Délibération n° 2022-111 du 20 juillet 2022 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre de la modification du traitement automatisé d'informations nominatives ayant pour finalité « Gestion de l'attribution des logements domaniaux » exploité par la Direction de l'Habitat présenté par le Ministre d'État.
Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la loi n° 1.235 du 28 décembre 2000 relative aux conditions de location de certains locaux à usage d’habitation construits avant le 1er septembre 1947 ;
Vu la loi n° 887 du 25 juin 1970 portant limitation du champ de l’Ordonnance-loi n° 669 du 17 septembre 1959 modifiant et codifiant la législation relative aux conditions de location des locaux à usage d’habitation ;
Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l’Ordonnance Souveraine n° 4.801 du 28 avril 2014 portant création d’une Direction de l’Habitat ;
Vu l’arrêté ministériel n° 2021-786 du 13 décembre 2021 relatif aux conditions d’attribution des logements domaniaux ;
Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;
Vu la délibération n° 2013-72 du 17 juin 2013 portant avis favorable à la mise en œuvre du traitement d’informations nominatives ayant pour finalité « Gestion de l’attribution des logements domaniaux - traitement et suivi des demandes » dénommé « Appels à candidature des logements domaniaux » de la Direction de l’Habitat, présenté par le Ministre d’État ;
Vu la délibération n° 2014-185 du 11 décembre 2014 portant avis favorable à la mise en œuvre de la modification du traitement automatisé d’informations nominatives ayant pour finalité « Gestion de l’attribution des logements domaniaux - traitement et suivi des demandes », dénommé « Appels à candidatures des logements domaniaux » de la Direction de l’Habitat, présenté par le Ministre d’État ;
Vu la demande d’avis modificative déposée par le Ministre d’État, le 19 mai 2022, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité « Gestion de l’attribution des logements domaniaux » ;
Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 15 juillet 2022, conformément à l’article 19 de l’Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 20 juillet 2022 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Par délibération n° 2013-72 du 17 juin 2013 la Direction de l’Habitat a reçu un avis favorable à la mise en œuvre du traitement d’informations nominatives ayant pour finalité « Gestion de l’attribution des logements domaniaux - traitement et suivi des demandes » dénommé « Appels à candidature des logements domaniaux », modifié une première fois en 2014.
Le responsable de traitement souhaite désormais modifier à nouveau ledit traitement et soumet cette modification à l’avis de la Commission, conformément aux articles 7 et 9 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
I. Sur la finalité et les fonctionnalités du traitement
À titre liminaire, le responsable de traitement souhaite modifier la finalité initiale « Gestion de l’attribution des logements domaniaux - traitement et suivi des demandes » en « Gestion de l’attribution des logements domaniaux », et en supprimer sa dénomination « Appels à candidature des logements domaniaux ».
Alors que le traitement ne concernait initialement que les personnes de nationalité monégasque candidates à l’attribution d’un logement et les personnes rattachées au foyer des candidats, la Direction de l’Habitat précise désormais que sont également concernés les Agents de la Direction de l’Habitat en charge des dossiers et les Membres de la Commission d’attribution des logements domaniaux.
Les fonctionnalités ayant reçu un avis favorable en 2013 et 2014 sont les suivantes :
- l’envoi des dossiers de demandes aux personnes intéressées à la suite d’un appel à candidature ;
- l’établissement et le suivi des correspondances avec les demandeurs : accusé réception des dossiers, demandes d’informations complémentaires, informations du demandeur sur la réponse à ses demandes ;
- l’analyse des dossiers de demande : pièces jointes à la demande, établissement de la grille des revenus et calcul des points, synthèse ;
- la vérification des déclarations de propriétés foncières sur le territoire français des demandeurs et des personnes majeures déclarées au sein de leur foyer, au Centre des Impôts Fonciers de Nice, aux fins de vérification des propriétés, telles que visées dans l’arrêté ministériel ;
- la vérification des déclarations de propriétés foncières monégasques auprès de la Conservation des hypothèques, service de publicité foncière, afin de déterminer si un demandeur ou un membre majeur de son foyer est propriétaire de bien(s) en Principauté ;
- l’établissement d’un tableau général reprenant les seules données nominatives, familiales, locatives et financières justifiant l’ensemble des points appliqués ou déduits selon les dispositions réglementaires en vigueur ;
- l’organisation de la Commission d’attribution des logements domaniaux et documents afférents ;
- l’organisation, s’il y a lieu, des visites à domicile avec avis préalable ;
- l’organisation des visites des appartements attribués avec les attributaires ;
- l’archivage des dossiers des demandeurs ;
- l’établissement de données anonymes reprenant le descriptif des foyers, des revenus et de la situation locative à des fins statistiques.
