Délibération n° 2011-26 du 21 mars 2011 portant avis favorable sur la demande présentée par le Ministre d’Etat relative à la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité «Gestion du personnel de l’Inspection Médicale des Sportifs» de la Direction de l’Action Sanitaire et Sociale
Vu la Constitution ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu la loi n° 538 du 12 mai 1951 portant création et organisation d’un service d’inspection médicale des scolaires et sportifs ;
Vu l’ordonnance souveraine n° 6.052 du 26 mai 1977 organisant l’inspection médicale des sportifs ;
Vu l’ordonnance souveraine n° 16.605 du 10 janvier 2005 portant organisation des départements ministériels ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu le traitement automatisé d’informations nominatives ayant pour finalité «gestion des dossiers des fonctionnaires et agents actifs relevant de la Fonction Publique et de statuts particuliers» de la Direction des Ressources Humaines et de la Formation de la Fonction Publique, mis en œuvre par décision du Ministre d’Etat du 7 novembre 2005 après avis favorable de la CCIN par délibération n° 2005-15 du 3 octobre 2005, modifié par décision du Ministre d’Etat du 2 octobre 2008, après avis favorable de la CCIN par délibération n° 2008-09 du 19 septembre 2008 ;
Vu la délibération n° 08-10 du 19 septembre 2008 portant avis favorable à la mise en œuvre par le Ministre d’Etat du traitement automatisé d’informations nominatives ayant pour finalité «gestion du personnel interne aux services» sous réserve de limiter la durée de conservation des informations nominatives, non mis en œuvre ;
Vu la demande d’avis déposée le 7 février 2011 concernant la mise en œuvre d’un traitement automatisé ayant pour finalité le «fonctionnement administratif de l’Inspection Médicale des Sportifs (budget, communication, courrier administratif» de la Direction de l’Action Sanitaire et Sociale ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 21 mars 2011 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives
Préambule
Le Ministre d’Etat a saisi la Commission de Contrôle des Informations Nominatives d’une demande d’avis portant sur la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité «fonctionnement administratif de l’Inspection Médicale des Sportifs (budget, communication, courrier administratif» de la Direction de l’Action Sanitaire et Sociale.
Service administratif placé sous l’autorité du Conseiller de Gouvernement pour les Affaires Sociales et la Santé, l’Inspection Médicale des Sportifs est amenée dans le cadre de la gestion des personnels y affectés à traiter des informations nominatives. La mise en œuvre du traitement automatisé d’informations nominatives induit est soumise à l’avis préalable de la Commission de Contrôle des Informations Nominatives, conformément à l’article 7 de la loi n° 1.165, susvisée.
Concernant les opérations automatisées réalisées afin de permettre la gestion administrative des activités de l’Inspection Médicale des Sportifs (IMS), une demande d’avis spécifique devra être déposée auprès de la CCIN, si des informations nominatives portant sur les fournisseurs et contacts de l’Inspection Médicale des Sportifs sont collectées.
I - Sur la finalité et les fonctionnalités du traitement
Le responsable de traitement indique que ce traitement concerne le personnel de l’Inspection Médicale des Sportifs, les fournisseurs et les contacts.
Il comporte 3 fonctionnalités :
- la gestion comptable et financière : suivi et élaboration du budget, gestion des appels d’offres, gestion des commandes ;
- la gestion du personnel : congés, plannings, fiches d’entretien, fiches administratives, gestion de l’horaire dynamique ;
- l’organisation des missions du secrétariat de l’IMS : élaboration et envoi du courrier, maintien du carnet d’adresse.
A l’examen du dossier, la Commission relève, d’une part, que les informations nominatives traitées portent sur les personnels affectés à l’Inspection Médicale des Sportifs, que la durée de conservation des informations est fonction de la durée de leur affectation dans le service, qu’enfin les destinataires sont des services administratifs intervenant dans la gestion du personnel de l’Administration.
Elle estime, d’autre part, que la demande d’avis expose deux finalités : l’une correspondant à la gestion du personnel de l’Inspection Médicale des Sportifs, l’autre portant sur la gestion administrative des activités de ce service.
Or, aux termes de l’article 10-1 de la loi n° 1.165, les informations nominatives doivent être collectées pour «une finalité déterminée, explicite et légitime». Relativement à ce qui précède, l’analyse de la Commission ne porte que sur les opérations automatisées réalisées par l’Inspection Médicale des Sportifs à des fins de gestion du personnel du service.
