Délibération n° 2023-158 du 18 octobre 2023 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre de la modification du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des outils de travail collaboratif » exploité par le Secrétariat Général du Gouvernement présentée par le Ministre d’État.
Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l’Ordonnance Souveraine n° 5.840 du 13 mai 2016 portant création du Secrétariat Général du Gouvernement ;
Vu l’Ordonnance Souveraine n° 7.996 du 12 mars 2020 portant création de la Direction des Systèmes d’Information ;
Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;
Vu la délibération n° 2020-14 du 15 janvier 2020 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des outils de communication instantanée », exploité par la Direction des Réseaux et des Systèmes d’Information présenté par le Ministre d’État ;
Vu la délibération n° 2022-26 du 16 février 2022 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre de la modification du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des outils de communication collaborative » exploité par la Direction des Systèmes d’Information présenté par le Ministre d’État ;
Vu la délibération n° 2022-166 du 16 novembre 2022 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre de la modification du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des outils de communication collaborative » exploité par la Direction des Systèmes d’Information présenté par le Ministre d’État ;
Vu la demande d’avis déposée par le Ministre d’État, le 13 juillet 2023 concernant la mise en œuvre de la modification du traitement automatisé ayant pour finalité « Gestion des outils de communication collaborative », exploité par le Secrétariat Général du Gouvernement ;
Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 11 septembre 2023, conformément à l’article 19 de l’Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;
Vu les demandes d’autorisation de transfert d’informations nominatives à destination des États-Unis déposée par le Ministre d’État, le 13 juillet 2023, ayant pour finalité « Accès à distance à des fins de support client des outils de travail collaboratif » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 16 février 2022 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
L’Administration a souhaité mettre à disposition des fonctionnaires, des agents de l’État et des prestataires disposant d’un terminal en son sein, des outils permettant de « fluidifier les échanges et faciliter la collaboration et l’organisation du travail des agents et fonctionnaires de l’État, voire avec les partenaires, prestataires et plus généralement tout interlocuteur de l’Administration ».
Par délibération n° 2020-14 du 15 janvier 2020 ce traitement a obtenu l’avis favorable de la Commission. Il a depuis été soumis à deux modifications objets des délibérations n° 2022-6 du 16 février 2022 et n° 2022-166 du 16 novembre 2022.
Désormais, le Ministre d’État souhaite rattacher l’exploitation du présent traitement au Secrétariat Général du Gouvernement (SGG) en lieu et place de la Direction des Systèmes d’Information (DSI), et ajouter notamment de nouvelles fonctionnalités, en mettant à jour la liste des informations traitées et en donnant accès au prestataire, localisé dans un pays ne disposant pas d’un niveau de protection des données personnelles adéquat.
Ainsi, cette modification est soumise à l’avis de la Commission, conformément à l’article 9 de la loi n° 1.165 du 23 décembre 1993.
I. Sur la finalité et les fonctionnalités du traitement
Le responsable de traitement entend faire évoluer la finalité du traitement de « Gestion des outils de communication collaborative » à « Gestion des outils de travail collaboratif ».
Les personnes concernées demeurent inchangées.
Les fonctionnalités du traitement sont désormais :
- « gestion des comptes utilisateurs ;
- mise en place et fonctionnement d’outils collaboratifs qui s’adaptent aux besoins des services de l’Administration, pour les fonctionnalités suivantes :
• gestion des outils de communication collaborative ;
• gestion du partage et du stockage collaboratif ;
• gestion de plannings dédiés et de calendriers en ligne ;
• gestion des tâches et de projets en ligne ;
• suivi de validation d’actions et de formulaires ;
• gestion du stockage et diffusion de contenus vidéos ;
• gestion des outils de notes et de partage collaboratif ;
• établissement de statistiques ;
- gestion des habilitations d’accès aux outils ».
Ces fonctionnalités sont réparties entre différentes solutions d’un même prestataire. Le responsable de traitement précise toutefois que le compte utilisateur permet à ce dernier de se connecter aux différentes solutions (applications) mises en place et d’interagir avec les membres de son organisation.
