Délibération n° 2022-80 du 22 juin 2022 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Suivi de l'obligation vaccinale contre la COVID-19 de certaines catégories de personnes » présenté par la Commune de Monaco.

No. Journal 8610
Date of publication 30/09/2022
Quality 100%
Page no.

Vu la Constitution ;

Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;

Vu la loi n° 959 du 24 juillet 1974 sur l’organisation communale, modifiée ;

Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;

Vu la loi n° 1.509 du 20 septembre 2021 relative à l’obligation vaccinale contre la COVID-19 de certaines catégories de personnes ;

Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;

Vu l’arrêté ministériel n° 2021-667 du 15 octobre 2021 portant application de la loi n° 1.509 du 20 septembre 2021 relative à l’obligation vaccinale contre la COVID-19 de certaines catégories de personnes ;

Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;

Vu la demande d’avis déposée par la Commune de Monaco le 22 mars 2022 concernant la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité « Suivi de l’obligation vaccinale contre la COVID-19 de certaines catégories de personnes » ;

Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 19 mai 2022, conformément à l’article 19 de l’Ordonnance Souveraine n° 2.230, susmentionnée ;

Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 22 juin 2022 portant examen du traitement automatisé, susvisé ;

La Commission de Contrôle des Informations Nominatives,

Préambule

Afin de se conformer aux dispositions législatives relatives à l’obligation vaccinale contre la COVID-19 de certaines catégories de personnes, la Mairie de Monaco doit procéder au recensement de tous ses personnels soumis à ladite obligation.

Le traitement automatisé d’informations nominatives objet de la présente délibération est donc soumis à l’avis de la Commission conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993.

I. Sur la finalité et les fonctionnalités du traitement

Ce traitement a pour finalité « Suivi de l’obligation vaccinale contre la COVID-19 de certaines catégories de personnes ».

Le responsable de traitement indique que les personnes concernées sont le personnel soumis à l’obligation vaccinale, à savoir le personnel qui relève du Service des Seniors et de l’Action Sociale (les auxiliaires de vie, les aides au foyer, la diététicienne, le personnel du Club Le Temps de Vivre, le personnel du service A Pignata, le personnel administratif des quatre sections des Seniors et de l’Action Sociale (Téléalarme, Distribution des repas à domicile, Aide au foyer et Auxiliaire de vie), les travailleurs sociaux, le coursier, le bricoleur dédié aux personnes âgées, le chauffeur, les livreurs des repas à domicile et les intervenants réguliers du Club Le Temps de Vivre).

À cet égard la Commission relève qu’en application de l’article 1 - 6) de la loi n° 1.509, susvisée, est soumise à l’obligation vaccinale « toute personne exerçant une activité d’aide à domicile auprès de personnes âgées d’au moins 60 ans, de personnes dépendantes ou de personnes handicapées ».

Enfin, les fonctionnalités sont les suivantes :

- répertorier les personnels concernés par la loi n° 1.509 ;

- consigner la délivrance de l’information faite auprès des personnels concernés ;

- consigner la date de remise du justificatif de vaccination, de contre-indication ou de rétablissement à la suite d’une contamination à la Covid-19 ;

- consigner les éventuelles dates de congés des personnels pour procéder à la délivrance de l’information lors de la reprise du travail ;

- transmettre au Chargé de Mission RH l’identité des personnes qui n’ont pas remis leur justificatif afin de procéder aux mesures de suspension prévues par la loi.

La Commission constate ainsi que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.

II. Sur la licéité et la justification du traitement

Sur la licéité

La Commission relève qu’aux termes de l’article 25 de la loi n° 959 du 24 juillet 1974 sur l’organisation communale, modifiée, le conseil communal est, entre autres, en charge de « l’action sociale et de loisirs, notamment la petite enfance, le maintien à domicile des personnes âgées et les activités du troisième âge ».

La Commission considère donc que le traitement est licite conformément à l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.

Sur la justification

Ce traitement est justifié par le respect d’une obligation légale à laquelle est soumis le responsable de traitement.

À cet égard, la Commission relève que « Le traitement est mis en œuvre afin de répondre aux exigences de la loi n° 1.509 du 20 septembre 2021 relative à l’obligation vaccinale contre la COVID-19 de certaines catégories de personnes ainsi que l’arrêté ministériel n° 2021-667 du 15 octobre 2021 portant application de la loi n° 1.509 du 20 septembre 2021 relative à l’obligation vaccinale contre la COVID-19 de certaines catégories de personnes ».

Elle note ainsi que « La Commune en tant qu’employeur doit suivre l’obligation vaccinale du personnel concerné et procéder aux mesures de suspension décrites dans la loi, le cas échant, des personnes qui ne s’y soumettent pas ».

La Commission considère donc que le traitement est justifié conformément aux dispositions de l’article 10-2 de la loi n° 1.165 du 23 décembre 1993.

III. Sur les informations nominatives traitées

Les informations nominatives traitées sont :

- identité : nom, prénom ;

- adresses et coordonnées : adresse (pour remise du courrier si pas de possibilité de déplacement) ;

- formation, diplômes, vie professionnelle : fonction ;

- remise du courrier et du justificatif vaccinal : date de remise du courrier à l’intéressé, date de remise du courrier par l’intéressé ;

- commentaires (congés ou absence maladie) : date de retour de congés/absence/maladie ;

- données de santé : justificatif du schéma vaccinal complet contre la COVID-19 ou justificatif de dispense, à savoir justification de contre-indication ou de rétablissement à la suite d’une contamination à la COVID-19.

