icon-summary icon-grid list icon-caret-left icon-caret-right icon-preview icon-tooltip icon-download icon-view icon-arrow_left icon-arrow_right icon-cancel icon-search icon-file logo-JDM--large image-logo-gppm icon-categories icon-date icon-order icon-themes icon-cog icon-print icon-journal icon-list-thumbnails icon-thumbnails

Délibération n° 2021-83 du 21 avril 2021 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Bénéficier d'une aide auprès du Fonds Bleu par une démarche en ligne » exploité par la Direction de l'Expansion Économique présenté par le Ministre d'État.

  • No. Journal 8537
  • Date of publication 07/05/2021
  • Quality 100%
  • Page no.

Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.144 du 26 juillet 1991 concernant l'exercice de certaines activités économiques et juridiques ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l'Ordonnance Souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l'Administration et l'administré ;
Vu l'Ordonnance Souveraine n° 11.986 du 2 juillet 1996 portant création de la direction de l'expansion économique ;
Vu l'Ordonnance Souveraine n° 7.995 du 12 mars 2020 portant création de la Direction des Services Numériques ;
Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés d'informations nominatives ;
Vu la demande d'avis déposée par le Ministre d'État, le 9 février 2021, concernant la mise en œuvre d'un traitement automatisé ayant pour finalité le « Bénéficier d'une aide auprès du Fonds Bleu par une démarche en ligne » ;
Vu la prorogation du délai d'examen de la présente demande d'avis notifiée au responsable de traitement le 7 avril 2021, conformément à l'article 19 de l'Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 21 avril 2021 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Le Gouvernement Princier a mis en place un fonds de soutien, appelé « Fonds Bleu », visant à favoriser la relance économique via le numérique. Dans ce contexte, il souhaite ouvrir un téléservice permettant aux entreprises de la Place de solliciter une aide pour financer une partie d'un projet de transition numérique.
Conformément aux dispositions de l'article 7 de la loi n° 1.165 du 23 décembre 1993 modifiée, le Ministre d'État soumet ainsi, à l'avis de la Commission, le traitement ayant pour finalité « Bénéficier d'une aide auprès du Fonds Bleu par une démarche en ligne ».


I.          Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité « Bénéficier d'une aide auprès du Fonds Bleu par une démarche en ligne ».
Il concerne les usagers représentants des entreprises souhaitant bénéficier d'une aide auprès du Fonds Bleu, ainsi que les agents traitants pour la partie fonctionnelle du traitement.
Les fonctionnalités de la démarche en ligne sont :
-           Saisie des informations concernant la société ;
-           Saisie des informations concernant le projet de transition numérique ;
-           Saisie des informations concernant le(s) entreprise(s) partenaire(s) ;
-           Import de pièces justificatives ;
-           Annulation d'une demande par un usager ou par un agent ;
-           Envoi d'un courriel de confirmation d'enregistrement de la demande ;
-           Envoi d'un courriel de confirmation d'annulation de la demande ;
-           Envoi d'un courriel de confirmation de désinscription à la démarche en ligne ;
-           Export d'un fichier Excel qui comprend toutes les demandes et leurs informations anonymisées par les agents ayant les droits nécessaires pour effectuer cette action.
Il est également précisé que le téléservice propose un lien vers un questionnaire de satisfaction anonyme dont les résultats sont traités par la Direction des Services Numériques.
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.