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.
II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le présent traitement est justifié par la réalisation d’un intérêt légitime, sans que ne soient méconnus l’intérêt, les droits et libertés fondamentaux de la personne concernée.
Il précise que ce traitement permet « aux agents et fonctionnaires de l’État de pouvoir interagir et travailler de manière collaborative en utilisant des outils numériques au plus haut des standards répondant aux besoins d’agilité et d’interactivité des acteurs ».
Par ailleurs, le responsable de traitement indique que celui-ci s’inscrit dans le cadre des missions attribuées au Secrétariat Général du Gouvernement dans l’Ordonnance Souveraine n° 5.840 du 13 mai 2016 et celles attribuées à la Direction des Systèmes d’Information (DSI) conformément aux dispositions de l’Ordonnance Souveraine n° 7.996 du 12 mars 2020.
En outre, le responsable de traitement indique également que le traitement répond aux objectifs de la politique de sécurité du système d’information de l’État (PSSIE) annexée à l’arrêté ministériel n° 2022-331 du 13 juin 2022.
Enfin, il ressort à l’étude du dossier que « les solutions ne sont accessibles que si les utilisateurs ont la licence associée et s’ils ont accepté la Charte d’utilisation ».
La Commission considère que ce traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993.
III. Sur les informations traitées
Le responsable de traitement indique que les informations nominatives traitées sont désormais pour chaque fonctionnalité :
- gestion des comptes utilisateurs :
• identité : nom, prénom, alias ;
• coordonnées : téléphone si renseigné, email, adresse ;
• vie professionnelle : groupe, statut (interne / prestataire / invité), fonction, groupe d’appartenance (Département, Direction, Service) ;
• licences : liste des licences accessibles ;
• photographie : photographie (si intégrée par l’utilisateur) ;
• données d’identification électronique : login, mot de passe ;
• données de connexion : emplacement (ville, pays), système d’exploitation, navigateur, adresse IP, application, compte, date et heure de connexion ;
• données de consentement à la charte utilisateur : log de consentement à la Charte utilisateur ;
- gestion des outils de communication collaborative :
• informations temporelles : logs de connexion : heure et date, actions effectuées ;
• disponibilité : statut : disponible, non disponible, localisation (inscrite par l’utilisateur) ;
• informations sur le contenu :
º message : nom, prénom, date d’appel, échanges et messages, documents échangés ;
º vidéo : vidéo enregistrée (si possible), nom, prénom, visage, voix, date d’enregistrement ;
º statistiques anonymes : nombres d’utilisateurs, d’applications ouvertes dans l’équipe, de publications, de réponses, de mentions et de réactions ;
- gestion du partage et du stockage collaboratif :
• informations sur les utilisateurs : nom, prénom de la personne créant le document et ayant effectué la dernière modification sur le document ;
• informations sur les fichiers/documents : intitulé, version, taille ;
• informations temporelles : date de création du document, date de la dernière modification ;
- suivi de validation d’actions et de formulaires :
• identification de la requête : titre de requête ;
• informations additionnelles : texte dans l’encadré, commentaire dans la requête si la personne refuse de valider ou valide l’action/ le formulaire ;
• réponse : validation, refus de validation, en attente ;
• informations temporelles : données d’horodatage de l’envoi de la validation ;
- gestion de plannings dédiés et de calendriers en ligne :
• identification des activités : nom des activités ;
• informations temporelles sur les activités : date et heure de l’activité placée dans l’emploi du temps de l’utilisateur ;
• informations sur l’invitation : nom de l’évènement, description, lien de l’évènement, nombres de personnes maximum ;
• informations relatives à la personne qui s’inscrit à l’évènement :
º identité : nom, prénom ;
º coordonnées : email ;
º inscriptions : créneau choisi ;