Ainsi, elle considère que, pour répondre aux principes de qualité des informations nominatives et aux conditions de licéité du traitement consacrés à l’article 10-1 de la loi n° 1.165, la finalité de ce traitement doit être renommée en «gestion du personnel de l’Inspection Médicale des Sportifs».
La Commission observe enfin que la fonctionnalité permettant la «gestion de l’horaire dynamique» est liée au traitement ayant pour finalité «gestion du personnel interne aux services» de la Direction des Ressources Humaines et de la Formation de la Fonction Publique, dont la mise en œuvre a fait l’objet, par délibération n° 08-10 du 19 septembre 2008, d’un avis favorable sous réserve de limiter la durée de conservation des informations nominatives issues du traitement à 2 ans à compter de leur collecte.
Or, ce traitement n’a pas fait l’objet d’une levée de réserve et n’a pas été mis en œuvre conformément aux dispositions de la loi n° 1.165, susvisée.
Aussi, la Commission considère que cette fonctionnalité ne pourra être valablement utilisée, conformément à l’article 10-1 de la loi n° 1.165, qu’une fois le traitement précité mis en œuvre, en tenant compte des observations de la Commission.
II - Sur la licéité et la justification du traitement
Sur la licéité du traitement
La Commission constate que l’Inspection Médicale des Sportifs a été créée par la loi n° 538 du 12 mai 1951 portant création et organisation d’un service d’inspection médicale des scolaires et sportifs. Son organisation a été encadrée par l’ordonnance souveraine n° 6.052 du 26 mai 1977 organisant l’Inspection Médicale des Sportifs.
Ce traitement permet audit service de gérer le personnel affecté auprès de l’Inspection Médicale des Sportifs. La Commission considère que le traitement est licite conformément à l’article 10-1 de la loi n° 1.165, modifiée.
Sur la justification
La demande d’avis mentionne que le traitement est justifié par les textes qui encadrent les missions de l’Inspection Médicale des Sportifs.
La Commission constate que le traitement répond à des impératifs de gestion quotidienne du personnel affecté à un service administratif et qu’il répond à la réalisation d’un intérêt légitime du responsable du traitement qui ne méconnaît ni l’intérêt, ni les droits et libertés des personnes concernées.
La Commission considère donc que ce traitement est justifié, conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
III - Sur les informations traitées
Les informations nominatives objets du présent traitement sont :
- Identité : nom, prénom, nationalité, date de naissance, numéro de matricule ;
- Situation de famille : marié, célibataire, veuf ;
- Adresses et coordonnées : adresse du domicile, adresse électronique, téléphone personnel ;
- Formation - diplômes - vie professionnelle : baccalauréat, formation universitaire, échelle indiciaire, déroulement de carrière ;
- Congés : maternité, maladie, congés annuels.
La Commission considère que les informations collectées sont «adéquates, pertinentes et non excessives» au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
Les informations ont pour origine l’intéressé ou les fiches des personnels de l’IMS accessibles, soit par les personnes elles-mêmes, soit par le responsable de service.
La Commission observe que le traitement automatisé permettant l’établissement et la gestion de ces fiches «personnel» est le traitement ayant pour finalité «gestion des dossiers des fonctionnaires et agents actifs relevant de la Fonction Publique et de statuts particuliers» de la Direction des Ressources Humaines et de la Formation de la Fonction Publique, légalement mis en œuvre.
Ce traitement, tel que soumis à la Commission, prévoit des accès spécifiques au Chef de service pour la gestion de leur personnel. Sur ce point, elle relève que l’exploitation du traitement telle qu’envisagée est compatible avec le traitement d’origine conformément aux dispositions de l’article 10-1 de la loi n° 1.165.
Toutefois, elle constate qu’il ne prévoit pas d’accès spécifique pour chaque agent ou fonctionnaire à sa propre fiche. Cette procédure correspond à une modalité permettant aux intéressés d’exercer leur droit d’accès et de mettre à jour les informations qui les concernent par un accès à leur dossier en Intranet.
