Délibération n° 2024‑165 du 11 septembre 2024 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion d'un outil de réservation de bureau et de suivi du télétravail » exploité par la Direction des Services Numériques (DSN) présenté par le Ministre d'État.
Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.383 du 2 août 2011 pour une Principauté Numérique, modifiée ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l’Ordonnance Souveraine n° 7.995 du 12 mars 2020 portant création de la Direction des Services Numériques ;
Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu la demande d’avis déposée, par le Ministre d’État, le 21 mai 2024, concernant la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité « Gestion d’un outil de réservation de bureau et de suivi du télétravail » ;
Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement, le 18 juillet 2024, conformément à l’article 19 de l’Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 11 septembre 2024 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
La DITN est constituée de plusieurs Directions travaillant au sein d’un même plateau, créant de fait des besoins d’organisation des bureaux. Aussi, le responsable de traitement souhaite mettre à la disposition des personnes amenées à travailler dans ces locaux un outil de réservation de bureau et d’organisation du télétravail dit de « Gestion du flex office ».
Conformément aux dispositions de l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, le Ministre d’État soumet ainsi, à l’avis de la Commission, le traitement ayant pour finalité « Gestion d’un outil de réservation de bureau et de suivi du télétravail ».
I. Sur la finalité et les fonctionnalités du traitement
Le traitement a pour finalité « Gestion d’un outil de réservation de bureau et de suivi du télétravail ».
La solution utilisée est dénommée « Deskare ».
Les personnes concernées sont l’ensemble des fonctionnaires et agents de l’État (DITN/DSI), ainsi que les prestataires et les invités de la DITN/DSI.
Enfin, les fonctionnalités de ce traitement sont les suivantes :
Concernant les utilisateurs :
- créer et authentifier les utilisateurs ;
- gérer les données intégrées dans le profil utilisateur ;
- permettre aux utilisateurs de choisir leur statut, gérer leur semaine par défaut et leurs réservations ;
- indiquer et gérer les jours de télétravail ;
- modifier et supprimer les réservations ;
- réserver un bureau pour un visiteur ;
- consulter les réservations des autres utilisateurs ;
- établir des statistiques (indicateurs) sur le taux d’occupation.
Pour les managers :
- partager des messages à son équipe ;
- corriger le statut déclaré des jours passés pour un membre de son équipe ;
- réserver un bureau pour un visiteur ;
- modifier / supprimer la réservation d’un utilisateur ;
- consulter / exporter des KPI (Key Performance Indicator).
Pour les administrateurs :
- envoyer / renvoyer une invitation ;
- paramétrer les réservations ;
- gérer les différents types de profil ;
- partager des messages visibles par tous les utilisateurs ou seulement par certaines équipes ;
- consulter / exporter des KPI.
À cet égard, le responsable de traitement indique que « l’outil de flexoffice « Deskare » aura comme seul usage et objectif de faciliter la gestion et la réservation des bureaux du plateau DITN. Il ne sera en aucun cas utilisé comme un outil de gestion des temps, de planification ou bien des absences des personnes concernées ».
De plus, il ajoute que « l’usage de la messagerie disponible uniquement aux administrateurs de la solution est une fonctionnalité qui permettra d’informer les utilisateurs d’évènements pouvant les influencer sur la non-réservation de certains bureaux (par exemple pour des travaux bruyants pouvant perturber leur travail, ou pour la maintenance de certains équipements type écran en réparation) ». La Commission en prend acte.
Au vu de ce qui précède, la Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10‑1 de la loi n° 1.165 du 23 décembre 1993.
II. Sur la licéité et la justification du traitement
Le présent traitement est justifié par la réalisation d’un intérêt légitime poursuivi par le responsable de traitement, sans que ne soient méconnus ni l’intérêt, ni les droits et libertés fondamentaux des personnes concernées.
À cet égard, le responsable de traitement indique que le traitement « est nécessaire à la mise en place d’un outil de réservation de bureau (gestion du flex office) et d’organisation du télétravail destiné aux fonctionnaires et agents de l’Administration et aux prestataires travaillant au sein du plateau de la Délégation Interministérielle chargée de la Transition du Numérique (DITN) et au sein des bureaux de la Direction des Systèmes d’Information (DSI) ».
De plus, il précise que le présent traitement répondant « à un besoin d’organisation des bureaux entre les Directions travaillant au sein de la DITN (Direction des Services Numériques, Direction des Systèmes d’Information, Délégation Interministérielle chargée de la Transition du Numérique, et Direction des Plateformes des Réseaux Numériques) et au sein de la DSI, la Direction des Services Numériques (DSN) souhaite mettre en place un outil dit de « gestion du flex office » et de suivi du télétravail. Cet outil est géré par la DSN, dans le respect des impératifs de sécurité des systèmes d’information du Gouvernement tels qu’encadrés par la réglementation ».