º informations temporelles : disponibilité de l’utilisateur, date et heure de l’inscription, date et heure de la dernière modification, date et heure du dernier email ;
º informations relatives à l’évènement : adresse, téléphone, Service, documents de présentation, URL de site, logo, zone de commentaire libre ;
- gestion de tâches et de projets en ligne :
• informations sur le planner : nom du planner, nom de la tâche, progression de la tâche (en cours, non démarrée, terminée), compartiments (affichage de tâches par personne ou par projet, ou selon l’organisation souhaitée par l’utilisateur), lien de document (image, lien d’un site), pièce(s) jointe(s) en lien avec la tâche, notes sur la tâche, étiquettes (couleurs affectées aux projets ou aux actions), personnes affectées à une tâche, priorité (urgent, important, moyen, minimum) ;
• suivi des actions sur le planner : actions réalisées et détail, date de clôture de tâches, personne ayant terminé la tâche ;
• informations temporelles sur le planner : date de début et date de fin d’une tâche ;
• informations sur le tableau de bord : état des tâches (nombre de tâches restantes, en attente, en cours, en retard, et terminées), nombre de tâches par compartiments, nombre de tâches par priorité (urgent, important, moyen, minimum), nombre de tâches attribuées par membres ;
• informations sur les personnes affectées à une tâche :
º identité : nom, prénom (uniquement pour les personnes extérieures) ;
º coordonnées : adresse email (uniquement pour les personnes extérieures) ;
º informations sur les tâches affectées : affichage par tâches par personne dans le projet (nom, prénom) ;
- gestion des outils de notes et de partage collaboratif :
• informations sur les listes/tableaux créés :
º contenu des listes/tableaux : selon l’objet de la liste : nom, prénom, coordonnées professionnelles (adresse, email, téléphone), date de naissance, fonction, métier/Service, date d’un évènement ou d’une action ;
º informations sur les listes : nom de la liste, description, icône. Selon le paramétrage de la liste : une ou plusieurs lignes de texte, emplacement, nombre, oui/non, personne, date et heure, choix, lien hypertexte, devise, image ;
º informations temporelles sur les listes/tableaux créés : dernière personne ayant modifié le document (nom, prénom), date des dernières modifications ;
• informations sur les documents stockés/partagés :
º informations sur les utilisateurs : nom et prénom de la personne créant le document, nom et prénom de la personne ayant effectué la dernière modification sur le document ;
º informations sur le fichier / document : document, version du document ;
º informations temporelles : date de création du document, date de la dernière modification ;
- gestion du stockage et diffusion de contenus vidéos :
• informations sur le présentateur :
º identité : nom, prénom, photo ou avatar, voix off de la vidéo ;
º informations temporelles : date de l’enregistrement ;
• informations sur les participants (s’ils apparaissent dans la vidéo) :
º identité : nom, prénom, photo ou avatar ;
º informations sur le contenu : commentaires apparaissant dans l’enregistrement ;
• informations sur les vidéos : chaîne(s) et vidéos diffusées, date de publication des vidéos, commentaires (nom, prénom), texte de commentaire, nombre de likes, nombres de vues ;
• informations contenues dans les vidéos : si les vidéos s’y prêtent : visage, nom, prénom, échanges/propos selon la thématique de la vidéo ;
- établissement de statistiques :
• informations sur les données statistiques : toutes les données issues des usages précédents, toutes données issues des traitements exploités par les services dans le cadre des fonctionnalités de statistiques ;
• informations sur les fichiers : nom du document, type de données, approbation, propriétaire, espace de travail, informations temporelles (date et heure de la dernière modification), confidentialité.
En ce qui concerne la photographie, la Commission relève à l’étude du dossier que son téléchargement est recommandé et non obligatoire et dans l’hypothèse où la personne concernée décide de la publier, elle sera ajoutée par elle ou avec son accord.
