Délibération n° 2017-200 du 15 novembre 2017 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion des activités du Groupement des Personnels de l'Administration Monégasque, communication aux bénéficiaires et partenaires » du Secrétariat Général du Gouvernement présenté par le Ministre d'État.
Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d'informations nominatives ;
Vu la demande d'avis déposée par le Ministre d'État, le 27 juillet 2017, concernant la mise en œuvre d'un traitement automatisé ayant pour finalité « Gestion des activités du Groupement des Personnels de l'Administration Monégasque, communication aux bénéficiaires et partenaires » ;
Vu la prorogation du délai d'examen de la présente demande d'avis notifiée au responsable de traitement le 25 septembre 2017, conformément à l'article 19 de l'Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 15 novembre 2017 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Le Gouvernement Princier a créé le « Groupement des personnels de l'Administration Monégasque » afin de faire bénéficier ces derniers de tarifs préférentiels mis à disposition par les partenaires participant à l'opération.
Afin de mettre en œuvre opérationnellement ce catalogue d'offres, le site Internet dédié www.cerclea.mc a été ouvert aux personnes concernées souhaitant bénéficier de ce service, collectant de facto des informations nominatives.
Ainsi, le traitement automatisé d'informations nominatives objet de la présente est soumis à l'avis de la Commission, conformément à l'article 7 de la loi n° 1.165 du 23 décembre 1993.
I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité « Gestion des activités du Groupement des Personnels de l'Administration Monégasque, communication aux bénéficiaires et partenaires ».
Il concerne les personnels et les retraités des services de l'État, des Assemblées et Commissions, ainsi que du Palais Princier, de la Mairie et de la Direction des Services Judiciaires, ainsi que les partenaires soumettant des offres commerciales.
Ce traitement a pour objectifs de permettre aux personnes concernées de bénéficier de :
- l'organisation d'évènements permettant de réunir le personnel ou de lui bénéficier : arbre de noël, panier de noël ;
- subventionnement d'activités sportives : financement pour les frais d'inscription à des tournois inter-entreprises ;
- création d'un espace de communication interne permettant de répertorier les avantages proposés, des petites annonces contrôlées, etc. ;
- négociations d'avantages sous forme de réductions dans les commerces (monégasques en priorité), pour les spectacles, forfaits de ski, billets pour la foire, etc.
Aussi, le site internet dédié permettant de gérer ces offres contient les fonctionnalités suivantes :
« - gestion des inscriptions ;
- gestion des comptes des bénéficiaires et des partenaires (actualisation, radiation) ;
- mailings (courrier papier et/ou électronique) à tout ou partie des bénéficiaires afin de leur donner leurs codes d'accès, de les informer sur les offres, ou de les informer qu'ils sont bénéficiaires d'une mesure, sur la base des fichiers de la paie, de la DRHFFP et des retraites, des listes de diffusion électroniques de la Fonction Publique, ou des informations qu'ils auront eux-mêmes déposées lors de leur inscription ;
- enregistrement du lien entre le matricule de l'Administration et l'identifiant du site du Cercle A afin de pouvoir identifier les droits des membres (par exemple mesures en fonction du nombre d'enfants) ;
- gestion d'évènements (ayant-droit, inscriptions, paiement en ligne éventuel s'il y a participation) ;
- gestion des offres déposées par les partenaires, coordonnées, contrôle, mise en ligne aux fins de consultation par les bénéficiaires, actualisation, suppression ;
- gestion de pages de communication valorisant ces offres et les commerces ou entités concernés, actualisation, suppression ;
- gestion des petites annonces, contrôle avant publication (modération) et mise en ligne, actualisation, suppression ;
- statistiques d'utilisation et de fréquentation du site et des évènements ;
- affichage, téléchargement et impression de la carte de membre ;
- newsletter (abonnement et désabonnement libres) ».
La Commission constate ainsi que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.
II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le présent traitement est justifié par le consentement des personnes concernées et la réalisation d'un intérêt légitime, sans que ne soient méconnus ni l'intérêt, ni les droits et libertés fondamentaux de la personne concernée.
En ce qui concerne le consentement, le responsable de traitement indique que la personne concernée « reçoit un compte anonyme préalablement créé et finalise son inscription s'il le souhaite », en renseignant à ce moment ses informations nominatives sur le site et en acceptant les conditions générales d'utilisation.
Par ailleurs, il est indiqué que l'intérêt légitime du traitement repose sur celui des personnes concernées, à savoir leur permettre de bénéficier d'offres de remises ou d'avantages proposés par les partenaires participant au traitement.
La Commission considère donc que ce traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993.
