Délibération n° 2019-180 du 20 novembre 2019 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion de la messagerie électronique professionnelle Exchange », dénommé « Outlook » exploité par la Direction des Réseaux et Systèmes d'Information présenté par le Ministre d'État.

Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés d'informations nominatives ayant pour finalité « Gestion de la messagerie électronique utilisée à des fins de surveillance ou de contrôle » ;
Vu la délibération n° 2015-111 du 18 novembre 2015 portant recommandation sur les traitements automatisés ou non automatisés d'informations nominatives ayant pour finalité « Gestion de la messagerie électronique utilisée à des fins de surveillance ou de contrôle » ;
Vu la demande d'avis déposée par le Ministre d'État, le 8 août 2019, concernant la mise en œuvre d'un traitement automatisé ayant pour finalité la « Gestion de la messagerie électronique professionnelle Exchange » ;
Vu la prorogation du délai d'examen de la présente demande d'avis notifiée au responsable de traitement le 7 octobre 2019, conformément à l'article 19 de l'Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 20 novembre 2019 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,

Préambule
L'Administration souhaite mettre à disposition des fonctionnaires, agents de l'État et prestataires qui disposent d'un terminal au sein de l'Administration, une messagerie professionnelle. Il est précisé que ces derniers « pourront ainsi disposer d'une adresse mail en rapport avec le Gouvernement Monégasque et attribuée par ce dernier ».
Ainsi, le traitement y relatif est soumis à l'avis de la Commission, conformément à l'article 7 de la loi n° 1.165 du 23 décembre 1993.

I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité « Gestion de la messagerie professionnelle Exchange ».
Il concerne les fonctionnaires et agents de l'État, ainsi que les prestataires, qui disposent d'un poste de travail au sein de l'Administration.
Les fonctionnalités du traitement sont :
- Migration des boîtes aux lettres de l'environnement Lotus vers Exchange ;
- Échange de messages électroniques en interne ou avec l'extérieur ;
- Historisation des messages électroniques entrants et sortants ;
- Gestion des contacts de la messagerie électronique ;
- Gestion des dossiers de la messagerie et des messages et contenus archivés ;
- Gestion de l'agenda, des contacts, planning et agenda, réservation de salles ;
- Organisation de réunions en lien avec des outils de messagerie instantanée ;
- Gestion des comptes de messagerie (création, administration, suppression) ;
- Gestion des carnets d'adresses génériques ;
- Établissement et lecture de fichiers journaux ;
- Gestion des habilitations d'accès à la messagerie ;
- Établissement de preuves en cas de litige ;
- Assurer la qualité et le fonctionnement opérationnel de la messagerie ;
- Veiller au maintien en condition de sécurité de l'application ;
- Établir des statistiques à des fins de reporting.
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.

II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le présent traitement est justifié par la réalisation d'un intérêt légitime, sans que ne soient méconnus ni l'intérêt, ni les droits et libertés fondamentaux de la personne concernée.
Il est indiqué que le traitement concourt à :
« - intégrer tous les agents de l'Administration dans le programme de Monaco à l'ère numérique en mettant à la disposition de l'ensemble de ses agents des moyens de communication actuels ;
- leur permettre d'être informés et d'échanger avec l'Administration ;
- permettre aux agents de pouvoir utiliser les fonctionnalités d'une messagerie dans le cadre de leur activité professionnelle ».
Il est en outre précisé que ce traitement est conforme à la politique de sécurité des systèmes d'information de l'État (PSSIE), annexée à l'arrêté ministériel n° 2017-56 du 1er février 2017, et s'intègre dans l'application de la Charte des systèmes d'information de l'État annexée à l'arrêté ministériel n° 2015‑703 du 26 novembre 2015, et de la Charte « Administrateur réseaux et système d'information de l'État », qui imposent aux utilisateurs et administrateurs des systèmes d'Information de l'État des obligations propres à leurs fonctions.
La Commission considère que ce traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993.