Le responsable de traitement indique concernant la « zone de commentaire libre » que la personne concernée est informée qu’elle ne doit pas communiquer sur des informations considérées comme « privées », ou non appropriées dans un cadre professionnel. La Commission en prend acte et rappelle que les informations inscrites dans cette zone doivent être objectives et la responsabilité de la qualité de ces dernières, notamment en ce qui concerne l’absence de données interdites au sens de l’article 12 de la loi n° 1.165 ou de propos injurieux, appartient également à l’organisateur de l’événement qui en est le modérateur.
En outre, la Commission relève que dans le cadre de la gestion des outils de notes et de partage collaboratif, la date de naissance est une information susceptible d’être collectée « selon l’objet de la liste ». Par complément d’information, le responsable de traitement indique que sa collecte est optionnelle et non automatique (par exemple pour la création d’une liste d’anniversaires). La Commission en prend acte et rappelle qu’il convient, selon le principe de proportionnalité, de collecter le minimum d’informations permettant d’assurer la finalité poursuivie par la liste. Elle estime ici que l’adjonction de cette information doit relever du choix de l’utilisateur de même que le fait de la partager.
Enfin, en ce qui concerne l’enregistrement d’une visioconférence, le responsable de traitement indique que « les vidéos sont réalisées à des fins professionnelles, de formation, de présentation de Service, de projet » et dans l’objectif de servir de support à l’exercice des activités des Services. Il explique que « l’organisateur peut bloquer la réalisation de vidéos. Lorsqu’un enregistrement est activé, les participants sont informés de l’enregistrement de la vidéo avant son démarrage et tout au long de sa réalisation par un bandeau sur l’écran ». Il précise que les personnes concernées « peuvent ne pas rester dans l’enregistrement et ne pas poster de commentaires ». La Commission en prend acte.
Les informations traitées dans le cadre de la gestion des comptes utilisateurs proviennent de la DSI à l’exception de la photographie qui a pour origine la personne concernée et des données de connexion proviennent du système. Ce dernier conserve également la trace du « log de consentement ».
Les informations relatives à la gestion des outils de communication collaborative ont pour origine :
- le système pour les informations temporelles et les statistiques anonymes ;
- la personne concernée pour les informations relatives à la disponibilité ;
- les participants aux échanges pour les informations contenues dans les messages ;
- l’organisateur pour les vidéos.
Les informations traitées dans le cadre de la gestion du partage et du stockage collaboratif ont pour origine la personne concernée ou le créateur du document à l’exception de la version du document et des informations temporelles qui proviennent du système.
L’ensemble des informations relatives au suivi de validation d’action et de formulaires ont pour origine la personne concernée (demandeur ou approbateur) à l’exception des informations temporelles qui proviennent du système.
Les informations traitées dans le cadre de la gestion de plannings dédiés et de calendriers proviennent de la personne concernée ou du compte utilisateur à l’exception des informations sur les invitations et celles relatives à l’événement qui ont pour origine le créateur. Enfin, les informations temporelles sont issues du système.
Les informations relatives au planner/projet traitées dans le cadre de la gestion des tâches et de projets en ligne, proviennent du créateur de la tâche à l’exception des données se rapportant au suivi des actions qui ont pour origine la « personne concernée ou membre du planner ». Les informations relatives au tableau de bord proviennent du système alors que les informations sur les personnes affectées à une tâche ont pour origine la personne concernée, ou en interne.
Les informations traitées dans le cadre de la gestion des outils de notes et de partage collaboratif ont pour origine le système à l’exception des informations relatives aux contenus de la liste/tableau ou du fichier/document qui proviennent du créateur.
Les informations traitées dans le cadre de la gestion du stockage et la diffusion de contenus vidéos proviennent du système à l’exception des informations relatives à l’identité du présentateur qui ont pour origine la personne concernée et les informations contenues dans les vidéos qui proviennent du créateur.
Les informations relatives à l’établissement des statistiques sur les données utilisées sont « issues des traitements exploités par les services dans le cadre des fonctionnalités de statistiques » alors que celles relatives à l’établissement des statistiques sur les fichiers statistiques créés ont pour origine « la personne qui a créé le document » et le système.
