Délibération n° 2024‑106 du 15 mai 2024 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion du suivi des numérisations et des impressions depuis les copieurs partagés du Conseil National » présenté par la Présidence du Conseil National.

Vu la Constitution ;

Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;

Vu la loi n° 771 du 25 juillet 1964 sur l’organisation et le fonctionnement du Conseil National, modifiée ;

Vu la loi n° 975 du 12 juillet 1975 portant statut des fonctionnaires de l’État, modifiée ;

Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;

Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;

Vu la délibération n° 2011‑82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;

Vu la demande d’avis déposée par la Présidence du Conseil National le 31 janvier 2024 concernant la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité « Gestion du suivi des numérisations et des impressions depuis les copieurs partagés du Conseil National » ;

Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 15 mai 2024 portant examen du traitement automatisé, susvisé ;

La Commission de Contrôle des Informations Nominatives,

Préambule

Le Conseil National est une Institution publique consacrée par la Constitution, ainsi que par la loi n° 771 du 25 juillet 1964, modifiée, susvisée.

Ses Services relèvent de l’autorité hiérarchique de la Présidence du Conseil National, dont le fonctionnement est défini par un Règlement Intérieur soumis au contrôle du Tribunal Suprême.

Ainsi, le Conseil National revêt le statut d’Autorité publique au sens de l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives.

Le Conseil National souhaite mettre en œuvre un traitement au sein de ses Services lui permettant de sécuriser les impressions et d’en assurer le suivi.

Ledit traitement, objet de la présente délibération, est donc soumis à l’avis de la Commission conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée.

I.   Sur la finalité et les fonctionnalités du traitement

Le responsable de traitement indique que le traitement a pour finalité « Gestion du suivi des numérisations et des impressions depuis les copieurs partagés du Conseil National ».

Les personnes concernées sont les Conseillères Nationales et les Conseillers Nationaux, les permanents du Conseil National composés de fonctionnaires et d’agents de l’État, les suppléants et stagiaires, les attachés parlementaires et les consultants permanents.

Enfin, les fonctionnalités sont les suivantes :

-    attribution de badges permettant d’utiliser les imprimantes ;

-    scan, copies et impressions de documents ;

-    suivi et gestion des utilisations ;

-    suivi des impressions réalisées par les utilisateurs eux-mêmes ;

-    gestion de la console d’administration ;

-    sécurisation des flux au sein du parc des copieurs ;

-    gestion des habilitations d’accès aux copieurs ;

-    gestion des carnets d’adresses génériques ;

-    établissement et lecture de fichiers journaux ;

-    statistiques sur les impressions nominatives ou génériques (par service, globales, par personne, par groupe d’utilisateurs).

Concernant les statistiques sur les impressions nominatives ou génériques (par service, globales, par personne, par groupe d’utilisateurs) la Commission prend acte des précisions du responsable de traitement selon lesquelles « le RSI peut extraire le volume d’impression faite par personne en cas d’un soupçon de volume trop important, mais il n’y a pas d’enregistrement des contenus imprimés. Le volume par service et global est communiqué au Secrétaire Général une à deux fois par an afin de s’assurer que la politique de réduction de papier se poursuit. Il s’agit d’une incidence de la politique de certification ISO 14.0001 du Conseil National ».

La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10‑1 de la loi n° 1.165 du 23 décembre 1993.

II. Sur la licéité et la justification du traitement

Le responsable de traitement indique que le présent traitement est justifié par la réalisation d’un intérêt légitime, sans que ne soient méconnus les droits et libertés fondamentaux des personnes concernées.

Il précise ainsi que « cet outil est nécessaire au bon fonctionnement des services » et que « le système d’impression partagé répond à un intérêt légitime tout en respectant les droits et les libertés fondamentaux des personnes concernées ».

À cet égard, il ajoute que ce traitement « permet de rationaliser les coûts de fonctionnement et de réduire l’empreinte carbone du Conseil National ».

Il précise également, que « le traitement n’a pas pour objet de contrôler ou de surveiller l’activité des personnes » et que « le contenu des éléments copiés ou scannés ne fait pas l’objet d’un enregistrement ».

Enfin, il indique que ce traitement « apporte notamment des réponses aux besoins de suivi et de réduction des délais d’impression et de maitrise des consommations papier ».

Au vu de ce qui précède, la Commission considère que ce traitement est licite et justifié, conformément aux dispositions des articles 10‑1 et 10‑2 de la loi n° 1.165 du 23 décembre 1993.

III.   Sur les informations nominatives traitées

Les informations nominatives traitées sont :

-    identité : prénom, nom, numéro de badge ;

-    informations temporelles : logs de connexion de l’imprimante (heure et date d’impression, type de document) ;

-    utilisation : nombre d’impression/scans, nombre de pages, coût, impact environnemental, date, identification de l’imprimante, nom du document ;

-    administrateur de la solution : login, mot de passe, log de connexion.

 Les informations relatives à l’identité sont issues du fichier des Ressources Humaines et du fichier des élus.

