Délibération n° 2023-117 du 20 septembre 2023 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion du contrôle des accès au bâtiment du Conseil National par badge magnétique et digicode » présenté par la Présidente du Conseil National.

Vu la Constitution ;

Vu la Convention de sauvegarde des Droits de l’Homme et des Libertés fondamentales du Conseil de l’Europe du 4 novembre 1950, et notamment son article 10 ;

Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel du 28 janvier 1981 et son protocole additionnel ;

Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;

Vu la loi n° 771 du 25 juillet 1964 sur l’organisation et le fonctionnement du Conseil National, modifiée ;

Vu la loi n° 975 du 12 juillet 1975 portant statut des fonctionnaires de l’État, modifiée ;

Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;

Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;

Vu la demande d’avis déposée par la Présidente du Conseil National le 6 juin 2023 concernant la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité « Gestion du contrôle des accès au bâtiment du Conseil National par badge magnétique et digicode » ;

Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 3 août 2023, conformément à l’article 19 de l’Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;

Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 20 septembre 2023 portant examen du traitement automatisé, susvisé ;

La Commission de Contrôle des Informations Nominatives,

Préambule

Le Conseil National est une Institution publique consacrée par la Constitution, ainsi que par la loi n° 771 du 25 juillet 1964, susvisée.

Ses Services relèvent de l’autorité hiérarchique de la Présidente du Conseil National, dont le fonctionnement est défini par un Règlement Intérieur soumis au contrôle du Tribunal Suprême.

Ainsi, le Conseil National revêt le statut d’Autorité publique au sens de l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives.

Afin de s’assurer que seules les personnes autorisées aient accès aux espaces privés et réservés du bâtiment, le Conseil National souhaite mettre en place un contrôle d’accès par badges magnétiques et digicode.

Le système de digicode couplé au contrôle d’accès par badge, permettra la gestion des accès en dehors des heures et jours (incluant dimanches et jours fériés) ouvrés et ouvrables.

Ledit traitement, objet de la présente délibération, est donc soumis à l’avis de la Commission conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée.

I. Sur la finalité et les fonctionnalités du traitement

Le traitement a pour finalité « Gestion du contrôle des accès au bâtiment du Conseil National par badge magnétique et digicode ».

Les personnes concernées sont les agents et fonctionnaires du Conseil National, les élus, les assistants des élus, les stagiaires et suppléants et les prestataires.

Enfin, les fonctionnalités de ce traitement sont les suivantes :

-  contrôler la circulation des titulaires d’un badge vers des locaux auxquels ils ont accès, et cela en fonction de leurs missions et de leurs habilitations ;

-  récolter des preuves en cas d’incidents ;

-  permettre la création, l’attribution et la destruction des badges (en cas de perte du badge, le responsable informatique procède à la désactivation complète des droits électroniques attachés audit badge) ;

-  l’attribution d’un code PIN personnel aux personnes autorisées à accéder au bâtiment, en dehors des heures et jours (incluant dimanches et jours fériés) ouvrés et ouvrables.

Il appert par ailleurs à l’étude du dossier que le traitement permet de produire des statistiques globales d’utilisation des espaces de travail.

À cet égard, la Commission prend acte que lesdites statistiques sont anonymes.

Au vu de ce qui précède, elle considère que le traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993.

II. Sur la licéité et la justification du traitement

Le responsable de traitement indique que le traitement est justifié par « la réalisation d’un intérêt légitime poursuivi [par lui et qui] ne méconnait ni l’intérêt, ni les droits et libertés fondamentaux de la personne concernée ».

La Commission constate ainsi que l’objectif du traitement dont s’agit « est de s’assurer que seules les personnes autorisées aient accès aux espaces privés et réservés du bâtiment, dont les ascenseurs, les bureaux, les espaces de travail et de stockage ainsi que les espaces techniques » et qu’« À l’inverse, ce système permet une circulation a minima pour les personnes non porteuses d’un badge aux seuls espaces publics ».

