Délibération n° 2020-148 du 28 octobre 2020 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion informatisée des dossiers pré-contentieux et contentieux visant la coordination et au suivi de la représentation en justice de l'État » présenté par le Ministre d'État.
Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l'Ordonnance Souveraine n° 117 du 19 juillet 2005 portant création d'une Direction des Affaires Juridiques ;
Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d'informations nominatives ;
Vu la demande d'avis déposée par le Ministre d'État, le 16 juillet 2020, concernant la mise en œuvre d'un traitement automatisé ayant pour finalité la « Gestion informatisée des dossiers pré-contentieux et contentieux visant la coordination et au suivi de la représentation en justice de l'État » ;
Vu la prorogation du délai d'examen de la présente demande d'avis notifiée au responsable de traitement le 15 septembre 2020, conformément à l'article 19 de l'Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 28 octobre 2020 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Le Ministre d'État souhaite mettre en œuvre un traitement lui permettant notamment de préparer et suivre les actions en justice concernant l'État.
Ainsi, ce dernier est soumis à l'avis de la Commission, conformément à l'article 7 de la loi n° 1.165 du 23 décembre 1993.
I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité « Gestion informatisée des dossiers pré-contentieux et contentieux visant la coordination et au suivi de la représentation en justice de l'État ».
Il concerne les agents et fonctionnaires de l'État, les parties au pré-contentieux ou au contentieux, et toutes les personnes intervenant dans une procédure.
Les fonctionnalités du traitement sont :
- « création de compte utilisateur ;
- création et gestion des dossiers, favorisant une vision synthétique sur l'avancée du dossier ;
- Gestion des audiences/agendas ;
- Rapports et statistiques (tableaux de bord) ;
- Parapheur électronique ;
- Recherche performante ;
- Annuaire professionnel ;
- GED : modèle de courriers, modèles d'actes divers, ensemble de documents scannés par dossier ;
- Outlook : partage e-mail ;
- Gestion du droit d'accès des personnes concernées ».
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.
À l'analyse du dossier, elle demande toutefois que l'établissement de statistiques individuelles (tâches en cours, dossiers en retard), ne permettent pas une surveillance continue et inopportune des personnels de la DAJ.
II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le traitement est justifié par la réalisation d'un intérêt légitime, sans que ne soient méconnus les droits et libertés fondamentaux de la personne concernée.
La Commission relève notamment qu'en tant que justiciable, tout responsable de traitement doit pouvoir réparer et suivre les actions en justice le concernant.
Il est également indiqué que le traitement relève des prérogatives de la Direction des Affaires Juridiques de l'État, qui, aux termes de l'article 3 de l'Ordonnance Souveraine n° 117 du 1er juillet 2005 portant création d'une Direction des Affaires Juridiques, se voit notamment attribuer « la coordination et le suivi de la représentation de l'État, en demande comme en défense, devant toutes les juridictions et toutes études s'y rapportant ».
Elle considère donc que le traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993\.
III. Sur les informations traitées
Les informations nominatives traitées sont :
En ce qui concerne les informations dites sensibles :
- Données de santé : certificats médicaux, maladie, ITT, résultats d'analyses médicales, comptes rendus médicaux, et tout document médical fourni par les parties ;
- Informations faisant apparaître des opinions ou des appartenances politiques, raciales, ethniques, religieuses philosophiques ou syndicales : confession, appartenance politique ;
- Mœurs, vie sexuelle : informations traitées uniquement en cas de besoin avéré en fonction des dossiers dont la DAJ est saisie ;
- Mesures à caractère social : allocataire d'aides sociales ou judiciaires.
Le responsable de traitement justifie la collecte de ces informations en ce que le traitement est nécessaire à la constatation, à l'exercice ou à la défense d'un droit en justice. À cet égard, il précise que « seules les informations « sensibles », strictement nécessaires à la défense des droits des personnes seront traitées ».
En ce qui concerne les autres informations :
- identité : documents d'identité, nom, prénoms, sexe, date et lieu de naissance, nationalité des personnes concernées par la procédure (personne mise en cause, témoin, victime, auxiliaires de justice mandatés dans la procédure) ;
- adresses et coordonnées : adresse (personnes concernées par la procédure), adresse mail (personnel de la DAJ et personnes concernées par la procédure), numéro de téléphone (personnes concernées par la procédure), numéro de fax (personnes concernées par la procédure) ;
- vie professionnelle : profession (personnes concernées par la procédure) ;
- caractéristiques financières : RIB / BIC / IBAN / domiciliation banque (personnes concernées par la procédure) ;
- infractions, condamnations, mesures de sûreté, soupçon d'activités illicites : date, nature, motifs, montants et éventuels échelonnements des condamnations, et plus généralement toute information relatives à cette catégorie d'informations en rapport avec les procédures suivies ;
- informations temporelles : logs de connexion (personnel de la DAJ) ;
- informations relatives à la procédure : faits litigieux, documents et pièces recueillis à titre probatoire, date de début et de clôture du litige, juridiction saisie, date de l'assignation, de l'audience, nature et objets des demandes, griefs, argumentations, observations et avis des représentants légaux, date de jugement ;
- commentaires : descriptions et suivis des procédures.
Les informations proviennent des personnes concernées ou des personnes en lien avec le dossier ou intervenant dans la procédure.
Les informations temporelles sont générées par le système.
Enfin, les commentaires sont renseignés par les Fonctionnaires et Agents du Service des Affaires Contentieuses de la DAJ.