En outre, l’utilisation de cet outil n’est pas obligatoire et répond à un souhait des personnes concernées, « invitées » à l’utiliser, d’y donner suite ou non. La Commission relève à cet égard qu’il existe plusieurs modalités d’accès à l’outil de réservation, dont « par le web ».
Elle relève que cette modalité d’accès conduit à des dépôts de cookies publicitaires par le prestataire qui ne peuvent être refusés et ne correspondent pas aux standards attendus en la matière. La Commission rappelle à cet égard que tout cookie non technique doit être soumis, conformément à l’article14‑2 de la loi n° 1.165, au consentement de l’utilisateur.
Aussi, la Commission demande que les personnes concernées puissent exercer pleinement leurs droits, et prend acte qu’une application dédiée sera disponible prochainement.
Elle recommande en outre que les modalités d’accès les plus protectrices des droits des personnes soient mises en avant.
Enfin, il est indiqué par complément d’information qu’« afin de sensibiliser les utilisateurs et manager au respect de la vie privée, une mise à jour des guides d’utilisation de l’outil sera réalisée. Ces guides sont accessibles à tout moment dans le canal Teams « La vie à la DITN ». En outre, une sensibilisation sur le positionnement de l’outil et de son usage strictement dédié à la réservation des bureaux est prévue lors du futur atelier de démonstration de la solution lors de l’ouverture du service aux utilisateurs ». La Commission relève que cela doit conduire à éviter des situations pouvant indirectement laisser sous-entendre l’état de santé des personnes concernées, au regard de la durée de leur absence (longue maladie par ex.).
Au regard de ce qui précède, la Commission considère que le traitement est licite et justifié, conformément aux dispositions des articles 10‑1 et 10‑2 de la loi n° 1.165, modifiée.
III. Sur les informations nominatives traitées
Les informations nominatives traitées sont :
Pour les utilisateurs/managers/administrateurs de la solution :
- identité : nom, prénom, date de naissance (facultative), photo (facultative) ;
- adresses et coordonnées : adresse email ;
- formation-diplômes, vie professionnelle : direction, cellule/pôle, manager ;
- données d’identification électronique : login, mot de passe ;
- informations temporelles : fuseau horaire, langue, date d’inscription, date de la dernière connexion ;
- contenu : calendrier des jours fériés, bureau favori, zone favorite, numéro de poste de travail favori, collègues favoris, communications, taux de déclaration (%), habitudes, préférences, taux de présence ;
- logs : IP de la machine, ID de l’entreprise, ID de l’utilisateur, méthode http (GET/POST/PUT/PACTH/DELETE), origine http (adresse d’origine de la requête), user agent, level name (OK, ERROR), ID de la requête, volume du corps de la requête, volume de la requête (en bytes), protocol server (https/2...), code de réponse (200,401...), timestamp, URL de la requête, type d’appareil, identifiant publicitaire, bugs, version, langue de l’application, système d’exploitation ;
- données statistiques : KPI sur le taux d’occupation, la répartition par statut, la répartition par jour, nombre de jours télétravaillés en moyenne par semaine.
Pour les visiteurs de la DITN/DSI :
- identité : nom, prénom ;
- adresses et coordonnées : adresse email ;
- contenu : dates de réservation (début et fin), informations additionnelles, bureau réservé.
S’agissant de la possibilité offerte aux utilisateurs de la solution de marquer un collègue de « favori », le responsable de traitement précise sur ce point que « les favoris sont des informations strictement personnelles, en aucun cas le choix de placer un collègue en favori n’est visible par un autre utilisateur, par le manager ou par l’administrateur ».
De plus, il ajoute que « la notion de favori n’est qu’une option visuelle permettant de repérer plus rapidement, grâce à une étoile colorée, la place qu’occupe la personne marquée en favori sur le plan de réservation des bureaux, s’il a fait sa déclaration ». La Commission en prend acte.
En ce qui concerne les données des utilisateurs, des managers et des administrateurs de la solution, le responsable de traitement indique que celles-ci ont pour origine l’Active Directory et l’utilisateur.
En outre, les informations temporelles proviennent de l’Active Directory et du système.
Les informations relatives au contenu ont pour origine l’utilisateur.
Par ailleurs, les informations relatives aux visiteurs de la DITN/DSI, sont issues de l’utilisateur à l’origine de l’invitation.
Enfin, les logs de connexion et les données statistiques ont pour origine le système.
La Commission considère que les informations ainsi collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément à l’article 10‑1 de la loi n° 1.165 du 23 décembre 1993, modifiée.
IV. Sur les droits des personnes concernées
> Sur l’information préalable des personnes concernées
Le responsable de traitement indique que l’information préalable des personnes concernées est assurée au moyen d’un document spécifique à savoir une « Notice d’information relative aux traitements de la Direction des Services Numériques » diffusée sur l’intranet du Gouvernement Princier et d’une mention d’information intégrée dans l’email d’invitation envoyé à chaque utilisateur/invité.