Le responsable de traitement indique ainsi que ce dispositif « est nécessaire afin de prévenir des risques potentiels à l’encontre des personnes et des biens, et permettre la bonne tenue des travaux de l’Institution » et qu’« Il permettra, le cas échéant, de produire des éléments de preuve en cas d’infractions ou d’incident ».

Il précise enfin que « Ce traitement se fait dans le respect des droits des personnes qui circulent dans les locaux du Conseil National » et que « Ce système n’est pas conçu pour assurer une surveillance des personnes qui travaillent pour l’Institution ».

Au vu de ce qui précède, la Commission considère donc que le traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993.

III.   Sur les informations traitées

Les informations traitées sont les suivantes :

-  identité : nom, prénom, nom de la société (uniquement pour le prestataire) ;

-  données d’identification électronique : logs de connexion des personnes habilitées à avoir accès au traitement ;

-  informations temporelles : identification des lecteurs, date et heure de l’accès ;

-  badges/digicodes : numéro de badge, code PIN, date de délivrance, date de validité et date d’expiration, zones et locaux autorisés selon des habilitations individuelles, plages horaires selon les habilitations de chacun.

Les informations relatives à l’identité ont pour origine les traitements ayant respectivement pour finalité « Gestion des fichiers des ressources humaines du Conseil National », « Gestion des informations des Conseillères Nationales et des Conseillers Nationaux » et « Gestion dynamique des horaires, des congés, des présences et des absences du Conseil National ».

Les logs de connexion et les informations temporelles ont pour origine les deux systèmes de serrures électroniques.

Enfin, les informations liées aux badge et digicode ont pour origine le RSSI.

La Commission considère ainsi que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.

IV.   Sur les droits des personnes concernées

*   Sur l’information préalable des personnes concernées

Le responsable de traitement indique que l’information préalable des personnes concernées est tout d’abord effectuée par le biais d’un document spécifique signé à la remise du badge informant les utilisateurs internes des conditions d’utilisation des badges ainsi que de leurs droits attachés à la gestion de leurs informations nominatives.

Les prestataires sont par ailleurs informés de leurs droits par le biais d’un courriel annuel adressé par le Secrétariat Général et à la signature d’un contrat.

L’ensemble de ces documents n’ayant pas été joints à la présente demande d’avis, la Commission rappelle que ceux-ci doivent impérativement comporter l’ensemble des mentions de l’article 14 de la loi n° 1.165 du 23 décembre 1993.

* Sur l’exercice du droit d’accès

Le responsable de traitement indique que le droit d’accès s’exerce par courrier électronique auprès du Secrétaire Général du Conseil National.

À cet égard, la Commission rappelle que la réponse à ce droit d’accès doit intervenir dans le mois suivant la réception de la demande.

Elle prend acte par ailleurs qu’une procédure a été mise en place afin que le responsable de traitement puisse s’assurer que l’expéditeur du courriel est effectivement la personne concernée par les informations. À ce titre, le responsable de traitement précise que « Le demandeur devra apporter la preuve de son identité en joignant à sa demande papier ou électronique une copie noire ou blanche rayée de sa carte d’identité, conformément à la délibération n° 2015-116 de la Commission du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d’identité officiels » et que «  Ces informations seront détruites dans les 30 jours après avoir répondu à la demande du correspondant ».

La Commission considère ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993.

V.   Sur les destinataires et les personnes ayant accès au traitement

*   Sur les destinataires

Le responsable de traitement indique que les informations sont susceptibles d’être communiquées à la Direction de la Sûreté Publique et aux Autorités judiciaires compétentes.

La Commission estime ainsi que la communication à la Direction de la Sûreté Publique et aux Autorités judiciaires peut être justifiée par les besoins d’une enquête judiciaire. À cet égard, elle rappelle qu’en cas de transmission, lesdits destinataires ne pourront avoir accès aux informations objet du traitement, que dans le strict cadre de leurs missions légalement conférées.