Le responsable de traitement souhaite désormais préciser que les correspondances visées dans les fonctionnalités peuvent être en format papier ou dématérialisées, et ajouter la fonctionnalité suivante :
- établissement du dossier du demandeur.
La Commission constate également l’ajout des fonctionnalités suivantes :
- notifier aux demandeurs d’une Commission précédente non satisfaits de l’ouverture d’une nouvelle Commission ;
- informer les demandeurs par SMS ;
- permettre le contrôle par la DASO des éléments mentionnés par le demandeur en lien avec la santé.
Concernant cette dernière fonctionnalité, le responsable de traitement précise que « Lorsque des éléments en lien avec la santé d’une personne sont formalisés à l’appui d’une demande d’appartement domanial, la Direction de l’Habitat communique au Département des Finances et de l’Économie les informations permettant la saisine du Département des Affaires Sociales et de la Santé (DASS) pour vérification par ses services de la situation des personnes concernées. Le DASS saisit alors la DASO. Le Médecin de la DASO rend un avis après une visite à domicile pour vérifier que les problématiques de santé sont en lien (ou non) avec le logement occupé. Le Département des Finances et de l’Économie reçoit ensuite, uniquement, une validation du besoin formalisé (oui/non) par le pétitionnaire sans rapport, ni détail, sans donnée de santé. Le Département transmet le document formalisant cette information à la Direction de l’Habitat ».
La demande d’avis précise que l’arrêté ministériel n° 2021‑786 prévoit que « les services administratifs compétent en matière sanitaire et sociale » peuvent ou doivent, en fonction des situations, être saisis.
La Commission rappelle toutefois que les canaux de transmission doivent être sécurisés eu égard à la sensibilité des informations. Son attention est également appelée par le nombre d’intervenants ayant ces données de santé, dont certains personnels aux fonctions non identifies au sein des Départements des Finances et de l’Économie et des Affaires Sociales et de la Santé. Ce point avait été relevé par la Commission dans sa délibération n° 2013-72, susvisée. La Commission recommande ainsi une transmission directe entre la Direction de l’Habitat et le Médecin de la DASO.
Il est également indiqué qu’à partir de 2022 les demandes pourront être effectuées à partir de MonGuichet.mc et que « le traitement afférent à ce téléservice fait l’objet d’une demande d’avis connexe ». La Commission en prend acte.
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
II. Sur la licéité et la justification du traitement
La Commission relève que les conditions de licéité du présent traitement n’ont pas évolué, seul l’arrêté ministériel n° 2021-786 du 13 décembre 2021 relatif aux conditions d’attribution des logements domaniaux étant venu se substituer à l’arrêté ministériel n° 2007-519 du 19 octobre 2007.
La Commission considère donc que ce traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
III. Sur les informations traitées
Les informations nominatives traitées concernant le demandeur et les personnes rattachées au foyer sont désormais :
- identité :
• du demandeur : civilité, nom patronymique, prénom, nom usuel, date de naissance, nationalité ;
• du conjoint et l’ascendant, le cas échéant : civilité, nom patronymique, prénom, nom usuel, date de naissance, nationalité ;
• des personnes rattachées au foyer : nombre d’enfants, nom - prénom - date de naissance des enfants avec mention de leur situation (à charge ou en visite), nationalité ;
- situation de famille : marié, veuf, célibataire, vie maritale (concubinage, contrat de vie commune ou PACS) ;
- adresses et coordonnées : adresse, situation et description locative, coordonnées téléphoniques, adresse électronique ;
- vie professionnelle : profession ;
- caractéristiques financières : qualification des revenus, montant des ressources mensuelles, montant du loyer, indication du patrimoine immobilier en Principauté et/ou dans les communes listées par arrêté ministériel ;
- données de santé : mention « difficultés permanentes » et/ou « handicapantes », le cas échéant sans autres détails, validation de la situation du pétitionnaire (oui/non) ;
- mesures à caractère social : perception d’une Aide Nationale au Logement (ANL) et montant ;
- informations permettant le calcul des points : informations factuelles relatives à l’inadéquation du logement, la situation du demandeur, les qualités du logement, la situation familiale, la santé, les revenus ;
- caractéristiques relatives au logement : type souhaité (F1, F2, etc.) ;
- suivi du dossier : historique des demandes : nombre d’années de demandes consécutives, nombre de refus par le demandeur, pénalité de refus.