À l’étude des extraits des documents joints par le responsable de traitement, la Commission constate que les mentions d’information précitées sont conformes aux exigences légales.
> Sur l’exercice du droit d’accès
Le droit d’accès s’exerce par voie postale, par courrier électronique ou par le biais d’un formulaire de contact disponible en ligne « permettant de contacter le service de protection des données personnelles plus facilement », auprès de la Délégation Interministérielle chargée de la Transition Numérique (DITN).
À cet égard, la Commission prend acte que la communication des informations dans le cadre du droit d’accès est réalisée dans le mois suivant la demande.
S’agissant de l’exercice du droit d’accès par courrier électronique, elle constate qu’une procédure a été mise en place par le responsable de traitement afin de s’assurer que l’expéditeur du courriel est effectivement la personne concernée par les informations, et que la collecte de documents d’identité est effectuée conformément à la délibération n° 2015‑113 du 18 novembre 2015 de la Commission portant recommandation sur la collecte et la conservation de la copie de documents d’identité officiels.
Ainsi, la Commission considère ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993.
V. Sur les destinataires et les personnes ayant accès au traitement
Les personnes ayant accès au traitement sont :
- l’utilisateur de l’outil : lecture, consultation, modification, suppression ;
- le manager des utilisateurs : lecture, consultation, modification ;
- l’administrateur Deskare au sein du Gouvernement (DSI/DSN) : lecture, consultation, modification, suppression ;
- l’auditeur : lecture ;
- le gestionnaire des data bases DSI : lecture, consultation, modification, suppression (dans leur périmètre de responsabilité) ;
- le prestataire : lecture, consultation, modification, suppression.
À cet égard, le responsable de traitement précise qu’« en cas d’erreur de saisie, ou d’incapacité de l’agent pour X raisons de modifier une réservation, le manager aura la main pour effectuer une modification en lieu et place de l’agent. Cette fonctionnalité pourrait être utilisée pour ne pas bloquer un bureau inutilement. Une sensibilisation auprès des managers sur les fonctionnalités de l’outil et sur les règles à respecter sera faite lors du lancement de l’outil ». La Commission en prend acte.
En ce qui concerne le prestataire, la Commission rappelle que conformément aux dispositions de l’article 17 de la loi n° 1.165 du 23 décembre 1993, les droits d’accès doivent être limités à ce qui est strictement nécessaire à l’exécution de son contrat de prestation de service. De plus, ledit prestataire est soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
Sous ces réserves, et eu égard à la finalité du traitement, la Commission considère que les accès susvisés sont justifiés.
VI. Sur les rapprochements et interconnexions
Le responsable de traitement indique que le présent traitement fait l’objet d’interconnexions avec les traitements, légalement mis en œuvre, ayant pour finalité respective la « Gestion des habilitations et des accès au Système d’information », la « Gestion de la messagerie professionnelle », la « Gestion centralisée des accès aux applications du Système d’information » et la « Gestion et analyse des évènements du Système d’information ».
De plus, il indique que le présent traitement fait également l’objet d’un rapprochement avec le traitement ayant pour finalité « Assistance aux utilisateurs par le Centre de Service de la DSI ».
La Commission estime que ces interconnexions et rapprochements sont conformes aux exigences légales.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation particulière.
Cependant, les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement, au regard des risques présentés par ce traitement et de la nature des données à protéger, devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VIII. Sur la durée de conservation
Le responsable de traitement indique que les informations relatives à l’identité, aux coordonnées, à la vie professionnelle, aux données d’identification électronique, aux données statistiques et aux informations temporelles concernant les utilisateurs, les managers et les administrateurs de la solution sont conservées tant que l’utilisateur travaille au sein de la DITN/DSI.
Par ailleurs, les logs système sont supprimés à l’issue d’un délai de deux mois.
Enfin, il est précisé que les données des visiteurs de la DITN/DSI sont conservées tant que le visiteur a un bureau réservé.
La Commission relève que ces délais sont conformes aux exigences légales.
Après en avoir délibéré, la Commission :
Demande que les personnes concernées puissent exercer pleinement leurs droits conformément à l’article 14‑2 de la loi n° 1.165.
Recommande que les modalités d’accès les plus protectrices des droits des personnes soient mises en avant.
Rappelle que les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switch, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
Constate que le responsable de traitement s’engage à sensibiliser les utilisateurs et manager au respect de la vie privée, et qu’une mise à jour des guides d’utilisation de l’outil sera réalisée.
À la condition de la prise en compte de ce qui précède, la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d’État, du traitement automatisé d’informations nominatives ayant pour finalité « Gestion d’un outil de réservation de bureau et de suivi du télétravail ».
Le Président de la Commission
de Contrôle des Informations Nominatives.