Délibération n° 2021-141 du 23 juin 2021 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Réaliser une déclaration sur l'honneur par le biais d'une démarche en ligne » exploité par la Direction des Services Numériques présenté par le Ministre d'État.

Vu la Constitution ;

Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;

Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;

Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;

Vu la loi n° 1.483 du 17 décembre 2019 relative à l’identité numérique ;

Vu la loi n° 1.383 du 2 août 2011 pour une Principauté Numérique, modifiée ;

Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;

Vu l’Ordonnance Souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l’administration et l’administré, et son rapport de présentation ;

Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés d’informations nominatives ;

Vu la délibération n° 2021-105 du 2 juin 2021 de la Commission de Contrôle des Informations Nominatives portant avis sur la consultation du Ministre d’État sur un projet d’Ordonnance Souveraine relative à la carte d’identité monégasque et sur un projet d’Ordonnance Souveraine portant modification de l’Ordonnance Souveraine n° 3.153 du 19 mars 1964 relative aux conditions d’entrée et de séjour des étrangers dans la Principauté et son arrêté ministériel portant application de l’article 4 ;

Vu la délibération n° 2021-112 du 2 juin 2021 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Fourniture des services de confiance pour l’identité numérique » ;

Vu la demande d’avis présentée le 12 avril 2021 par de Ministre d’État concernant la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Réaliser une déclaration sur l’honneur par le biais d’une démarche en ligne » ;

Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 11 juin 2021, conformément à l’article 19 de l’Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;

Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 23 juin 2021 portant examen du traitement automatisé, susvisé ;

La Commission de Contrôle des Informations Nominatives,

Préambule

La loi n° 1.483 du 17 décembre 2019 a créé en Principauté une identité numérique qui concerne notamment, en application de son article 4, les monégasques et résidents.

Saisie par la Gouvernement de projets d’Ordonnance Souveraine relatives à la carte d’identité monégasque et aux conditions d’entrée et de séjour des étrangers dans la Principauté, la Commission a pu apprécier les modalités de délivrance de cette identité numérique.

Cette dernière permet de s’authentifier sur différents téléservices, qui reconnaîtront le certificat attribué au titulaire d’une carte d’identité ou de séjour. Ainsi, par délibération n° 2021-112 du 2 juin 2021, la Commission a émis un avis favorable à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Fourniture des services de confiance pour l’identité numérique », qui gère les certificats déposés sur lesdites cartes.

Le Gouvernement souhaite proposer un téléservice permettant de réaliser des déclarations sur l’honneur, démarche qui exige une fiabilité de l’identification de son auteur d’un niveau de garantie substantiel, et qui repose donc sur l’identité numérique des monégasques et résidents.

Ainsi, le traitement automatisé d’informations nominatives y afférent est soumis à l’avis de la Commission, conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993.

I. Sur la finalité et les fonctionnalités du traitement

Le traitement a pour finalité « Réaliser une déclaration sur l’honneur par le biais d’une démarche en ligne » et permet à un utilisateur de faire une déclaration sur l’honneur et de la signer en ligne.

Le responsable de traitement précise qu’il concerne les monégasques et résidents ayant activé leur identité numérique, et de manière incidente les agents de la Direction des Services Numériques (DSN) administrateurs du téléservices et les administrateurs de base de données du prestataire.

Il a pour fonctionnalités ouvertes aux monégasques et résidents :

-  Accéder au téléservice ;

-  S’authentifier selon un niveau de garantie substantiel ;

-  Consulter les conditions générales d’utilisation ;

-  Prendre connaissance des fonctionnalités offertes par le téléservice ;

-  Gérer des déclarations par l’utilisateur ;

-  Produire une déclaration par l’utilisateur ;

-  Signer une déclaration à l’aide d’une signature électronique qualifiée ;

-  Récupérer des déclarations ;

-  Conserver une déclaration.

En outre les administrateurs de la DSN peuvent gérer les modèles et catégories de déclaration.

La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.

II. Sur la licéité et la justification du traitement

Le responsable de traitement indique que le présent traitement est justifié par le consentement des personnes concernées, ainsi que par la réalisation d’un intérêt légitime qui ne méconnait ni l’intérêt, ni les droits et libertés fondamentaux de celle-ci.

À cet égard, le responsable de traitement indique que le présent traitement permet au Gouvernement de déployer des usages de l’identité numérique telle que prévue par la loi n° 1.483 du 17 décembre 2019.

Il est en outre précisé qu’il y a deux moyens de collecter le consentement des personnes concernées. Lors d’une authentification par carte, une case à cocher (opt-in) est prévue lors de la phase d’authentification au téléservice qui mentionne les données de l’usager qui vont être utilisées ; en ce qui concerne l’utilisation de l’identité numérique dérivée sur mobile, la personne concernée a déjà consenti à l’utilisation de ses données dans l’application en vue de se connecter à des téléservices auxquels elle choisit ou non de se connecter. La Commission constate également que les Conditions Générales d’Utilisation (CGU) du téléservice doivent être acceptées lors de la première connexion par les personnes concernées.

