Délibération n° 2016-169 du 16 novembre 2016 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre de la modification du traitement automatisé d'informations nominatives ayant pour finalité « Gestion du site Internet de la bibliothèque Caroline et de l'accès distant des adhérents au fonds documentaire » de la Bibliothèque Caroline, relevant de la Direction de l'Education Nationale, de la Jeunesse et des Sports présentée par le Ministre d'Etat.

Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la loi n° 1.344 du 12 juillet 2007 sur l'Education ;
Vu l'ordonnance souveraine n° 5.540 du 19 mars 1975 portant création de la Direction de l'Education Nationale, de la Jeunesse et des Sports ;
Vu l'ordonnance souveraine n ° 5.553 du 21 mars 1975 plaçant la bibliothèque Caroline sous l'autorité de l'Education Nationale ;
Vu l'ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu la délibération n° 04-18 du 15 novembre 2004 de la Commission de Contrôle des Informations Nominatives portant avis favorable sur la demande présentée en régularisation, par le Ministre d'Etat, relative au traitement automatisé ayant pour finalité « Gestion des prêts de livres et de jeux à partir d'un fichier emprunteurs » de la Direction de l'Education Nationale, de la Jeunesse et des Sports ;
Vu la délibération n° 08-08 du 4 juillet 2008 de la Commission de Contrôle des Informations Nominatives relative au traitement automatisé ayant pour finalité « Consultation en ligne du site de la bibliothèque Caroline » ;
Vu la délibération n° 08-12 du 19 septembre 2008 de la Commission de Contrôle des Informations Nominatives relative au traitement automatisé ayant pour finalité « Consultation en ligne du site de la bibliothèque Caroline » ;
Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d'informations nominatives ;
Vu la demande d'avis modificative déposée par le Ministre d'Etat le 11 août 2016 concernant la mise en œuvre d'un traitement automatisé d'informations nominatives ayant pour finalité « Gestion des prêts de documents à partir d'un fichier emprunteur sur serveur local. Consultation en ligne par le site de la bibliothèque Caroline » ;
Vu la prorogation du délai d'examen de la présente demande d'avis notifiée au responsable de traitement le 10 octobre 2016, conformément à l'article 19 de l'ordonnance souveraine n° 2.230 du 19 juin 2009 susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 16 novembre 2016 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
En 2008, la DENJS obtenait un avis favorable à la mise en œuvre du traitement ayant pour finalité « Consultation en ligne du site de la bibliothèque Caroline ».
Ce traitement avait pour fonctionnalités de présenter la bibliothèque et les activités proposées et offrait un espace en accès restreint réservé au personnel de la bibliothèque et aux adhérents.
Par délibération n° 08-08 du 4 juillet 2008, et confirmé par délibération n° 08-12 du 19 septembre 2008, la possibilité d'accès restreint par le biais de l'Internet aux informations liées à la gestion du fonds documentaire de la bibliothèque a reçu un avis défavorable.
La Bibliothèque Caroline souhaite à nouveau permettre l'accès distant au fonds documentaire et aux emprunts, objet de la délibération n° 04-18 du 15 novembre 2004.
En conséquence, le Ministre d'Etat soumet la présente demande d'avis modificative, conformément aux dispositions des articles 7 et 9 de la loi n° 1.165 du 23 décembre 1993.
I. Sur la finalité et les fonctionnalités du traitement
Le responsable de traitement souhaite modifier la finalité comme suit : « Gestion des prêts de documents à partir d'un fichier emprunteur sur serveur local. Consultation en ligne par le site de la bibliothèque Caroline ».
Les personnes concernées demeurent inchangées.
L'objectif de la présente modification est «  de faire une mise à jour de l'application BCDI », en permettant la « consultation en ligne du fonds documentaire et des emprunts enregistrés dans la base BCDI de la bibliothèque Caroline par le site Internet de la bibliothèque : www.bibliothèque-caroline.mc (…) ».
Il s'agit donc d'effectuer une interconnexion entre le site de la Bibliothèque et le fichier emprunteur.
Par ailleurs, la Commission rappelle que la finalité du traitement doit être déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.
Aussi, elle constate que l'objectif initial du présent traitement demeure inchangé, seul étant ajouté au site Internet de la bibliothèque le lien URL permettant d'accéder à la base BCDI, objet de la délibération n° 04-18 du 15 novembre 2004 portant avis favorable sur la demande présentée en régularisation, par le Ministre d'Etat, relative au traitement automatisé ayant pour finalité « Gestion des prêts de livres et de jeux à partir d'un fichier emprunteurs » de la Direction de l'Education Nationale, de la Jeunesse et des Sports.
Aussi, la Commission estime que la finalité du présent traitement doit être reformulée et la modifie en conséquence comme suit : « Gestion du site Internet de la bibliothèque Caroline et de l'accès distant des adhérents au fonds documentaire ».
II. Sur les informations traitées
L'objet de la présente modification est de mettre en œuvre le lien Internet permettant aux personnes concernées de consulter leur compte sur le fichier emprunteur.
Les informations accessibles sont conformes à la délibération n° 04-18 du 15 novembre 2004.
Il n'y a pas de collecte de nouvelles informations, mis à part les logs de connexion.
La Commission considère donc que les informations traitées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.
III. Sur la modification de l'exercice du droit d'accès
La Commission observe que les personnes devront désormais effectuer leur droit d'accès uniquement sur place.
Les droits de modification et de mise à jour des données sont exercés selon les mêmes modalités.
Le délai de réponse ne pourra pas être supérieur à 1 mois.
La Commission constate ainsi que les modalités d'exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993.
IV. Sur la sécurité du traitement et des informations
La Commission constate que l'accès distant s'effectue selon un protocole http non sécurisé. Elle demande donc à ce que celui-ci soit protégé par la mise en place d'un lien HTTPS.
Par ailleurs, elle demande à ce qu'une journalisation des accès soit effectuée.
De plus l'architecture technique du système repose sur des équipements de raccordement (switchs, routeurs, pare-feux) de serveurs et périphériques qui doivent être protégés par un login et un mot de passe réputé fort et les ports non utilisés doivent être désactivés.
La Commission rappelle que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.
V. Sur la durée de conservation
La Commission relève que le responsable de traitement a suivi les recommandations formulées dans sa délibération 04-18 du 15 novembre 2004, à savoir que les informations sont conservées tant que la personne demeure inscrite à la bibliothèque tout en effectuant une mise à jour annuelle afin de supprimer les informations des personnes n'ayant pas renouvelé leur inscription.
Après en avoir délibéré, la Commission :
Modifie la finalité comme suit : « Gestion du site Internet de la bibliothèque Caroline et de l'accès distant des adhérents au fonds documentaire ».
Demande que l'accès distant à BCDI soit sécurisé par l'ajout d'un protocole HTTPS et d'une journalisation des accès.
Rappelle que les équipements de raccordement (switch, routeurs, pare-feux) serveurs et périphériques doivent être protégés par un login et un mot de passe réputé fort et que les ports non utilisés doivent être désactivés.
Constate que les durées de conservation sont conformes aux demandes de la Commission formulées dans sa délibération n° 04-18 du 15 novembre 2004.
A la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la modification, par le Ministre d'Etat, du traitement automatisé d'informations nominatives ayant pour finalité « Gestion du site Internet de la bibliothèque Caroline et de l'accès distant des adhérents au fonds documentaire ».

Le Président de la Commission
de Contrôle des Informations Nominatives.