Délibération n° 2023-157 du 18 octobre 2023 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des questionnaires de l’Administration » exploité par le Secrétariat Général du Gouvernement présenté par le Ministre d’État

Vu la Constitution ;

Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;

Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;

Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;

Vu l’Ordonnance Souveraine n° 5.840 du 13 mai 2016 portant création du Secrétariat Général du Gouvernement ;

Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;

Vu la délibération n° 2020-14 du 15 janvier 2020 portant avis favorable à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des outils de communication instantanée », exploité par la Direction des Réseaux et des Systèmes d’Information présenté par le Ministre d’État ;

Vu la délibération n° 2022-26 du 16 février 2022 portant avis favorable à la mise en œuvre de la modification du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des outils de communication collaborative », exploité par la Direction des Systèmes d’Information présenté par le Ministre d’État ;

Vu la délibération n° 2022-166 du 16 novembre 2022 portant avis favorable à la mise en œuvre de la modification du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des outils de communication collaborative », exploité par la Direction des Systèmes d’Information présenté par le Ministre d’État ;

Vu la demande d’avis déposée par le Ministre d’État, le 13 juillet 2023, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité « Gestion des questionnaires de l’Administration » ;

Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 11 septembre 2023, conformément à l’article 19 de l’Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;

Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 18 octobre 2023 portant examen du traitement automatisé, susvisé ;

La Commission de Contrôle des Informations Nominatives,

Préambule

Par délibération n° 2022-166 du 16 novembre 2022, la Commission a rendu un avis favorable à la mise en œuvre de la modification du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des outils de communication collaborative ».

Cette modification avait pour vocation de permettre à l’Administration de gérer les questionnaires, sondages et formulaires adressés aux fonctionnaires et agents de l’État, aux prestataires disposant d’un poste de travail du Gouvernement en ajoutant une nouvelle fonctionnalité au traitement initial.

La Commission souhaite désormais ériger le traitement relatif aux questionnaires, sondages et formulaires en traitement autonome.

Le traitement automatisé d’informations nominatives y afférent est soumis à l’avis de la Commission, conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993.

I.         Sur la finalité et les fonctionnalités du traitement

Le présent traitement a pour finalité « Gestion des questionnaires de l’Administration ».

Il concerne les fonctionnaires et agents de l’État, les prestataires dotés d’un poste de travail du Gouvernement ainsi que les interlocuteurs de l’Administration.

Les fonctionnalités associées au présent traitement sont les suivantes :

-          « créer des questionnaires, des formulaires et des sondages, en solo ou en équipe ;

-          permettre la réalisation d’enquêtes statistiques dans l’objectif de connaître, à un moment donné, une opinion par le biais d’un sondage ;

-          permettre la formalisation d’une série de questions, dont le créateur connaît les réponses, par le biais d’un questionnaire ;

-          permettre la formalisation d’une série de questions, dont le créateur ne connaît pas les réponses, par le biais d’un formulaire ;

-          permettre la validation des questionnaires, préalablement à leur mise à disposition au public concerné ;

-          envoyer les questionnaires, formulaires, sondages par un lien transmis par email, ou tout autre canal qui pourrait être mis en place par l’Administration ;

-          suivre les réponses apportées aux questionnaires/ formulaires/ sondages ;

-          visualiser et analyser les réponses, faire un bilan grâce à des rapports/graphiques générés automatiquement, avec la possibilité d’extraire l’analyse sous Excel ;

-          établir des statistiques nominatives ou génériques ;

-          gérer les habilitations d’accès à l’outil ».

Il est notamment précisé que « les formulaires, questionnaires ou sondages adressés à l’extérieur du périmètre du responsable de traitement reçoivent des réponses anonymes ».

S’agissant des réponses et des statistiques nominatives, le responsable de traitement indique que ces dernières « pourront être utilisées pour donner suite à un projet ou une demande ou plus généralement pour répondre aux besoins du métier » et « peuvent être récoltées afin de répondre à un besoin métier interne ».