III. Sur les informations traitées
Le responsable de traitement indique que les informations nominatives traitées sont :
• en ce qui concerne le destinataire/expéditeur/contact des messages :
- identité : nom, prénom ;
- coordonnées : email, numéro(s) de téléphone, adresse, mapping ;
- vie professionnelle : société, fonction, page web, notes professionnelles ;
• en ce qui concerne l'administrateur :
- identité : nom, prénom ;
- vie professionnelle : statut, rôle (admin), licence ;
- coordonnées professionnelles : email ;
- données d'identification électronique : login, mot de passe (chiffré) ;
- informations temporelles et logs de connexion : connexion au système, horodatage, logs de connexion ;
- données de connexion : logs de connexion (OS, navigateur et version de l'appareil utilisé pour l'évènement de connexion, adresse IP, valeur d'accès interne/externe, objectID, nom de la commande) ;
• en ce qui concerne l'utilisateur de la messagerie :
- identité : nom, prénom, photo ;
- vie professionnelle : fonction, département, direction, service, statut-rôle (user), licence ;
- coordonnées professionnelles : téléphone, email ;
- données d'identification électronique : login, mot de passe (chiffré) ;
- informations temporelles et log de connexion : connexion au système (Date et heure à l'heure UTC au moment où l'utilisateur a effectué l'activité), logs de connexion (OS, navigateur et version de l'appareil utilisé pour l'évènement de connexion, adresse IP, valeur d'accès interne/externe, objectID, nom de la commande) ;
- message : messages et contenu ;
- informations en lien avec les messages : type de contenu, objet, dossier de classement, date et heure d'envoi ou de réception, nombre de messages entrants et sortants, de messages nettoyés, de spams, volume, format, pièces jointes, noms de domaine expéditeur de message ;
- documents de travail : tâche(s) affectée(s), calendrier de réalisation ;
- calendrier : date, lieu, heure, évènement, durée, notes.
Les informations relatives aux données d'identification électronique ont pour origine la DRSI et l'utilisateur (pour le mot de passe).
En ce qui concerne le destinataire, expéditeur/contact de messages, les informations relatives à l'identité et aux coordonnées proviennent de l'expéditeur.
En outre, les informations relatives à l'identité, à la vie professionnelle et aux coordonnées professionnelles de l'utilisateur de la messagerie sont issues du traitement relatif à la gestion des habilitations (AD). La photo est fournie par l'utilisateur, s'il le souhaite.
Les documents de travail sont produits par les gestionnaires de projet et les personnes sollicitées, tandis que le calendrier est rempli par le titulaire de la boîte mail ou du correspondant à l'initiative de l'évènement.
Enfin, les autres données sont générées par le système.
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.

IV. Sur les droits des personnes concernées

• Sur l'information préalable des personnes concernées

L'information préalable des personnes concernées est effectuée par le biais d'un document spécifique.
Toutefois ce document n'est pas joint à la demande d'avis.
Aussi la Commission rappelle que l'information de toutes les catégories de personnes concernées doit être effectuée conformément à l'article 14 de la loi n° 1.165.

• Sur l'exercice du droit d'accès, de modification et de mise à jour

Le droit d'accès est exercé par voie postale auprès de la Direction des Réseaux et Systèmes d'Information.
À cet égard, la Commission rappelle que la réponse à ce droit d'accès doit s'exercer dans le mois suivant la réception de la demande.

V. Sur les destinataires et les personnes ayant accès au traitement
Le responsable de traitement indique que les informations sont susceptibles d'être communiquées aux Autorités administratives et judiciaires dans le cadre de leurs missions légalement conférées.
Les accès sont en outre définis comme suit :
- Administrateurs : tout accès (sauf au contenu des messages) dans le cadre de leurs missions de gestion des comptes et de qualité du fonctionnement du service de messagerie ;
- Administrateurs de support niveau 1 (centre de service) : tout accès (sauf au contenu des messages) dans le cadre de leurs missions de création de comptes, d'administration des comptes (ex. extension de volume) et d'assistance aux utilisateurs ;
- Utilisateurs : accès en consultation, saisie et suppression selon les fonctionnalités de leurs comptes ;
- Agents autorisés par l'utilisateur : accès en consultation en cas d'absence de l'utilisateur ou de délégation dans le respect de la charte des systèmes d'information de l'État ;
- Autorités habilitées : accès (sauf au contenu des messages) dans le respect de la réglementation applicable.
En ce qui concerne « l'accès » des Autorités habilitées, la Commission réitère ses remarques exposées dans la délibération n° 2019-138 relative à la messagerie Office 365\. Cependant, si les Autorités ayant accès venaient à différer de celles mentionnées dans le traitement relatif à Office 365, la Commission demande alors qu'un complément d'information lui soit effectué quant à la qualité des Autorités accédant à l'information et les modalités de ces accès.
En ce qui concerne le recours à des prestataires, la Commission rappelle que conformément aux dispositions de l'article 17 de la loi n° 1.165 du 23 décembre 1993 les droits d'accès de ces derniers doivent être limités à ce qui est strictement nécessaire à l'exécution de leurs contrats de prestation de service. De plus, lesdits prestataires sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
Sous ces réserves, la Commission considère que ces accès sont justifiés.