Le responsable de traitement précise par ailleurs que la date de validité du justificatif de rétablissement ou de dispense temporaire est également collectée afin de refaire une demande à l’échéance dudit justificatif.

Les informations relatives à l’identité, aux adresses et coordonnées, à la formation, aux diplômes et à la vie professionnelle ont pour origine le traitement ayant pour finalité « Gestion du personnel communal : déroulement des carrières ».

Les informations relatives à la remise du courrier et du justificatif vaccinal ainsi que les commentaires ont pour origine l’intéressé ainsi que le Chef du Service des Seniors et de l’Action Sociale ou son adjoint.

Les justificatifs ont pour origine la personne concernée ou l’Office de la Médecine du Travail (OMT).

La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.

IV. Sur les droits des personnes concernées

Sur l’information préalable des personnes concernées

Le responsable de traitement indique que l’information préalable des personnes concernées s’effectue par le biais d’une mention figurant sur le courrier de demande de justificatif qui leur est remis en mains propres.

À l’analyse du document joint au dossier, la Commission considère que les modalités d’information préalable des personnes sont conformes aux dispositions de l’article 14 de la loi n° 1.165 du 23 décembre 1993.

Sur l’exercice du droit d’accès, de modification et de mise à jour

Le droit d’accès s’exerce par voie postale ou par courrier électronique.

À cet égard, la Commission rappelle que la réponse à un droit d’accès doit intervenir dans le mois suivant la réception de la demande.

Par ailleurs, s’agissant de l’exercice du droit d’accès par voie électronique, la Commission considère qu’une procédure devra être mise en place afin que le responsable de traitement puisse s’assurer que l’expéditeur du courriel est effectivement la personne concernée par les informations. À ce titre, elle précise que si une copie d’un document d’identité était demandée, la transmission et le traitement de ce document devront faire l’objet de mesures de protection particulières comme rappelé dans sa délibération n° 2015-116 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d’identité officiels.

Sous ces conditions, la Commission constate que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993.

V. Sur les personnes ayant accès au traitement

Les seules personnes habilitées à avoir accès au traitement sont le Chef du Service des Seniors et de l’Action Sociale ainsi que son adjoint qui ont tous les droits sur un fichier bureautique.

Considérant les attributions de chacune de ces personnes, et eu égard à la finalité du traitement, les accès susvisés sont justifiés.

VI. Sur les interconnexions et rapprochements

Le responsable de traitement indique que le présent traitement fait l’objet de deux rapprochements avec les traitements ayant respectivement pour finalité « Gestion du personnel communal : déroulement des carrières » et « Gestion de la messagerie électronique professionnelle ».

La Commission constate que ces traitements ont été légalement mis en œuvre.

Concernant la messagerie, elle relève que celle-ci permet la collecte et la transmission des justificatifs médicaux.

En conséquence, compte tenu du caractère sensible de ces données, la Commission demande que ces communications soient traitées dans les plus brefs délais puis supprimées de la messagerie.

Elle demande que cette suppression soit également effectuée sur le système de sauvegarde de la messagerie.

VII. Sur la sécurité du traitement et des informations

Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation particulière.

La Commission rappelle néanmoins que les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.

Elle rappelle par ailleurs que la copie ou l’extraction d’informations issues de ce traitement doit être chiffrée sur son support de réception.

Enfin, elle rappelle que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.

VIII. Sur la durée de conservation

Le responsable de traitement indique que les informations collectées seront conservées jusqu’à l’échéance de l’obligation vaccinale.

À cet égard, la Commission relève qu’en vertu de l’article 8 de la loi n° 1.509 du 20 septembre 2021 relative à l’obligation vaccinale contre la COVID-19 de certaines catégories de personnes, l’obligation vaccinale s’applique « pendant une durée de dix-huit mois suivant l’entrée en vigueur » de ladite loi mais que « Cette obligation peut toutefois cesser de s’appliquer avant l’expiration de cette durée, dès lors que les mesures exceptionnelles de lutte contre l’épidémie de COVID-19 relatives à la mise en quarantaine ou à l’isolement des personnes prises par le Ministre d’État prévues par la décision ministérielle du 24 février 2020, modifiée, cessent de produire effet ».

La Commission considère ainsi que la durée est conforme aux exigences légales.

Après en avoir délibéré, la Commission :

Considère qu’une procédure relative au droit d’accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s’assurer que l’expéditeur du courriel est effectivement la personne concernée par les informations.

Rappelle que :

- la réponse à un droit d’accès doit intervenir dans le mois suivant la réception de la demande ;

- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switch, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé ;

- la copie ou l’extraction d’informations issues de ce traitement devra être chiffrée sur son support de réception.

Demande que :

- les communications de justificatifs par le biais de la messagerie soient traitées dans les plus brefs délais puis supprimées de la messagerie ;

- cette suppression soit également effectuée sur le système de sauvegarde de la messagerie.

Sous le bénéfice de la prise en compte de ce qui précède,

la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par la Commune de Monaco du traitement automatisé d’informations nominatives ayant pour finalité « Suivi de l’obligation vaccinale contre la COVID-19 de certaines catégories de personnes ».