La Commission considère donc que ce traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993.

III. Sur les informations traitées

Les informations nominatives traitées sont :

-  Identité : données issues du processus d’authentification, à savoir nom d’usage, prénoms, nom de naissance, sexe, date et heure de naissance, lieu de naissance ;

-  Adresse et coordonnées : numéro de téléphone de l’usager dans les cas d’authentification par mobile ;

-  Données d’identification électronique : méthode d’authentification de l’usager (carte ou mobile), statut de l’identité (active, suspendue, inactive) ;

-  Clé technique : clé technique permettant de faire un lien entre l’individu, son accès et ses actions sur le téléservice. Cette clé est dérivée de la clé primaire ;

-  Informations temporelles : logs de connexion des agents sur le back office (DSN), logs de connexion des administrateurs de bases de données du prestataire ;

-  Données relatives à la déclaration sur l’honneur : les déclarations sur l’honneur d’une personne au format PDF, objet de la déclaration, expéditeur, destinataire, message personnalisé (facultatif) ;

-  Autres données : autorité d’enregistrement (Mairie, Direction de la Sûreté Publique).

Les informations d’identité, de données d’identification électronique et sur la qualité de l’autorité d’enregistrement sont issues de l’identité numérique et transmises par le bais du traitement ayant pour finalité « Fourniture des services de confiance pour l’identité numérique ».

Les informations ont pour origine la personne concernée pour la transmission du numéro de téléphone.

Les autres informations sont produites par le système. À cet égard, la Commission relève que sont collectés également les logs de connexion des usagers et rappelle que leur durée de conservation ne doit pas être inférieure à trois mois et supérieure à un an.

Enfin, la Commission constate que seuls des cookies techniques ou anonymisés sont utilisés sur le téléservice.

La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.

IV.   Sur les droits des personnes concernées

→   Sur l’information préalable des personnes concernées

L’information des personnes concernées est réalisée par le biais d’une mention d’information particulière intégrée dans un document d’ordre général accessible en ligne, à savoir les CGU du téléservice.

Cette dernière étant jointe au dossier, la Commission relève que le contenu de cette mention d’information est conforme aux dispositions de l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée.

→   Sur l’exercice du droit d’accès, de modification et de mise à jour

Le droit d’accès est exercé par voie postale. Il est précisé qu’un formulaire de contact est disponible depuis la page relative à la Direction des Services Numériques, accessible depuis un lien hypertexte inséré dans les CGU.

La Commission constate que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.

V. Sur les personnes ayant accès au traitement

Le responsable de traitement indique qu’ont accès au traitement les agents DSN administrateurs du téléservice en modification ou création des modèles et catégories de déclaration sur l’honneur, sans accès aux données usagers, ainsi que les administrateurs de bases de données du prestataire dans le cadre de ses missions de maintenance et d’administration (infogérance et garantie de l’intégrité).

La Commission rappelle qu’en ce qui concerne les prestataires, leurs accès doivent être limités à ce qui est strictement nécessaire à l’exécution de leur contrat de prestation de service, conformément à l’article 17 de la loi n° 1.165. De plus, ils sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement.

La Commission considère que ces accès sont justifiés.

VI.   Sur les interconnexions avec d’autres traitements

Le responsable de traitement indique que le présent traitement fait l’objet d’une interconnexion avec le traitement ayant pour finalité « Fourniture des services de confiance pour l’identité numérique », ayant reçu un avis favorable de la Commission et en attente de mise en œuvre.

La Commission constate que cette interconnexion est conforme à la finalité du traitement sus-évoqué.

Elle rappelle néanmoins que celle-ci ne peut être effective qu’entre traitements ayant légalement été mis en œuvre.

VII. Sur la sécurité du traitement et des informations

Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.

Cependant les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.

Enfin, la Commission rappelle que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.

VIII. Sur la durée de conservation

Le responsable de traitement indique que les informations sont conservées :

-  le temps de la durée de la session utilisateur (jusqu’à la déconnexion) en ce qui concerne l’identité, le numéro de téléphone de l’usager, les données d’identification électronique, la clé technique, et les « autres données » ;

-  1 an pour les données d’horodatage ;

-  sur le téléservice 1 an après la date de fin de validité du document pour les données relatives à la déclaration sur l’honneur.

La Commission constate que ces durées de conservation sont conformes aux exigences légales.

Après en avoir délibéré, la Commission :

Rappelle que :

-  les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé ;

-  les traitements en lien avec l’identité numérique ne pourront être interconnectés qu’une fois qu’ils seront légalement mis en œuvre.

À la condition de la prise en compte des éléments qui précèdent,

la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d’État, du traitement automatisé d’informations nominatives ayant pour finalité « Réaliser une déclaration sur l’honneur par le biais d’une démarche en ligne ».

Le Président de la Commission de Contrôle des Informations Nominatives.