La Commission relève toutefois des captures d’écran jointes au dossier que le statut « décédé » d’une personne peut être colleté, ainsi que le pourcentage d’invalidité.
En outre, le responsable de traitement complète son traitement initial en précisant les informations nominatives traitées concernant les Membres de la Commission d’attribution des logements domaniaux, à savoir :
- identité : nom, prénom ;
- adresse professionnelle : adresse, e-mail (si communiquée par le membre) ;
- vie professionnelle : fonction.
Enfin, sont collectés vis-à-vis des Agents habilités de la Direction de l’Habitat en charge des dossiers :
- identité : nom, initiale du prénom, code utilisateur (initiale + nom d’usage) ;
- vie professionnelle : fonction (membre de l’équipe/responsable de l’équipe) ;
- données d’identification électronique : token de la session ;
- log de saisie et de mise à jour des informations : données d’horodatage (dont login) et actions effectuées (saisie et modification) ;
- log de connexion à l’application : données de connexion, données d’horodatage.
L’origine des informations en lien avec le demandeur n’a pas évolué depuis la demande d’avis initiale. En ce qui concerne les Membres de la Commission d’attribution, il s’agit des personnes occupant les fonctions désignées par l’arrêté ministériel n° 2021‑786 du 13 décembre 2021, susvisé.
Enfin, les informations relatives aux agents habilités proviennent soit de la Direction des Systèmes d’Information, soit du système.
La Commission relève toutefois des captures d’écran communiquées par le responsable de traitement l’existence de rubriques « commentaire ». Elle appelle l’attention du responsable de traitement sur la qualité de ces derniers qui doivent être objectifs et proportionnés, et ne pas contenir de données interdites au sens de l’article 12 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
Sous cette réserve, la Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
IV. Sur les droits des personnes concernées
- Sur l’information préalable des personnes concernées
L’information préalable des personnes concernées est réalisée à partir d’une mention particulière intégrée dans un document d’ordre général accessible en ligne et une mention sur le document de collecte.
Ont été joints au dossier des conditions générales d’utilisation du téléservice et une partie du formulaire de demande, qui ne contiennent pas l’ensemble des informations telles que prévues à l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée. La notice interne à destination des agents habilités n’est quant à elle pas jointe au dossier.
Aussi, la Commission rappelle que la mention d’information doit être conforme aux dispositions de l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, et que toutes les personnes concernées par le présent traitement doivent bénéficier de cette information préalable.
- Sur l’exercice du droit d’accès, de modification et de mise à jour
Le droit d’accès est exercé par courrier électronique, par voie postale et sur place.
S’agissant de l’exercice du droit d’accès par voie électronique, la Commission considère qu’une procédure devra être mise en place afin que le responsable de traitement puisse s’assurer que l’expéditeur du courriel est effectivement la personne concernée par les informations. À ce titre, elle précise que si une copie d’un document d’identité était demandée, la transmission et le traitement de ce document devront faire l’objet de mesures de protection particulières comme rappelé dans sa délibération n° 2015-116 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d’identité officiels.
Sous cette réserve, la Commission constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
V. Sur les destinataires et les personnes ayant accès au traitement
La Commission constate qu’il n’y a pas d’évolution dans les destinataires des informations et les personnes ayant accès au traitement.
VI. Sur les interconnexions
Le présent traitement est interconnecté avec les traitements suivants :
- « Gestion des habilitations et des accès au Système d’information », légalement mis en œuvre, afin de permettre aux personnes habilitées l’accès au traitement ;
- « Gestion locative », légalement mis en œuvre, afin de permettre au service de disposer des données permettant d’élaborer le bail et documents associés dans le prolongement de l’attribution du logement ;
- « Demander l’attribution d’un logement domanial à Monaco par voie dématérialisée » qui doit être soumis à l’avis de la Commission.
