Arrêté Ministériel n° 2016-501 du 5 août 2016 relatif aux modalités de déclaration simplifiée des traitements automatisés d’informations nominatives relatifs à la gestion administrative des salariés
Nous, Ministre d’Etat de la Principauté,
Vu la loi n° 444 du 16 mai 1946 étendant aux maladies professionnelles la législation sur les accidents du travail ;
Vu la loi n° 537 du 12 mai 1951 relative à l’inspection du travail, modifiée ;
Vu la loi n° 619 du 26 juillet 1956 fixant le régime des congés payés annuels, modifiée ;
Vu la loi n° 629 du 17 juillet 1957 tendant à réglementer les conditions d’embauchage et de licenciement en Principauté, modifiée ;
Vu la loi n° 636 du 11 janvier 1958 tendant à modifier et à codifier la législation sur la déclaration, la réparation et l’assurance des accidents du travail, modifiée ;
Vu la loi n° 637 du 11 janvier 1958 tendant à créer et à organiser la médecine du travail, modifiée ;
Vu l’ordonnance-loi n° 677 du 2 décembre 1959 sur la durée du travail, modifiée ;
Vu la loi n° 729 du 16 mars 1963 concernant le contrat de travail, modifiée ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la délibération n° 2013-117 du 21 octobre 2013 de la Commission de Contrôle des Informations Nominatives portant proposition d’élaboration d’une norme permettant la déclaration simplifiée de conformité des traitements automatisés d’informations nominatives relatifs à « la gestion administrative des salariés » ;
Vu la délibération n° 2013-128 du 27 novembre 2013 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les déclarations de traitements automatisés d’informations nominatives concernant « la gestion administrative des salariés » ;
Vu la délibération n° 2016-54 du 20 avril 2016 de la Commission de Contrôle des Informations Nominatives portant avis sur la consultation du Ministre d’Etat relative au projet d’arrêté ministériel relatif aux modalités de déclaration simplifiée des traitements automatisés d’informations nominatives relatifs à « la gestion administrative des salariés » ;
Vu la délibération du Conseil de Gouvernement en date du 27 juillet 2016 ;
Arrêtons :
Article Premier.
La procédure de déclaration simplifiée de conformité prévue au second alinéa de l’article 6 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, est applicable aux traitements automatisés d’informations nominatives relatifs à la gestion administrative des salariés dès lors :
- qu’ils concernent uniquement ceux exploités par les responsables de traitement, personnes physiques ou morales de droit privé, visés à l’article 6 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
- qu’ils ne portent que sur des données objectives facilement contrôlables par les personnes intéressées dans le cadre de l’exercice du droit d’accès ;
- qu’ils n’ont recours qu’à des logiciels dont les résultats peuvent être facilement contrôlés ;
- qu’ils ne se rapportent qu’à des données contenues dans des fichiers appartenant au responsable de traitement exploités dans le respect des dispositions de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
- qu’ils comportent des mesures techniques et organisationnelles propres à assurer un niveau de sécurité adéquat au regard des risques présentés par le traitement et la nature des données, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
- qu’ils font l’objet d’une information claire et individuelle de la personne concernée conformément aux dispositions de l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, notamment des modalités d’exercice de son droit d’accès, de rectification et d’opposition.
FONCTIONNALITES DU TRAITEMENT
Art. 2.