Or, dans le cadre du traitement «gestion des dossiers des fonctionnaires et agents actifs relevant de la Fonction Publique et de statuts particuliers», la Commission avait demandé en 2005 puis en 2008 à «être rendue destinataire d’un exemplaire du document qui devait être établi par [cette Direction] aux fins d’informer les personnes concernées des mesures prises pour leur permettre d’exercer leur droit d’accès». Elle réitère donc cette demande afin de s’assurer que le droit à l’information des personnes concernées fait l’objet de procédures adaptées, tenant compte des modifications apportées à l’article 14 de la loi n° 1.165.
IV - Sur les droits des personnes concernées
Sur l’information préalable des personnes concernées :
La Commission relève que l’information préalable des personnes concernées concernant le traitement est faite oralement. Elle estime que ce procédé d’information ne permet pas de s’assurer que l’information des personnes est respectueuse des droits du personnel de l’IMS.
En conséquence, elle demande que cette information soit formalisée par le biais d’une note de service ou d’un affichage dans les locaux de l’IMS comportant une mention de type :
«Information sur le respect de la protection des informations nominatives traitées par l’Inspection Médicale des Sportifs :
Dans le cadre de son activité, l’Inspection Médicale des Sportifs, appelée Centre Médico-Sportif, collecte des informations nominatives (ex. vos nom, prénoms, adresse) qu’il traite informatiquement à des fins de gestion du personnel.
Ces informations revêtent un caractère obligatoire et seront communiquées, en partie, à la Direction des Affaires Sanitaire et Sociale, à la Direction des Ressources Humaines et de la Formation de la Fonction Publique et au Service des Prestations Médicales de l’Etat.
Conformément à la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives, vous disposez d’un droit d’accès et de rectification à vos données personnelles par courrier et directement auprès de l’Inspection Médicale des Sportifs».
Sur l’exercice du droit d’accès, de modification et de mise à jour :
La Commission observe que le droit d’accès est exercé auprès de l’Inspection Médicale des Sportifs par voie postale ou sur place.
Il est procédé à la communication des informations dans le mois suivant la réception de la demande, conformément à l’article 15 alinéa 2 de la loi n° 1.165.
Les droits de modification et de mise à jour des données sont exercés par voie postale ou sur place.
La Commission constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 la loi n° 1.165, modifiée.
Elle rappelle cependant que ce traitement relève d’un responsable de traitement visé à l’article 7 de la loi n° 1.165. Mis en place par une entité administrative dans le cadre de ses missions d’intérêt général, il ne peut faire l’objet d’un droit d’opposition de la part des personnes concernées, conformément à l’article 13 de la loi n° 1.165.
V - Sur les destinataires et les personnes ayant accès au traitement
Sur les personnes ayant accès au traitement
La Commission relève que les personnes qui ont accès au traitement sont le personnel de l’Inspection Médicale des Sportifs. Il s’agit des 2 médecins, ainsi que des 2 infirmières et des 2 secrétaires qui agissent sous l’autorité du médecin. L’ensemble du personnel est soumis au secret médical.
Elle rappelle qu’aux termes du chiffre 4 de l’article 8 de la loi n° 1.165, les accès au traitement et aux informations doivent être dévolus «en raison des fonctions» des personnes. Ces accès sont également établis en considération de la finalité du traitement, des risques présentés par le traitement et de la nature des données à protéger.
Certaines fonctionnalités du traitement, comme les évaluations ou l’établissement des fiches administratives, revêtent un caractère personnel qui se doit d’être entouré de mesures de confidentialité particulières. En ce sens, l’accès à ces fonctionnalités ne doit être autorisé qu’à la personne concernée et au Chef de service. Le fait que l’ensemble du personnel puisse avoir accès à l’ensemble des informations portant sur la gestion du personnel n’est pas adéquat.
Aussi, la Commission estime que les accès au traitement doivent être restreints de la manière suivante :
- l’ensemble du personnel peut avoir accès en consultation, voire en mise à jour, à la gestion des plannings ;
- les accès dévolus aux fiches d’entretien et aux fiches administratives doivent être établis conformément aux procédures déclinées dans le traitement ayant pour finalité «gestion des dossiers des fonctionnaires et agents actifs relevant de la Fonction Publique et de statuts particuliers». Aussi, si le Chef de service peut avoir accès en création, inscription et mise à jour à l’ensemble des fiches, chaque personne affectée à l’IMS ne peut avoir accès qu’à sa fiche personnelle et à sa fiche d’entretien et d’évaluation.