Sous ces conditions, la Commission considère que de telles transmissions sont conformes aux exigences légales.

*   Sur les personnes ayant accès au traitement

Les personnes habilitées à avoir accès au traitement sont :

-  le Chef du Pôle Informatique, Technique et Audiovisuel et ses adjoints :

   º en leur qualité de responsable du système informatique : maintenance des serveurs, configuration des réseaux, sauvegarde des données, extraction des logs, mise à jour des licences, investigation des incidents et création de badges et suppression des droits d’accès attachés aux badges perdus/codes PIN ;

   º en leur qualité de gestionnaire de l’application : enregistrement des utilisateurs, configuration des badges et des serrures électroniques (digicodes) ;

   º en leur qualité de gestionnaire des chantiers et de l’exécution des contrats de prestation ;

-  les prestataires des dispositifs de verrouillage : installation, contrôle et maintenance du matériel spécifique à l’application.

Considérant les attributions de ces personnes, et eu égard à la finalité du traitement, les accès susvisés sont justifiés.

En ce qui concerne les prestataires, la Commission rappelle toutefois que conformément aux dispositions de l’article 17 de la loi n° 1.165 du 23 décembre 1993, les droits d’accès doivent être limités à ce qui est strictement nécessaire à l’exécution de leur contrat de prestation de service. De plus, lesdits prestataires sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.

VI. Sur les rapprochements et les interconnexions

Le responsable de traitement indique que le présent traitement fait l’objet de deux rapprochements avec les traitements ayant respectivement pour finalité « Gestion des informations des Conseillères Nationales et des Conseillers Nationaux » et « Gestion dynamique des horaires, des congés, des présences et des absences du Conseil National », légalement mis en œuvre.

Il indique que ce traitement fait également l’objet d’un rapprochement avec le traitement ayant pour finalité « Gestion des fichiers des ressources humaines du Conseil National ».

Ledit traitement n’ayant fait l’objet d’aucune formalité auprès de la CCIN, la Commission demande au responsable de traitement de le lui soumettre dans les plus brefs délais.

VII. Sur la sécurité du traitement et des informations

Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation particulière.

La Commission rappelle toutefois que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.

De plus la copie ou l’extraction d’informations issues de ce traitement devra être chiffrée sur son support de réception.

VIII. Sur les durées de conservation

Le responsable de traitement indique que les informations relatives à l’identité, au badge et au digicode sont conservées le temps de l’affectation.

Les logs de connexion sont conservés 1 an.

Enfin, le responsable de traitement indique que les informations temporelles sont conservées de 3 à 12 mois selon la sensibilité du secteur (serveur).

La Commission en prend acte et considère que ces durées sont conformes aux exigences légales.

Après en avoir délibéré, la Commission :

Rappelle que :

-  les documents d’information préalable doivent impérativement comporter l’ensemble des mentions de l’article 14 de la loi n° 1.165 du 23 décembre 1993 ;

-  la réponse à un droit d’accès doit intervenir dans le mois suivant la réception de la demande ;

-  la Direction de la Sûreté Publique et les Autorités judiciaires ne peuvent avoir accès aux informations objet du traitement que dans le strict cadre de leurs missions légalement conférées ;

-  la copie ou l’extraction d’informations issues de ce traitement devra être chiffrée sur son support de réception.

Demande au responsable de traitement de lui soumettre dans les plus brefs délais le traitement ayant pour finalité « Gestion des fichiers des ressources humaines du Conseil National ».

À la condition de la prise en compte de ce qui précède,

la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par la Présidente du Conseil National, du traitement automatisé d’informations nominatives ayant pour finalité « Gestion du contrôle des accès au bâtiment du Conseil National par badge magnétique et digicode ».

Le Président de la Commission

de Contrôle des Informations Nominatives.