Délibération n° 2021-228 du 20 octobre 2021 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Demander un remboursement des congés payés acquis pendant le Chômage Total Temporaire Renforcé par voie dématérialisée » du Service de l'Inspection du Travail présenté par le Ministre d'État.
Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 537 du 12 mai 1951 relative à l’inspection du travail ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l’Ordonnance Souveraine n° 16.675 du 18 février 2002 portant création d’une Direction du Travail ;
Vu l’Ordonnance Souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l’Administration et l’administré ;
Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;
Vu la demande d’avis déposée par le Ministre d’État, le 13 août 2021, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité « Demander un remboursement des congés payés acquis pendant le Chômage Total Temporaire Renforcé par voie dématérialisée » ;
Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 11 octobre 2021, conformément à l’article 19 de l’Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 20 octobre 2021 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Comme le définit le Gouvernement sur son site, « Le CTTR [Chômage Total Temporaire Renforcé] est un dispositif exceptionnel qui permet de réduire ou suspendre temporairement l’activité des salariés. Il prévoit le versement par l’employeur d’une partie de la rémunération du salarié et un remboursement par l’État.
Il découle dans son principe de l’accord passé avec la République Française en matière d’assurance chômage, les employeurs et salariés cotisant à cette fin, et prendra fin une fois la situation d’urgence sanitaire passée sur décision du Gouvernement monégasque ».
Il est en outre précisé que « Les congés payés acquis alors que le salarié était placé en CTTR entre le 1er mai 2020 et le 30 avril 2021 se voient transposer le régime du CTTR.
Les employeurs se verront rembourser par l’État, le pourcentage habituel de 80 % de l’Allocation d’Activité Partielle (AAP).
Le reste à charge de l’employeur sera de 20 %, excepté pour les employeurs pris en charge à 100 % au titre du CTTR (pendant toute la période concernée) qui se verront rembourser le pourcentage habituel de 100 % sans reste à charge (établissements de nuit) ».
Afin de faciliter les démarches des entreprises souhaitant solliciter un remboursement de congés payés, l’État souhaite mettre en œuvre un téléservice permettant le dépôt d’une telle demande.
Ainsi, le traitement automatisé d’informations nominatives objet de la présente est soumis à l’avis de la Commission, conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité « Demander un remboursement des congés payés acquis pendant le Chômage Total Temporaire Renforcé par voie dématérialisée ».
Il concerne le représentant de l’entreprise effectuant la démarche sur le téléservice, le personnel concerné par la demande de remboursement de congés payés, et les fonctionnaires et agents de l’État en charge du dossier.
Aussi, la démarche en ligne mise en place à cette fin a pour fonctionnalités :
- saisie des informations concernant l’entreprise ;
- saisie des informations concernant la demande ;
- envoi de pièces justificatives ;
- compléter les informations manquantes ;
- annulation d’une déclaration par l’usager ou par un agent ;
- envoi d’un courriel de confirmation d’enregistrement de la déclaration ;
- envoi d’un courriel de confirmation d’annulation de la déclaration ; envoi d’un courriel de confirmation de désinscription à la démarche en ligne ;
- export d’un fichier Excel qui comprend toutes les déclarations et leurs informations anonymisées par les agents ayant les droits nécessaires pour effectuer cette action ;
- export d’un fichier TGF qui comprend les informations nécessaires aux déclarations et paiements par les agents ayant les droit s nécessaires pour effectuer cette action.
Le responsable de traitement indique également l’existence d’un lien vers un questionnaire de satisfaction anonyme des usagers dont les réponses seront traitées anonymement par la Direction des Services Numériques (conformément à l’Ordonnance Souveraine n° 7.955 du 12 mars 2020 portant création de la Direction des Services Numériques).
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le présent traitement est justifié par le consentement des personnes concernées, le respect d’une obligation légale et la réalisation d’un intérêt légitime sans que ne soient méconnus les droits et libertés fondamentaux de la personne concernée.