La Commission rappelle à cet égard que les personnes concernées doivent être préalablement informées du caractère nominatif ou anonyme de leurs réponses et des statistiques réalisées ainsi que de l’utilisation de celles-ci. En outre, l’exploitation de ces réponses et statistiques, lorsque qu’elles sont nominatives, ne doit pas conduire à la surveillance des personnels de l’Administration.

Elle prend par ailleurs acte du fait que toute utilisation de l’outil envisagée, par les métiers et sortant du cadre de la présente demande d’avis, fera l’objet d’une formalité spécifique.

Sous réserve de ce qui précède, la Commission constate que la finalité du présent traitement est déterminée, explicite et légitime conformément aux termes de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993. 

II.        Sur la licéité et la justification du traitement

Le responsable de traitement indique que le présent traitement est justifié par la réalisation d’un intérêt légitime, sans que ne soient méconnus l’intérêt ou les droits et libertés fondamentaux de la personne concernée.

Il précise à cet égard que le traitement s’inscrit dans le cadre des missions attribuées au Secrétariat Général du Gouvernement (SGG) au titre de l’Ordonnance Souveraine n° 5.840 du 13 mai 2016 portant création dudit Secrétariat et de celles de la Direction des Systèmes d’Information (DSI) conformément aux dispositions de l’Ordonnance Souveraine n° 7.996 du 12 mars 2020, notamment afin de fournir des outils de travail modernes au personnel de l’Administration.

Ce traitement permet en outre « aux agents et fonctionnaires de l’État de pouvoir interagir de manière collaborative en utilisant des outils numériques répondant aux besoins d’agilité et d’interactivité des acteurs ».

Il est par ailleurs précisé qu’il s’inscrit dans le respect de la Politique de Sécurité des Systèmes d’Information (PSSIE) et des règles fixées par l’Autorité Monégasque de Sécurité Numérique (AMSN).

Enfin, le présent traitement permet de « répondre aux besoins de gestion des formulaires, questionnaires et agents », étant précisé que « la solution n’est accessible que si les utilisateurs ont la licence associée et s’ils ont accepté la Charte d’utilisation associée ».

La Commission considère que ce traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993.

III.       Sur les informations traitées

Le responsable de traitement indique que les informations nominatives traitées sont :

-          identité : créateur : nom, prénom ; utilisateur répondant au formulaire : nom, prénom sauf si le formulaire est anonyme ;

-          coordonnées : email de l’utilisateur répondant au formulaire sauf si le formulaire est anonyme ;

-          informations temporelles : pour les formulaires : date de création, durée moyenne de remplissage ; pour l’utilisateur répondant au formulaire : date et heure de réponse, temps de remplissage du questionnaire, date et heure de visualisation du questionnaire ;

-          identification du formulaire : titre du formulaire, nombre de réponses, état du formulaire (actif, terminé) ;

-          informations sur les réponses : réponses aux questions.

La Commission prend acte de ce que ne pourront être traitées dans le cadre du présent traitement les données relatives aux usagers, aux mineurs et aux personnes vulnérables ainsi que celles portant sur la nationalité, le sexe, les données financières nominatives, les données maritales, les données de santé, les données sensibles au sens de la loi n° 1.165, les données de profilage et les coordonnées personnelles. Le responsable de traitement précise qu’en cas de traitement de telles données une demande d’avis spécifique sera adressée à la CCIN.

Les informations relatives à l’identification du formulaire ainsi que celles concernant les informations temporelles en lien avec les dates et heures de réponse, le temps de remplissage et les dates et heures de visualisation du questionnaire sont issues du système. La date de création du formulaire ainsi que la durée de remplissage et les réponses aux questions ont pour origine les personnes concernées.

Enfin, l’identité du créateur du formulaire et de l’utilisateur répondant au formulaire ainsi que l’email de ce dernier (exception faite des formulaires anonymes) provient du compte utilisateur.