Quant aux informations liées à l’horaire dynamique, elles seront accessibles selon les procédures établies par le traitement ayant pour finalité «gestion du personnel interne aux services» de la Direction des Ressources Humaines et de la Formation de la Fonction Publique, dès lors que ce traitement aura été mis en œuvre conformément aux dispositions de l’article 7 de la loi n° 1.165.
Sur les personnes pouvant recevoir communication des informations
Le responsable de traitement indique que les entités pouvant recevoir communication des informations objets du traitement sont :
- la Direction de l’Action Sanitaire et Sociale dont relève l’Inspection Médicale des Sportifs pour la validation des fiches congés, l’information sur les plannings congés des personnels ;
- le Service des Prestations Médicales de l’Etat pour les absences et congés maladies ;
- la Direction des Ressources Humaines et de la Formation de la Fonction Publique pour la mise à jour des fiches personnelles et les entretiens d’évaluation, et pour l’horaire dynamique.
La Commission relève que ces communications sont compatibles avec les missions des destinataires au titre de leurs attributions en matière de gestion du personnel.
Elle demande néanmoins que le traitement des informations reçues par le Service des Prestations Médicales de l’Etat soit soumis à la Commission afin de veiller au respect des principes de la loi n° 1.165.
Par ailleurs, le responsable de traitement précise que le Contrôleur Général des Dépenses (CGD) est destinataire d’informations au titre de la gestion financière et comptable du service. Aux termes de l’ordonnance souveraine n° 1.972 du 24 mars 1959 fixant les attributions du Contrôle Général des Dépenses, ce service «a pour attributions : le contrôle de l’engagement, de l’ordonnancement et du paiement des dépenses publiques. (…) Il ne peut être procédé à aucun paiement par un comptable public si la dépense ou, d’une manière générale, l’opération donnant lieu à ce paiement n’a pas été soumise au contrôle préalable du Contrôleur Général de Dépenses».
La Commission relève que ces communications s’inscrivent dans le cadre des opérations de gestion comptable et financière réalisées par l’Inspection Médicale des Sportifs. Elle estime qu’elles sont sans rapport avec la gestion du personnel interne à l’Inspection Médicale des Sportifs, et qu’elles ne sont pas adéquates au regard de la finalité et des fonctionnalités du traitement dont s’agit.
VI - Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation de la part de la Commission.
Elle rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VII - Sur la durée de conservation
Le responsable de traitement indique que les informations nominatives collectées sont conservées «tout le temps de la présence de la personne dans le service», sauf pour les informations concernant les congés qui sont conservées 5 ans.
La Commission considère que cette durée de conservation est conforme aux exigences de l’article 10-1 de la loi n° 1.165.
Après en avoir délibéré :
Demande que :
- la finalité du traitement soit modifiée comme suit : «gestion du personnel de l’Inspection Médicale des Sportifs» ;
- l’information des personnes concernées visée à l’article 14 de la loi n° 1.165 soit effectuée par le biais d’une note de service ou d’un affichage dans les locaux de l’Inspection Médicale des Sportifs ;
- le traitement ayant pour finalité «gestion du personnel interne aux services» de la Direction des Ressources Humaines et de la Formation de la Fonction Publique soit mis en œuvre, en tenant compte des observations et de la réserve émises par la Commission dans sa délibération n° 08-10 du 19 septembre 2008, notamment sur la limitation de la durée de conservation des informations ;
- la Direction des Ressources Humaines et de la Formation de la Fonction Publique lui communique un exemplaire du document établi afin d’informer les personnes des mesures prises pour leur permettre d’exercer leurs droits d’accès et de rectifications aux données exploitées dans le cadre du traitement ayant pour finalité «gestion des dossiers des fonctionnaires et agents actifs relevant de la Fonction Publique et de statuts particuliers» ;
- les accès au traitement soient limités comme précisé dans la délibération ;
- le Contrôleur Général des Dépenses ne reçoive pas d’informations nominatives en provenance du présent traitement ;
Invite le Service des Prestations Médicales de l’Etat à soumettre à l’avis de la Commission le traitement automatisé lié à la gestion des absences des personnels des services de l’Etat ;
A la condition de la prise en compte des demandes qui précèdent
La Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par le Ministre d’Etat du traitement automatisé d’informations nominatives ayant pour finalité «Gestion du personnel de l’Inspection Médicale des Sportifs» de la Direction de l’Action Sanitaire et Sociale.
