Délibération n° 2023-162 du 18 octobre 2023 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre de la modification du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des accès dédiés au Système d’information », exploité par la Direction des Systèmes d’Information présentée par le Ministre d’État.

Vu la Constitution ;

Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;

Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;

Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;

Vu l’arrêté ministériel n° 2022-331 du 13 juin 2022 portant application de l’article 23 de la loi n° 1.435 du 8 novembre 2016 relative à la lutte contre la criminalité technologique, fixant les mesures de sécurité des systèmes d’information de l’État ;

Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;

Vu la délibération n° 2019-136 du 18 juillet 2019 portant avis favorable à la mise en œuvre du traitement du traitement automatisé ayant pour finalité « Gestion des accès à distance au système d’information du Gouvernement » ;

Vu la délibération n° 2021-171 du 21 juillet 2021 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la modification du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des accès dédiés au Système d’information » ;

Vu la demande d’avis déposée par le Ministre d’État, le 13 juillet 2023, concernant la modification d’un traitement automatisé ayant pour finalité la « Gestion des accès dédiés au Système d’information » ;

Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 12 septembre 2023, conformément à l’article 19 de l’Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;

Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 21 juillet 2021 portant examen du traitement automatisé, susvisé ;

La Commission de Contrôle des Informations Nominatives,

Préambule

Par délibération n° 2019-136 du 18 juillet 2019, la Commission avait émis un avis favorable à la mise en œuvre d’un traitement automatisé ayant pour finalité la « Gestion des accès à distance au Système d’information du Gouvernement », qui avait pour objectif d’« assurer la sécurité des accès à distance au Système d’information du Gouvernement par le biais d’une solution adaptée en évitant le recours à des logiciels de prise en main à distance non sécurisé et non maîtrisés ».

Le Gouvernement avait souhaité, en 2021, modifier le traitement afin d’en élargir les fonctionnalités, et notamment mettre en œuvre une traçabilité des sessions d’administration plus poussée afin de permettre une meilleure imputabilité des actions.

Il souhaite désormais apporter quelques précisions, tenant notamment à un rapprochement avec le traitement ayant pour finalité « Gestion d’un outil de partage de documents sécurisés avec des partenaires internes et externes à l’administration monégasque ».

Ainsi, cette modification est soumise à l’avis de la Commission, conformément aux dispositions de l’article 9 de la loi n° 1.165 du 23 décembre 1993.

I.          Paragraphe unique

Le traitement a pour finalité la « Gestion des accès dédiés au Système d’information » et ses fonctionnalités n’évoluent pas.

La Commission relève que le fondement juridique du traitement demeure inchangé, hormis les évolutions de la PSSIE actées dans l’arrêté ministériel n° 2022-331 du 13 juin 2022 portant application de l’article 23 de la loi n° 1.435 du 8 novembre 2016 relative à la lutte contre la criminalité technologique, fixant les mesures de sécurité des systèmes d’information de l’État.

Le responsable de traitement indique désormais que le « prestataire est informé du traitement de données à caractère personnel dans un mail adressé préalablement à son accès (…) » dont la mention est jointe au dossier. La Commission constate que celle-ci, identique à celle portée dans le formulaire de demande d’accès distant, est conforme aux dispositions légales. Elle relève néanmoins une erreur quant à la finalité du traitement insérée dans la mention, qui est celle choisie par le responsable de traitement en 2019, mais qui a depuis été modifiée en 2021.

En outre, il est joint l’information dispensée aux fonctionnaires et agents de l’administration, diffusée sur l’Intranet, et conforme aux dispositions légales.

La Commission souligne toutefois que les personnels de l’Administration doivent avoir été mis en mesure de prendre connaissance de la mention d’information ou de ses mises à jour et rappelle que les personnes concernées doivent bénéficier d’une information individuelle afin qu’elles puissent valablement consulter la mention d’information.

De plus, le responsable de traitement souhaite ajouter, aux rapprochements et interconnexions préalablement indiqués, un rapprochement avec le traitement ayant pour finalité la « Gestion d’un outil de partage de documents sécurisés avec des partenaires internes et externes à l’Administration monégasque ».

Il est précisé que ce rapprochement a pour objectif de permettre la communication sécurisée de documents contractuels entre l’administration et ses prestataires concernant les accès distants. La Commission en prend acte.

Enfin, par complément d’informations, le responsable de traitement indique que les administrateurs utilisent le présent traitement lorsqu’ils se connectent à leur environnement. Il peut toutefois être dérogé à cette règle dans le seul cas où le présent traitement, ou certains éléments d’infrastructures, rencontreraient des problèmes qui rendraient cette procédure inopérante.

La Commission en prend acte.

Après en avoir délibéré, la Commission :

Rappelle que les personnes concernées doivent être mises en mesure de prendre connaissance de la mention d’information relative au présent traitement, ou de sa mise à jour.

Sous le bénéfice de la prise en compte de ce qui précède,

la Commission de Contrôle des Informations Nominatives émet un avis favorable à la modification, par le Ministre d’État, du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des accès dédiés au Système d’information  ».

Le Président de la Commission de Contrôle des Informations Nominatives.