Délibération n° 2021-142 du 23 juin 2021 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Réaliser une signature entre plusieurs parties par le biais d'une démarche en ligne » exploité par la Direction des Services Numériques présenté par le Ministre d'État.

Vu la Constitution ;

Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;

Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;

Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;

Vu la loi n° 1.483 du 17 décembre 2019 relative à l’identité numérique ;

Vu la loi n° 1.383 du 2 août 2011 pour une Principauté Numérique, modifiée ;

Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;

Vu l’Ordonnance Souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l’administration et l’administré, et son rapport de présentation ;

Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôles des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés d’informations nominatives ;

Vu la délibération n° 2021-105 du 2 juin 2021 de la Commission de Contrôle des Informations Nominatives portant avis sur la consultation du Ministre d’État sur un projet d’Ordonnance Souveraine relative à la carte d’identité monégasque et sur un projet d’Ordonnance Souveraine portant modification de l’Ordonnance n° 3.153 du 19 mars 1964 relative aux conditions d’entrée et de séjour des étrangers dans la Principauté et son Arrêté Ministériel portant application de l’article 4 ;

Vu la délibération n° 2021-112 du 2 juin 2021 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Fourniture des services de confiance pour l’identité numérique » ;

Vu la demande d’avis présentée le 12 avril 2021 par de Ministre d’État concernant, la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Réaliser une signature entre plusieurs parties par le biais d’une démarche en ligne » ;

Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 11 juin 2021, conformément à l’article 19 de l’Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;

Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 23 juin 2021 portant examen du traitement automatisé, susvisé ;

La Commission de Contrôle des Informations Nominatives,

Préambule

La loi n° 1.483 du 17 décembre 2019 a créé en Principauté une identité numérique qui concerne notamment, en application de son article 4, les monégasques et résidents.

Saisie par le Gouvernement de projets d’Ordonnances Souveraines relatives à la carte d’identité monégasque et aux conditions d’entrée et de séjour des étrangers dans la Principauté, la Commission a pu apprécier les modalités de délivrance de cette identité numérique.

Cette dernière permet de s’authentifier sur différents téléservices, qui reconnaîtront le certificat attribué au titulaire d’une carte d’identité ou de séjour. Ainsi, par délibération n° 2021-112 du 2 juin 2021, la Commission a émis un avis favorable à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Fourniture des services de confiance pour l’identité numérique », qui gère les certificats déposés sur lesdites cartes.

Le Gouvernement souhaite proposer un téléservice permettant de réaliser une signature entre plusieurs parties, démarche qui exige une fiabilité de l’identification de son auteur d’un niveau de garantie élevé (ce qui exclut l’utilisation de l’identité numérique dérivée sur mobile), et qui repose donc sur l’identité numérique des monégasques et résidents déposée sur leur titre d’identité.

Ainsi, le traitement automatisé d’informations nominatives y afférent est soumis à l’avis de la Commission, conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993.

I. Sur la finalité et les fonctionnalités du traitement

Le traitement a pour finalité « Réaliser une signature entre plusieurs parties par le biais d’une démarche en ligne » et « offre la possibilité d’apposer une signature électronique sur un document électronique ».

Le responsable de traitement précise qu’il concerne les monégasques et résidents ayant activé leur identité numérique, et de manière incidente les administrateurs de base de données du prestataire.

Il est indiqué que « le cas d’usage de ce téléservice est composé de deux étapes :

-  L’initialisation d’un document à signer plus sa mise à disposition aux autres signataires éventuels ;

-  La signature par les autres signataires puis la mise à disposition du document signé par toutes les parties à tous les signataires ».

Il en découle les fonctionnalités suivantes :

-  Accéder au téléservice ;

-  S’authentifier selon un niveau de garantie élevé (utilisation de la carte de séjour/d’identité uniquement) ;

-  Consulter les conditions générales d’utilisation ;

-  Prendre connaissance des fonctionnalités offertes par le téléservice ;

-  Gérer les documents par l’utilisateur ;

-  Gérer les signatures ;

-  Conserver un document ;

-  Récupérer des données statistiques du téléservice.

La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.

II. Sur la licéité et la justification du traitement

Le responsable de traitement indique que le présent traitement est justifié par le consentement des personnes concernées, ainsi que par la réalisation d’un intérêt légitime qui ne méconnait ni l’intérêt, ni les droits et libertés fondamentaux de celle-ci.

À cet égard il indique que le présent traitement permet au Gouvernement de déployer des usages de l’identité numérique telle que prévue par la loi n° 1.483 du 17 décembre 2019.

Il est en outre précisé que lors de l’authentification par le biais d’une carte d’identité ou de séjour, une case à cocher (opt-in) est prévue lors de l’accès au téléservice qui mentionne les données de l’usager qui vont être utilisées. La Commission constate également que les Conditions Générales d’Utilisation (CGU) du téléservice doivent être acceptées lors de la première connexion.

