Délibération n° 2022-58 du 20 avril 2022 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion de la base courrier de la Direction des Services Judiciaires » présenté par la Direction des Services Judiciaires.
Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée, susvisée ;
Vu la loi n° 1.398 du 24 juin 2013 relative à l’administration et à l’organisation judiciaires ;
Vu l’Ordonnance Souveraine n° 4.035 du 17 mai 1968 sur la libération conditionnelle ;
Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;
Vu la demande d’avis déposée par la Direction des Services Judiciaires, le 18 février 2022, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité « Gestion de la base courrier de la DSJ » ;
Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 14 avril 2022, conformément à l’article 19 de l’Ordonnance Souveraine n° 2.230 du 19 juin 2009, modifiée, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 20 avril 2022, portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Au titre des dispositions de la loi n° 1.398 du 24 juin 2013, le Directeur des Services Judiciaires dispose d’attributions administratives et judiciaires. Il exerce de ce fait des pouvoirs similaires à ceux des Ministres de la justice d’autres pays en veillant à la bonne administration de la justice, tout en dirigeant l’action publique.
À cet égard, la Direction des Services Judiciaires (DSJ) souhaite se doter d’un outil lui permettant de gérer les courriers et documents émis ou reçus par son Secrétariat, le secrétariat RH du Palais de Justice, celui de la Maison d’Arrêt (courriers de candidatures) et regrouper l’ensemble des dossiers présentant un caractère sensible.
L’outil utilisé doit lui permettre :
- d’enregistrer, gérer et suivre les courriers et documents en lien avec le pouvoir administratif exercé par le Directeur des Services Judiciaires sur le Secrétariat de la DSJ, les services du Greffe, du Parquet Général et de la Maison d’arrêt ;
- d’enregistrer, gérer et suivre les courriers, documents et actes judiciaires du Parquet Général et du Tribunal Suprême ainsi que les demandes d’extraditions ou autres demandes d’entraides judiciaires internationales, naturalisations, recours contre les classements sans suite et demandes de libération conditionnelle, étant précisé que certains de ces éléments sont en dehors du champ d’application de la loi n° 1.165, en vertu de son article 24-2.
Il propose par ailleurs des trames de procédure à destination des juridictions.
Ainsi, le traitement automatisé d’informations nominatives y afférent est soumis à l’avis de la Commission, conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993.
I. Sur la finalité et les fonctionnalités du traitement
Le traitement a pour finalité « Gestion de la base courrier de la DSJ ».
Le responsable de traitement indique que les personnes concernées sont le personnel habilité de la DSJ, les juridictions étrangères requérantes, le personnel habilité de la Maison d’Arrêt, toute personne écrivant à la DSJ ou destinataire de correspondances de la DSJ ainsi que les contacts des professionnels de la DSJ (annuaire).
Le traitement a pour fonctionnalités :
- création de comptes utilisateurs et paramétrage des droits selon profils ;
- enregistrement des correspondances et courriers reçus et envoyés par la DSJ ;
- intégration des documents scannés (depuis des imprimantes multifonctions) ou des emails ;
- échanges de documents électroniques intra ou inter Services ;
- formalisation de processus de création, correction, validation, signature de documents ;
- mise à disposition d’un annuaire professionnel ;
- intégration de modèles de documents pour faciliter la rédaction des courriers ;
- suivi des demandes d’informations, plaintes, requêtes diverses ;
- gestion et archivage des documents nécessaires aux missions de la DSJ ;
- gestion des demandes de droit d’accès des personnes concernées ;
- établissement de statistiques génériques.
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.
II. Sur la licéité et la justification du traitement
Le présent traitement est justifié par le respect d’une obligation légale à laquelle le responsable de traitement est soumis, par un motif d’intérêt public et par la réalisation d’un intérêt légitime qui ne méconnaît, ni l’intérêt, ni les droits et libertés fondamentaux de la personne concernée.
