Délibération n° 2018-109 du 18 juillet 2018 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Vidéosurveillance de tous les sites monégasques du CHPG » présenté par le Centre Hospitalier Princesse Grace.

No. Journal 8395
Date of publication 17/08/2018
Quality 100%
Page no.

Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 127 du 15 janvier 1930 constituant l'hôpital en établissement public autonome ;
Vu la loi n° 918 du 27 décembre 1971 sur les établissements publics ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l'Ordonnance Souveraine n° 5.095 du 14 février 1973 sur l'organisation et le fonctionnement du Centre Hospitalier Princesse Grace, modifiée ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d'informations nominatives ;
Vu la demande d'avis déposée par le Centre Hospitalier Princesse Grace, le 21 juin 2018, portant sur la mise en œuvre d'un traitement automatisé d'informations nominatives ayant pour finalité « Vidéosurveillance de tous les sites monégasques du CHPG » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 18 juillet 2018 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Aux termes de la loi n° 127 du 15 janvier 1930, le Centre Hospitalier Princesse Grace (CHPG) est un établissement public autonome.
Le traitement d'informations nominatives objet de la présente délibération est donc soumis à l'avis de la Commission conformément à l'article 7 de la loi n° 1.165 du 23 décembre 1993\.

I. Sur la finalité et les fonctionnalités du traitement
Le traitement a pour finalité « Vidéosurveillance de tous les sites monégasques du CHPG ».
Le responsable de traitement indique que les personnes concernées sont tous les personnels, les patients, les visiteurs et les prestataires.
Enfin, les fonctionnalités sont les suivantes :
- assurer la sécurité des personnes ;
- assurer la sécurité des biens ;
- permettre la constitution de preuves en cas d'infractions ;
- surveiller les patients à risque.
La Commission constate ainsi que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.

II. Sur la licéité et la justification du traitement
Ce traitement est justifié par la réalisation d'un intérêt légitime poursuivi par le responsable de traitement sans que soient méconnus les droits et libertés fondamentaux des personnes concernées.
À cet égard, le responsable de traitement indique que le traitement dont s'agit permet la surveillance et le « repérage des patients potentiellement « fugueurs » (Centre de Gériatrie principalement) », la « protection contre le vol (Matériels, données) », notamment dans l'économat et à l'accès aux réserves cuisine, ainsi que la surveillance d'une « chambre aux urgences destinée aux patients présentant des symptômes de perturbation ».
S'agissant du box situé aux urgences adultes, la Commission prend note des précisions du responsable de traitement selon lesquelles cette caméra est destinée à surveiller les détenus et les patients présentant des troubles psychiatriques.
Elle relève à cet égard que la salle d'attente des urgences adultes ainsi que la salle d'attente soins externes sont filmées, ainsi que la proximité immédiate de ces salles « en cas de problème médical (ou autre) avec un patient. »
Aucun enregistrement n'est réalisé et la visualisation au fil de l'eau peut être effectuée uniquement dans la salle « poste central » par le personnel travaillant au service des urgences.
Le responsable de traitement précise par ailleurs que certaines caméras vont être installées dans le secteur protégé PSY 1 afin de surveiller les détenus.
La Commission relève en outre que les 5 caméras situées dans le service hémodialyse permettent la « surveillance en continu des patients » (visualisation au fil de l'eau, sans enregistrement, à l'abri des regards autres que les personnes habilitées, à savoir le médecin, l'aide-soignant et le cadre de santé).
De plus elle constate que d'autres salles sont filmées, sans enregistrement des images, à des fins de « surveillance si problème patient », et que les images ne sont visibles que par le personnel travaillant dans les Services concernés.
S'agissant de ces caméras la Commission demande qu'un affichage (pictogramme) soit apposé dans les salles d'attente, dans le box des urgences et dans les autres pièces concernées afin que les patients s'y trouvant soient informés de la présence de ces caméras.
Le responsable de traitement indique par ailleurs que les accès au CHPG ainsi que certains couloirs de circulation (hors services d'hospitalisation) et les galeries techniques et de liaison sont filmés à des fins de protection des biens et des personnes.
En outre les accès au Centre Rainier III sont filmés au fil de l'eau avec un déclenchement automatique des enregistrements en cas de déclenchement du système anti-fugue patient (boucle sèche).
Sont également concernés par ce dispositif de vidéosurveillance les accès au bâtiment et à la cuisine d'A Qietüdine.
Le responsable de traitement précise également que le système de vidéosurveillance dont s'agit « n'a pas pour objet de conduire à une surveillance permanente et inopportune des patients, du personnel ou de leurs visiteurs, ni de permettre le contrôle du travail ou du temps de travail du personnel de l'établissement ».
La Commission prend note que ledit système « ne filme pas les bureaux et les postes de travail du personnel ».
Elle constate par ailleurs que la consultation des images au fil de l'eau à la conciergerie se fait à l'abri des regards et que cette visualisation ne concerne que les caméras « porte d'entrée pharmacie » et « guichet pharmacie ».
Enfin, elle relève que la fonction micro n'est activée sur aucune des caméras mais que certaines d'entre elles sont à orientation et zoom réglables.
La Commission considère donc que le traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993\.