Les traitements relevant du présent arrêté peuvent avoir tout ou partie des fonctionnalités suivantes :
- la gestion de la procédure d’embauche, des renouvellements et des fins de contrat, telle que prévue par la législation monégasque ;
- le suivi administratif des visites médicales obligatoires des salariés ;
- la gestion des déclarations d’accident du travail et de maladie professionnelle ;
- l’établissement et la mise à jour de la fiche administrative du salarié et de sa fiche de poste : situation professionnelle, historique de carrière au sein de la société, compétences et diplômes ;
- la gestion des compétences et des évaluations professionnelles du salarié : gestion des entretiens d’évaluation et des appréciations des aptitudes professionnelles sur la base de critères objectifs et présentant un lien direct et nécessaire avec l’emploi occupé, la saisie des observations et souhaits formulés par le salarié ;
- le suivi des formations : suivi des demandes de formation et des périodes de formation effectuées, organisation des sessions de formation ;
- la gestion et le suivi des congés et des absences du personnel ;
- l’établissement de listes de salariés permettant de répondre à des besoins de gestion administrative ou à des obligations de nature légale ou réglementaire ;
- l’établissement d’états statistiques non nominatifs ;
- la gestion des dotations individuelles en fournitures, équipements, véhicules et cartes de paiement ;
- la gestion des annuaires internes et des organigrammes ;
- la gestion des trombinoscopes, sous réserve d’avoir préalablement recueilli le consentement exprès de la personne concernée quant à l’utilisation de sa photographie ;
- la gestion de l’intranet ;
- la gestion des habilitations informatiques, dès lors qu’elle n’est pas mise en œuvre à des fins de surveillance, afin d’octroyer aux salariés ou aux prestataires de l’entreprise les moyens techniques et fonctionnels permettant :
• de s’authentifier au système d’information et d’exercer la fonction ou les missions pour lesquelles ils ont été recrutés ;
• de gérer les évolutions de droits, les mobilités internes et les départs ;
• de mettre à jour les comptes systèmes dans le cadre de changement d’informations administratives ;
• de permettre la réalisation de l’ensemble des tâches d’activation, de désactivation, de suppression de comptes ou de mise à jour des listes de diffusion de messagerie électronique, des listes de contrôle d’accès et des groupes de privilèges auxquels le collaborateur appartient ;
• de procéder à des revues de contrôles périodiques afin de s’assurer de la conformité des droits délivrés par rapport aux demandes et aux règles édictées en matière d’accès à l’information ;
• la mise en œuvre de dispositifs destinés à assurer la sécurité et le bon fonctionnement des applications informatiques et des réseaux (antivirus ; pare feux ; sondes anti-intrusion ; proxies …).
INFORMATIONS TRAITEES
Art. 3.
Les informations nominatives traitées dans le cadre de ces traitements ne peuvent relever que de tout ou partie des catégories suivantes :
1) Pour l’identification du salarié :
- identité du salarié : nom, prénoms, photographie, sexe, date et lieu de naissance, nationalité, numéro de matricule interne, numéro d’immatriculation délivré par un organisme de sécurité sociale ;
- identité du conjoint du salarié : nom, prénoms, date de naissance, nationalité ;
- identité des enfants à charge du salarié : nom, prénoms, date de naissance ;
- adresses et coordonnées : coordonnées professionnelles et personnelles, lieu d’habitation (Monaco, communes limitrophes, autres France, Italie) ;
- situation de famille : informations personnelles communiquées par le salarié (marié, veuf, célibataire, ...) ;
- informations professionnelles : nature de l’emploi, poste occupé, fonction ou titre ;
- documents d’identité : identification et numéro de la pièce d’identité, date et lieu de délivrance, date de validité ;
- le cas échéant, identité et coordonnées des personnes à prévenir en cas d’urgence ;
- distinctions honorifiques (facultatif).
2) Pour la gestion administrative du salarié :
- informations liées au contrat de travail : date et conditions d’embauche ou de recrutement, numéro(s) de permis de travail et date(s) de délivrance, type de contrat de travail, date d’entrée et date de fin de contrat, coefficient, horaire hebdomadaire, salaire horaire, salaire brut et indemnités, numéro d’immatriculation délivré par un organisme de sécurité sociale ;
- informations liées à la carrière : objet et motif des modifications apportées à la situation professionnelle du salarié, simulation de carrière, desiderata du salarié en terme d’emploi, sanctions disciplinaires à l’exclusion de celles consécutives à des faits amnistiés ;
- informations liées aux déclarations d’accident du travail et aux maladies professionnelles : coordonnées du médecin du travail, date de l’accident ou de la première constatation médicale de la maladie professionnelle, date du dernier jour de travail, date de reprise, motif de l’arrêt (accident du travail ou maladie professionnelle), travail non repris à ce jour ;
- informations relatives aux évaluations professionnelles : dates des entretiens d’évaluation, identité de l’évaluateur, compétences professionnelles de l’employé, objectifs assignés, résultats obtenus, appréciation des aptitudes professionnelles sur la base de critères objectifs et présentant un lien direct et nécessaire avec l’emploi occupé, observations et souhaits formulés par le salarié, prévisions d’évolution de carrière ;
- informations relatives à la validation des acquis de l’expérience : date de la demande de validation, diplôme, titre ou certificat de qualification concerné, expériences professionnelles soumises à validation, validation (oui/non), date de la décision ;
- informations relatives à la formation : diplômes, certificats et attestations, langues étrangères pratiquées, suivi des demandes de formation professionnelle et des périodes de formation effectuées, organisation des sessions de formation, évaluation des connaissances et des formations ;
- informations permettant le suivi administratif des visites médicales : dates des visites, aptitude au poste de travail (apte ou inapte, propositions d’adaptation du poste de travail ou d’affectation à un autre poste de travail formulées par le médecin du travail) ;
- information relative au permis de conduire du salarié, si sa fonction le justifie : type de permis, date et lieu de délivrance, état du permis ;
- informations relatives aux congés : date de la demande, date du refus ou de l’acceptation, nature des congés (congé annuel, maladie, congé maternité, paternité...), nature des absences (récupération, formation) ;
- informations particulières relatives aux salariés disposant d’un mandat de délégué du personnel : indication du mandat, mention du crédit d’heures de délégation.