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu la loi n° 538 du 12 mai 1951 portant création et organisation d’un service d’inspection médicale des scolaires et sportifs ;
Vu l’ordonnance souveraine n° 6.052 du 26 mai 1977 organisant l’inspection médicale des sportifs ;
Vu l’ordonnance souveraine n° 16.605 du 10 janvier 2005 portant organisation des départements ministériels ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu le traitement automatisé d’informations nominatives ayant pour finalité «gestion des dossiers des fonctionnaires et agents actifs relevant de la Fonction Publique et de statuts particuliers» de la Direction des Ressources Humaines et de la Formation de la Fonction Publique, mis en œuvre par décision du Ministre d’Etat du 7 novembre 2005 après avis favorable de la CCIN par délibération n° 2005-15 du 3 octobre 2005, modifié par décision du Ministre d’Etat du 2 octobre 2008, après avis favorable de la CCIN par délibération n° 2008-09 du 19 septembre 2008 ;
Vu la délibération n° 08-10 du 19 septembre 2008 portant avis favorable à la mise en œuvre par le Ministre d’Etat du traitement automatisé d’informations nominatives ayant pour finalité «gestion du personnel interne aux services» sous réserve de limiter la durée de conservation des informations nominatives, non mis en œuvre ;
Vu la demande d’avis déposée le 7 février 2011 concernant la mise en œuvre d’un traitement automatisé ayant pour finalité le «fonctionnement administratif de l’Inspection Médicale des Sportifs (budget, communication, courrier administratif» de la Direction de l’Action Sanitaire et Sociale ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 21 mars 2011 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives
Préambule
Le Ministre d’Etat a saisi la Commission de Contrôle des Informations Nominatives d’une demande d’avis portant sur la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité «fonctionnement administratif de l’Inspection Médicale des Sportifs (budget, communication, courrier administratif» de la Direction de l’Action Sanitaire et Sociale.
Service administratif placé sous l’autorité du Conseiller de Gouvernement pour les Affaires Sociales et la Santé, l’Inspection Médicale des Sportifs est amenée dans le cadre de la gestion des personnels y affectés à traiter des informations nominatives. La mise en œuvre du traitement automatisé d’informations nominatives induit est soumise à l’avis préalable de la Commission de Contrôle des Informations Nominatives, conformément à l’article 7 de la loi n° 1.165, susvisée.
Concernant les opérations automatisées réalisées afin de permettre la gestion administrative des activités de l’Inspection Médicale des Sportifs (IMS), une demande d’avis spécifique devra être déposée auprès de la CCIN, si des informations nominatives portant sur les fournisseurs et contacts de l’Inspection Médicale des Sportifs sont collectées.
I - Sur la finalité et les fonctionnalités du traitement
Le responsable de traitement indique que ce traitement concerne le personnel de l’Inspection Médicale des Sportifs, les fournisseurs et les contacts.
Il comporte 3 fonctionnalités :
- la gestion comptable et financière : suivi et élaboration du budget, gestion des appels d’offres, gestion des commandes ;
- la gestion du personnel : congés, plannings, fiches d’entretien, fiches administratives, gestion de l’horaire dynamique ;
- l’organisation des missions du secrétariat de l’IMS : élaboration et envoi du courrier, maintien du carnet d’adresse.
A l’examen du dossier, la Commission relève, d’une part, que les informations nominatives traitées portent sur les personnels affectés à l’Inspection Médicale des Sportifs, que la durée de conservation des informations est fonction de la durée de leur affectation dans le service, qu’enfin les destinataires sont des services administratifs intervenant dans la gestion du personnel de l’Administration.
Elle estime, d’autre part, que la demande d’avis expose deux finalités : l’une correspondant à la gestion du personnel de l’Inspection Médicale des Sportifs, l’autre portant sur la gestion administrative des activités de ce service.
Or, aux termes de l’article 10-1 de la loi n° 1.165, les informations nominatives doivent être collectées pour «une finalité déterminée, explicite et légitime». Relativement à ce qui précède, l’analyse de la Commission ne porte que sur les opérations automatisées réalisées par l’Inspection Médicale des Sportifs à des fins de gestion du personnel du service.