La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993. 

IV.       Sur les droits des personnes concernées

    * Sur l’information préalable des personnes concernées

L’information préalable des personnes concernées est effectuée par le biais d’une mention présente sur le document de collecte ainsi que par un document spécifique.

Le responsable de traitement précise que les personnes internes à l’Administration sont informées du traitement de leurs données par le biais d’une Charte d’utilisation des outils de travail collaboratif. La Commission constate que cette dernière contient une mention conforme à l’article 14 de la loi n° 1.165, susvisée.

Il appert en outre qu’un Livret d’utilisation des données personnelles spécifique à l’outil exploité dans le cadre du présent traitement est mis à disposition des personnes concernées dans le cadre des outils de travail collaboratif. Ce dernier comporte également une mention-type conforme aux dispositions de l’article 14 de la loi n° 1.165.

Enfin, le responsable de traitement indique que l’information des personnes externes à l’Administration est réalisée au moyen d’une mention intégrée au sein du questionnaire qui leur est adressé, laquelle est conforme aux dispositions de l’article 14 de la loi n° 1.165.

La Commission rappelle toutefois qu’en application de l’article 14 susvisé, les personnes concernées doivent être informées du caractère obligatoire ou facultatif de leurs réponses.

     * Sur l’exercice du droit d’accès, de modification et de mise à jour

Le droit d’accès est exercé par la personne concernée auprès de la Délégation Interministérielle chargée de la Transition Numérique (DITN), par courrier électronique ou par voie postale.

La Commission relève que le droit d’accès peut également être exercé au moyen d’un formulaire permettant de contacter le service de protection des données personnelles de la DITN.

À cet égard, la Commission rappelle que la réponse à ce droit d’accès doit s’exercer dans le mois suivant la réception de la demande.

S’agissant de l’exercice du droit d’accès par voie électronique, la Commission rappelle qu’une procédure doit être mise en place afin que le responsable de traitement puisse s’assurer, en cas de doute sur l’identité de la personne à l’origine du courriel, qu’il s’agisse effectivement de la personne concernée par les informations.

À ce titre, elle précise que si une copie d’un document d’identité était demandée, la transmission et le traitement de ce document devront faire l’objet de mesures de protection particulières, comme rappelé dans sa délibération n° 2015-113 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d’identité officiels.

Sous cette réserve, elle constate que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993, modifiée.

V.        Sur les destinataires et les personnes ayant accès au traitement

Le responsable de traitement indique qu’aucune communication, autre qu’interne au service initiant le questionnaire, n’est effectuée dans le cadre du présent traitement.

Ont par ailleurs accès au présent traitement :

-          les agents de la DSI habilités dans le cadre de leurs missions (équipe RUN) : en lecture, création, modification/mise à jour, suppression ;

Il est précisé que ces derniers n’ont pas accès au contenu, « sauf si nécessaire pour la gestion d’une demande ou d’un incident mais toujours avec l’autorisation de l’utilisateur et sous son contrôle. Ces derniers ont accès aux logs de l’application ».

-          les gestionnaires des Data Base de la DSI : en lecture, création, modification/mise à jour, suppression ;

Le responsable de traitement indique que ces derniers ont accès à la donnée dans leur périmètre de responsabilité.

-          les agents de la Direction des Services Numériques (DSN) habilités dans le cadre de leurs missions : en lecture, création, modification/mise à jour ;

Il est précisé que ces derniers n’ont pas accès aux espaces utilisateurs.

-          les utilisateurs des applications : en lecture, création, modification/mise à jour, suppression ;

Il est précisé que ces derniers ont accès uniquement aux informations qui les concernent.

-          les membres de la Cellule juridique de la Délégation Interministérielle de la Transition Numérique : en lecture, consultation, modification/mise à jour et suppression.