3) Pour l’organisation interne du travail :
- annuaires internes, organigrammes et trombinoscopes : nom, prénoms, photographie (facultatif), fonction, coordonnées professionnelles ainsi que, le cas échéant, formation et réalisation professionnelle ;
- agendas professionnels : dates, lieux et heures de rendez-vous professionnels, objet, personnes présentes ;
- gestion des habilitations informatiques :
• identité : nom, prénoms et service du salarié, nom, prénoms et signature du supérieur pour la gestion des habilitations ;
• données d’identification électronique : identifiant de la personne concernée (login et mot de passe) ;
• compte utilisateur : nom et domaine du compte, groupe d’utilisateurs, type de droits ;
• données de connexion : logs, traces d’exécution, horodatage, fichiers journaux ;
- gestion de l’intranet : formulaires administratifs internes, organi-grammes, espaces de discussion, espaces d’information ;
- gestion des dispositifs de sécurité : données de connexion enregistrées pour assurer la sécurité et le bon fonctionnement des applications et des réseaux informatiques, à l’exclusion de tout traitement opérant une surveillance de l’activité des salariés.
DUREE DE CONSERVATION
Art. 4.
Les informations collectées dans le cadre des traitements prévus au présent arrêté ne peuvent, sauf dispositions législatives ou réglementaires contraires, être conservées au-delà de la période d’emploi de la personne concernée.
Les informations relatives aux sujétions particulières ouvrant droits à congés spéciaux ou à un crédit d’heures de délégation ne peuvent être conservées au-delà de la période de sujétion du salarié concerné.
Au-delà, ces informations collectées peuvent être archivées sur un support informatique distinct et à accès très limité, conformément aux règles applicables en matière d’archivage.
Toutefois, par dérogation au premier alinéa :
- les informations afférentes à l’identité et au compte utilisateur, dans le cadre d’un traitement relatif à la gestion des habilitations informatiques, sont conservées trois mois après le départ de l’utilisateur.
- les informations relatives aux données d’identification électroniques sont conservées pour le temps de la relation contractuelle du salarié ou de son affectation dans le service et sont supprimées lors de la cessation de ladite relation contractuelle ou dès le changement de service.
- les informations afférentes aux données de connexion, dans le cadre d’un traitement relatif à la gestion des dispositifs de sécurité, sont conservées pendant un an au plus à compter de leur collecte.
- les informations concernant un salarié impliqué dans un contentieux sont conservées cinq ans après la fin de la procédure.
DESTINATAIRES DES INFORMATIONS
Art. 5.
1) Les personnes pouvant avoir accès au traitement sont :
- l’employeur pour les informations nécessaires à l’exécution de ses missions et obligations légales ou réglementaires et, le cas échéant de celles découlant des accords ou conventions collectives en vigueur ;
- les personnes chargées de la gestion du personnel ;
- les supérieurs hiérarchiques des salariés concernés, pour les informations nécessaires à l’exécution de leurs missions ;
- les personnels techniques en charge du système d’information, dans le cadre exclusif de leurs fonctions liées au fonctionnement et à la sécurité du système.
