Délibération n° 2021-59 du 17 mars 2021 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion dématérialisée des courriers pour l'Administration monégasque » du Secrétariat Général du Gouvernement, dénommé « Dematco » présenté par le Ministre d'État.

Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l'Ordonnance n° 5.840 du 13 mai 2016 portant création du Secrétariat Général du Gouvernement ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d'informations nominatives ;
Vu la demande d'avis déposée par le Ministre d'État, le 23 novembre 2020, concernant la mise en œuvre d'un traitement automatisé ayant pour finalité « Gestion dématérialisée des courriers pour l'administration monégasque » ;
Vu la prorogation du délai d'examen de la présente demande d'avis notifiée au responsable de traitement le 21 janvier 2021, conformément à l'article 19 de l'Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 17 mars 2021 portant examen du traitement automatisé susvisé,
La Commission de Contrôle des Informations Nominatives,
Préambule
Le responsable de traitement indique que « Dans le cadre de la modernisation des processus et des outils du Gouvernement de Monaco, l'Administration souhaite se doter d'un outil qui lui permette de dématérialiser les échanges de courriers internes et de rationaliser les processus associés ».
Ainsi, le traitement automatisé d'informations nominatives y afférent est soumis à l'avis de la Commission, conformément à l'article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
I.          Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité « Gestion dématérialisée des courriers pour l'administration monégasque ».
Il est dénommé Dematco.
Il concerne les Fonctionnaires et Agents de l'État ayant accès à l'outil, ainsi que tout usager ou personne échangeant avec l'Administration.
Le traitement a pour fonctionnalités :
-           Création des comptes utilisateurs et paramétrage des droits selon profils ;
-           Établissement des documents organisationnels nécessaires pour le fonctionnement de la solution (ex. organigramme, liste des référents) ;
-           Gestion des espaces de travail personnalisés par les utilisateurs ;
-           Intégration des documents scannés (depuis les imprimantes multifonctions) ou des mails ;
-           Échanges de documents électroniques intra et inter services ;
-           Formalisation de processus de création, correction/validation/signature de documents ;
-           Paramétrage des accès selon la sensibilité du courrier par les utilisateurs ;
-           Mise à disposition d'un annuaire des contacts extérieurs par service ;
-           Possibilité d'intégrer des modèles de documents dans le logiciel pour faciliter la rédaction des courriers dans l'outil ;
-           Utilisation d'un parapheur électronique pour consulter, annoter et signer les documents ;
-           Planification des réponses et mise en évidence des dates d'échéance ;
-           Établissement de statistiques génériques (ex. nombre de courriers, statut, objet de mail, tâches demandées).
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
II.        Sur la licéité et la justification du traitement
Le responsable de traitement indique que le présent traitement est justifié par la réalisation d'un intérêt légitime sans que ne soient méconnus les droits et libertés fondamentaux de la personne concernée.
À cet égard le responsable de traitement précise qu'en application de l'Ordonnance Souveraine n° 5.840 du 13 mai 2016, susvisée, il appartient au Secrétariat Général du Gouvernement « (…) de concevoir et de suivre les procédures et méthodes administratives dans le but d'améliorer la qualité du service au public ».
Il précise ainsi que le traitement permet notamment d'« améliorer l'efficacité des échanges internes dans l'objectif d'améliorer les services aux usagers » et d'« obtenir un gain de temps dans la gestion des courriers », en plus de participer à la réduction de la consommation de papier dans l'Administration.
La Commission considère que ce traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
III.       Sur les informations traitées
Les informations nominatives traitées sont :
-           Identité : nom, prénom des utilisateurs ;
-           Adresses et coordonnées : annuaire des contacts extérieurs à l'administration (exemple : entreprises, autres administrations, etc…) ;
-           Vie professionnelle : service de rattachement, dates d'indisponibilité de l'utilisateur afin de gérer la délégation d'un binôme ;
-           Données d'identification électronique : login et son mot de passe ;
-           Informations temporelles : logs :  login de l'utilisateur, IP d'origine, date de l'action, type d'action (Connexion, lecture, modification, …) ;
-           Éléments de suivi des courriers : date et heure du courrier, chrono, tâches affectées et réalisées ;
-           Éléments et contenu des courriers et documents : identité et coordonnées des correspondants, numéro de correspondance, développements concernant l'objet de la correspondance ; cas particulier des courriers : matricule RH d'un correspondant (pour le personnel de l'Administration).
Les informations techniques (informations temporelles, éléments de suivi des courriers) sont générées par le système.
Les informations relatives aux personnels concernant leur identité et la vie professionnelle proviennent de l'annuaire officiel du Gouvernement, les informations d'identité pouvant être également fournies par les Chefs de Service.
Les informations des contacts extérieurs sont fournies par chaque service.
Les informations relatives aux adresses mails du Gouvernement et des données d'identification électroniques sont renseignées par la Direction des Systèmes d'Information.
Enfin, les éléments et contenus des courriers et documents sont créés par les utilisateurs sollicités sur la gestion d'un courrier.
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
IV.       Sur les droits des personnes concernées