III. Sur les informations traitées
Les informations nominatives traitées de manière automatisée sont :
- identité : image, visage et silhouette des personnes ;
- données d'identification électronique : logs de connexion des administrateurs et des personnels habilités à avoir accès aux images ;
- informations temporelles : lieu et identification des caméras, date et heure de la prise de vue.
Ces informations ont pour origine le dispositif de vidéosurveillance.
S'agissant des logs de connexion des personnes habilitées à avoir accès aux images, la Commission relève qu'un seul identifiant et un seul mot de passe permettent d'accéder au traitement alors que plusieurs personnes ont accès audit traitement.
À cet égard elle rappelle les dispositions de l'article 17 de la loi n° 1.165 du 23 décembre 1993, qui impose que des mesures techniques et organisationnelles soient mises en place pour protéger les informations nominatives contre la destruction accidentelle ou illicite, la perte accidentelle, l'altération, la diffusion ou l'accès non autorisé.
Aussi la Commission demande que les identifiants et les mots de passe des administrateurs permettant l'accès au système de vidéosurveillance soient nominatifs.
Sous cette condition, elle considère ainsi que les informations collectées au sein dudit traitement sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément à l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.

IV. Sur les droits des personnes concernées

Sur l'information préalable des personnes concernées

L'information préalable des personnes concernées est effectuée par le biais d'un affichage.
À l'analyse de ce document, la Commission considère que les modalités d'information préalable des personnes sont conformes aux dispositions de l'article 14 de la loi n° 1.165 du 23 décembre 1993.
Elle rappelle par ailleurs que cet affichage doit garantir une information visible, lisible et claire de la personne concernée et être apposé à chaque entrée de l'établissement.
Sous cette condition, la Commission considère que les modalités d'information préalable des personnes sont conformes aux dispositions de l'article 14 de la loi n° 1.165 du 23 décembre 1993.

Sur l'exercice du droit d'accès, de modification et de mise à jour

Le droit d'accès s'exerce par voie postale ou par courrier électronique.
À cet égard, la Commission constate que la réponse à ce droit d'accès s'exerce uniquement sur place.
Par ailleurs, s'agissant de l'exercice du droit d'accès par voie électronique, la Commission considère qu'une procédure devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations. À ce titre, elle précise que si une copie d'un document d'identité était demandée, la transmission et le traitement de ce document devront faire l'objet de mesures de protection particulières comme rappelé dans sa délibération n° 2015-116 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d'identité officiels.
Sous ces conditions, la Commission constate que les modalités d'exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993.

V. Sur les destinataires et les personnes ayant accès au traitement

Sur les destinataires

Les informations sont susceptibles d'être communiquées à la Direction de la Sûreté Publique.
La Commission estime que la communication à la Direction de la Sûreté Publique peut être justifiée pour les besoins d'une enquête judiciaire.
À cet égard, elle rappelle qu'en cas de transmission, ladite Direction ne pourra avoir communication des informations que dans le strict cadre de ses missions légalement conférées.
La Commission considère donc que ces transmissions sont conformes aux exigences légales.