2) Les personnes pouvant recevoir communication des informations sont :
a) dans le cadre des missions qui leurs sont conférées aux termes de la législation en vigueur :
- la Direction du Travail, notamment au titre de la législation relative aux conditions d’embauchage en Principauté et au respect des règles applicables en matière de droit du travail ;
- l’Office de la Médecine du Travail, particulièrement au titre des obligations de visites médicales obligatoires pour tout salarié ;
- les organismes sociaux dont relève le salarié ;
- la Direction de la Sûreté Publique en ce qui concerne les informations liées aux déclarations d’accident du travail et aux maladies professionnelles ;
- les Cours et Tribunaux de la Principauté ;
b) les organismes d’assurances ;
c) les organismes de formation professionnelle pour les seules informations nécessaires à l’organisation de telles formations ;
d) les agences de voyage pour les seules informations d’identification nécessaires à la réservation du voyage ;
e) les membres du comité paritaire du fonds social d’une entreprise.
TRANSMISSIONS D’INFORMATIONS VERS L’ETRANGER
Art. 6.
La délivrance d’un récépissé de mise en œuvre d’un traitement relatif à la gestion administrative des salariés sous la forme d’une déclaration simplifiée n’exonère pas le responsable du traitement de ses obligations en matière de transfert d’informations nominatives vers un pays ou un organisme n’assurant pas un niveau de protection adéquat. Celui-ci pourra toutefois être réalisé dans les conditions prévues à l’article 20-1 de la loi n° 1.165 du 3 décembre 1993, modifiée.
EXCLUSION DU BENEFICE DE LA DECLARATION SIMPLIFIEE
Art. 7.
Les traitements d’informations nominatives qui ne sont pas conformes aux dispositions précitées doivent faire l’objet d’une formalité autre auprès de la Commission de Contrôle des Informations Nominatives dans les conditions fixées au premier alinéa de l’article 6 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
Art. 8.
Le Conseiller de Gouvernement-Ministre des Affaires Sociales et de la Santé est chargé de l’exécution du présent arrêté.
Fait à Monaco, en l’Hôtel du Gouvernement, le cinq août deux mille seize.
Le Ministre d’Etat,
S. TELLE.
Vu la loi n° 444 du 16 mai 1946 étendant aux maladies professionnelles la législation sur les accidents du travail ;
Vu la loi n° 537 du 12 mai 1951 relative à l’inspection du travail, modifiée ;
Vu la loi n° 619 du 26 juillet 1956 fixant le régime des congés payés annuels, modifiée ;
Vu la loi n° 629 du 17 juillet 1957 tendant à réglementer les conditions d’embauchage et de licenciement en Principauté, modifiée ;
Vu la loi n° 636 du 11 janvier 1958 tendant à modifier et à codifier la législation sur la déclaration, la réparation et l’assurance des accidents du travail, modifiée ;
Vu la loi n° 637 du 11 janvier 1958 tendant à créer et à organiser la médecine du travail, modifiée ;
Vu l’ordonnance-loi n° 677 du 2 décembre 1959 sur la durée du travail, modifiée ;
Vu la loi n° 729 du 16 mars 1963 concernant le contrat de travail, modifiée ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la délibération n° 2013-117 du 21 octobre 2013 de la Commission de Contrôle des Informations Nominatives portant proposition d’élaboration d’une norme permettant la déclaration simplifiée de conformité des traitements automatisés d’informations nominatives relatifs à « la gestion administrative des salariés » ;
Vu la délibération n° 2013-128 du 27 novembre 2013 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les déclarations de traitements automatisés d’informations nominatives concernant « la gestion administrative des salariés » ;
Vu la délibération n° 2016-54 du 20 avril 2016 de la Commission de Contrôle des Informations Nominatives portant avis sur la consultation du Ministre d’Etat relative au projet d’arrêté ministériel relatif aux modalités de déclaration simplifiée des traitements automatisés d’informations nominatives relatifs à « la gestion administrative des salariés » ;
Vu la délibération du Conseil de Gouvernement en date du 27 juillet 2016 ;
Arrêtons :
Article Premier.