II.        Sur la licéité et la justification du traitement
Le responsable de traitement indique que le présent traitement est justifié par le consentement des personnes concernées, par le respect d'une obligation légale à laquelle il est soumis et par la réalisation d'un intérêt légitime qu'il poursuit et qui ne méconnaît ni l'intérêt, ni les droits et libertés fondamentaux des personnes concernées.
À cet égard, il précise que le consentement des personnes concernées est formalisé par un acte positif clair matérialisé par le biais d'une case à cocher mentionnant « J'accepte que mes données personnelles soient traitées dans le cadre du téléservice « Bénéficier d'une aide auprès du Fonds Bleu par une démarche en ligne  » », ainsi que par l'acceptation préalable des conditions générales d'utilisation du téléservice, indispensable pour la création du compte sécurisé et pour l'accès à la démarche en ligne.
Le téléservice s'inscrit également dans les missions prévues par l'Ordonnance Souveraine n° 7.995 du 12 mars 2020 portant création de la Direction des Services Numériques (mise en place de services en ligne) et dans l'Ordonnance Souveraine n° 11.986 du 2 juillet 1996 portant création de l'expansion économique (instruction, délivrance et suivi de dispositifs d'aides financières à l'économie).
En outre, l'intérêt légitime trouve son fondement dans la volonté de l'Administration de simplifier les démarches administratives des administrés en leur permettant de déposer leur déclaration sans se déplacer et sans autre démarche, ce qui s'inscrit dans le cadre de l'Ordonnance Souveraine n° 2011-3413 du 29 août 2011 portant diverses mesures relatives à la relation entre l'Administration et l'administré.
La Commission rappelle que conformément aux dispositions de l'article 42 de l'Ordonnance Souveraine susvisée « (…) la création d'un téléservice ne saurait toutefois avoir pour effet de supprimer la possibilité pour l'usager, d'accomplir les démarches, formalités ou paiements qui en sont l'objet par des voies autres qu'électroniques ».
Sous cette réserve, la Commission considère que le traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165, modifiée.


III.       Sur les informations traitées
Le responsable de traitement indique que les informations nominatives traitées sont :
-           identité : demandeur : nom, prénom ; dirigeant de société : nom, prénom ; société requérante de l'aide : raison sociale, numéro RCI, code NIS ; entreprises partenaires : raison sociale, numéro RCI, code NIS ;
-           adresses et coordonnées : société requérante de l'aide : adresse, téléphone, pays de domiciliation ; entreprises partenaires : pays de domiciliation ;
-           caractéristiques financières : société requérante de l'aide : montant et année du dernier chiffre d'affaires, déclarations de TVA, coordonnées bancaires ;
-           données d'identification électronique : identifiant technique de l'usager ;
-           informations temporelles : horodatages, etc. : données d'horodatage ;
-           données de connexion : log de connexion de l'usager, données de messagerie de l'usager, logs du personnel habilité de l'administration ;
-           éléments du dossier : société requérante de l'aide : secteur d'activité, nombre d'employés en Principauté, année de création ; projet : nom, nature du projet, finalité, date de début, date de fin, présentation, emplois créés, impact sur le chiffre d'affaires, coût, effectif dédié ; entreprises partenaires : secteur d'activité, motif de dérogation (si l'entreprise partenaire n'est pas monégasque) ; déclarations sur l'honneur ; pièces justificatives : devis du projet, argumentaire du projet, autodiagnostic de maturité numérique.
Les informations relatives à l'identité, aux adresses et coordonnées, aux caractéristiques financières ainsi qu'aux éléments du dossier sont renseignées par l'usager.
Enfin, les autres données sont générées par le système.
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.


IV.       Sur les droits des personnes concernées

  • Sur l'information préalable des personnes concernées

L'information préalable des personnes concernées est réalisée par le biais d'une mention particulière intégrée dans un document d'ordre général accessible en ligne, à savoir les conditions générales d'utilisation de la démarche en ligne que l'usager doit accepter et peut consulter dès l'accès à la démarche. Il est également indiqué que l'usager doit cocher une deuxième case indiquant « j'accepte que mes données personnelles soient traitées dans le cadre du téléservice ».
Elle rappelle que les personnels de l'Administration doivent également être informés de leurs droits.
À la lecture de la mention d'information précitée, la Commission constate qu'elle est conforme aux exigences légales.
Elle constate en outre la mise à disposition d'une politique cookie.