Sur les personnes ayant accès au traitement

Le responsable de traitement indique que les personnes habilitées à avoir accès au traitement sont :
- le technicien du service technique : maintenance ;
- le responsable du service technique et son adjoint : accès pour l'administration du système (tous droits, y compris l'extraction) ;
- le bureau d'étude technique : accès pour l'administration du système (tous droits, y compris l'extraction) ;
- la conciergerie du CHPG : consultation au fil de l'eau du flux vidéos des caméras « porte d'entrée pharmacie » et « guichet pharmacie » ;
- le personnel habilité du Service de Sécurité : consultation en différé uniquement en cas d'incident et consultation au fil de l'eau ;
- la Direction et le RSSI : consultation en différé uniquement en cas d'incident ;
- le prestataire : tous droits dans le cadre de ses opérations de maintenance et d'administration du système, y compris en extraction.
Il appert toutefois, à l'analyse du dossier que des moniteurs déportés sont installés dans certains services afin de permettre au personnel travaillant dans les services concernés une consultation au fil de l'eau des flux vidéo provenant des caméras propres à leur service.
À cet égard, la Commission rappelle que ces moniteurs doivent impérativement être placés à l'abri des regards des personnes autres que celles habilitées.
Considérant les attributions de chacune de ces personnes, et eu égard à la finalité du traitement, les accès susvisés sont justifiés.
La Commission constate par ailleurs qu'aucun accès distant (tablettes, smartphones, etc.) n'est utilisé sur le réseau de vidéosurveillance.
En ce qui concerne le prestataire, elle rappelle que conformément aux dispositions de l'article 17 de la loi n° 1.165 du 23 décembre 1993, les droits d'accès doivent être limités à ce qui est strictement nécessaire à l'exécution de son contrat de prestation de service. De plus, ledit prestataire est soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.

VI. Sur les rapprochements et interconnexions
Le responsable de traitement indique que le présent traitement fait l'objet de rapprochements avec un traitement ayant pour finalité « Contrôle d'accès par badge sur les sites Monégasques du CHPG », soumis concomitamment, et un traitement lié au système anti-fugue (boucle-sèche).
Ce dernier traitement n'ayant fait l'objet d'aucune formalité auprès de la CCIN, la Commission demande au responsable de traitement de le lui soumettre dans les plus brefs délais s'il comporte des informations directement ou indirectement nominatives.

VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation.
La Commission rappelle toutefois que les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort.
Elle constate par ailleurs que la copie ou l'extraction d'informations issues de ce traitement est chiffrée sur son support de réception.
La Commission rappelle enfin que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.

VIII. Sur la durée de conservation
Les informations sont conservées 1 mois.
La Commission considère que cette durée est conforme aux exigences légales.
Après en avoir délibéré, la Commission :
Constate :
- que la réponse au droit d'accès s'exerce uniquement sur place ;
- qu'aucun accès distant (tablettes, smartphones, etc.) n'est utilisé sur le réseau de vidéosurveillance ;
- que la copie ou l'extraction d'informations issues de ce traitement est chiffrée sur son support de réception.
Considère qu'une procédure relative au droit d'accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations.
Rappelle que :
- l'affichage doit garantir une information visible, lisible et claire de la personne concernée et être apposé à chaque entrée de l'établissement ;
- les moniteurs déportés doivent impérativement être placés à l'abri des regards des personnes autres que celles habilitées ;
- les Services de Police monégasque ne pourront avoir communication des informations objet du traitement que dans le strict cadre de leurs missions légalement conférées ;
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort.
Demande :
- qu'un affichage (pictogramme) soit apposé dans les salles d'attente, dans le box des urgences et dans les autres pièces concernées afin que les patients s'y trouvant soient informés de la présence de caméras. ;
- que les identifiants et les mots de passe des administrateurs permettant l'accès au système de vidéosurveillance soient nominatifs ;
- que le traitement lié au système anti-fugue (boucle-sèche) lui soit soumis dans les plus brefs délais s'il comporte des informations directement ou indirectement nominatives.
Sous le bénéfice de la prise en compte de ce qui précède,
La Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Centre Hospitalier Princesse Grace, du traitement automatisé d'informations nominatives ayant pour finalité « Vidéosurveillance de tous les sites monégasques du CHPG ».