La procédure de déclaration simplifiée de conformité prévue au second alinéa de l’article 6 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, est applicable aux traitements automatisés d’informations nominatives relatifs à la gestion administrative des salariés dès lors :
- qu’ils concernent uniquement ceux exploités par les responsables de traitement, personnes physiques ou morales de droit privé, visés à l’article 6 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
- qu’ils ne portent que sur des données objectives facilement contrôlables par les personnes intéressées dans le cadre de l’exercice du droit d’accès ;
- qu’ils n’ont recours qu’à des logiciels dont les résultats peuvent être facilement contrôlés ;
- qu’ils ne se rapportent qu’à des données contenues dans des fichiers appartenant au responsable de traitement exploités dans le respect des dispositions de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
- qu’ils comportent des mesures techniques et organisationnelles propres à assurer un niveau de sécurité adéquat au regard des risques présentés par le traitement et la nature des données, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
- qu’ils font l’objet d’une information claire et individuelle de la personne concernée conformément aux dispositions de l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, notamment des modalités d’exercice de son droit d’accès, de rectification et d’opposition.
FONCTIONNALITES DU TRAITEMENT
Art. 2.
Les traitements relevant du présent arrêté peuvent avoir tout ou partie des fonctionnalités suivantes :
- la gestion de la procédure d’embauche, des renouvellements et des fins de contrat, telle que prévue par la législation monégasque ;
- le suivi administratif des visites médicales obligatoires des salariés ;
- la gestion des déclarations d’accident du travail et de maladie professionnelle ;
- l’établissement et la mise à jour de la fiche administrative du salarié et de sa fiche de poste : situation professionnelle, historique de carrière au sein de la société, compétences et diplômes ;
- la gestion des compétences et des évaluations professionnelles du salarié : gestion des entretiens d’évaluation et des appréciations des aptitudes professionnelles sur la base de critères objectifs et présentant un lien direct et nécessaire avec l’emploi occupé, la saisie des observations et souhaits formulés par le salarié ;
- le suivi des formations : suivi des demandes de formation et des périodes de formation effectuées, organisation des sessions de formation ;
- la gestion et le suivi des congés et des absences du personnel ;
- l’établissement de listes de salariés permettant de répondre à des besoins de gestion administrative ou à des obligations de nature légale ou réglementaire ;
- l’établissement d’états statistiques non nominatifs ;
- la gestion des dotations individuelles en fournitures, équipements, véhicules et cartes de paiement ;
- la gestion des annuaires internes et des organigrammes ;
- la gestion des trombinoscopes, sous réserve d’avoir préalablement recueilli le consentement exprès de la personne concernée quant à l’utilisation de sa photographie ;
- la gestion de l’intranet ;
- la gestion des habilitations informatiques, dès lors qu’elle n’est pas mise en œuvre à des fins de surveillance, afin d’octroyer aux salariés ou aux prestataires de l’entreprise les moyens techniques et fonctionnels permettant :
• de s’authentifier au système d’information et d’exercer la fonction ou les missions pour lesquelles ils ont été recrutés ;
• de gérer les évolutions de droits, les mobilités internes et les départs ;
• de mettre à jour les comptes systèmes dans le cadre de changement d’informations administratives ;
• de permettre la réalisation de l’ensemble des tâches d’activation, de désactivation, de suppression de comptes ou de mise à jour des listes de diffusion de messagerie électronique, des listes de contrôle d’accès et des groupes de privilèges auxquels le collaborateur appartient ;
• de procéder à des revues de contrôles périodiques afin de s’assurer de la conformité des droits délivrés par rapport aux demandes et aux règles édictées en matière d’accès à l’information ;
• la mise en œuvre de dispositifs destinés à assurer la sécurité et le bon fonctionnement des applications informatiques et des réseaux (antivirus ; pare feux ; sondes anti-intrusion ; proxies …).
INFORMATIONS TRAITEES
Art. 3.