  • Sur l'exercice du droit d'accès, de modification et de mise à jour

Le droit d'accès est exercé sur place, par voie postale, par accès en ligne au dossier, ou par courrier électronique auprès de la Direction de l'Expansion Économique - Welcome Office.
S'agissant de l'exercice du droit d'accès par voie électronique, la Commission considère qu'une procédure devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations. À ce titre, elle précise que si une copie d'un document d'identité était demandée, la transmission et le traitement de ce document devront faire l'objet de mesures de protection particulières comme rappelé dans sa délibération n° 2015-113 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d'identité officiels.
Sous cette réserve, elle constate ainsi que les modalités d'exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.


V.        Sur les destinataires et les personnes ayant accès au traitement
Les accès sont définis comme suit :
-           les personnels de la Direction de l'Expansion Économique - Welcome Office en charge du traitement du dossier en lecture, paramétrage, traitement ;
-           la Direction des Services Numériques pour le personnel habilité à analyser les demandes en lecture, paramétrage, traitement ;
-           la Direction des Services Numériques, ou tiers intervenant pour son compte, dans le cadre de ses missions de support technique : lecture, paramétrage, traitement, configuration.
En ce qui concerne les prestataires, la Commission rappelle que conformément aux dispositions de l'article 17 de la loi n° 1.165 du 23 décembre 1993 les droits d'accès doivent être limités à ce qui est strictement nécessaire à l'exécution de leur contrat de prestation de service. De plus, lesdits prestataires sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
La Commission relève par ailleurs que les personnes concernées disposent d'un accès à leur propre compte.
Elle considère que ces accès sont justifiés.


VI.       Sur les rapprochements et les interconnexions avec d'autres traitements
Le présent traitement fait l'objet d'interconnexions avec les traitements suivants :
-           « Gestion du compte permettant aux usagers d'entreprendre des démarches par téléservices », légalement mis en œuvre ;
-           « Gérer les habilitations des agents et fonctionnaires de l'État aux téléservices contenus dans le « Guichet Virtuel » », légalement mis en œuvre.
Lesdits traitements ont pour vocation de permettre l'accès sécurisé des usagers à la démarche et de gérer les habilitations des personnels de l'État, dans le respect des cadres fixés dans les délibérations y relatives de la Commission portant avis favorable à leur mise en œuvre.
Le responsable de traitement indique également que le traitement est interconnecté avec les messageries professionnelles légalement mises en œuvre par l'État.
La Commission considère que ces interconnexions sont conformes aux exigences légales.
La Commission relève cependant que l'autodiagnostic de maturité numérique, qui est un élément nécessaire à la finalisation d'un dossier d'aide par le Fonds Bleu, s'effectue par le biais d'un téléservice dédié, qui n'a pas été soumis à formalité légale.
Elle demande donc que ce dernier lui soit soumis dans les meilleurs délais.


VII.     Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation.
Cependant les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
En outre, la Commission rappelle ses demandes formulées dans ses délibérations du mois de mars concernant la mise en conformité de l'utilisation du recaptcha Google et les délais y afférents.
La Commission rappelle enfin que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.


VIII.    Sur la durée de conservation
Les informations sont conservées 3 ans à compter de la date de dépôt de la demande et les informations temporelles ainsi que les données de connexion sont effacées au bout d'un an glissant.
La Commission considère que ces durées de conservation sont conformes aux exigences légales.
Après en avoir délibéré, la Commission :
Rappelle :
-           que les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé ;
-           que les usagers doivent avoir la possibilité d'effectuer la présente démarche par une autre modalité ;
-           ses demandes formulées dans ses délibérations du mois de mars concernant la mise en conformité de l'utilisation du recaptcha Google et les délais y afférents ;
-           que les personnels de l'Administration doivent également être informés de leurs droits.
Considère qu'une procédure relative au droit d'accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations.
Demande que le téléservice par lequel s'effectue l'autodiagnostic de maturité numérique lui soit soumis dans les meilleurs délais.
Sous le bénéfice de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d'État, du traitement automatisé d'informations nominatives ayant pour finalité « Bénéficier d'une aide auprès du Fonds Bleu par une démarche en ligne ».


Le Président de la Commission de Contrôle des Informations Nominatives.

Print article
Previous article Return to summary Next article

All rights reserved - Monaco 2016
Version 2018.11.07.14