Délibération n° 2022-166 du 16 novembre 2022 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre de la modification du traitement automatisé d'informations nominatives ayant pour finalité « Gestion des outils de communication collaborative » exploité par la Direction des Systèmes d'Information présentée par le Ministre d'État.

Vu la Constitution ;

Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;

Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;

Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;

Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;

Vu la délibération n° 2020-14 du 15 janvier 2020 portant avis favorable à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des outils de communication instantanée », exploité par la Direction des Réseaux et des Systèmes d’Information présenté par le Ministre d’État ;

Vu la délibération n° 2022-26 du 16 février 2022 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre de la modification du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des outils de communication collaborative » exploité par la Direction des Systèmes d’Information présenté par le Ministre d’État ;

Vu la demande d’avis déposée par le Ministre d’État, le 11 août 2022 concernant la mise en œuvre de la modification du traitement automatisé ayant pour finalité « Gestion des outils de communication collaborative » ;

Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 7 octobre 2022, conformément à l’article 19 de l’Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;

La Commission de Contrôle des Informations Nominatives,

Préambule

L’Administration a souhaité mettre à disposition des fonctionnaires, des agents de l’État et des prestataires disposant d’un terminal en son sein, des outils de communication permettant de « fluidifier les échanges entre les agents et fonctionnaires de l’État, voire avec les partenaires et plus généralement tout interlocuteur de l’Administration ».

Par délibération n° 2020-14 du 15 janvier 2020 ce traitement a obtenu l’avis favorable de la Commission, ainsi que sa modification ultérieure en date du 16 février 2022. Le responsable de traitement souhaite désormais ajouter deux fonctionnalités audit traitement.

Ainsi, cette modification est soumise à l’avis de la Commission, conformément à l’article 9 de la loi n° 1.165 du 23 décembre 1993.

Paragraphe unique

La finalité du traitement ainsi que les personnes concernées demeurent inchangées.

Aux fonctionnalités précédentes, le responsable de traitement souhaite ajouter les suivantes :

-  validation du suivi des modules de formation et de sensibilisation à l’utilisation de la solution ;

-  mise en place des suivis pour les retours d’expérience.

Ces fonctionnalités, qui concernent les personnels de l’Administration, induisent la collecte des informations suivantes :

-  suivi des sensibilisations et formations : sur le créateur du support : nom, prénom, date de création ; sur le destinataire du questionnaire : date et heure de la visualisation et réponses au questionnaire ;

-  gestion des équipes sous Teams : nom, prénom des demandeurs (appelés propriétaires).

Le responsable de traitement justifie ces nouvelles fonctionnalités et la collecte d’informations y afférente par « ce motif d’intérêt légitime de s’assurer du bon usage des outils mis à disposition des agents et fonctionnaires de l’État ». Il est précisé que la mise à disposition de modules de sensibilisation « permet d’assurer la bonne compréhension des différentes classifications des documents pouvant être utilisés » dans l’outil.

La Commission relève des éléments du dossier que ces nouvelles fonctionnalités sont un préalable obligatoire à l’accès à l’outil de communication collaborative, afin d’informer l’utilisateur sur la sensibilité des informations qu’il peut manipuler une fois connecté à celui-ci. Elle en prend acte.

L’ajout de ces fonctionnalités implique un accès par les agents de la DSN en charge de la création et du suivi des questionnaires de sensibilisation à l’utilisation de Teams et de la gestion des équipes.

Par ailleurs, il est précisé que les personnes concernées sont informées par le biais d’une mention dans le tutoriel, jointe au dossier. La Commission considère qu’elle est conforme aux exigences légales.

En outre, les informations relatives à la gestion des équipes sous teams sont supprimées après validation.

Il est également indiqué que celles relatives au créateur du questionnaire sont conservées « tant que le questionnaire est nécessaire pour répondre à l’objectif assigné, puis tri pour archive à des fins de support d’exemple pour de nouveaux supports », tandis que celles relatives aux destinataires sont conservées la « durée du déploiement + 1 an pour permettre un bilan ».

La Commission estime toutefois ces durées de conservation trop longues.

En ce qui concerne les créateurs de questionnaires, la réutilisation de la matrice à des fins de création de nouveaux supports ne rend pas nécessaire la conservation des informations nominatives de ces derniers. Dès lors, la Commission considère qu’une fois le support créé, il convient de l’anonymiser dans les meilleurs délais.

En ce qui concerne les personnes destinataires du questionnaire, la Commission relève que le fait de valider le questionnaire est un préalable à l’accès à l’outil. S’agissant d’une sensibilisation des personnels à la manière dont il doit manipuler une information selon sa sensibilité/classification, et d’un questionnaire y afférent pouvant être utilisé pour dresser un « bilan » et donc de facto pour déterminer s’il y a un besoin de formation, la Commission considère que le délai usuel de conservation de 6 mois est proportionné.

À cet égard, la Commission relève des précisions du responsable de traitement que « d’autres questionnaires pourront être envisagés dans l’avenir concernant l’utilisation des outils collaboratifs. Ils seront dans la mesure du possible anonymes mais si leur caractère nominatif présentait un intérêt, un soin particulier sera porté à l’établissement de questions ne présentant pas de conséquences pour les utilisateurs ».

La Commission en prend acte et estime ainsi que dès lors que ces critères seront respectés et que la durée de conservation appliquée aux informations nominatives ne dépassera pas 6 mois, il n’y aura pas lieu de modifier le présent traitement.

Après en avoir délibéré, la Commission :

Fixe les durées de conservation comme suit :

-  anonymisation dans les meilleurs délais des informations relatives à un créateur de questionnaire ;

-  6 mois à compter de la complétude du questionnaire dûment renseigné par les utilisateurs de la solution.

Sous le bénéfice de la prise en compte de ce qui précède,

la Commission de Contrôle des Informations Nominatives émet un avis favorable à la modification, par le Ministre d’État, du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des outils de communication collaborative ».

Le Président de la Commission de Contrôle des Informations Nominatives.