Délibération n° 2016-102 du 20 juillet 2016 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion des habilitations, de la sécurité et de la traçabilité des accès », présenté par l'Office de la Médecine du Travail.
Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 629 du 17 juillet 1957 tendant à réglementer les conditions d'embauchage et de licenciement en Principauté, modifiée ;
Vu la loi n° 637 du 11 janvier 1958 tendant à créer et à organiser la médecine du travail, modifiée ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l'Ordonnance Souveraine n° 1.857 du 3 septembre 1958 relative à l'organisation et au fonctionnement de la médecine du travail, modifiée ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l'arrêté ministériel n° 2010-638 du 23 décembre 2010 portant application de l'article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d'informations nominatives ;
Vu la Recommandation R(97) 5 du Comité des Ministres aux États membres du Conseil de l'Europe relative à la protection des données médicales du 13 février 1997 ;
Vu la demande d'avis déposée par le directeur de l'Office de la Médecine du Travail, le 22 avril 2016, concernant la mise en œuvre d'un traitement automatisé ayant pour finalité « Gestion des habilitations, de la sécurité et de la traçabilité des accès » ;
Vu la prorogation du délai d'examen de la présente demande d'autorisation notifiée au responsable de traitement le 20 juin 2016, conformément à l'article 19 de l'Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 20 juillet 2016 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
L'Office de la Médecin du Travail (OMT), responsable de traitement, est un organisme de droit privé investi d'une mission d'intérêt général au sens de l'arrêté ministériel n° 2010-638 du 23 décembre 2010 portant application de l'article 7 de la loi n° 1.165 du 23 décembre 1993.
Ainsi, le traitement d'informations nominatives objet de la présente délibération est soumis à l'avis de la Commission conformément à l'article 7 de la loi n° 1.165 du 23 décembre 1993.
I. Sur la finalité et les fonctionnalités du traitement
Le traitement a pour finalité « Gestion des habilitations, de la sécurité et de la traçabilité des accès ».
Il a pour objectif de permettre à l'OMT, dans le cadre de son organisation interne, d'assurer la sécurité de son système d'information.
Les personnes concernées sont les salariés de l'Office, les intervenants extérieurs agissant pour son compte, ainsi que les « invités » c'est-à-dire les personnes souhaitant accéder à Internet au moyen de l'accès WiFi de l'Office.
Ses fonctionnalités sont les suivantes :
- création et gestion des comptes utilisateurs informatiques ;
- création et gestion de groupe d'utilisateurs ;
- attribution de droits d'accès à des ressources (ex. fichiers, dossiers, espaces intranet, fonctionnalités des logiciels métiers, etc.) aux groupes et comptes selon les besoins ;
- établissement de fichiers journaux permettant, en cas de besoin, d'identifier tout accès malveillant ou tout usage anormal ou abusif des outils informatiques ou ne respectant pas la charte information de l'OMT.
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.
II. Sur la licéité et la justification du traitement
- Sur la licéité du traitement
L'Office de la Médecine du Travail a été créé par la loi n° 637 du 11 janvier 1958\. Il est défini en son article 1er comme « un service public chargé de la médecine préventive du travail ». Ces missions sont déterminées à l'article 2 de ladite loi.
L'OMT intervient ainsi tout au long de la vie professionnelle d'un salarié. Aux termes de l'article 5 de la loi n° 637 du 11 janvier 1958, les examens médicaux tendant à vérifier l'aptitude médicale au travail d'une personne sont « obligatoires pour les salariés de la Principauté ».
Tenant compte des dispositions de la loi n° 637 du 11 janvier 1958, et des textes pris en son application, le présent traitement participe à assurer la protection des données traitées par l'OMT et son personnel dans le cadre de leurs fonctions.
Dans ce sens, le présent traitement vise à « prévoir des mesures techniques et d'organisation appropriées pour protéger les informations nominatives contre la destruction accidentelle ou illicite, la perte accidentelle, l'altération, la diffusion ou l'accès non autorisé, notamment lorsque le traitement comporte des transmissions d'informations dans un réseau, ainsi que contre toute autre forme de traitement illicite », conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993.
Ainsi, la Commission constate que le traitement est licite conformément à l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.
- Sur la justification du traitement
Le traitement des données est justifié par la réalisation d'un intérêt légitime du responsable de traitement, sans que soient méconnus l'intérêt ou les droits et libertés fondamentaux des personnes concernées. Il n'est pas exploité à des fins de surveillances des activités ou des personnes.
En effet, il participe à la sécurité du système d'information de l'OMT, tant par l'administration des droits d'accès en fonction des habilitations de chaque collaborateur, que par la supervision des logs (ex. erreurs de connexions, problèmes d'accès).
De plus, les droits des personnes concernées sont respectés, comme précisés au point IV de la présente délibération.
La Commission considère que le traitement est justifié, conformément aux dispositions de l'article 10-2 de la loi n° 1.165 du 23 décembre 1993\.
III. Sur les informations traitées
Les informations nominatives traitées sont :
- identité : nom, prénom, fonction ;
- adresses et coordonnées : numéro de téléphone professionnel, adresse de messagerie professionnelle ;
- données d'identification électronique : couple identifiant de connexion ;
- fichiers journaux : adresse IP, identifiant, date et heure de connexion, ressource, action effectuée ;
- habilitations : droits d'accès aux ressources.