III. Sur les informations traitées
Les informations nominatives traitées sont :
- identité :
• en ce qui concerne le bénéficiaire : nom, prénoms, date de naissance des bénéficiaires ;
• en ce qui concerne le partenaire proposant une offre : nom, prénoms, raison sociale, NIS, adresse commerciale, téléphone des partenaires ;
• en ce qui concerne les enfants ou conjoints des bénéficiaires : nom, prénom, date de naissance ;
- situation de famille :
• situation de famille des bénéficiaires ;
- Formation, diplôme, vie professionnelle : date de départ de la Fonction Publique, actif/retraité/partenaire, type de contrat ;
- caractéristiques financières : indice ;
- consommation de biens et services : le site du cercle A contient des offres de remises ou avantages sur des biens ou services. La navigation dans le site est conservée à des fins statistiques. Le site de e-commerce transmet l'historique des achats effectués à des fins statistiques ;
- loisirs, habitudes de vie et comportement : le site du cercle A contient des offres de remises ou avantages sur les voyages ou loisirs. La navigation dans le site est conservée à des fins statistiques. Le site de e-commerce transmet l'historique des achats effectués à des fins statistiques ;
- données d'identification électronique : adresse email des bénéficiaires et des partenaires (il est demandé aux bénéficiaires d'indiquer une adresse non professionnelle) ;
- adresse IP et logs techniques : adresse IP de navigation et logs techniques de navigation à des fins statistiques ;
- petites annonces : petites annonces passées par les bénéficiaires ;
- offres : offres, remises, avantages proposés par les partenaires.
Les informations ont pour origine la personne effectuant la démarche en ligne en ce qui concerne l'identité, la situation de famille, l'adresse et coordonnées, la catégorie formation-diplôme-vie professionnelle, les caractéristiques financières. Les autres informations proviennent du module web de la démarche en ligne ou du système lui-même.
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.
IV. Sur les droits des personnes concernées
Sur l'information préalable des personnes concernées
L'information préalable des personnes concernées est réalisée à partir d'une mention particulière intégrée dans un document d'ordre général accessible en ligne et un courrier adressé à l'intéressé.
À la lecture de la mention jointe au présent dossier, la Commission estime que les personnes concernées doivent être informées que leurs informations sont automatiquement communiquées au site internet www.meyclub.com dès lors qu'elles se connectent à la boutique du cercle A.
Aussi, il conviendra de leur indiquer que ledit site utilise le module Google Analytics et que leurs informations de navigation, si elles se connectent à la boutique, peuvent se retrouver aux États-Unis, pays ne disposant pas d'un niveau de protection adéquat.
Par ailleurs, la Commission estime que l'information des personnes concernées relativement aux cookies devrait être plus détaillée (nature des cookies, manière permettant de s'en prévenir, conséquences, etc.).
Sur l'exercice du droit d'accès, de modification et de mise à jour
Le droit d'accès est exercé par courrier électronique, par voie postale, sur place ou par un accès en ligne au dossier.
Les droits de modification et de mise à jour des données sont réalisés par courrier électronique, par voie postale, sur place ou par un message de validation du dossier accessible en ligne.
S'agissant de l'exercice du droit d'accès par voie électronique, la Commission considère qu'une procédure devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations. À ce titre, elle précise que si une copie d'un document d'identité était demandée, la transmission et le traitement de ce document devront faire l'objet de mesures de protection particulières comme rappelé dans sa délibération n° 2015-116 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d'identité officiels.
La Commission constate ainsi que les modalités d'exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 la loi n° 1.165 du 23 décembre 1993.
V. Sur les destinataires et les personnes ayant accès au traitement
La Commission constate que les informations sont communiquées aux personnels du fournisseur opérant le traitement et les tiers agissant pour son compte.
Les accès sont définis comme suit :
- les personnels du Secrétariat Général du Gouvernement habilités à traiter les actions du Cercle A : création, consultation, mise à jour, suppression ;
- les personnels de la Direction Informatique ou tiers intervenant pour son compte : tout accès dans le cadre des missions de maintenance, développement des applicatifs nécessaires au fonctionnement du site et de sécurité du site et du système d'information de l'État ;
- les Personnels de la Direction de l'Administration Electronique et de l'Information aux Usagers ou tiers intervenant pour son compte ayant un rôle d'assistance à maîtrise d'ouvrage sur le traitement ;
- le fournisseur de services : pour ses tâches de maintenance.
En ce qui concerne les prestataires, la Commission rappelle que conformément aux dispositions de l'article 17 de la loi n° 1.165 du 23 décembre 1993 les droits d'accès doivent être limités à ce qui est strictement nécessaire à l'exécution de leur contrat de prestation de service. De plus, lesdits prestataires sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
La Commission considère que ces accès sont justifiés.