Il est en outre rapproché avec les traitements légalement mis en œuvre suivants :
- « Assistance aux utilisateurs par le Centre de Service de la DRSI » ;
- « Gestion des accès dédiés au Système d’information du Gouvernement » ;
- « Gestion d’un outil de partage de documents sécurisés avec des partenaires internes et externes à l’administration monégasque ».
La Commission constate que ces rapprochements et interconnexions sont réalisés dans le respect des finalités initiales et considère donc qu’ils sont conformes aux exigences légales.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.
Toutefois, l’architecture technique du système repose sur des équipements de raccordement (switchs, routeurs, pare-feux) de serveurs et périphériques qui doivent être protégés par un login et un mot de passe réputé fort et les ports non utilisés doivent être désactivés.
De plus la copie ou l’extraction d’informations issues de ce traitement doit être chiffrée sur son support de réception.
La Commission rappelle enfin que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VIII. Sur la durée de conservation
Le responsable de traitement mentionne les durées de conservation suivantes en ce qui concerne les informations relatives aux demandeurs et les personnes rattachées au foyer :
- « Toutes les données sont conservées d’un appel de candidature sur l’autre, si le pétitionnaire resoumet un dossier et jusqu’à ce que le pétitionnaire ait accepté un logement à la suite d’une attribution. Lorsque le logement a été accepté, le dossier fait l’objet d’un archivage intermédiaire pendant 5 ans (les pièces jointes - justificatifs sont supprimés/ la fiche du candidat est anonymisée). Si la demande est satisfaite, les informations sont également conservées dans le cadre de la gestion locative de l’administration des domaines (état civil, profession, coordonnées) ;
- Si le pétitionnaire ne soumet pas de dossier en commission C+2, son dossier fait l’objet d’un archivage intermédiaire pendant 10 ans ; les dossiers (demande, proposition et pièces justificatives) font ensuite l’objet d’un tri pour leur conservation définitive ;
- La fiche récapitulative et les documents portant décision de la Commission sont conservés sans limitation de durée dans le cadre des archives de la Direction de l’Habitat en application du référentiel d’archivage établi avec le SCADA au titre des archives d’intérêt public. Les données alphanumériques sont anonymisées par un tag, appelé, qui ne permet plus d’avoir accès aux éléments ;
- 12 mois glissants pour les logs de connexion, afin de tenir compte des impératifs de sécurité du système d’information et des dispositions de la PSSIE en la matière ».
En ce qui concerne les informations relatives aux Membres de la Commission d’attribution des logements domaniaux, il est indiqué qu’elles sont conservées tant que la personne fait partie de ladite Commission, étant rappelé que les travaux de ladite Commission sont conservés sans limitation de durée en archive définitive.
Enfin, les informations relatives aux agents habilités sont conservées :
- 3 mois après le départ de l’agent en ce qui concerne son nom et sa vie professionnelle ;
- tant que le dossier du demandeur est traité par l’agent dans le système en ce qui concerne le code utilisateur et les logs de saisie ;
- le temps de la durée de la session pour les données d’identification électronique.
La Commission considère que ces délais sont conformes aux exigences légales.
Après en avoir délibéré, la Commission :
Prend acte que le traitement ayant pour finalité « Demander l’attribution d’un logement domanial à Monaco par voie dématérialisée » doit lui être soumis dans les meilleurs délais.
Recommande que les communications de données de santé soient restreintes à un seul canal, entre les agents administratifs en charge du dossier et le médecin de la DASO.
Considère qu’une procédure relative au droit d’accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s’assurer que l’expéditeur du courriel est effectivement la personne concernée par les informations.
Rappelle que :
- les commentaires doivent être proportionnés et objectifs et ne doivent pas contenir d’informations interdites au sens de l’article 12 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
- la mention d’information doit être conforme aux dispositions de l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée et que toutes les personnes concernées par le présent traitement doivent bénéficier de cette information préalable ;
- la copie ou l’extraction d’informations issues de ce traitement doit être chiffrée sur son support de réception ;
- les équipements de raccordement (switch, routeurs, pare-feux) serveurs et périphériques doivent être protégés par un login et un mot de passe réputé fort et que les ports non utilisés doivent être désactivés.
Sous le bénéfice de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d’État, de la modification du traitement automatisé d’informations nominatives ayant pour finalité « Gestion de l’attribution des logements domaniaux ».
Le Président de la Commission de
Contrôle des Informations Nominatives.