Les informations relatives à l'identité ont pour origine le collaborateur et le service informatique.
Les informations relatives aux adresses et coordonnées, aux données d'identification électronique et aux habilitations ont pour origine le service informatique.
Les informations relatives aux fichiers journaux ont pour origine le système d'information (exemples : serveur AD, serveur syslog, serveur Proxy, serveur Supervision, pare-feux).
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.
IV. Sur les droits des personnes concernées
- Sur l'information préalable
L'information préalable des personnes concernées est réalisée par un document spécifique : la charte informatique de l'OMT, « diffusée à l'ensemble des collaborateurs de manière individuelle, et mise à disposition sur l'Intranet » de l'Office.
En outre, une rubrique particulière sur la page d'accès à Internet pour les « invités » a été mise en place afin d'informer toute personne souhaitant avoir un « accès WIFI invité » de l'OMT.
La Commission observe qu'afin de respecter les mentions obligatoires fixées à l'article 14 de la loi n° 1.165 du 23 décembre 1993, la finalité du traitement devrait être clairement indiquée dans le document d'information des personnes concernées.
- Sur l'exercice du droit d'accès, de modification et de mise à jour
Le droit d'accès s'exerce auprès du Directeur de l'Office sur place. Une réponse est adressée à la personne concernée dans les trente jours suivant sa demande.
En cas de demande de modification, de mise à jour ou de suppression de leurs informations, la réponse sera effectuée par voie postale ou sur place.
La Commission constate que les modalités d'exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993.
V. Sur les personnes ayant accès au traitement
Le traitement est interne à l'Office.
Les personnes ayant accès aux informations sont :
- le service informatique : les administrateurs systèmes et réseaux ont accès en création, mise à jour et suppression des comptes utilisateurs, ainsi qu'en consultation aux différents journaux aux fins de suivi du bon fonctionnement du système d'information, voire, le cas échéant, de recherche, diagnostic et correction des causes de dysfonctionnement identifiées ;
- le directeur de l'Office : accès indirect au traitement « via des remontées d'informations faites à sa demande ou sur alerte d'un administrateur systèmes et réseaux de l'OMT » ;
- les prestataires techniques : accès aux équipements dans le cadre exclusif de leurs missions de maintenance encadrées par un contrat de prestation.
Les accès au présent traitement sont dévolus en considération des missions et des fonctions des personnes auxquelles ils sont attribués, conformément aux articles 8 et 17 de la loi n° 1.165 du 23 décembre 1993.
En ce qui concerne les prestataires, la Commission relève que, conformément aux dispositions de l'article 17 de la loi n° 1.165 du 23 décembre 1993, leurs droits d'accès sont limités à ce qui est strictement nécessaire à l'exécution de leur contrat de prestation de service, et qu'ils sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
Tous les intervenants sont soumis au secret professionnel.
VI. Sur les rapprochements et interconnexions
Le responsable de traitement indique qu'il n'existe pas de rapprochement ou interconnexion avec un autre traitement.
Toutefois, à l'examen de la demande d'avis la Commission relève un rapprochement avec un traitement concernant la gestion administrative du personnel de l'Office qu'il conviendra de mettre en conformité avec la loi n° 1.165 du 23 décembre 1993.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation de la part de la Commission.
La Commission relève toutefois que l'architecture technique repose sur des équipements de raccordement (switchs, pare-feux), de serveurs et périphériques qui doivent être protégés par un login et un mot de passe et que les ports non utilisés doivent être désactivés.
Elle rappelle, en outre, que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation et d'archivage du présent traitement.
VIII. Sur la durée de conservation
Le responsable de traitement indique que les informations sont conservées, sans distinction, un an après le départ du collaborateur.
Plus précisément, les données nécessaires à l'établissement des « fichiers journaux » ont une durée de conservation de 1 an maximum conformément à la charte informatique de l'Office et aux conditions d'utilisation de l'accès Internet invité. En conséquence, après le départ d'un collaborateur ce type de données sera conservé pendant un an après sa dernière connexion au système.
Par ailleurs, les informations nécessaires au fonctionnement du compte utilisateur sont conservées tant que la personne travaille au sein de l'OMT, elles seront désactivées à la date de prise d'effet de fin de fonctions de l'intéressé, puis supprimées dans le mois qui suit.
Après en avoir délibéré, la Commission :
Rappelle que les équipements de raccordement (switchs, pare-feux), de serveurs et périphériques doivent être protégés par un login et un mot de passe et les ports non utilisés doivent être désactivés.
Demande que la finalité du traitement soit clairement indiquée dans les documents d'information des personnes concernées, conformément à l'article 14 de la loi n° 1.165 du 23 décembre 1993.
Invite le responsable de traitement à mettre en conformité avec les dispositions de la loi n° 1.165 du 23 décembre 1993 le traitement automatisé d'informations nominatives relatif à la gestion administrative des salariés.
Sous réserve de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par l'Office de la Médecine du Travail du traitement automatisé d'informations nominative ayant pour finalité « Gestion des habilitations, de la sécurité et de la traçabilité des accès ».
Le Président de la Commission
de Contrôle des Informations Nominatives.