La Commission considère donc que ce traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993.

III. Sur les informations traitées

Les informations nominatives traitées sont :

-  Identité : données issues du processus d’authentification, à savoir nom d’usage, prénoms, nom de naissance, sexe, date et heure de naissance, lieu de naissance ;

-  Adresse et coordonnées : email (pour les notifications) ;

- Données d’identification électronique : méthode d’authentification de l’usager (carte), statut de l’identité (active, suspendue, inactive) ;

-  Clé technique : clé technique permettant de faire un lien entre l’individu, son accès et ses actions sur le téléservice. Cette clé est dérivée de la clé primaire ;

-  Informations temporelles : logs de connexion des administrateurs de bases de données du prestataire ;

-  Données relatives aux documents signés : les documents signés, nom et prénoms des autres signataires ;

-  Autres données : autorité d’enregistrement (Mairie, Direction de la Sûreté Publique).

Les informations d’identité, de données d’identification électronique et relatives à la qualité de l’autorité d’enregistrement sont issues de l’identité numérique et transmises par le bais du traitement ayant pour finalité « Fourniture des services de confiance pour l’identité numérique ».

Les informations ont pour origine la personne concernée pour la transmission de l’adresse email.

Les autres informations sont produites par le système. À cet égard, la Commission relève que sont collectés également les logs de connexion des usagers et rappelle que leur durée de conservation ne doit pas être inférieure à trois mois et supérieure à un an.

Enfin, la Commission constate que seuls des cookies techniques ou anonymisés sont utilisés sur le téléservice.

La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.

IV.   Sur les droits des personnes concernées

→    Sur l’information préalable des personnes concernées

L’information des personnes concernées est réalisée par le biais d’une mention d’information particulière intégrée dans un document d’ordre général accessible en ligne, à savoir les Conditions Générales d’Utilisation (CGU) du téléservice.

Cette dernière étant jointe au dossier, la Commission relève que le contenu de cette mention d’information est conforme aux dispositions de l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée.

→    Sur l’exercice du droit d’accès, de modification et de mise à jour

Le droit d’accès est exercé par voie postale. Il est précisé qu’un formulaire de contact est disponible depuis la page relative à la Direction des Services Numériques, accessible depuis un lien hypertexte inséré dans les CGU.

La Commission constate que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.

V. Sur les personnes ayant accès au traitement

Le responsable de traitement indique qu’ont accès au traitement les administrateurs de bases de données du prestataire dans le cadre de ses missions de maintenance, développement des applicatifs nécessaire au fonctionnement du site et de sécurité du site et du système d’information.

La Commission rappelle qu’en ce qui concerne les prestataires, leurs accès doivent être limités à ce qui est strictement nécessaire à l’exécution de leur contrat de prestation de service, conformément à l’article 17 de la loi n° 1.165. De plus, ils sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement.

La Commission considère que ces accès sont justifiés.

VI.   Sur les interconnexions avec d’autres traitements

Le responsable de traitement indique que le présent traitement fait l’objet d’une interconnexion avec le traitement ayant pour finalité « Fourniture des services de confiance pour l’identité numérique », ayant reçu un avis favorable de la Commission et en attente de mise en œuvre.

La Commission constate que cette interconnexion est conforme à la finalité du traitement sus-évoqué. Elle rappelle néanmoins que celle-ci ne peut être effective qu’entre traitements ayant légalement été mis en œuvre.

VII. Sur la sécurité du traitement et des informations

Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.

Cependant les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.

Enfin, la Commission rappelle que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.

VIII. Sur la durée de conservation

Le responsable de traitement indique que les informations sont conservées :

- le temps de la durée de la session utilisateur (jusqu’à la déconnexion) en ce qui concerne l’identité, le numéro de téléphone de l’usager, les données d’identification électronique, la clé technique, et les « autres données » ;

-  1 an pour les données d’horodatage ;

- sur le téléservice 1 an après la réalisation de la dernière signature sur le document en ce qui concerne les données relatives aux documents signés.

La Commission constate que ces durées de conservation sont conformes aux exigences légales.

Après en avoir délibéré, la Commission :

Rappelle que :

-  les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé ;

-  les traitements en lien avec l’identité numérique ne pourront être interconnectés qu’une fois légalement mis en œuvre.

À la condition de la prise en compte des éléments qui précèdent,

la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d’État, du traitement automatisé d’informations nominatives ayant pour finalité « Réaliser une signature entre plusieurs parties par le biais d’une démarche en ligne ».

Le Président de la Commission de Contrôle des Informations Nominatives.