Il s’inscrit dans l’Accord franco-monégasque en matière de chômage et dans les missions légalement conférées à la Direction du Travail qui est notamment chargée en vertu de l’article 2 de l’Ordonnance Souveraine n° 16.675 du 18 février 2005, précitée, « de la gestion du régime d’indemnisation du chômage » ainsi que « de toutes missions concernant l’emploi qui lui seraient confiées ».
À cet égard le responsable de traitement indique que « le consentement de la personne concernée sur le traitement de ses données est formalisé par un acte positif clair : une case à cocher qui prévoit « j’accepte que mes données personnelles soient traitées dans le cadre du téléservice « Demander un remboursement des congés payés acquis pendant le Chômage Total Temporaire Renforcé » » », ainsi que par l’obligation d’accepter les conditions générales d’utilisation.
L’intérêt légitime trouve son fondement dans la volonté de l’Administration de simplifier la démarche des usagers, et « s’inscrit dans le cadre de l’Ordonnance Souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l’Administration et l’administré ». La Commission rappelle que conformément aux dispositions de l’article 43 de l’Ordonnance Souveraine susvisée « (…) la création d’un téléservice ne saurait toutefois avoir pour effet de supprimer la possibilité pour l’usager, d’accomplir les démarches, formalités ou paiements qui en sont l’objet par des voies autres qu’électroniques ».
Enfin, il est précisé que le sondage « sera traité anonymement par la Direction des Services Numériques », chargée notamment d’identifier et d’analyser les attentes des usagers en matière de procédures et d’information administratives.
La Commission considère que ce traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
III. Sur les informations traitées
Les informations nominatives traitées sont :
- identité/situation de famille : demandeur : titre, nom, prénom, raison sociale, email de contact ; entreprise : nom de l’entreprise, numéro CAR, activité/objet social, code N.I.S. ;
- adresses et coordonnées : adresse et téléphone de l’entreprise ; numéro de téléphone et adresse email de contact de l’usager ;
- données d’identification électronique : identifiant technique de l’usager ;
- informations temporelles : horodatages, etc. : données d’horodatage ;
- données de connexion : log de connexion de l’usager, données de messagerie de l’usager ;
- informations relatives à la demande : informations générales : numéro, date et statut de la demande, nombre total de salariés concernés par le remboursement des congés payés, total à payer pour les congés payés, déclaration d’une demande d’allocation d’activité partielle dans le cadre du Chômage Total Temporaire Renforcé ; informations relatives aux salariés concernés par la mesure : nombre de salariés concernés en CDI, en CDD et en contrat d’apprentissage ;
- pièces justificatives : relevé d’identité bancaire de l’usager, déclaration de remboursement de congés payés, bulletins de paye des salariés concernés, documents complémentaires.
Les informations ont pour origine la personne qui saisit la demande au sein d’une entreprise, excepté les données d’identification électronique, les informations temporelles et les données de connexion qui proviennent du système.
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
IV. Sur les droits des personnes concernées
- Sur l’information préalable des personnes concernées
L’information préalable des personnes concernées est réalisée par le biais d’une mention particulière intégrée dans un document d’ordre général accessible en ligne, à savoir les conditions générales d’utilisation de la démarche en ligne que l’usager doit accepter et peut consulter dès l’accès à la démarche.
Ces dernières étant jointes au dossier, la Commission constate que les personnes concernées sont informées de manière conforme aux dispositions de l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
Elle attire toutefois l’attention de la Direction du Travail sur la nécessité de sensibiliser les entreprises qui se doivent d’informer leurs salariés de l’utilisation de leurs données personnelles dans le présent traitement.
En effet, ces derniers ne peuvent être directement informés par la Direction du Travail de l’existence de celui-ci.
- Sur l’exercice du droit d’accès, de modification et de mise à jour
Le droit d’accès est exercé sur place, par voie postale, par accès en ligne au dossier, ou par courrier électronique auprès du service de l’Inspection du Travail.