Ainsi, elle considère que, pour répondre aux principes de qualité des informations nominatives et aux conditions de licéité du traitement consacrés à l’article 10-1 de la loi n° 1.165, la finalité de ce traitement doit être renommée en «gestion du personnel de l’Inspection Médicale des Sportifs».
La Commission observe enfin que la fonctionnalité permettant la «gestion de l’horaire dynamique» est liée au traitement ayant pour finalité «gestion du personnel interne aux services» de la Direction des Ressources Humaines et de la Formation de la Fonction Publique, dont la mise en œuvre a fait l’objet, par délibération n° 08-10 du 19 septembre 2008, d’un avis favorable sous réserve de limiter la durée de conservation des informations nominatives issues du traitement à 2 ans à compter de leur collecte.
Or, ce traitement n’a pas fait l’objet d’une levée de réserve et n’a pas été mis en œuvre conformément aux dispositions de la loi n° 1.165, susvisée.
Aussi, la Commission considère que cette fonctionnalité ne pourra être valablement utilisée, conformément à l’article 10-1 de la loi n° 1.165, qu’une fois le traitement précité mis en œuvre, en tenant compte des observations de la Commission.
II - Sur la licéité et la justification du traitement
Sur la licéité du traitement
La Commission constate que l’Inspection Médicale des Sportifs a été créée par la loi n° 538 du 12 mai 1951 portant création et organisation d’un service d’inspection médicale des scolaires et sportifs. Son organisation a été encadrée par l’ordonnance souveraine n° 6.052 du 26 mai 1977 organisant l’Inspection Médicale des Sportifs.
Ce traitement permet audit service de gérer le personnel affecté auprès de l’Inspection Médicale des Sportifs. La Commission considère que le traitement est licite conformément à l’article 10-1 de la loi n° 1.165, modifiée.
Sur la justification
La demande d’avis mentionne que le traitement est justifié par les textes qui encadrent les missions de l’Inspection Médicale des Sportifs.
La Commission constate que le traitement répond à des impératifs de gestion quotidienne du personnel affecté à un service administratif et qu’il répond à la réalisation d’un intérêt légitime du responsable du traitement qui ne méconnaît ni l’intérêt, ni les droits et libertés des personnes concernées.
La Commission considère donc que ce traitement est justifié, conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
III - Sur les informations traitées
Les informations nominatives objets du présent traitement sont :
- Identité : nom, prénom, nationalité, date de naissance, numéro de matricule ;
- Situation de famille : marié, célibataire, veuf ;
- Adresses et coordonnées : adresse du domicile, adresse électronique, téléphone personnel ;
- Formation - diplômes - vie professionnelle : baccalauréat, formation universitaire, échelle indiciaire, déroulement de carrière ;
- Congés : maternité, maladie, congés annuels.
La Commission considère que les informations collectées sont «adéquates, pertinentes et non excessives» au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
Les informations ont pour origine l’intéressé ou les fiches des personnels de l’IMS accessibles, soit par les personnes elles-mêmes, soit par le responsable de service.
La Commission observe que le traitement automatisé permettant l’établissement et la gestion de ces fiches «personnel» est le traitement ayant pour finalité «gestion des dossiers des fonctionnaires et agents actifs relevant de la Fonction Publique et de statuts particuliers» de la Direction des Ressources Humaines et de la Formation de la Fonction Publique, légalement mis en œuvre.
Ce traitement, tel que soumis à la Commission, prévoit des accès spécifiques au Chef de service pour la gestion de leur personnel. Sur ce point, elle relève que l’exploitation du traitement telle qu’envisagée est compatible avec le traitement d’origine conformément aux dispositions de l’article 10-1 de la loi n° 1.165.
Toutefois, elle constate qu’il ne prévoit pas d’accès spécifique pour chaque agent ou fonctionnaire à sa propre fiche. Cette procédure correspond à une modalité permettant aux intéressés d’exercer leur droit d’accès et de mettre à jour les informations qui les concernent par un accès à leur dossier en Intranet.
Or, dans le cadre du traitement «gestion des dossiers des fonctionnaires et agents actifs relevant de la Fonction Publique et de statuts particuliers», la Commission avait demandé en 2005 puis en 2008 à «être rendue destinataire d’un exemplaire du document qui devait être établi par [cette Direction] aux fins d’informer les personnes concernées des mesures prises pour leur permettre d’exercer leur droit d’accès». Elle réitère donc cette demande afin de s’assurer que le droit à l’information des personnes concernées fait l’objet de procédures adaptées, tenant compte des modifications apportées à l’article 14 de la loi n° 1.165.