La Commission rappelle que ces commentaires doivent être proportionnés à la finalité recherchée et strictement encadrés.
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.
IV. Sur les droits des personnes concernées
- Sur l'information préalable des personnes concernées
Le responsable de traitement indique que l'information préalable des personnes concernées est effectuée :
- En ce qui concerne les personnels de la DAJ, par un email ;
- En ce qui concerne les parties et personnes intervenant à la procédure, par un courrier et une rubrique propre à la protection des données accessible en ligne.
À la lecture de mentions jointes au dossier, la Commission relève qu'elles sont conformes aux dispositions de l'article 14 de la loi n° 1.165, modifiée.
Elle considère toutefois que lorsque des mesures conservatoires sont rendues nécessaires pour éviter la dissimulation ou la destruction de preuves, l'information des personnes concernées peut être effectuée après l'adoption desdites mesures.
- Sur l'exercice du droit d'accès, de modification et de mise à jour
Le droit d'accès est exercé par voie postale, sur place ou par courrier électronique auprès de la Direction des Affaires Juridiques - Service des Affaires Contentieuses.
À cet égard, la Commission rappelle que la réponse à ce droit d'accès doit s'exercer dans le mois suivant la réception de la demande.
Toutefois, elle rappelle concernant le traitement dont s'agit que le droit d'accès ne peut conduire les personnes concernées à accéder directement à l'ensemble des documents qu'il contient, notamment ceux couverts par le secret professionnel des avocats.
Enfin, s'agissant de l'exercice du droit d'accès par voie électronique, la Commission considère qu'une procédure devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations.
À ce titre, elle précise que si une copie d'un document d'identité était demandée, la transmission et le traitement de ce document devront faire l'objet de mesures de protection particulières comme rappelé dans sa délibération n° 2015-116 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d'identité officiels.
Sous ces réserves, elle estime que les modalités d'exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993.
V. Sur les destinataires et les personnes ayant accès au traitement
La Commission constate que les informations peuvent être communiquées aux Autorités saisies du litige, aux avocats, aux auxiliaires de justice et officiers ministériels.
Par ailleurs, ont accès au traitement :
- Les utilisateurs, à savoir les personnels de la DAJ, dont certains utilisateurs principaux aux droits étendus ;
- L'administrateur, à savoir le personnel de la DSI habilité.
Concernant ces derniers, la Commission rappelle que les accès effectués aux informations métiers de la DAJ par la DSI, ainsi qu'aux sauvegardes, doivent être tracés et conservés et demande qu'un message/une alerte soit envoyé(e) au responsable métier l'informant de cet accès qui sera préalablement justifié ou devra l'être.
VI. Sur les rapprochements et les interconnexions avec d'autres traitements
Le responsable de traitement indique que le traitement est interconnecté avec le traitement légalement mis en œuvre ayant pour finalité la « Gestion de la messagerie professionnelle ».
À l'analyse des éléments du dossier, cette interconnexion est conforme à la finalité initiale et permet l'échange entre intervenants sur les dossiers de l'État.
La Commission considère également que le traitement pourra être ponctuellement rapproché avec des traitements en lien avec un pré-contentieux, ou un contentieux, aux fins de collecte de preuves, dès lors que ces derniers ont été légalement mis en œuvre.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation.
Cependant les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
La Commission rappelle enfin que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.
VIII. Sur la durée de conservation
Les données sont conservées, en ce qui concerne la gestion d'un précontentieux, jusqu'à la date de règlement amiable ou à la date de prescription de l'action en justice correspondante, et en ce qui concerne le contentieux, jusqu'à l'extinction des procédures et de leurs exécutions. Par ailleurs, les logs sont conservés 5 jours sur les postes utilisateurs. En ce qui concerne cette dernière durée, celle-ci est trop courte eu égard aux impératifs de traçabilité exigés en terme de sécurité. Elle demande donc que les logs soient conservés 1 an.
Sous cette réserve, la Commission considère que ces durées sont conformes aux exigences légales.
Après en avoir délibéré, la Commission :
Rappelle que :
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé ;
- les commentaires doivent être proportionnés à la finalité recherchée et strictement encadrés ;
- le droit d'accès ne peut conduire les personnes concernées à accéder directement à l'ensemble des documents du traitement, notamment ceux couverts par le secret professionnel des avocats ;
- les traitements ponctuellement rapprochés avec le présent traitement aux fins de collecte de preuves doivent être légalement mis en œuvre au sens de la loi n° 1.165 du 23 décembre 1993 ;
- la copie ou l'extraction d'informations issues du présent traitement et de traitements faisant l'objet de rapprochements avec celui-ci devra être chiffrée sur son support de réception ;
- les accès effectués aux informations métiers de la DAJ par la DSI, ainsi qu'aux sauvegardes, doivent être tracés et conservés.
Considère qu'une procédure relative au droit d'accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations.
Demande qu'un message/une alerte soit envoyé(e) au responsable métier l'informant de l'accès par la DSI qui sera préalablement justifié ou devra l'être.
Fixe la durée de conservation des logs à 1an.
Sous le bénéfice de la prise en compte de ce qui précède, la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d'État, du traitement automatisé d'informations nominatives ayant pour finalité « Gestion informatisée des dossiers pré-contentieux et contentieux visant la coordination et au suivi de la représentation en justice de l'État ».
Le Président de la Commission de Contrôle des Informations Nominatives.