Délibération n° 2024-14 du 17 janvier 2024 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Permettre l'authentification des administrateurs à la plateforme de gestion des réseaux de câblage des bâtiments du Gouvernement » exploité par la Direction des Plateformes et des Ressources Numériques (DPRN) présenté par le Ministre d'État.

Vu la Constitution ;

Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;

Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;

Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;

Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;

Vu l’Ordonnance Souveraine n° 7.997 du 12 mars 2020 portant création de la Direction des Plateformes et des Ressources Numériques ;

Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés d’informations nominatives ;

Vu la demande d’avis déposée par le Ministre d’État le 9 octobre 2023 concernant la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Permettre l’authentification des administrateurs à la plateforme de gestion des réseaux de câblage des bâtiments du Gouvernement » ;

Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 7 décembre 2023, conformément à l’article 19 de l’Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;

Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 17 janvier 2023 portant examen du traitement automatisé, susvisé ;

La Commission de Contrôle des Informations Nominatives,

Préambule

Le responsable de traitement souhaite mettre en œuvre une plateforme qui permet d’« intégrer les informations de câblage Voix, Données, Images IP et la distribution des salles informatiques et des locaux techniques afin d’assurer le maintien en condition opérationnelle de la cartographie des bâtiments du Gouvernement Princier ».

La plateforme permet la/l’ :

-    cartographie de l’infrastructure passive ;

-    définition et gestion des équipements réseaux et terminaux ;

-    création de liaisons et gestion des brassages cuivre et fibre optique, Voix Données Images la demande d’attribution et d’autorisation de fréquence ;

-    gestion des migrations, des déménagements et génération de fiches de travail ;

-    gestion des taux d’occupation et statistiques ;

-    intégration de plans et positionnement graphique d’objets ;

-    création dynamique de schémas d’interconnexion des répartiteurs ;

-    représentation graphique dynamique, réelle et à l’échelle des répartiteurs, baie, éléments de baie, matériels actifs ;

-    DOE et import des données des testeurs de câblage ;

-    géolocalisation des éléments de câblage en extérieur des bâtiments.

Il est précisé que l’import de fichiers et la gestion de données de câblages ne contiennent pas d’informations nominatives.

Ainsi, le traitement y relatif est soumis à l’avis de la Commission, conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993.

I.  Sur la finalité et les fonctionnalités du traitement

Le traitement a pour finalité « Permettre l’authentification des administrateurs à la plateforme de gestion des réseaux de câblage des bâtiments du Gouvernement ».

Le responsable de traitement précise qu’il concerne les personnels de l’Administration ainsi que les personnels du prestataire éditeur.

Les fonctionnalités du traitement sont :

-    authentification d’utilisateurs type « administrateur » sur la plateforme ;

-    connexion des utilisateurs (email, mot de passe) ;

-    modification du compte utilisateur par un administrateur (rôles/droits + nom, prénom, email, mot de passe) ;

-    désactivation du compte utilisateur ;

-    visualisation de l’historique des actions.

La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.

II. Sur la licéité et la justification du traitement

Le responsable de traitement indique que le présent traitement est justifié par un motif d’intérêt public, citant l’Ordonnance Souveraine n° 7.997 portée au visa de la présente délibération, qui dispose que la DPRN a notamment pour missions « d’assurer la gestion et l’exploitation des réseaux courant faible internes et étendus et des réseaux téléphoniques commutés » et « de planifier, d’allouer et de gérer l’ensemble des ressources de la Principauté de Monaco relatives au secteur des communications électroniques (fréquences, numérotation, « .mc », positions satellitaires, …».

Il précise qu’« Ainsi, la mise à disposition d’une plateforme de gestion des réseaux de câblage des bâtiments du Gouvernement permet à l’Administration, d’exercer, de manière pertinente et appropriée, la mission dont elle est investie ».

La Commission considère donc que ce traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993.

III.  Sur les informations traitées

Les informations nominatives traitées sont :

-    données d’identification électronique : login, mot de passe ;

-    informations temporelles : logs de connexion et horodatage, journal des actions, historique de recherche.

