Délibération n° 2022-26 du 16 février 2022 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre de la modification du traitement automatisé d'informations nominatives ayant pour finalité « Gestion des outils de communication collaborative » exploité par la Direction des Systèmes d'Information présenté par le Ministre d'État.

Vu la Constitution ;

Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;

Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;

Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;

Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;

Vu la délibération n° 2020-14 du 15 janvier 2020 portant avis favorable à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des outils de communication instantanée », exploité par la Direction des Réseaux et des Systèmes d’Information présenté par le Ministre d’État ;

Vu la demande d’avis déposée par le Ministre d’État, le 29 octobre 2021 concernant la mise en œuvre de la modification du traitement automatisé ayant pour finalité « Gestion des outils de communication collaborative » ;

Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 28 décembre 2021, conformément à l’article 19 de l’Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;

La Commission de Contrôle des Informations Nominatives,

Préambule

L’Administration a souhaité mettre à disposition des fonctionnaires, des agents de l’État et des prestataires disposant d’un terminal au sein de l’Administration, des outils de communication permettant de « fluidifier les échanges entre les agents et fonctionnaires de l’État, voire avec les partenaires et plus généralement tout interlocuteur de l’Administration ».

Par délibération n° 2020-14 du 15 janvier 2020 ce traitement a obtenu l’avis favorable de la Commission. Le responsable de traitement souhaite désormais le modifier.

Ainsi, cette modification est soumise à l’avis de la Commission, conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993.

I. Sur la finalité et les fonctionnalités du traitement

Le responsable de traitement entend faire évoluer la finalité du traitement de « Gestion des outils de communication instantanée » à « Gestion des outils de communication collaborative ».

Les personnes concernées demeurent inchangées.

Les fonctionnalités du traitement sont désormais :

- création d’un compte sur les outils de collaboration ;

- mise en place et fonctionnement des outils et de leurs fonctionnalités, comme :

   • la création, la gestion et l’utilisation des équipes pour les utilisateurs ;

   • l’organisation et la tenue de réunions, visio-conférences et visio-call, partage d’écran(s) ;

   • la possibilité de rejoindre une conférence via un pont de conférence téléphonique ;

- enregistrement par les organisateurs d’une visioconférence (après information des participants) ;

- gestion par les utilisateurs de l’historique des échanges ;

- établissement de règles de gestion ;

- gestion d’un évènement en direct avec un nombre de connexions simultanées important ;

- travail collaboratif sur un document en commun en temps réel ;

- établissement de statistiques et tableaux de bord.

La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.

II. Sur les informations traitées

Le responsable de traitement indique que les informations nominatives traitées sont désormais :

-  identité : nom, prénom, photo/avatar, numéro d’appareil de l’utilisateur, nom et prénom des contacts ;

-  coordonnées : e-mail de l’utilisateur, email du contact ;

-  vie professionnelle : fonction, groupe d’appartenance (Département, Direction), pour l’utilisateur et les contacts ;

-  données d’identification électronique : login, mot de passe de l’utilisateur ;

-  informations temporelles : logs de connexion : heure et date, actions effectuées ;

-  présentiel : statut (disponible, non disponible), localisation (inscrite par l’utilisateur) ;

-  informations concernant l’administration de la solution : login, logs de connexion ;

-  message : nom, prénom, date d’appel, échange et message, vidéo enregistrée (si possible), documents échangés.

Les informations relatives aux agents et fonctionnaires proviennent soit du traitement de gestion des habilitations, soit sont renseignées volontairement par leurs soins.

En ce qui concerne les interlocuteurs, les informations proviennent de ces derniers ou de l’interconnexion avec le traitement de messagerie professionnelle.

En outre, les informations temporelles, d’administration de la solution, et certaines informations de messages sont générées par le système.

De plus, le présentiel est lié à un paramétrage Exchange par la personne concernée.

Enfin, la Commission constate que si le traitement a pour fonctionnalité l’« enregistrement par les organisateurs d’une visioconférence (après information des participants) », aucune sauvegarde de ces enregistrements n’est indiquée comme étant effectuée, et aucune durée de conservation n’est précisée.

Elle relève toutefois des explications obtenues que les utilisateurs souhaitant effectuer des enregistrements doivent suivre une procédure particulière. Ils doivent pour cela en faire la demande expresse par l’ouverture d’un ticket dans le traitement d’assistance aux utilisateurs et en justifier la nécessité.

Aussi, la Commission prend acte de l’existence de ladite procédure qui permet de vérifier l’objectif de l’enregistrement. Elle estime donc que, compte tenu du fait que ni les informations collectées, ni leur durée de conservation ne sont mentionnées au présent dossier, il en résulte que le fondement juridique de ces enregistrements et leurs modalités d’exploitation devront être analysés dans des traitements tiers, le présent traitement ne servant que de support technique à d’autres finalités. Ainsi, si des enregistrements devaient être effectués, ils devront être préalablement soumis à la Commission.

Sous cette réserve, la Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.

III. Sur les destinataires et les personnes ayant accès au traitement

Les accès sont modifiés et définis comme suit :

-  les agents de la DSI habilités dans le cadre de leurs missions : lecture, création, modification, suppression ;

-  les agents de la DSN habilités dans le cadre de leurs missions d’accompagnement des utilisateurs : lecture, création, modification ;

-  le personnel du prestataire à des fins de MCO et MCS (pas d’accès aux données personnelles) ;

-  utilisateurs accès aux informations qui les concernent (profil, messages/documents adressés et reçus, échanges auxquels ils ont participé) ;

-  auditeurs internes en consultation.

En ce qui concerne le recours à des prestataires, la Commission rappelle que conformément aux dispositions de l’article 17 de la loi n° 1.165 du 23 décembre 1993, les droits d’accès de ces derniers doivent être limités à ce qui est strictement nécessaire à l’exécution de leurs contrats de prestation de service. De plus, lesdits prestataires sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.

Sous ces réserves, la Commission considère que ces accès sont justifiés.

IV.   Sur la sécurité du traitement et des informations

Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.

Cependant les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.

De plus la copie ou l’extraction d’informations issues de ce traitement doit être chiffrée sur leur support de réception.

La Commission rappelle enfin que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.

Après en avoir délibéré, la Commission :

Constate que le présent traitement sert de support technique à des enregistrements de visioconférence dont les fondements juridiques et les modalités d’exploitation correspondent aux finalités auxquelles ils sont rattachés, et qui doivent être soumis à formalité.

Rappelle que :

-  les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé ;

-  la copie ou l’extraction d’informations issues de ce traitement doit être chiffrée sur leur support de réception.

Sous le bénéfice de la prise en compte de ce qui précède,

la Commission de Contrôle des Informations Nominatives émet un avis favorable à la modification, par le Ministre d’État, du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des outils de communication collaborative ».

Le Président de la Commission de

Contrôle des Informations Nominatives.