Délibération n° 2020-168 du 18 novembre 2020 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion d'un outil de partage de documents sécurisés avec des partenaires internes et externes à l'administration monégasque » du Secrétariat Général du Gouvernement présenté par le Ministre d'État.

Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d'informations nominatives ;
Vu la demande d'avis déposée par le Ministre d'État, le 7 août 2020, concernant la mise en œuvre d'un traitement automatisé ayant pour finalité « Gestion d'un outil de partage de documents sécurisés avec des partenaires internes et externes à l'administration monégasque » ;
Vu la prorogation du délai d'examen de la présente demande d'avis notifiée au responsable de traitement le 6 octobre 2020, conformément à l'article 19 de l'Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 18 novembre 2020 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,

Préambule
Le Gouvernement souhaite mettre en œuvre une solution lui permettant le partage de manière sécurisée, quel que soit le contexte dans lequel se trouve l'utilisateur, de documents confidentiels.
Ainsi, le traitement automatisé d'informations nominatives y afférent est soumis à l'avis de la Commission, conformément à l'article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.

I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité « Gestion d'un outil de partage de documents sécurisés avec des partenaires internes et externes à l'administration monégasque ».
Il concerne les Fonctionnaires et Agents de l'État, les prestataires externes de l'État ainsi que tout utilisateur externe invité sur la solution.
Le traitement a pour fonctionnalités :
- Enrôler les utilisateurs selon une procédure définie ;
- Partager des documents ;
- Créer des espaces de travail ;
- Gérer finement l'accès à ces documents ;
- Envoyer des liens de téléchargement sécurisés permettant le téléchargement d'un document ;
- Accéder à ces documents sur PC et en mobilité.
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.

II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le présent traitement est justifié par la réalisation d'un intérêt légitime sans que ne soient méconnus les droits et libertés fondamentaux de la personne concernée.
À cet égard, le responsable de traitement indique que le traitement permet « d'échanger des documents de manière sécurisée avec d'autres utilisateurs, permettant ainsi de renforcer la sécurité autour des échanges et des partages de documents ».
Il est également précisé que ce traitement n'a pas pour objet de surveiller l'activité des personnes concernées.
La Commission considère que ce traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.

III. Sur les informations traitées
Les informations nominatives traitées sont :
- identité : nom, prénom ;
- coordonnées : adresse email ;
- données d'identification électronique : identifiant et authentification de connexion des personnes habilitées à avoir accès au traitement ;
- informations temporelles : date et heure de dépôt, consultation et suppression du document, données de connexion : logs, traces d'exécution, fichiers journaux ;
- document déposé : contenu du document ;
- accès conférés : profil, accès.
En outre, la Commission constate que des informations de connexion sont collectées par le biais de l'application mobile (smartphone). Elle en prend acte.
Les informations relatives à l'identité, les adresses et coordonnées, les données d'identification électronique et les documents déposés proviennent des personnes concernées. Les adresses et coordonnées peuvent également être renseignées par l'Administrateur. Les personnes renseignées par l'utilisateur pour accéder aux documents peuvent également insérer leurs données d'identification électronique.
Les informations temporelles sont générées par le système.
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.

IV. Sur les droits des personnes concernées

• Sur l'information préalable des personnes concernées

L'information préalable des personnes concernées est réalisée par le biais d'un courrier électronique adressé à l'intéressé.
À la lecture des mentions qu'il contient, jointes au dossier, la Commission constate que les personnes concernées sont informées de manière conforme aux dispositions de l'article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
Cette information est accompagnée d'une charte d'utilisation de la solution, qui avertit également les personnes concernées de leurs devoirs dans leur utilisation de l'outil, participant ainsi à la sécurisation du processus.

• Sur l'exercice du droit d'accès, de modification et de mise à jour

Le droit d'accès est exercé par voie postale ou sur place auprès de la Direction des Services Numériques.
La Commission constate que les modalités d'exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.

V. Sur les destinataires et les personnes ayant accès au traitement
La Commission constate qu'il n'y a pas de destinataire des informations objets du présent traitement.
Par ailleurs, les accès ont été définis comme suit :
- Fonctionnaires et agents de l'État : création et suppression du compte, création des profils utilisateur et accès, consultation, modification et suppression des documents ;
- Utilisateurs externes : consultation et dépôt de documents sur les espaces affectés ;
- Utilisateur anonyme : lecture seule sur un fichier via lien sécurisé ;
- Administrateur : tous droits de fonctionnement sans accès au contenu des documents ;
- Prestataire : tout droit dans le cadre de ses opérations de maintenance strictement limité à ses missions sans accès au contenu des documents.
La Commission considère que ces accès sont justifiés.

VI. Sur les interconnexions
Le présent traitement fait l'objet d'interconnexions avec les traitements de Gestion de la messagerie professionnelle du Gouvernement, légalement mis en œuvre.
La Commission estime que ces interconnexions sont conformes aux exigences légales.
Par ailleurs, il appert de l'analyse du dossier un rapprochement avec le traitement « Assistance aux utilisateurs par le Centre de Service de la DSI », en cours d'analyse par la Commission.
À cet égard, elle rappelle que les rapprochements ne peuvent être effectués qu'entre des traitements légalement mis en œuvre.

VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation.
Cependant, les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
La Commission rappelle enfin que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.

VIII. Sur la durée de conservation
Les données d'identité, d'adresses et coordonnées, d'identification électronique sont conservées tant que le compte est actif.
Les informations temporelles sont conservées un an glissant.
Les documents déposés sont supprimés à l'appréciation des utilisateurs disposant de droits de suppression.
Les accès aux documents sont ouverts le temps d'affectation nécessaire.
La Commission relève que ces délais sont conformes aux exigences légales.
Après en avoir délibéré, la Commission :

Rappelle que :
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé ;
- le traitement ayant pour finalité « Assistance aux utilisateurs par le Centre de Service de la DSI » doit être légalement mis en œuvre avant de pouvoir faire l'objet d'un rapprochement avec le présent traitement.
Sous le bénéfice de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d'État, du traitement automatisé d'informations nominatives ayant pour finalité « Gestion d'un outil de partage de documents sécurisés avec des partenaires internes et externes à l'administration monégasque » du Secrétariat Général du Gouvernement.

Le Président de la Commission de Contrôle des Informations Nominatives.