Délibération n° 2022-162 du 16 novembre 2022 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion du compte permettant aux usagers de déposer une demande d'aide en ligne » exploité par la Direction des Services Numériques présenté par le Ministre d'État.

Vu la Constitution ;

Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;

Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;

Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;

Vu l’Ordonnance Souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l’Administration et l’administré ;

Vu l’Ordonnance Souveraine n° 7.995 du 12 mars 2020 portant création de la Direction des Services Numériques ;

Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;

Vu la demande d’avis déposée par le Ministre d’État, le 12 août 2022, concernant la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité la « Gestion du compte permettant aux usagers de déposer une demande d’aide en ligne » ;

Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 10 octobre 2022 conformément à l’article 19 de l’Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;

Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 16 novembre 2022 portant examen du traitement automatisé, susvisé ;

La Commission de Contrôle des Informations Nominatives,

Préambule

Dans le prolongement du traitement « MonGuichet.mc » ayant obtenu l’avis favorable de la Commission de Contrôle des Informations Nominatives, le Gouvernement souhaite mettre à disposition des usagers un portail des aides pour leur permettre d’entreprendre et de suivre les demandes d’aides susceptibles d’être déposées auprès des Services du Gouvernement concernés.

Le responsable de traitement précise que ce portail n’est pas communiqué aux usagers en tant qu’instance dédiée, ces derniers devant, pour y accéder, s’authentifier via MonGuichet.mc puis sélectionner une démarche accessible.

Le traitement automatisé d’informations nominatives, objet de la présente demande, est soumis à l’avis de la Commission conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée.

I. Sur la finalité et les fonctionnalités du traitement

Le traitement a pour finalité « Gestion du compte permettant aux usagers de déposer une demande d’aide en ligne ».

Il est dénommé aides.gouv.mc.

Il concerne les usagers (dont les mandataires) ainsi que les agents traitants de l’administration (personnels de l’administration).

Le responsable de traitement précise que la plateforme mise à disposition des usagers a pour objectif de « fluidifier les échanges » et se compose de trois portails différents : usager, agent et administration.

À ce titre, le présent traitement a pour fonctionnalités :

Portail usager :

-  se connecter via MonGuichet.mc (login ou MConnect) ;

-  visualiser et paramétrer son compte ;

-  déposer une demande d’aide ;

-  suivre ses demandes d’aide ou reprendre une demande en cours de création ;

-  consulter les documents reçus.

Portail agent :

-  consulter les demandes déposées par les usagers ;

-  analyser les demandes, déposer un commentaire, compléter la demande ;

-  demander des informations complémentaires à l’usager ;

-  déposer des documents complémentaires reçus ;

-  communiquer avec l’usager sur sa demande ;

-  reporting : créer, modifier et consulter les tableaux (sur la base des données des demandes d’aides déposées et du dispositif associé) ;

-  automatiser le calcul du montant de l’aide.

Portail administrateur :

-  gestion des utilisateurs et leur habilitation ;

-  gestion des espaces Usager et Agent ;

-  paramétrage des demandes d’aides (téléservices) et du dispositif associé (processus interne de traitement, email, courrier, moteur de calcul).

La Commission relève que le présent traitement permet en outre de générer des modèles de documents récapitulatifs suivant le type de demande sur la base des éléments fournis par l’usager. Elle note également que des contributions pour avis peuvent être effectuées.

La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993, modifiée.

II. Sur la licéité et la justification du traitement

Le responsable de traitement indique que le présent traitement est justifié par le consentement des personnes concernées ainsi que par la réalisation d’un intérêt légitime qu’il poursuit et qui ne méconnaît ni l’intérêt, ni les droits et libertés fondamentaux de celles-ci.

À cet égard, il précise que le consentement des personnes concernées est formalisé par un acte positif clair.

En outre, il indique que l’intérêt légitime résulte d’une part, des missions dont est légalement chargée la Direction des Services Numériques (DSN) conformément à l’Ordonnance Souveraine n° 7.995 du 12 mars 2020 et d’autre part, de la volonté d’améliorer l’accès, l’usage et le suivi des démarches par téléservices pour l’usager.

Enfin, le présent traitement s’inscrit dans le cadre de l’Ordonnance Souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l’Administration et l’administré.

La Commission considère que le traitement est licite et justifié conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165, modifiée.

III. Sur les informations traitées

Les informations nominatives traitées sont :

-  identité/situation de famille : usager ayant un compte monguichet.mc « particulier » (dont les usagers authentifiés via MConnect) : civilité, nom, prénom, nationalité, date et lieu de naissance ;

   Agents ayant un accès au portail agent : nom et prénom ;

-  adresses et coordonnées : usager : adresse postale, code postal, ville, pays, numéro de téléphone/portable ;

-  données d’identification électronique : usager et agent : adresse email ; login et mot de passe de l’agent ;

-  données de connexion : logs de connexion de l’usager et du personnel de l’administration ;

-  suivi des demandes d’aide des usagers : intitulé de la demande et statut ;

-  documents reçus : notification de décision.

Les informations relatives à la civilité, au nom, au prénom, à l’adresse email et aux logs de connexion des usagers ont pour origine le traitement légalement mis en œuvre « Gestion du compte permettant aux usagers d’entreprendre et de suivre des démarches par téléservices » avec lequel le présent traitement est interconnecté.

La Commission constate que les dates et lieux de naissance sont renseignés de manière facultative par les usagers. Par ailleurs, elle prend acte de la collecte d’informations relatives à l’historique de navigation et à l’adresse IP des usagers.