Les informations nominatives traitées dans le cadre de ces traitements ne peuvent relever que de tout ou partie des catégories suivantes :
1) Pour l’identification du salarié :
- identité du salarié : nom, prénoms, photographie, sexe, date et lieu de naissance, nationalité, numéro de matricule interne, numéro d’immatriculation délivré par un organisme de sécurité sociale ;
- identité du conjoint du salarié : nom, prénoms, date de naissance, nationalité ;
- identité des enfants à charge du salarié : nom, prénoms, date de naissance ;
- adresses et coordonnées : coordonnées professionnelles et personnelles, lieu d’habitation (Monaco, communes limitrophes, autres France, Italie) ;
- situation de famille : informations personnelles communiquées par le salarié (marié, veuf, célibataire, ...) ;
- informations professionnelles : nature de l’emploi, poste occupé, fonction ou titre ;
- documents d’identité : identification et numéro de la pièce d’identité, date et lieu de délivrance, date de validité ;
- le cas échéant, identité et coordonnées des personnes à prévenir en cas d’urgence ;
- distinctions honorifiques (facultatif).
2) Pour la gestion administrative du salarié :
- informations liées au contrat de travail : date et conditions d’embauche ou de recrutement, numéro(s) de permis de travail et date(s) de délivrance, type de contrat de travail, date d’entrée et date de fin de contrat, coefficient, horaire hebdomadaire, salaire horaire, salaire brut et indemnités, numéro d’immatriculation délivré par un organisme de sécurité sociale ;
- informations liées à la carrière : objet et motif des modifications apportées à la situation professionnelle du salarié, simulation de carrière, desiderata du salarié en terme d’emploi, sanctions disciplinaires à l’exclusion de celles consécutives à des faits amnistiés ;
- informations liées aux déclarations d’accident du travail et aux maladies professionnelles : coordonnées du médecin du travail, date de l’accident ou de la première constatation médicale de la maladie professionnelle, date du dernier jour de travail, date de reprise, motif de l’arrêt (accident du travail ou maladie professionnelle), travail non repris à ce jour ;
- informations relatives aux évaluations professionnelles : dates des entretiens d’évaluation, identité de l’évaluateur, compétences professionnelles de l’employé, objectifs assignés, résultats obtenus, appréciation des aptitudes professionnelles sur la base de critères objectifs et présentant un lien direct et nécessaire avec l’emploi occupé, observations et souhaits formulés par le salarié, prévisions d’évolution de carrière ;
- informations relatives à la validation des acquis de l’expérience : date de la demande de validation, diplôme, titre ou certificat de qualification concerné, expériences professionnelles soumises à validation, validation (oui/non), date de la décision ;
- informations relatives à la formation : diplômes, certificats et attestations, langues étrangères pratiquées, suivi des demandes de formation professionnelle et des périodes de formation effectuées, organisation des sessions de formation, évaluation des connaissances et des formations ;
- informations permettant le suivi administratif des visites médicales : dates des visites, aptitude au poste de travail (apte ou inapte, propositions d’adaptation du poste de travail ou d’affectation à un autre poste de travail formulées par le médecin du travail) ;
- information relative au permis de conduire du salarié, si sa fonction le justifie : type de permis, date et lieu de délivrance, état du permis ;
- informations relatives aux congés : date de la demande, date du refus ou de l’acceptation, nature des congés (congé annuel, maladie, congé maternité, paternité...), nature des absences (récupération, formation) ;
- informations particulières relatives aux salariés disposant d’un mandat de délégué du personnel : indication du mandat, mention du crédit d’heures de délégation.
3) Pour l’organisation interne du travail :
- annuaires internes, organigrammes et trombinoscopes : nom, prénoms, photographie (facultatif), fonction, coordonnées professionnelles ainsi que, le cas échéant, formation et réalisation professionnelle ;
- agendas professionnels : dates, lieux et heures de rendez-vous professionnels, objet, personnes présentes ;
- gestion des habilitations informatiques :
• identité : nom, prénoms et service du salarié, nom, prénoms et signature du supérieur pour la gestion des habilitations ;
• données d’identification électronique : identifiant de la personne concernée (login et mot de passe) ;
• compte utilisateur : nom et domaine du compte, groupe d’utilisateurs, type de droits ;
• données de connexion : logs, traces d’exécution, horodatage, fichiers journaux ;
- gestion de l’intranet : formulaires administratifs internes, organi-grammes, espaces de discussion, espaces d’information ;
- gestion des dispositifs de sécurité : données de connexion enregistrées pour assurer la sécurité et le bon fonctionnement des applications et des réseaux informatiques, à l’exclusion de tout traitement opérant une surveillance de l’activité des salariés.
