Délibération n° 2019-179 du 20 novembre 2019 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Création, délivrance et suivi des passeports biométriques à puce et de documents de voyage » exploité par le Secrétariat Général du Gouvernement et présenté par le Ministre d'État.

No. Journal 8465
Date of publication 20/12/2019
Quality 100%
Page no.

Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la Décision du Prince Souverain de Monaco du 17 novembre 1989 ;
Vu l'Ordonnance Souveraine n° 16.584 du 22 décembre 2004 relative à la délivrance des passeports ;
Vu l'Ordonnance Souveraine n° 996 du 2 août 1954 rendant exécutoire une Convention relative au statut des réfugiés signée à Genève le 28 juillet 1951 ;
Vu l'Ordonnance Souveraine n° 5.840 du 13 mai 2016 portant création du Secrétariat Général du Gouvernement ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d'informations nominatives ;
Vu la demande d'avis déposée par le Ministre d'État, le 24 juillet 2019, concernant la mise en œuvre d'un traitement automatisé ayant pour finalité « Création, délivrance et suivi des passeports biométriques à puce et de documents de voyage » ;
Vu la prorogation du délai d'examen de la présente demande d'avis notifiée au responsable de traitement le 23 septembre 2019, conformément à l'article 19 de l'Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 20 novembre 2019 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,

Préambule
Le Secrétariat Général du Gouvernement traite les demandes liées à l'émission de passeports monégasques.
Ainsi, le traitement automatisé d'informations nominatives y afférent est soumis à l'avis de la Commission, conformément à l'article 7 de la loi n° 1.165 du 23 décembre 1993.

I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité « Création, délivrance et suivi des passeports biométriques à puce et de documents de voyage ».
La Commission constate que la notion de biométrie recouvre, pour le responsable de traitement, la conservation de la photo d'identité et de la signature, sans analyse de ces dernières.
Il concerne les monégasques et les ayants droit étrangers pouvant bénéficier d'un titre de voyage.
Le traitement a pour fonctionnalités :
- Mise à disposition de formulaires papiers de demande de passeports et collecte des informations permettant la création de passeports ;
- Vérification, en ce qui concerne les personnes de nationalité monégasque, de leur état civil par réception du certificat de nationalité de la Mairie ;
- Création de passeports à puce contenant des données biométriques (passeports ordinaires, passeports diplomatiques, passeports de service) ;
- Création de titres de voyage ne contenant pas de puce ;
- Tenue des nouveaux fichiers des passeports ;
- Réception hebdomadaire d'un document de l'État civil permettant au Service des Passeports de connaître les évolutions de la situation des personnes titulaires d'un passeport (naissances, décès, divorce, mariage) ;
- Gestion des passeports volés.
En ce qui concerne la réception hebdomadaire d'informations en provenance de la Mairie, la Commission relève que ces communications, sous format papier, ont reçu un avis favorable de sa part par délibérations du 20 juillet 2016 n° 2017-87 relative aux actes de décès, n° 2016-86 relative aux actes de mariage et n° 2016-84 relative aux actes de naissance et actes de reconnaissance. La Commission estime toutefois que la réception d'informations relatives aux naissances est sans objet eu égard à la finalité du présent traitement et aux autres mécanismes de vérification mis en place (obtention du certificat de nationalité).
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.

II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le présent traitement est justifié par le consentement des personnes concernées, le respect d'une obligation légale à laquelle il est soumis et un motif d'intérêt public.
À cet égard la Commission relève que la demande de passeport relève d'une demande volontaire des personnes concernées leur permettant in fine de bénéficier d'un passeport établi par la Principauté reconnaissant aux sujets du Prince le droit de voyager. La délivrance des passeports est à cet égard encadrée par la Décision du Prince Souverain de Monaco du 17 novembre 1989, l'Ordonnance Souveraine n° 16.584 du 22 décembre 2004 relative à la délivrance des passeports, et l'Ordonnance Souveraine n° 996 du 2 août 1954 rendant exécutoire une Convention relative au statut des réfugiés signée à Genève le 28 juillet 1951\. La Commission constate que le présent traitement est exploité conformément aux dispositions de ces différents textes.
Elle considère donc que ce traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993.