S’agissant de la collecte de la nationalité des usagers dans le cadre du présent traitement, il ressort des précisions apportées par le responsable de traitement que ce champ « est demandé dans de nombreuses démarches en ligne » de sorte qu’ « il a été préféré remonter cette information au niveau du Tiers (compte usager) (…) et non dans chaque démarche ». À cet égard, la Commission demande que la collecte de la nationalité de l’usager soit laissée à son appréciation et demeure optionnelle dans le cadre du présent traitement.

Les informations relatives aux agents ayant un accès au portail (identité et login) ont pour origine l’administrateur DSN.

En outre, les données de connexion du personnel de l’administration et le suivi des demandes des usagers proviennent du système.

Enfin, les notifications de décisions sont émises par les agents.

La Commission considère que les informations ainsi collectées sont « adéquates, pertinentes et non excessives », au regard de la finalité du traitement, conformément à l’article 10-1 de la loi n° 1.165 du 23 décembre 1993, modifiée.

IV.   Sur les droits des personnes concernées

• Sur l’information préalable des personnes concernées

Les personnes concernées sont informées par le biais d’une mention particulière intégrée dans un document d’ordre général accessible en ligne, à savoir les Conditions Générales d’Utilisation du site.

Il est par ailleurs précisé que les utilisateurs sont également informés par le biais des mentions légales et par la politique cookies en application de la loi n° 1.383 pour une Principauté Numérique et de la loi n° 1.165, susvisée.

La mention intégrée dans les Conditions Générales d’Utilisation étant jointe au dossier, la Commission relève que son contenu est conforme aux dispositions de l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée.

• Sur l’exercice du droit d’accès

Le droit d’accès est exercé par voie postale ou par courrier électronique auprès de la Délégation Interministérielle chargée de la Transition Numérique.

S’agissant de l’exercice du droit d’accès par voie électronique, la Commission considère qu’une procédure devra être mise en place afin que le responsable de traitement puisse s’assurer que l’expéditeur du courriel est effectivement la personne concernée par les informations. À ce titre, elle précise que si une copie d’un document d’identité était demandée, la transmission et le traitement de ce document devront faire l’objet de mesures de protection particulières, comme rappelé dans sa délibération n° 2015-113 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d’identité officiels.

Sous cette réserve, elle constate que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.

V.    Sur les personnes ayant accès au traitement

Le responsable de traitement indique qu’ont accès au traitement :

-  les personnels de la DSN ou tiers intervenant pour son compte : en configuration, en paramétrage, en modification, en lecture ;

-  le prestataire de la solution : en lecture ;

-  les agents au sein des Services du Gouvernement : tous droits sur la démarche à laquelle ils sont associés ;

-  les usagers : en lecture, en création et en modification des données de leurs comptes.

La Commission rappelle, qu’en ce qui concerne les prestataires, leurs accès doivent être limités à ce qui est strictement nécessaire à l’exécution de leurs contrats de prestation de services conformément à l’article 17 de la loi n° 1.165. De plus, ils sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement.

Sous cette réserve, la Commission considère que ces accès sont justifiés.

VI.   Sur les interconnexions

Le responsable de traitement indique que le présent traitement fait l’objet d’interconnexions avec les traitements légalement mis en œuvre ayant pour finalités respectives :

-  « Gestion du compte permettant aux usagers d’entreprendre et suivre des démarches par téléservices » afin de permettre l’authentification unique des usagers via MonGuichet.mc ;

-  « Gestion des accès à distance au Système d’Information du Gouvernement » afin de permettre l’accès du prestataire en cas de montée de version, de maintenance ou de correction d’anomalies.

Il précise par ailleurs que le présent traitement est rapproché avec le traitement légalement mis en œuvre « Gestion de la messagerie professionnelle » pour permettre aux agents de communiquer entre eux.

En outre la Commission relève qu’il est prévu que les téléservices qui feront usage de la solution objet du présent traitement seront interconnectés avec celui-ci.

Elle constate que ces interconnexions et ce rapprochement sont conformes aux exigences légales.

VII. Sur la sécurité du traitement et des informations

Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.

Cependant, les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.

La Commission rappelle également que, conformément à l’article 17 de la loi n° 1.165 modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement, au regard des risques présentés par ce traitement et de la nature des données à protéger, devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.

VIII. Sur la durée de conservation

Le responsable de traitement indique que les informations relatives aux usagers sont conservées 3 ans à compter de leur dernière connexion.

À cet égard, la Commission recommande qu’avant toute suppression de compte à l’issue de cette période d’inactivité de trois ans, l’usager soit préalablement averti qu’il dispose d’un délai d’un mois pour se reconnecter à ce dernier pour éviter, s’il le souhaite, cette suppression.

En outre, les informations concernant les agents sont conservées tant que cela est nécessaire à leur activité. Les données de connexion des usagers ainsi que les informations relatives à l’historique de navigation et à l’adresse IP sont quant à elles supprimées au bout de 3 mois et celles des agents au bout de 12 mois glissants.

Enfin, le suivi des demandes des usagers et les notifications de décisions sont conservés selon la durée de conservation du formulaire de demande par les Services du Gouvernement.

La Commission constate que ces durées de conservation sont conformes aux exigences légales.

Après en avoir délibéré, la Commission :

Demande que la collecte de la nationalité de l’usager dans le cadre du présent traitement soit optionnelle.

Considère qu’une procédure relative au droit d’accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s’assurer que l’expéditeur du courriel est effectivement la personne concernée par les informations.

Constate que les téléservices qui feront usage de la solution mise en œuvre par le présent traitement seront interconnectés avec celui-ci.

Rappelle que les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switch, routeurs, pares-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.

Sous le bénéfice de la prise en compte de ce qui précède,

la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d’État, du traitement automatisé d’informations nominatives ayant pour finalité « Gestion du compte permettant aux usagers de déposer une demande d’aide en ligne ».

Le Président de la Commission de Contrôle des Informations Nominatives.