S’agissant de l’exercice du droit d’accès par voie électronique, la Commission considère qu’une procédure devra être mise en place afin que le responsable de traitement puisse s’assurer que l’expéditeur du courriel est effectivement la personne concernée par les informations. À ce titre, elle précise que si une copie d’un document d’identité était demandée, la transmission et le traitement de ce document devront faire l’objet de mesures de protection particulières comme rappelé dans sa délibération n° 2015-116 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d’identité officiels.
Sous cette réserve, elle constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
V. Sur les destinataires et les personnes ayant accès au traitement
Le responsable de traitement indique qu’il n’y a pas de communication d’informations à un destinataire.
Par ailleurs, les accès sont définis comme suit :
- les personnels de l’Inspection du Travail : en lecture, traitement, en paramétrage, en validation et en saisie ;
- la Direction des Services Numériques, ou tiers intervenant pour son compte : accès configuration dans le cadre d’un rôle d’assistance à maitrise d’ouvrage, des missions de maintenance, développement des applicatifs nécessaires au fonctionnement du site et de sécurité du site et du système d’information de l’État. À cet égard, une procédure est mise en œuvre pour que la DSN accède aux informations sur demande écrite en cas de nécessité technique.
En ce qui concerne les prestataires, la Commission rappelle que conformément aux dispositions de l’article 17 de la loi n° 1.165 du 23 décembre 1993 les droits d’accès doivent être limités à ce qui est strictement nécessaire à l’exécution de leur contrat de prestation de service. De plus, lesdits prestataires sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
La Commission relève par ailleurs que les personnes concernées disposent d’un accès à leur propre compte.
Elle considère que ces accès sont justifiés.
VI. Sur les interconnexions
Le présent traitement fait l’objet d’interconnexions avec les traitements suivants :
- « Gestion du compte permettant aux usagers d’entreprendre des démarches par téléservices », légalement mis en œuvre ;
- « Gérer les habilitations des agents et fonctionnaires de l’État aux téléservices contenus dans le « Guichet Virtuel » », légalement mis en œuvre.
Lesdits traitements ont pour vocation de permettre l’accès sécurisé des usagers à la démarche et de gérer les habilitations des personnels de l’État, dans le respect des cadres fixés dans les délibérations y relatives de la Commission portant avis favorable à leur mise en œuvre.
La Commission relève également que le traitement est interconnecté avec les messageries professionnelles de l’État, afin notamment de permettre les échanges entre l’Administration et les administrés.
Elle considère que ces interconnexions sont conformes aux exigences légales.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.
Cependant, les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
La Commission rappelle en outre qu’il doit être mis fin à l’utilisation du reCAPTCHA Google, qui implique des transferts de données vers les États-Unis, pays ne disposant pas d’une législation présentant un niveau adéquat en matière de protection des informations nominatives. Elle prend acte des précisions du Gouvernement qu’il est en train d’opérer sur les systèmes des téléservices un changement de solution présentant des garanties en la matière. Elle analysera cette dernière lors du dépôt des dossiers utilisant cette solution.
La Commission rappelle enfin que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VIII. Sur la durée de conservation
Les données sont conservées 3 ans à compter de la fin de l’instruction de la demande, excepté les données d’identification électronique, les informations temporelles et les données de connexion qui sont effacées au bout d’un an.
La Commission considère que ces délais sont conformes aux exigences légales.
Après en avoir délibéré, la Commission :
Rappelle que :
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
Considère qu’une procédure relative au droit d’accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s’assurer que l’expéditeur du courriel est effectivement la personne concernée par les informations.
Demande que le Service de l’Inspection du Travail attire l’attention des entreprises sur la nécessité d’informer leurs salariés de l’utilisation de leurs données personnelles dans le présent traitement.
Sous le bénéfice de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d’État, du traitement automatisé d’informations nominatives ayant pour finalité « Demander un remboursement des congés payés acquis pendant le Chômage Total Temporaire Renforcé par voie dématérialisé » du Service de l’Inspection du Travail.
Le Président de la Commission de Contrôle des Informations Nominatives.