Le responsable de traitement indique à cet égard que le recours à l’outil « permet d’une part, au Directeur des Services Judiciaires d’exercer ses prérogatives administratives sur le Secrétariat général de la Direction des Services Judiciaires et, d’autre part, d’assurer sa fonction d’autorité centrale pour l’application de certaines conventions internationales adoptées sous l’égide de l’Organisation des Nations Unies, du Conseil de l’Europe et de la Convention de la Haye de droit international privé, notamment en matière d’entraide internationale et d’extradition. Il permet en outre à son Directeur d’accorder le bénéfice de la libération conditionnelle, dans les conditions prévues par l’Ordonnance Souveraine n° 4.035 du 17 mai 1968, bien que cette dernière partie soit en dehors du champ d’application de la loi n° 1.165 (article 24-2) ».
Par ailleurs, « le traitement permet d’améliorer l’efficacité des échanges de la DSJ et de contribuer à la bonne administration de la justice en améliorant les temps de traitements administratifs ».
La Commission considère que le traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993.
III. Sur les informations traitées
Les informations nominatives traitées sont :
- identité : nom, nom d’usage et prénom des personnes concernées ;
- adresse et coordonnées : adresse des personnes écrivant ou recevant des courriers de la DSJ ;
- données d’identification électronique : logins et mots de passe des personnes habilitées à accéder à l’outil ;
- informations temporelles : logs de connexion des personnes habilitées à avoir accès à l’outil ;
- éléments transitant par l’outil mais entrant dans le champ de l’article 24-2 de la loi n° 1.165 :
• Actes judiciaires : demandes d’entraide pénale, commissions rogatoires internationales, copies ou photocopies certifiées conformes des dossiers ou documents demandés et, le cas échéant, originaux, demandes d’extradition ; pourvoi en révision et notification de classements sans suite et recours y afférent ;
• Libération conditionnelle : éléments communiqués à l’appui d’une demande de libération conditionnelle, certificat de travail et d’hébergement du lieu où la personne condamnée va résider, etc.
- annuaire : annuaire des contacts extérieurs à la DSJ.
Le responsable de traitement précise que des données sensibles sont par ailleurs collectées par le biais d’actes judiciaires et peuvent être traitées par l’outil. Ces dernières s’inscrivent toutefois dans le cadre de procédures judiciaires et demeurent dès lors en dehors du champ d’application de la loi n° 1.165.
Les informations relatives à l’identité ont pour origine les personnes concernées pour les courriers entrants et sortants et le traitement RH pour le personnel habilité de la DSJ. Les adresses sont, quant à elles, communiquées par les personnes concernées s’agissant des courriers entrants ou sortants ou par les agents de la DSJ.
Les données d’identification électronique proviennent de l’administrateur du système et les informations temporelles sont issues du système.
En outre, les éléments transitant par l’outil, qui entrent dans le champ de l’article 24-2 de la loi n° 1.165, ont pour origine les personnes concernées ou les autorités compétentes.
Enfin, les informations figurant au sein de l’annuaire des contacts extérieurs à la DSJ sont renseignées par les personnes concernées.
La Commission considère que les informations ainsi collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.
IV. Sur les droits des personnes concernées
- Sur l’information des personnes concernées
L’information préalable des personnes concernées est réalisée par le biais d’un document spécifique.
À cet égard, le responsable de traitement précise que les personnels sont informés par le biais de la Charte du système d’information de la DSJ.
Cette dernière, publiée au Journal de Monaco et jointe au dossier de demande d’avis, la Commission relève que son contenu est conforme aux dispositions de l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée.
Par ailleurs, le responsable de traitement indique qu’« en ce qui concerne les courriers envoyés spontanément par les expéditeurs, la DSJ n’est pas en capacité de les informer conformément aux dispositions de l’article 14 alinéa 2 de la loi n° 1.165. Toutefois, en fonction de la finalité des courriers et des réponses apportées par la DSJ, une information des personnes est effectuée, et plus précisément si le courrier est en lien avec une finalité spécifique, telle que la Gestion des recrutements ».
La mention d’information insérée auxdits courriers ayant été jointe au dossier, la Commission considère que celle-ci est conforme aux dispositions de l’article 14 de la loi n° 1.165.
- Sur l’exercice du droit d’accès
Le droit d’accès est exercé par voie postale, sur place ou par courrier électronique auprès de la Direction des Services Judiciaires.