Par ailleurs, les informations nominatives relatives aux informations temporelles, à l’utilisation et à l’administrateur de la solution proviennent du système.

La Commission considère ainsi que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10‑1 de la loi n° 1.165 du 23 décembre 1993.

IV.   Sur les droits des personnes concernées

>   Sur l’information préalable des personnes concernées

Le responsable de traitement indique que l’information préalable des personnes concernées est effectuée par le biais de la « Charte informatique du Conseil National ».

À la lecture de ladite charte, la Commission constate que celle‑ci informe uniquement les personnes concernées des modalités d’exercice du droit d’accès de l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée.

À cet égard, la Commission rappelle que l’information préalable des personnes concernées doit impérativement comporter l’ensemble des mentions de l’article 14 de la loi n° 1.165 ;

Enfin, la Commission demande que les personnes concernées soient également informées de la communication possible des informations au Secrétaire Général en cas de soupçon de volume d’impression trop important.

Sous cette réserve, elle considère que les modalités d’information préalable sont conformes aux dispositions de l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée.

>   Sur l’exercice du droit d’accès, de modification et de mise à jour

Le responsable de traitement indique que le droit d’accès s’exerce par voie postale et par courrier électronique auprès du Secrétaire Général du Conseil National.

Il précise que la réponse à ce droit d’accès intervient dans le mois suivant la réception de la demande.

Par ailleurs, la Commission constate qu’une procédure a été mise en place afin que le responsable de traitement puisse s’assurer en cas de doute que l’expéditeur du courriel est effectivement la personne concernée par les informations.

Elle prend acte par ailleurs que la transmission et le traitement de la copie de la pièce d’identité se font conformément à sa délibération n° 2015‑116 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d’identité officiels.

La Commission considère ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993.

V. Sur les personnes ayant accès au traitement

>   Sur les destinataires

Les informations objet du présent traitement ne font l’objet d’aucune transmission.

>   Sur les personnes ayant accès au traitement

Les personnes habilitées à avoir accès au traitement sont :

-    les informaticiens : le DSI, son adjoint, le RSSI, et le responsable de la maintenance informatique : tous droits dans le cadre des opérations de maintenance ;

-    les prestataires informatiques : tous droits uniquement dans le cadre de la maintenance.

Par ailleurs, la Commission relève que « le Secrétaire Général dispose de la possibilité d’obtenir des éléments nominatifs, par exemple connaitre l’identité de la personne qui a utilisé le copieur à un moment donné. Il est à noter que le contenu des éléments copiés ou scannés ne fait pas l’objet d’un enregistrement ».

Considérant les attributions de chacune de ces personnes, et eu égard à la finalité du traitement, les accès susvisés sont justifiés.

En ce qui concerne les prestataires, elle rappelle que conformément aux dispositions de l’article 17 de la loi n° 1.165 du 23 décembre 1993, les droits d’accès doivent être limités à ce qui est strictement nécessaire à l’exécution de leur contrat de prestation de service. De plus, lesdits prestataires sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.

VI.   Sur les interconnexions et rapprochements

Le responsable de traitement indique que le présent traitement fait l’objet de rapprochements avec les traitements ayant respectivement pour finalité la « Gestion des habilitations et des accès au Système Informatique du Conseil National », la « Gestion administrative des Fonctionnaires et Agents de l’État et assimilés du Conseil National » et la « Gestion des informations des Conseillères Nationales et des Conseillers Nationaux ».

Il appert toutefois à la lecture du dossier un rapprochement avec le traitement ayant pour finalité « Gestion de la messagerie professionnelle du Conseil National ».

La Commission prend acte que ces traitements ont été légalement mis en œuvre et considère que ces rapprochements et interconnexions sont conformes aux exigences légales.

VII.  Sur la sécurité du traitement et des informations

Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation particulière.

La Commission rappelle toutefois que la copie ou l’extraction d’informations issues de ce traitement devra être chiffrée sur son support de réception.

La Commission rappelle également que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui‑ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.

VIII. Sur les durées de conservation

Le responsable de traitement indique que les informations relatives à l’identité et aux administrateurs de la solution sont conservées pendant la durée de l’habilitation.

Par ailleurs, les informations temporelles et les informations relatives à l’utilisation sont conservées 1 an.

La Commission considère que ces durées sont conformes aux exigences légales.

Après en avoir délibéré, la Commission :

Demande que les personnes concernées soient également informées de la communication possible des informations au Secrétaire Général en cas de soupçon de volume d’impression trop important.

Rappelle que

-    l’information préalable des personnes concernées doit impérativement être effectuée conformément à l’article 14 de la loi n° 1.165 ;

-    la copie et l’extraction d’informations issues de ce traitement doit être chiffrée sur son support de réception.

Sous le bénéfice de la prise en compte de ce qui précède,

la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par le Conseil National du traitement automatisé d’informations nominatives ayant pour finalité « Gestion du suivi des numérisations et des impressions depuis les copieurs partagés du Conseil National ».

Le Président de la Commission

de Contrôle des Informations Nominatives.