La Commission considère que les informations traitées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
* Sur l’information préalable des personnes concernées
Le responsable de traitement indique que l’information préalable des personnes concernées est assurée au moyen d’un document spécifique ainsi que par un autre moyen selon les outils.
À cet égard, il précise que les personnes internes à l’Administration sont informées par la Charte d’utilisation des outils de travail collaboratif.
Par ailleurs, il est précisé que ces personnes sont également informées « par l’inscription sur la liste des traitements mis en œuvre par la Direction des Systèmes d’Information diffusée sur l’Intranet du Gouvernement, soit l’outil de communication interne de l’Administration pour les documents se rapportant au fonctionnement de l’Administration ».
En outre, le responsable de traitement indique que les personnes externes à l’Administration sont informées par une mention intégrée automatiquement en pied de l’email d’invitation à une réunion ou par une mention insérée par le créateur dans le formulaire de réservation.
À l’égard de cette dernière, le responsable de traitement précise qu’elle pourra être complétée en y indiquant l’objectif de la campagne à l’origine du formulaire de réservation. Il indique en outre qu’un « livret d’utilisation précise au créateur une mention type, les conditions pour intégrer la mention d’information et l’endroit dans lequel elle doit être apposée ».
Après analyse de ces documents, la Commission constate que les mentions d’information sont conformes aux dispositions de l’article 14 de la loi n° 1.165.
* Sur l’exercice du droit d’accès des personnes concernées
Le responsable de traitement indique que le droit d’accès s’exerce par voie postale et par courrier électronique auprès de la Délégation Interministérielle de la Transition Numérique (DITN) et non plus auprès de la Direction des Réseaux et des Systèmes d’Information.
Par ailleurs, il ressort à l’étude du dossier que le droit d’accès peut également être exercé au moyen d’un formulaire permettant de contacter le service de protection des données personnelles de la DITN.
À cet égard, la Commission rappelle que la réponse au droit d’accès doit s’exercer dans le mois suivant la réception de la demande.
S’agissant de l’exercice du droit d’accès par voie électronique, la Commission rappelle qu’une procédure doit être mise en place afin que le responsable de traitement puisse s’assurer, en cas de doute sur l’identité de la personne à l’origine du courriel, qu’il s’agit effectivement de la personne concernée par les informations.
À ce titre, elle précise que si une copie d’un document d’identité était demandée, la transmission et le traitement de ce document devront faire l’objet de mesures de protection particulières, comme rappelé dans sa délibération n° 2015-113 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d’identité officiels.
Sous ces conditions, la Commission considère que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993, modifiée.
V. Sur les destinataires et les personnes ayant accès au traitement
Les accès sont modifiés et définis comme suit :
- les agents de la DSI habilités dans le cadre de leurs missions (équipe RUN) : en lecture, création, modification/mise à jour, suppression. Le responsable de traitement précise que ces derniers n’ont pas accès au contenu sauf si nécessaire pour la gestion d’une demande ou d’un incident mais toujours avec l’autorisation de l’utilisateur et sous son contrôle. Ces derniers ont accès aux logs de l’application ;
- les gestionnaires des Data Base de la DSI : en lecture, création, modification/mise à jour, suppression. Il est précisé que ces derniers ont accès à la donnée dans leur périmètre de responsabilité ;
- les agents de la Direction des Services Numériques (DSN) habilités dans le cadre de leurs missions : en lecture, création, modification/mise à jour. Il est précisé que ces derniers n’ont pas accès aux espaces utilisateurs ;
- les utilisateurs des applications : en lecture, création, modification/mise à jour, suppression. Il est précisé que ces derniers ont accès uniquement aux informations qui les concernent.
En outre, il appert à la lecture du dossier qu’un auditeur peut avoir accès aux données objet du présent traitement en lecture seulement. À cet égard, le responsable de traitement explique que celui-ci peut selon les situations être externe ou interne à l’Administration.