IV - Sur les droits des personnes concernées
Sur l’information préalable des personnes concernées :
La Commission relève que l’information préalable des personnes concernées concernant le traitement est faite oralement. Elle estime que ce procédé d’information ne permet pas de s’assurer que l’information des personnes est respectueuse des droits du personnel de l’IMS.
En conséquence, elle demande que cette information soit formalisée par le biais d’une note de service ou d’un affichage dans les locaux de l’IMS comportant une mention de type :
«Information sur le respect de la protection des informations nominatives traitées par l’Inspection Médicale des Sportifs :
Dans le cadre de son activité, l’Inspection Médicale des Sportifs, appelée Centre Médico-Sportif, collecte des informations nominatives (ex. vos nom, prénoms, adresse) qu’il traite informatiquement à des fins de gestion du personnel.
Ces informations revêtent un caractère obligatoire et seront communiquées, en partie, à la Direction des Affaires Sanitaire et Sociale, à la Direction des Ressources Humaines et de la Formation de la Fonction Publique et au Service des Prestations Médicales de l’Etat.
Conformément à la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives, vous disposez d’un droit d’accès et de rectification à vos données personnelles par courrier et directement auprès de l’Inspection Médicale des Sportifs».
Sur l’exercice du droit d’accès, de modification et de mise à jour :
La Commission observe que le droit d’accès est exercé auprès de l’Inspection Médicale des Sportifs par voie postale ou sur place.
Il est procédé à la communication des informations dans le mois suivant la réception de la demande, conformément à l’article 15 alinéa 2 de la loi n° 1.165.
Les droits de modification et de mise à jour des données sont exercés par voie postale ou sur place.
La Commission constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 la loi n° 1.165, modifiée.
Elle rappelle cependant que ce traitement relève d’un responsable de traitement visé à l’article 7 de la loi n° 1.165. Mis en place par une entité administrative dans le cadre de ses missions d’intérêt général, il ne peut faire l’objet d’un droit d’opposition de la part des personnes concernées, conformément à l’article 13 de la loi n° 1.165.
V - Sur les destinataires et les personnes ayant accès au traitement
Sur les personnes ayant accès au traitement
La Commission relève que les personnes qui ont accès au traitement sont le personnel de l’Inspection Médicale des Sportifs. Il s’agit des 2 médecins, ainsi que des 2 infirmières et des 2 secrétaires qui agissent sous l’autorité du médecin. L’ensemble du personnel est soumis au secret médical.
Elle rappelle qu’aux termes du chiffre 4 de l’article 8 de la loi n° 1.165, les accès au traitement et aux informations doivent être dévolus «en raison des fonctions» des personnes. Ces accès sont également établis en considération de la finalité du traitement, des risques présentés par le traitement et de la nature des données à protéger.
Certaines fonctionnalités du traitement, comme les évaluations ou l’établissement des fiches administratives, revêtent un caractère personnel qui se doit d’être entouré de mesures de confidentialité particulières. En ce sens, l’accès à ces fonctionnalités ne doit être autorisé qu’à la personne concernée et au Chef de service. Le fait que l’ensemble du personnel puisse avoir accès à l’ensemble des informations portant sur la gestion du personnel n’est pas adéquat.
Aussi, la Commission estime que les accès au traitement doivent être restreints de la manière suivante :
- l’ensemble du personnel peut avoir accès en consultation, voire en mise à jour, à la gestion des plannings ;
- les accès dévolus aux fiches d’entretien et aux fiches administratives doivent être établis conformément aux procédures déclinées dans le traitement ayant pour finalité «gestion des dossiers des fonctionnaires et agents actifs relevant de la Fonction Publique et de statuts particuliers». Aussi, si le Chef de service peut avoir accès en création, inscription et mise à jour à l’ensemble des fiches, chaque personne affectée à l’IMS ne peut avoir accès qu’à sa fiche personnelle et à sa fiche d’entretien et d’évaluation.