Les données d’identification électronique des personnels de l’Administration proviennent de l’interconnexion avec le traitement ayant pour finalité « Gestion des habilitations et des accès au Système d’information », légalement mis en œuvre, tandis que celles relatives aux prestataires proviennent de ces derniers.

Enfin, les informations temporelles sont produites par le système.

La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.

IV.  Sur les droits des personnes concernées

• Sur l’information préalable des personnes concernées

L’information des personnes concernées est réalisée par le biais d’une mention accessible depuis la solution dans un onglet « À propos ».

La mention étant jointe au dossier, la Commission relève que celle‑ci est conforme aux dispositions de l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée.

•    Sur l’exercice du droit d’accès, de modification et de mise à jour

Le droit d’accès est exercé par voie postale ou par le biais d’un formulaire en ligne auprès de la Délégation Interministérielle chargée de la Transition Numérique - Protection des données.

S’agissant de l’exercice du droit d’accès par voie électronique, la Commission rappelle qu’une procédure doit être mise en place afin que le responsable de traitement puisse s’assurer, en cas de doute sur l’identité de la personne à l’origine du courriel, qu’il s’agisse effectivement de la personne concernée par les informations.

La Commission constate que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.

V. Sur les personnes ayant accès au traitement

Le responsable de traitement indique qu’ont accès au traitement les :

-    personnels habilités de la Direction des Plateformes et des Ressources Numériques : tous droits ;

-    personnels du prestataires (éditeur de la solution) : tous droits dans le cadre de la maintenance applicative et support.

La Commission rappelle qu’en ce qui concerne les prestataires, leurs accès doivent être limités à ce qui est strictement nécessaire à l’exécution de leur contrat de prestation de service, conformément à l’article 17 de la loi n° 1.165. De plus, ils sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement.

Elle considère que ces accès sont justifiés.

VI.  Sur les interconnexions avec d’autres traitements

Le responsable de traitement indique que le présent traitement fait l’objet d’interconnexions avec les traitements légalement mis en œuvre ayant pour finalités :

-    « Gestion des habilitations et des accès au Système d’information », afin de disposer des éléments permettant de créer un compte aux utilisateurs ;

-    « Gestion des accès dédiés au Système d’information du Gouvernement » afin de d’assurer la sécurité des accès au SI par le prestataire habilité, si nécessaire ;

-    « Gestion et analyse des évènements du système d’information » afin de veiller à la traçabilité et à la sécurité des actions effectuées sur le réseau.

La Commission constate que cette interconnexion et ces rapprochements sont conformes aux finalités initiales des traitements susvisés.

VII. Sur la sécurité du traitement et des informations

Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.

Cependant les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.

De plus la copie ou l’extraction d’informations issues de ce traitement doit être chiffrée sur son support de réception.

Enfin, la Commission rappelle que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui‑ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.

VIII. Sur la durée de conservation

Le responsable de traitement indique que les informations sont conservées :

-    tant que la personne est habilitée à avoir accès, en ce qui concerne les données d’identification électronique ;

-    12 mois glissants en ce qui concerne les logs de connexion et horodatage ainsi que le journal des actions ;

-    1 mois glissant en ce qui concerne l’historique des recherches.

La Commission constate que ces durées de conservation sont conformes aux exigences légales.

Après en avoir délibéré, la Commission :

Rappelle que :

-    une procédure relative au droit d’accès par voie électronique doit être mise en place afin que le responsable de traitement puisse s’assurer, en cas de doute sur l’identité de la personne à l’origine du courriel, qu’il s’agisse effectivement de la personne concernée par les informations ;

-    les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé ;

-    la copie ou l’extraction d’informations issues de ce traitement doit être chiffrée sur son support de réception.

À la condition de la prise en compte des éléments qui précèdent,

la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d’État, du traitement automatisé d’informations nominatives ayant pour finalité « Permettre l’authentification des administrateurs à la plateforme de gestion des réseaux de câblage des bâtiments du Gouvernement ».

Le Président de la Commission de
Contrôle des Informations
Nominatives.