La Commission en prend acte et rappelle en ce qui concerne le recours aux prestataires que conformément aux dispositions de l’article 17 de la loi n° 1.165 du 23 décembre 1993, les droits d’accès de ces derniers doivent être limités à ce qui est strictement nécessaire à l’exécution de son contrat de prestation de service. De plus, lesdits prestataires sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
Enfin, le responsable de traitement précise que le personnel du prestataire des outils de travail collaboratif, localisé dans un pays ne disposant pas d’un niveau de protection adéquat, n’a pas accès aux données sauf sous son contrôle et avec son autorisation.
L’accès opéré depuis ce pays s’analyse en un transfert d’informations nominatives faisant l’objet d’une demande d’autorisation concomitamment soumise.
Sous la réserve de l’obtention de l’autorisation dudit transfert, la Commission considère que ces accès sont justifiés.
VI. Sur les interconnexions et rapprochements avec d’autres traitements
Le responsable de traitement indique que le présent traitement est rapproché avec le traitement suivant « Assistance aux utilisateurs par le Centre de Service de la DSI », légalement mis en œuvre.
Il précise en outre que le traitement est interconnecté avec les traitements, légalement mis en œuvre suivants :
- « Gestion des habilitations et des accès au Système d’Information » afin de disposer des éléments permettant l’identification des utilisateurs ;
- « Gestion centralisée des accès aux applications du Système d’Information » ;
- « Gestion de la messagerie professionnelle » afin de pouvoir échanger/utiliser la solution, d’envoyer des documents et d’afficher des contacts ;
- « Gestion et analyse des événements du Système d’Information » afin de veiller à la traçabilité et à la sécurité des actions effectuées sur le réseau.
La Commission relève que le présent traitement fait l’objet d’une interconnexion avec le traitement légalement mis en œuvre ayant pour finalité « Sécurisation des accès à distance au SI pour les flottes nomades BYOD et professionnelles » et peut être rapproché avec tout traitement lié à l’activité ou l’objectif de l’utilisateur. Elle rappelle à cet égard que toute interconnexion ou rapprochement ne peut avoir lieu qu’entre des traitements légalement mis en œuvre. Aussi, elle rappelle que ces derniers devront préalablement lui être soumis. Ces rapprochements, qui semblent liés à la production de statistiques, ne doivent pas conduire à étendre les accès définis dans les traitements dont les données sont issues.
La Commission considère que ces interconnexions et ce rapprochement sont conformes aux exigences légales.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation particulière.
Cependant, la Commission rappelle que les ports non utilisés doivent être désactivés et que les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
Elle rappelle par ailleurs que la copie ou l’extraction d’informations issues de ce traitement devra être chiffrée sur son support de réception.
La Commission rappelle enfin que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VIII. Sur la durée de conservation
Les informations traitées dans le cadre de la gestion des comptes utilisateurs sont conservées comme suit :
- les informations relatives à l’identité, les coordonnées, la vie professionnelle et les licences : tant que la personne est habilitée à avoir accès au système d’information du Gouvernement + 3 mois ou, pour les invités, tant que la personne conserve ce statut dans l’équipe où elle est invitée + 3 mois ;
- la photographie : comme précédemment ou tant que la personne concernée le souhaite ;
- les données d’identification électronique : tant que l’utilisateur travaille au sein de l’Administration ;
- données de connexion : 30 jours ;
- données de consentement à la Charte utilisateur : tant que la Charte est d’actualité.
Les informations traitées dans le cadre de la gestion des outils de communication collaborative sont conservées comme suit :
- les informations temporelles : 12 mois glissants ;
- la disponibilité (statut) : tant que l’utilisateur le souhaite, au plus tard tant que l’utilisateur est habilité à avoir accès au système d’information du Gouvernement ;
- les messages : à la discrétion de l’émetteur, ou durée de vie de l’équipe dans laquelle le message a été échangé (lorsque l’utilisateur n’aura plus accès aux outils son nom sera remplacé par « utilisateur inconnu ») ;
- la vidéo : 24 mois après la date de l’enregistrement ;
- statistiques anonymes : jusqu’à 90 jours.