III. Sur les informations traitées
Les informations nominatives traitées sont :
- Identité : nom patronymique, nom d'usage, prénom(s), date et lieu de naissance, nationalité, sexe, état civil (ne concerne que le passeport diplomatique), photo ;
- coordonnées : adresse, numéro de téléphone (ne concerne que les passeports ordinaires et les titres de voyage) ;
- données biométriques : photo, signature ;
- vie professionnelle (ne concerne pas les passeports ordinaires) : profession ;
- signes distinctifs (ne concerne que le titre de voyage) : taille, yeux, cheveux ;
- autorisation parentale pour les mineurs : nom, prénom, situation familiale des parents ;
- autre : formulaire de demande, numéro de passeport.
Il est précisé que les seules informations qui sont automatisées dans le logiciel métier sont : nom patronymique, nom d'usage, prénoms, date de naissance, type de passeport, numéro de passeport, photo et signature.
La Commission relève par ailleurs que les informations issues de l'État civil sont collectées : certificat de nationalité, mariage, décès.
Il est en outre demandé aux personnes concernées le justificatif de jugement de divorce autorisant l'utilisation du nom de l'ex‑époux comme nom d'usage.
Par ailleurs, les informations ont pour origine les personnes concernées initiant une demande de passeport par le biais des formulaires dédiés, excepté les informations relatives au numéro de passeport attribué par l'Administration.
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.

IV. Sur les droits des personnes concernées

Sur l'information préalable des personnes concernées

L'information préalable des personnes concernées est réalisée par le biais d'une mention sur le document de collecte et d'une mention particulière intégrée dans un document d'ordre général accessible en ligne.
Cette dernière étant jointe au dossier, la Commission relève que les personnes concernées sont informées de manière conforme aux dispositions de l'article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée.

Sur l'exercice du droit d'accès, de modification et de mise à jour

Le droit d'accès est exercé par voie postale ou sur place auprès du Chef de bureau en charge des passeports du Secrétariat Général du Gouvernement.
La Commission constate que les modalités d'exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.

V. Sur les destinataires et les personnes ayant accès au traitement
La Commission constate que seules les informations relatives aux passeports volés sont communiquées à la Direction des Relations Diplomatiques et Consulaires, qui informe par note officielle le Consulat Général des États-Unis d'Amérique à Marseille, et le Département de l'Intérieur qui informe Interpol par le biais de la Direction de la Sûreté Publique.
Il est en outre indiqué qu'ont accès aux informations :
- l'hôtesse d'accueil, uniquement en ce qui concerne la réception des demandes de passeport ;
- le Chef de bureau responsable des passeports : tous droits ;
- le Secrétaire Général Adjoint et deux Agents du Secrétariat en consultation, et modification en cas d'absence du Chef de bureau.
Elle considère que ces accès sont justifiés.

VI. Sur les interconnexions
Le présent traitement ne fait pas l'objet d'interconnexions ou de rapprochements.

VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation.
Il convient de préciser que la copie ou l'extraction d'informations issues de ce traitement doit être chiffrée sur son support de réception.
Cependant, les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
En outre, il est rappelé que toutes les personnes autorisées à accéder au traitement ne pourront le faire qu'avec un identifiant nominatif.
La Commission rappelle enfin que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.

VIII. Sur la durée de conservation
Les données sont conservées en base active jusqu'au décès du titulaire et en copie papier dans des classeurs dédiés. Ces dossiers papiers sont ensuite conservés à des fins historiques au sens de l'article 9 de la loi n° 1.165, et versés au Service Central des Archives et de la Documentation Administrative.
La Commission relève que ces délais sont conformes aux exigences légales.
Elle relève toutefois que les listings hebdomadaires reçus de la Mairie ne doivent pas être conservés sans limitation de durée et être supprimés dès que les informations utiles à la gestion des passeports en ont été extraites vers les dossiers concernés.
Après en avoir délibéré, la Commission :
Rappelle que :
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé ;
- la copie ou l'extraction d'informations issues de ce traitement doit être chiffrée sur son support de réception ;
- toutes les personnes autorisées à accéder au traitement ne pourront le faire qu'avec un identifiant nominatif.
Estime que la réception d'informations relatives aux naissances est sans objet eu égard à la finalité du présent traitement et aux autres mécanismes de vérification mis en place (obtention du certificat de nationalité).
Demande que les listings issus de la Mairie relatifs aux actes de décès et de mariages soient supprimés dès que les informations utiles à la gestion des passeports ont été reportées dans les dossiers concernés.
Sous le bénéfice de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d'État, du traitement automatisé d'informations nominatives ayant pour finalité « Création, délivrance et suivi des passeports biométriques à puce et de documents de voyage » exploité par le Secrétariat Général du Gouvernement.