• Sur l'information préalable des personnes concernées

L'information préalable des personnes concernées est réalisée par le biais d'une mention :
-           sur le portail de Gouvernement destiné à l'information des usagers ;
-           intégrée dans un mail adressé aux agents et fonctionnaires de l'État pouvant disposer de la solution dans le cadre de leurs missions.
La mention d'information des personnels, jointe au dossier, est conforme aux dispositions légales.
En ce qui concerne l'information aux usagers, la Commission rappelle qu'elle devra également être conforme aux dispositions de l'article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.

• Sur l'exercice du droit d'accès, de modification et de mise à jour

Le droit d'accès est exercé par voie postale ou sur place auprès du Secrétariat Général du Gouvernement.
La Commission constate que les modalités d'exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
V.        Sur les destinataires et les personnes ayant accès au traitement
La Commission constate qu'aucune information relative à l'administration de la gestion dématérialisée du courrier n'est communiquée à d'éventuels destinataires.
Par ailleurs, ont accès au traitement les personnels de l'Administration suivants :
-           Manager : accès en création, lecture, modification, validation, signature ;
-           Secrétaire : accès en création, lecture, modification, suppression dans le cadre de ses fonctions impliquant l'enregistrement, l'attribution, l'indexation, le suivi des tâches, la transmission et l'expédition des courriers ;
-           Rédacteurs/collaborateurs : accès en lecture, création, modification des courriers qui lui sont adressés, affectés, ou qu'il crée ;
-           Référents (2 personnes dans chaque service) : accès en création, lecture, modification ;
-           Administrateur fonctionnel : accès en création, lecture, modification, validation, suppression ;
-           Admin technique : dans le cadre de ses missions de maintenance.
La Commission considère que ces accès sont justifiés.
VI.       Sur les interconnexions
Le présent traitement fait l'objet d'interconnexions avec les traitements légalement mis en œuvre suivants :
-           « Gestion des Habilitations et des accès au Système d'information par l'Active Directory », afin d'enrôler l'utilisateur selon les autorisations octroyées.
-           « Gestion de la messagerie professionnelle », afin de permettre « l'envoi des emails et des pièces jointes vers la solution ».
-           « Gestion des accès à distance au système d'information du Gouvernement », afin de permettre « aux administrateurs techniques d'effectuer les opérations relevant de leur compétence ».
Il est également rapproché avec le traitement ayant pour finalité « Assistance aux utilisateurs par le centre de service de la DSI », légalement mis en œuvre, « pour le process de demande d'accès à la solution, l'assistance et la validation des opérations subséquentes ».
La Commission estime que ces interconnexions sont conformes aux exigences légales.
VII.     Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation.
Cependant, les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
La Commission rappelle enfin que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.
VIII.    Sur la durée de conservation
Les données sont conservées « tant que la personne travaille pour l'État de Monaco et que ses fonctions justifient l'utilisation de la solution », en ce qui concerne les utilisateurs (identité, adresse mail, données d'identification électronique), étant précisé que l'information relative au Service de rattachement dépend de son affectation à un instant donné, et que les dates d'indisponibilité d'un utilisateur sont effacées à son retour en poste.
En ce qui concerne les contacts extérieurs, les informations sont conservées tant qu'il y aura une relation avec l'État de Monaco.
Les logs de connexions sont conservés 12 mois, quand les éléments de suivi des courriers s'effacent après 5 ans glissants.
Enfin, les éléments et contenus des courriers et documents sont conservés 5 ans à compter de l'envoi des courriers puis selon la politique d'archivage des services.
La Commission relève que ces délais sont conformes aux exigences légales.
Après en avoir délibéré, la Commission :
Rappelle que :
-           les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé ;
-           les usagers doivent être informés de manière conforme aux dispositions de l'article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
Sous le bénéfice de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d'État, du traitement automatisé d'informations nominatives ayant pour finalité « Gestion dématérialisée des courriers pour l'Administration monégasque » du Secrétariat Général du Gouvernement.

Le Président de la Commission de Contrôle des Informations Nominatives.