VI. Sur les rapprochements et les interconnexions avec d'autres traitements
Le responsable de traitement indique que le traitement est rapproché avec le traitement ayant pour finalité « Assistance aux utilisateurs par le Centre de Service de la DRSI », non légalement mis en œuvre, aux fins de permettre à l'utilisateur « de suivre l'évolution d'un ticket lié à la messagerie et aux intervenants d'intervenir le moment venu dans la procédure ».
Il est également interconnecté avec les traitements suivants :
- Gestion des techniques automatisées de communication (messagerie lotus), légalement mis en œuvre, afin de permettre la bascule de Lotus vers Exchange pour les agents disposant de Lotus. Il est précisé que « la messagerie Lotus n'est alors plus accessible par l'agent » ;
- Gestion des outils collaboratifs, non légalement mis en œuvre, afin de permettre aux agents de disposer d'outils interactifs et des fonctionnalités associées à la messagerie Exchange (invitation, lancement, archivage, selon les besoins des utilisateurs) ;
- Gestion des accès à distance au système d'information du Gouvernement (dénommé Bastion), légalement mis en œuvre, afin de permettre, le cas échéant si nécessaire, un accès sécurisé d'un prestataire extérieur identifié ;
- Gestion des habilitations et des accès au Système d'information par l'Active Directory, légalement mis en œuvre, afin de disposer des éléments permettant de créer un compte aux utilisateurs.
Concernant les traitements ayant pour finalité « Assistance aux utilisateurs par le Centre de Service de la DRSI » et « Gestion des outils collaboratifs », la Commission demande à ce qu'ils lui soient soumis dans les meilleurs délais.

VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation.
Cependant les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
En outre, la Commission rappelle que toute copie ou extraction de données en vue de communication aux autorités judiciaires ou administratives compétentes devra être chiffrée sur son support de réception.
La Commission rappelle enfin que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.

VIII. Sur la durée de conservation
Les informations relatives aux contacts (destinataires/expéditeurs/contacts des messages), aux messages, documents de travail et au calendrier répondent à une politique d'archivage.
Les informations d'identité relatives à l'administrateur (identité, vie professionnelle, coordonnées professionnelles, données d'identification électronique) sont conservées jusqu'au départ de celui-ci plus 6 mois.
Les informations d'identité relatives à l'utilisateur (identité, vie professionnelle, coordonnées professionnelles, données d'identification électronique) sont conservées jusqu'au départ de celui-ci plus 3 mois. Il peut retirer sa photo à tout moment.
Les autres informations liées à la solution, qui comprennent les données de connexion, les informations temporelles et les informations en lien avec les messages, sont conservées sur une période de 12 mois glissants.
La Commission considère que ces durées de conservation sont conformes aux exigences légales.
Après en avoir délibéré, la Commission :
Rappelle que :
- l'information de toutes les catégories de personnes concernées doit être effectuée conformément à l'article 14 de la loi n° 1.165 ;
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé ;
- toute copie ou extraction de données en vue de communication aux Autorités judiciaires ou administratives compétentes devra être chiffrée sur son support de réception.
Demande que :
- les traitements ayant pour finalité « Assistance aux utilisateurs par le Centre de Service de la DRSI » et « Gestion des outils collaboratifs » lui soient soumis dans les meilleurs délais ;
- les accès des Autorités habilitées, s'ils différent de ceux exposés dans la délibération n° 2019-138 relative à la messagerie Office 365, fassent l'objet d'un complément d'information.
Sous le bénéfice de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d'État, du traitement automatisé d'informations nominatives ayant pour finalité « Gestion de la messagerie électronique professionnelle Exchange ».

Le Président de la Commission de Contrôle des Informations Nominatives.