VI. Sur les interconnexions
Le présent traitement est rapproché avec les traitements suivants, légalement mis en œuvre, aux fins de constituer le mailing initial d'inscription au Cercle A et/ou d'intervenir ponctuellement sur les offres du site en ciblant une population spécifique au sein de l'Administration (Indice, âge, etc.), en déterminant leur appartenance présente ou passée avec l'Administration :
- « Immatriculation des fonctionnaires et agents relevant de la Fonction Publique et de statuts particuliers » ;
- « Établir la paie des fonctionnaires et Agents de l'État » ;
- « Gestion des dossiers des retraités relevant de la Fonction Publique et de statuts particuliers » ;
- « Gestion des dossiers des fonctionnaires et agents de l'État relevant de la Fonction Publique et de statuts particuliers ».
La Commission comprend la nature et la nécessité des rapprochements opérés pour créer la liste initiale des personnes pouvant bénéficier des prestations du cercle A, et de son évolution liée aux mouvements de personnels.
Elle considère ainsi que cette transmission d'informations n'est pas incompatible avec la finalité pour laquelle les informations des personnes concernées ont été initialement collectées dans les traitements susvisés.
Toutefois, concernant les campagnes pouvant être menées par le cercle A, notamment sur la base d'informations indiciaires, qu'elle estime sensibles, la Commission demande qu'aucune information de telle nature soit communiquée au prestataire hébergeant et administrant le site du cercle A, et que les campagnes menées ne permettent pas au prestataire d'en déduire les salaires des personnes concernées.
La Commission relève également que le traitement est rapproché avec le traitement ayant pour finalité « Gestion des techniques automatisées de communication » aux fins d'utilisation de la messagerie électronique de l'État.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation.
Cependant les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort.
La Commission rappelle enfin que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.
VIII. Sur la durée de conservation
Les informations nominatives collectées seront conservées :
- 3 mois après l'annulation de l'inscription ou le départ, ou 15 mois après la dernière connexion au site, en ce qui concerne les informations relatives à l'identité, à la vie professionnelle et aux données d'identification électronique des bénéficiaires ;
- 3 mois après l'annulation de l'offre en ce qui concerne les informations relatives à l'identité, aux données d'identification électronique, et aux offres des partenaires ;
- 1 mois après la fin de l'évènement en ce qui concerne les informations relatives à l'identité des enfants ou des conjoints, à la situation de famille, aux caractéristiques financières ;
- 1 an à compter de la collecte en ce qui concerne les informations relatives à la consommation des biens et services, aux loisirs, aux adresses IP et logs techniques ;
- 3 mois après dé-publication en ce qui concerne les petites annonces.
La Commission considère que ces délais sont conformes aux exigences légales.
Toutefois, la Commission constate qu'il existe une contradiction entre :
- la durée de conservation des données statistiques de navigation et de logs indiquées comme étant conservée un an ;
- celle d'effacement du compte pour cause d'inactivité, indiquée comme étant de 15 mois, et qui nécessité de facto la conservation de logs ;
- et enfin, la durée de conservation des cookies apparaissant dans un document annexe, indiquée à 3 ans.
Aussi, elle estime que les logs doivent être conservés maximum un an, sauf ceux permettant d'établir la date de la dernière connexion aux fins d'effacement des comptes qui pourront être conservés quinze mois.
À cet égard, la Commission recommande de ne pas effacer les comptes des bénéficiaires une fois le délai de 15 mois écoulé sans avoir auparavant contacté ladite personne pour l'informer que si elle ne se connecte pas sous un délai d'un mois, il sera procédé à la suppression de son compte.
Les cookies devront quant à eux être supprimés au bout de 6 mois.
Après en avoir délibéré, la Commission :
Rappelle que les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort.
Considère qu'une procédure relative au droit d'accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations.
Demande que les personnes concernées soient informées :
- que leurs informations de navigation sont communiquées automatiquement au site internet www.meyclub.com dès leur connexion à la boutique du cercle A ;
- que ledit site utilise Google Analytics, et ainsi que dès leur connexion à la boutique du Cercle A, lesdites données de navigations peuvent se retrouver aux États-Unis, pays ne disposant pas d'un niveau de protection adéquat ;
- de manière plus précise relativement aux cookies (nature des cookies, manière permettant de s'en prévenir, conséquences, etc.).
Demande qu'aucune information indiciaire soit communiquée au prestataire hébergeant et administrant le site du cercle A, et que les campagnes menées ne permettent pas au prestataire d'en déduire les salaires des personnes concernées.
Fixe la durée de conservation des logs à un an, sauf ceux permettant d'établir la date de la dernière connexion aux fins d'effacement des comptes qui pourront être conservés quinze mois, et celle des cookies à 6 mois.
Sous le bénéfice de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d'État, du traitement automatisé d'informations nominatives ayant pour finalité « Gestion des activités du Groupement des Personnels de l'Administration Monégasque, communication aux bénéficiaires et partenaires » du Secrétariat Général du Gouvernement.
Le Président de la Commission
de Contrôle des Informations
Nominatives.