Quant aux informations liées à l’horaire dynamique, elles seront accessibles selon les procédures établies par le traitement ayant pour finalité «gestion du personnel interne aux services» de la Direction des Ressources Humaines et de la Formation de la Fonction Publique, dès lors que ce traitement aura été mis en œuvre conformément aux dispositions de l’article 7 de la loi n° 1.165.
Sur les personnes pouvant recevoir communication des informations
Le responsable de traitement indique que les entités pouvant recevoir communication des informations objets du traitement sont :
- la Direction de l’Action Sanitaire et Sociale dont relève l’Inspection Médicale des Sportifs pour la validation des fiches congés, l’information sur les plannings congés des personnels ;
- le Service des Prestations Médicales de l’Etat pour les absences et congés maladies ;
- la Direction des Ressources Humaines et de la Formation de la Fonction Publique pour la mise à jour des fiches personnelles et les entretiens d’évaluation, et pour l’horaire dynamique.
La Commission relève que ces communications sont compatibles avec les missions des destinataires au titre de leurs attributions en matière de gestion du personnel.
Elle demande néanmoins que le traitement des informations reçues par le Service des Prestations Médicales de l’Etat soit soumis à la Commission afin de veiller au respect des principes de la loi n° 1.165.
Par ailleurs, le responsable de traitement précise que le Contrôleur Général des Dépenses (CGD) est destinataire d’informations au titre de la gestion financière et comptable du service. Aux termes de l’ordonnance souveraine n° 1.972 du 24 mars 1959 fixant les attributions du Contrôle Général des Dépenses, ce service «a pour attributions : le contrôle de l’engagement, de l’ordonnancement et du paiement des dépenses publiques. (…) Il ne peut être procédé à aucun paiement par un comptable public si la dépense ou, d’une manière générale, l’opération donnant lieu à ce paiement n’a pas été soumise au contrôle préalable du Contrôleur Général de Dépenses».
La Commission relève que ces communications s’inscrivent dans le cadre des opérations de gestion comptable et financière réalisées par l’Inspection Médicale des Sportifs. Elle estime qu’elles sont sans rapport avec la gestion du personnel interne à l’Inspection Médicale des Sportifs, et qu’elles ne sont pas adéquates au regard de la finalité et des fonctionnalités du traitement dont s’agit.
VI - Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation de la part de la Commission.
Elle rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VII - Sur la durée de conservation
Le responsable de traitement indique que les informations nominatives collectées sont conservées «tout le temps de la présence de la personne dans le service», sauf pour les informations concernant les congés qui sont conservées 5 ans.
La Commission considère que cette durée de conservation est conforme aux exigences de l’article 10-1 de la loi n° 1.165.
Après en avoir délibéré :
Demande que :
- la finalité du traitement soit modifiée comme suit : «gestion du personnel de l’Inspection Médicale des Sportifs» ;
- l’information des personnes concernées visée à l’article 14 de la loi n° 1.165 soit effectuée par le biais d’une note de service ou d’un affichage dans les locaux de l’Inspection Médicale des Sportifs ;
- le traitement ayant pour finalité «gestion du personnel interne aux services» de la Direction des Ressources Humaines et de la Formation de la Fonction Publique soit mis en œuvre, en tenant compte des observations et de la réserve émises par la Commission dans sa délibération n° 08-10 du 19 septembre 2008, notamment sur la limitation de la durée de conservation des informations ;
- la Direction des Ressources Humaines et de la Formation de la Fonction Publique lui communique un exemplaire du document établi afin d’informer les personnes des mesures prises pour leur permettre d’exercer leurs droits d’accès et de rectifications aux données exploitées dans le cadre du traitement ayant pour finalité «gestion des dossiers des fonctionnaires et agents actifs relevant de la Fonction Publique et de statuts particuliers» ;
- les accès au traitement soient limités comme précisé dans la délibération ;
- le Contrôleur Général des Dépenses ne reçoive pas d’informations nominatives en provenance du présent traitement ;
Invite le Service des Prestations Médicales de l’Etat à soumettre à l’avis de la Commission le traitement automatisé lié à la gestion des absences des personnels des services de l’Etat ;
A la condition de la prise en compte des demandes qui précèdent
La Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par le Ministre d’Etat du traitement automatisé d’informations nominatives ayant pour finalité «Gestion du personnel de l’Inspection Médicale des Sportifs» de la Direction de l’Action Sanitaire et Sociale.
Le Président de la Commission
de Contrôle des Informations Nominatives.