problématique juridique particulière ;
- Correspondances : emails ou courriers en réponse aux consultations ou en lien avec une problématique juridique particulière.
Les données relatives à l’identité, la civilité, les coordonnées et la vie professionnelle ont pour origine les rapports juridiques et les correspondances susvisés. Les données d’identification électroniques proviennent des demandes de consultation reçues sur la messagerie générique de la CCIN (ccin@ccin.mc) ou celles des agents du Secrétariat Général ou du Secrétaire Général, ainsi que des réponses subséquentes faites par email, le cas échéant. Enfin, les rapports juridiques et les correspondances susmentionnés sont rédigés par les agents du Secrétariat Général, le Secrétaire Général ou le Président.
Considérant les dispositions de l’article 10-1 de la loi n° 1.165, modifiée, la Commission estime que les informations traitées sont «adéquates, pertinentes et non excessives» au regard de la finalité du traitement.
IV. Sur les droits des personnes concernées
• Sur l’information des personnes concernées
La Commission observe que l’information préalable des personnes concernées est effectuée suivant plusieurs modalités.
Tout d’abord, les collaborateurs de la CCIN sont informés par le biais de la charte informatique de la CCIN, qui comprend un article spécifique à la protection des informations nominatives. Y sont mentionnés les traitements exploités par la Commission ainsi que les modalités d’exercice, par les collaborateurs, de leurs droits.
Par ailleurs, les tiers sont informés par le biais des mentions légales du site Internet de la CCIN, qui comprend un paragraphe spécifique à la protection des informations nominatives.
Enfin, l’ensemble des personnes concernées est informé par un affichage à l’entrée des locaux de la CCIN.
La Commission relève que ces mentions sont complètes au regard des exigences de l’article 14 de la loi n° 1.165, modifiée.
Ainsi, elle considère que les modalités d’information préalable des personnes concernées sont conformes aux exigences légales.
• Sur l’exercice des droits d’accès, de rectification et d’opposition
La Commission observe que les droits d’accès, de rectification et de suppression des personnes concernées peuvent être exercés sur place ou par voie postale, à l’attention du Secrétariat Général de la CCIN.
Le délai de réponse est de 30 jours.
Elle considère donc que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.
V. Sur les destinataires et les personnes ayant accès au traitement
• Sur les destinataires
Les tiers ayant interrogé la CCIN sur la protection des données ou adressé à la CCIN des demandes de consultations juridiques sont rendus destinataires des correspondances faisant suite à ces demandes. Dans certains cas, la CCIN est également susceptible de correspondre avec d’autres personnes lorsque celles-ci sont également concernées par une problématique juridique qui lui est soumise, et sous réserve du respect de la confidentialité et des droits des personnes concernées.
La Commission considère que ces transmissions sont conformes aux exigences légales.
• Sur les personnes ayant accès au traitement
Chaque agent du Secrétariat Général ainsi que le Secrétaire Général et le Président ont accès aux documents dont ils sont chargés de la rédaction ou de la relecture (inscription, modification).
Ces documents sont enregistrés et peuvent donc être consultés :
- sur le réseau nominatif de l’agent en charge ou du Secrétaire Général, uniquement par lui ;
- sur le réseau commun pour les documents nécessitant un travail entre plusieurs agents ou avec le Secrétaire Général, par tous les agents du Secrétariat Général, le Secrétaire Général ainsi que le Président.
L’agent administrateur informatique du Secrétariat Général dispose de tous les droits d’accès dans le cadre de la maintenance du système d’information.
La Commission considère que les accès susvisés sont conformes aux exigences légales.
VI. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation particulière.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VII. Sur la durée de conservation
Les rapports juridiques sont anonymisés au terme d’un délai de cinq ans.
Les emails sont supprimés de la messagerie au terme d’un délai d’un an, ou jusqu’à la clôture du dossier si le traitement du dossier dépasse le délai d’un an.
Les projets de correspondances éventuellement conservés sur le disque dur du collaborateur en charge sont effacés ou anonymisés au terme d’un délai de deux ans. Il s’agit uniquement de brouillons, les courriers définitifs étant quant à eux enregistrés dans la base courriers et faisant à ce titre partie du traitement ayant pour finalité «Gestion de l’activité administrative du Secrétariat Général».
Les données objets du traitement peuvent être conservées pour un délai plus long pour les besoins d’une procédure judiciaire.
La Commission considère que ces durées de conservation sont conformes aux exigences légales.
Au vu de ces éléments,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Président de la Commission de Contrôle des Informations Nominatives, du traitement automatisé d’informations nominatives ayant pour finalité «Gestion des consultations juridiques».
Le Président de la Commission
de Contrôle des Informations Nominatives.