À cet égard, la Commission rappelle que la réponse à ce droit d’accès doit intervenir dans le mois suivant la réception de la demande.
Par ailleurs, s’agissant de l’exercice du droit d’accès par voie électronique, la Commission considère qu’une procédure devra être mise en place afin que le responsable de traitement puisse s’assurer que l’expéditeur du courriel est effectivement la personne concernée par les informations. À ce titre, elle précise que si une copie d’un document d’identité était demandée, la transmission et le traitement de ce document devront faire l’objet de mesures de protection particulières, comme rappelé dans sa délibération n° 2015-113 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d’identité officiels.
Concernant l’accès aux informations relatives aux pièces et procédure, celui-ci s’effectue selon les règles spécifiques de procédure applicables.
La Commission constate que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.
V. Sur les personnes ayant accès au traitement
Les personnes ayant accès au traitement sont :
- le secrétariat : accès limité aux dossiers courants et droits en inscription, modification, consultation et suppression ;
- le Secrétariat Général, l’adjoint et l’assistante personnelle du Directeur des Services Judiciaires : accès complet (gestion RH et comptable, dossiers sensibles) et droits en inscription, modification, consultation et suppression ;
- le service informatique de la DSJ : maintenance et ouverture des droits ;
- le prestataire informatique externe : uniquement pour la maintenance.
À cet égard, il est précisé que « la maintenance sur site intervient en présence d’une personne du service informatique de la DSJ. Par ailleurs, toute télémaintenance se fait, sous la surveillance d’une personne du service informatique de la DSJ, étant précisé que le port d’accès utilisé par le prestataire est désactivé en dehors des opérations de maintenance ».
Compte tenu des attributions de chacune de ces personnes et, eu égard à la finalité du traitement, la Commission considère que les accès susvisés sont justifiés.
En ce qui concerne le prestataire informatique externe, la Commission rappelle que conformément aux dispositions de l’article 17 de la loi n° 1.165 du 23 décembre 1993, les droits d’accès doivent être limités à ce qui est strictement nécessaire à l’exécution de son contrat de prestation de services. De plus, ce dernier est soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
VI. Sur les rapprochements et interconnexions
Il appert des échanges survenus avec le responsable de traitement qu’une interconnexion existe avec un traitement relatif au système d’authentification (AD) de la DSJ.
À cet égard la Commission prend acte des précisions du responsable de traitement selon lesquelles celui-ci va lui être soumis dans les plus brefs délais.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation particulière.
La Commission rappelle que les ports non utilisés doivent être désactivés et que les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
Elle rappelle également que les communications d’informations doivent être sécurisées en tenant compte de la nature des informations transmises.
La Commission rappelle enfin que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VIII. Sur la durée de conservation
Le responsable de traitement indique que les informations relatives à l’identité sont conservées tant que la personne est en poste pour les personnels habilités de la DSJ et selon la politique d’archivage en lien avec la nature des courriers pour les autres personnes concernées.
Les adresses des personnes écrivant ou recevant des courriers de la DSJ sont par ailleurs conservées selon la politique d’archivage en lien avec la nature des courriers.
Les données d’identification électronique le sont tant que les personnes sont habilitées et les informations temporelles sont supprimées au bout de 3 ans.
En outre, les éléments transitant par l’outil, qui entrent dans le champ d’application de l’article 24-2 de la loi n° 1.165, sont conservés selon la politique d’archivage en lien avec les textes applicables. Enfin, les données relatives à l’annuaire sont gardées tant que la personne est en lien avec la DSJ.
La Commission considère que ces délais de conservation sont conformes aux exigences légales.
Après en avoir délibéré, la Commission :
Rappelle que les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switch, routeurs, pares-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
Considère qu’une procédure relative au droit d’accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s’assurer que l’expéditeur du courriel est effectivement la personne concernée par les informations.
Sous le bénéfice de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par la Direction des Services Judiciaires, du traitement automatisé d’informations nominatives ayant pour finalité « Gestion de la base courrier de la DSJ ».
Le Président de la Commission de
Contrôle des Informations Nominatives.