Il ressort de l’étude du dossier que ces derniers n’ont accès qu’aux questionnaires dans le cadre du processus de validation des formulaires.

En outre, il appert qu’un auditeur peut avoir accès aux données objet du présent traitement à des fins de lecture. Le responsable de traitement précise à cet égard que ce dernier peut, selon les situations, être externe ou interne à l’Administration.

Enfin, le responsable de traitement précise que le personnel du prestataire des outils en lien avec le présent traitement, localisé dans un pays ne disposant pas d’un niveau de protection adéquat, n’a pas accès aux données sauf sous son contrôle et avec son autorisation. L’accès opéré depuis ces pays s’analysant en un transfert d’informations nominatives, la Commission a été saisie, de manière concomitante, d’une demande d’autorisation de transfert.

Aussi, elle rappelle en ce qui concerne le recours aux prestataires que conformément aux dispositions de l’article 17 de la loi n° 1.165 du 23 décembre 1993, les droits d’accès de ces derniers doivent être limités à ce qui est strictement nécessaire à l’exécution de leur contrat de prestation de service. De plus, lesdits prestataires sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.

Sous réserve de ce qui précède et de l’obtention de l’autorisation de transfert dont elle est concomitamment saisie, la Commission considère que ces accès sont justifiés au regard du présent traitement.

VI.       Sur les rapprochements et les interconnexions avec d’autres traitements

Le responsable de traitement indique que le présent traitement est rapproché avec le traitement, légalement mis en œuvre, ayant pour finalité « Assistance aux utilisateurs par le Centre de Service de la DSI ».

Le présent traitement fait également l’objet d’interconnexions avec les traitements légalement mis en œuvre suivants :

-          « Gestion des habilitations et des accès au Système d’Information » ;

-          « Gestion centralisée des accès aux applications SI » ;

-          « Gestion de la messagerie professionnelle » ;

-          « Gestion et analyse des évènement du Système d’Information » ;

-          « Sécurisation des accès à distance au SI pour les flottes nomades BYOD et professionnelles ».

Il ressort par ailleurs de l’étude du dossier que le présent traitement est également susceptible de faire l’objet d’un rapprochement avec tout traitement lié à l’activité ou à l’objectif de l’utilisateur.

À cet égard, la Commission rappelle que tout rapprochement ne peut avoir lieu qu’entre des traitements légalement mis en œuvre. Aussi, elle rappelle que ces derniers devront préalablement lui être soumis.

Sous cette réserve, la Commission considère que ces interconnexions et rapprochements sont conformes aux exigences légales.

VII.     Sur la sécurité du traitement et des informations

Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.

Cependant les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.

Par ailleurs la copie ou l’extraction d’informations issues de ce traitement doit être chiffrée sur son support de réception.

La Commission rappelle enfin que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.

VIII.    Sur la durée de conservation

Le responsable de traitement indique que les informations relatives à l’identification du formulaire (titre, nombre de réponse et état) sont conservées tant que le questionnaire est nécessaire pour répondre à l’objectif assigné.

Il ressort de l’étude du dossier que ces informations sont par la suite triées pour archive à des fins de support d’exemple. Les formulaires peuvent également être supprimés à tout moment par leur créateur et le sont, dans le prolongement de la suppression du compte du créateur augmentée d’un délai de 3 mois, pour les questionnaires non partagés.

Les informations temporelles en lien avec le formulaire (date de création et durée moyenne de remplissage) sont par ailleurs conservées le temps de la durée du déploiement augmentée d’un délai d’1 an.

Les informations relatives à l’identité du créateur du formulaire (nom et prénom) sont conservées tant que la personne est habilitée à avoir accès au système d’information du Gouvernement augmentée d’une durée de 3 mois. Il ressort de l’étude du dossier que l’identité du créateur est toutefois supprimée lorsque ce dernier n’a plus accès au Système d’Information du Gouvernement ou qu’il ne dispose plus d’une licence lui permettant d’utiliser l’outil. L’identification est alors remplacée par une mention « utilisateur inconnu ».