DUREE DE CONSERVATION
Art. 4.
Les informations collectées dans le cadre des traitements prévus au présent arrêté ne peuvent, sauf dispositions législatives ou réglementaires contraires, être conservées au-delà de la période d’emploi de la personne concernée.
Les informations relatives aux sujétions particulières ouvrant droits à congés spéciaux ou à un crédit d’heures de délégation ne peuvent être conservées au-delà de la période de sujétion du salarié concerné.
Au-delà, ces informations collectées peuvent être archivées sur un support informatique distinct et à accès très limité, conformément aux règles applicables en matière d’archivage.
Toutefois, par dérogation au premier alinéa :
- les informations afférentes à l’identité et au compte utilisateur, dans le cadre d’un traitement relatif à la gestion des habilitations informatiques, sont conservées trois mois après le départ de l’utilisateur.
- les informations relatives aux données d’identification électroniques sont conservées pour le temps de la relation contractuelle du salarié ou de son affectation dans le service et sont supprimées lors de la cessation de ladite relation contractuelle ou dès le changement de service.
- les informations afférentes aux données de connexion, dans le cadre d’un traitement relatif à la gestion des dispositifs de sécurité, sont conservées pendant un an au plus à compter de leur collecte.
- les informations concernant un salarié impliqué dans un contentieux sont conservées cinq ans après la fin de la procédure.
DESTINATAIRES DES INFORMATIONS
Art. 5.
1) Les personnes pouvant avoir accès au traitement sont :
- l’employeur pour les informations nécessaires à l’exécution de ses missions et obligations légales ou réglementaires et, le cas échéant de celles découlant des accords ou conventions collectives en vigueur ;
- les personnes chargées de la gestion du personnel ;
- les supérieurs hiérarchiques des salariés concernés, pour les informations nécessaires à l’exécution de leurs missions ;
- les personnels techniques en charge du système d’information, dans le cadre exclusif de leurs fonctions liées au fonctionnement et à la sécurité du système.
2) Les personnes pouvant recevoir communication des informations sont :
a) dans le cadre des missions qui leurs sont conférées aux termes de la législation en vigueur :
- la Direction du Travail, notamment au titre de la législation relative aux conditions d’embauchage en Principauté et au respect des règles applicables en matière de droit du travail ;
- l’Office de la Médecine du Travail, particulièrement au titre des obligations de visites médicales obligatoires pour tout salarié ;
- les organismes sociaux dont relève le salarié ;
- la Direction de la Sûreté Publique en ce qui concerne les informations liées aux déclarations d’accident du travail et aux maladies professionnelles ;
- les Cours et Tribunaux de la Principauté ;
b) les organismes d’assurances ;
c) les organismes de formation professionnelle pour les seules informations nécessaires à l’organisation de telles formations ;
d) les agences de voyage pour les seules informations d’identification nécessaires à la réservation du voyage ;
e) les membres du comité paritaire du fonds social d’une entreprise.
TRANSMISSIONS D’INFORMATIONS VERS L’ETRANGER
Art. 6.
La délivrance d’un récépissé de mise en œuvre d’un traitement relatif à la gestion administrative des salariés sous la forme d’une déclaration simplifiée n’exonère pas le responsable du traitement de ses obligations en matière de transfert d’informations nominatives vers un pays ou un organisme n’assurant pas un niveau de protection adéquat. Celui-ci pourra toutefois être réalisé dans les conditions prévues à l’article 20-1 de la loi n° 1.165 du 3 décembre 1993, modifiée.
EXCLUSION DU BENEFICE DE LA DECLARATION SIMPLIFIEE
Art. 7.
Les traitements d’informations nominatives qui ne sont pas conformes aux dispositions précitées doivent faire l’objet d’une formalité autre auprès de la Commission de Contrôle des Informations Nominatives dans les conditions fixées au premier alinéa de l’article 6 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
Art. 8.
Le Conseiller de Gouvernement-Ministre des Affaires Sociales et de la Santé est chargé de l’exécution du présent arrêté.
Fait à Monaco, en l’Hôtel du Gouvernement, le cinq août deux mille seize.
Le Ministre d’Etat,
S. TELLE.