Les informations traitées dans le cadre de la gestion du partage et du stockage collaboratif sont conservées comme suit :
- si le document est partagé dans une conversation : il sera supprimé automatiquement au bout de 7 jours ;
- si le document est partagé au sein d’une équipe il sera supprimé si l’utilisateur le supprime ou si l’équipe est supprimée. Si l’équipe est inactive pendant 6 mois, le document sera supprimé automatiquement.
Les informations traitées dans le cadre du suivi de validation d’actions et de formulaires sont conservées pendant 30 jours.
Les informations traitées dans le cadre de la gestion de plannings dédiés et de calendriers en ligne sont conservées « 12 mois après la fin de l’événement » à l’exception des informations relatives aux activités qui sont conservées « tant que l’activité est dans le planning ».
L’ensemble des informations traitées dans le cadre de la gestion des tâches et de projets en ligne sont conservées pendant la « durée du projet justifiant la création du planner ». Le responsable de traitement précise que si le compte de la personne est supprimé, elle n’apparaîtra plus dans le planner 3 mois après la suppression du compte. Si la personne change d’équipe ou de Service, elle restera identifiée s’agissant des actions qu’elle a créée ou réalisée pendant la durée du planner. Pour les actions qui lui étaient affectées, elles devront être réaffectées par le responsable du planner.
Les informations sur les listes/tableaux traitées dans le cadre de la gestion des outils de notes et de partage collaboratif sont conservées pendant la « durée du projet justifiant la création de la liste/tableau ». Les informations relatives aux documents stockés/partagés sont conservés à la discrétion de l’émetteur ou pendant la durée de vie de l’équipe dans laquelle le document est partagé.
Les informations traitées dans le cadre de la gestion du stockage et diffusion de contenus vidéos sont conservés pendant 24 mois à compter de la diffusion de la vidéo. Le responsable de traitement précise que les contenus ayant pour objectif la formation sont conservés « tant que le sujet de la vidéo est d’actualité ».
Les informations traitées dans le cadre de l’établissement de statistiques sont conservées pendant 24 mois à compter de l’établissement du rapport de statistiques.
La Commission considère que ces durées de conservation sont conformes aux exigences légales à l’exception de celles applicables aux logs de connexion.
À cet égard, elle relève que le responsable de traitement prévoit des durées de conservation différentes (selon les outils) pour les logs de connexion et rappelle d’une part que ces informations doivent être conservées entre 3 mois minimum et 1 an maximum. Elle fixe donc la durée de conservation de l’ensemble des logs de connexion à 1 an glissant.
Après en avoir délibéré, la Commission :
Rappelle que :
- l’organisateur de l’évènement, mettant à disposition la « zone de commentaire libre », doit s’assurer du caractère proportionné des informations inscrites ;
- l’adjonction de la date de naissance doit relever du choix de l’utilisateur ;
- la réponse au droit d’accès doit s’exercer dans le mois suivant la réception de la demande ;
- une procédure relative au droit d’accès par voie électronique doit être mise en place afin que le responsable de traitement puisse s’assurer, en cas de doute sur l’identité de la personne à l’origine du courriel, qu’il s’agisse effectivement de la personne concernée par les informations ;
- toute interconnexion ou rapprochement ne peut avoir lieu qu’entre des traitements légalement mis en œuvre. Ces rapprochements, qui semblent liés à la production de statistiques, ne doivent pas conduire à étendre les accès définis dans les traitements dont les données sont issues ;
- les ports non utilisés doivent être désactivés et que les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé ;
- la copie ou l’extraction d’informations issues de ce traitement devra être chiffrée sur son support de réception.
Fixe la durée de conservation des logs de connexion aux différents outils à 1 an glissant.
Sous le bénéfice de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la modification, par le Ministre d’État, du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des outils de travail collaboratif ».
Le Président de la Commission de Contrôle des Informations Nominatives.