Enfin, les informations concernant l’utilisateur répondant au formulaire (identité et email de l’utilisateur répondant, informations temporelles et réponses) sont conservées 12 mois à compter de la clôture de la campagne pour les formulaires et les extractions réalisées.

Au regard de ce qui précède, la Commission rappelle d’une part que les informations temporelles doivent être conservées entre 3 mois minimum et 1 an maximum. Elle fixe donc à 1 an glissant la durée de conservation de l’ensemble des informations temporelles.

D’autre part, s’agissant de la durée de conservation des informations relatives à l’identité du créateur du formulaire et aux informations temporelles en lien avec ce dernier (date de création et durée moyenne de remplissage) ainsi que celles concernant les utilisateurs répondant auxdits formulaire, la Commission rappelle qu’au titre de sa délibération n° 2022-166 du 16 novembre 2022 portant avis favorable à la mise en œuvre de la modification du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des outils de communication collaborative » elle a estimé que les durées de conservation renseignées par le responsable de traitement étaient trop longues et a fixé en conséquence les durées de conservation suivantes :

« En ce qui concerne les créateurs de questionnaires, la réutilisation de la matrice à des fins de création de nouveaux supports ne rend pas nécessaire la conservation des informations nominatives de ces derniers. Dès lors, la Commission considère qu’une fois le support créé, il convient de l’anonymiser dans les meilleurs délais. En ce qui concerne les personnes destinataires du questionnaire, la Commission relève que le fait de valider le questionnaire est un préalable à l’accès à l’outil. S’agissant d’une sensibilisation des personnels à la manière dont il doit manipuler une information selon sa sensibilité/classification, et d’un questionnaire y afférent pouvant être utilisé pour dresser un « bilan » et donc de facto pour déterminer s’il y a un besoin de formation, la Commission considère que le délai usuel de conservation de 6 mois est proportionné ».

Toutefois, le responsable de traitement précise désormais que les informations relatives au créateur du formulaire sont liées au compte utilisateur et qu’il lui est techniquement impossible de les anonymiser de manière automatisée au bout de 6 mois.

En outre, il précise que la durée de conservation des réponses aux questionnaires sur 12 mois permet à l’Administration de :

-          « de laisser le temps nécessaire à la Direction ou au Service métier de travailler sur les réponses des questionnaires qui peuvent être nombreuses ;

-          de répondre à des besoins liés aux campagnes récurrentes organisées par le biais de ces questionnaires sur une année ;

-          de comparer les réponses et les tendances des questionnaires proposés annuellement aux utilisateurs ;

-          de disposer des éléments nécessaires permettant à la Direction ou au Service métier de rédiger un rapport d’activité annuel, d’une part, et de vérifier, si besoin, les éléments issus des questionnaires, d’autre part ».

Hormis la durée de conservation des informations temporelles, la Commission considère que les durées renseignées par le responsable de traitement sont conformes aux exigences légales.

Après en avoir délibéré, la Commission :

Rappelle que :

-          les personnes concernées doivent être préalablement informées du caractère nominatif des réponses aux questionnaires et des statistiques réalisées. En outre, l’exploitation de ces dernières ne doit pas conduire à la surveillance des personnels de l’Administration ;

-          toute interconnexion ou rapprochement ne peut avoir lieu qu’entre des traitements légalement mis en œuvre ;

-          les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé ;

-          la copie ou l’extraction d’informations issues de ce traitement doit être chiffrée sur son support de réception ;

-          une procédure relative au droit d’accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s’assurer que l’expéditeur du courriel est effectivement la personne concernée par les informations.

Fixe à 1 an glissant la durée de conservation des informations temporelles.

À la condition de la prise en compte de ce qui précède,

la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d’État, du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des questionnaires de l’Administration ».

Le Président de la Commission de Contrôle des Informations Nominatives.