Délibération n° 2019-170 du 20 novembre 2019 de la Commission de Contrôle des Informations Nominatives portant autorisation à la mise en œuvre de la modification du traitement automatisé d'informations nominatives ayant pour finalité « Gestion du contrôle d'accès, de décompte du temps de travail et des absences du personnel des CSM » présentée par la Caisse de Compensation des Services Sociaux.

Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l'Ordonnance-loi n° 397 du 27 septembre 1944 portant création d'une caisse de compensation des services sociaux de la Principauté de Monaco ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l'arrêté ministériel n° 2009-382 du 31 juillet 2009 portant application de l'article 7 de la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la délibération n° 2010-43 du 15 novembre 2010 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les dispositifs de contrôle d'accès sur le lieu de travail mis en œuvre par les personnes physiques ou morales de droit privé ;
Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d'informations nominatives ;
Vu la délibération n° 2011-21 du 14 février 2011 portant autorisation sur la demande présentée par la Caisse de Compensation des Services Sociaux (CCSS) relative à la mise en œuvre d'un traitement automatisé d'informations nominatives ayant pour finalité « Gestion du contrôle d'accès, de décompte du temps de travail et des absences du personnel des CSM » ;
Vu la demande d'autorisation déposée par la Caisse de Compensation des Services Sociaux le 19 août 2019 concernant la mise en œuvre de la modification d'un traitement automatisé d'informations nominatives ayant pour finalité « Gestion du contrôle d'accès, de décompte du temps de travail et des absences du personnel des CSM » ;
Vu la prorogation du délai d'examen de la présente demande d'autorisation notifiée au responsable de traitement le 17 octobre 2019, conformément à l'article 11-1 de la loi n° 1.165 du 23 décembre 1993 ;
La Commission de Contrôle des Informations Nominatives,

Préambule
La Caisse de Compensation des Services Sociaux (CCSS) est un organisme de droit privé investi d'une mission d'intérêt général au sens de l'arrêté ministériel n° 2009-382 du 31 juillet 2009 portant application de l'article 7 de la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée.
Conformément aux dispositions de l'article 11-1 de la loi n° 1.165 du 23 décembre 1993, la Commission a autorisé la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion du contrôle d'accès, de décompte du temps de travail et des absences du personnel des CSM », objet de la délibération n° 2011-21 du 14 février 2011.
La CCSS souhaite désormais modifier le traitement dont s'agit, en application de l'article 9 de la loi n° 1.165 du 23 décembre 1993 afin de tenir compte du remplacement du logiciel de décompte du temps de travail originel par un autre.
La finalité, les fonctionnalités, la justification du traitement, ainsi que la sécurité du traitement sont inchangées.

I. Sur les informations nominatives traitées
Le responsable de traitement indique que les informations nominatives traitées sont désormais les suivantes :
- identité : nom, prénom, n° d'immatriculation à la CCSS, n° de badge, enfants à charge pour besoin de calcul des congés, coordonnées de la personne à prévenir en cas d'urgence ;
- formation-diplômes/Vie professionnelle : accès aux locaux des personnes, contrôle des horaires, gestion des congés, date d'entrée, de fin de contrat et de clôture du compte, date de référence ancienneté.
Les informations relatives à l'identité ont pour origine les personnes concernées et le Service des Ressources Humaines.
Les informations relatives aux accès aux locaux, au contrôle des horaires et à la gestion des congés ont pour origine la base de données du logiciel.
Enfin, les informations relatives aux dates (entrée, fin de contrat, clôture du compte, référence ancienneté) ont pour origine les personnes concernées et le Service des Ressources Humaines.
La Commission considère ainsi que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.

II. Sur les droits des personnes concernées

• Sur l'information préalable des personnes concernées

Le responsable de traitement indique que l'information préalable s'effectue par le biais d'une mention ou clause particulière intégrée dans un document remis à l'intéressé et par une procédure interne accessible en Intranet.
À cet égard, il précise que « Des guides utilisateurs (un pour l'encadrement et un pour les collaborateurs), accessibles à l'ensemble du personnel, détaillent le fonctionnement du logiciel de gestion du temps.
De plus, deux documents décrivent notamment le système de pointage, la durée et les conditions de travail, la détermination de la rémunération et la gestion des congés :
- le livret d'accueil, remis à chaque nouvel entrant,
- la note récapitulative applicable à l'ensemble du personnel faisant office de Règlement Intérieur. ».
Ces documents n'ayant pas été joints à la demande d'autorisation, la Commission rappelle que ceux-ci doivent impérativement comporter l'ensemble des mentions prévues à l'article 14 de la loi n° 1.165 du 23 décembre 1993.

• Sur l'exercice du droit d'accès, de modification et de mise à jour

Le droit d'accès s'exerce désormais par un accès en ligne à son dossier, par voie postale, par courrier électronique ou sur place.
S'agissant de l'exercice du droit d'accès par voie électronique, la Commission considère qu'une procédure devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations. À ce titre, elle précise que si une copie d'un document d'identité était demandée, la transmission et le traitement de ce document devront faire l'objet de mesures de protection particulières comme rappelé dans sa délibération n° 2015-116 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d'identité officiels.
La Commission constate que les modalités d'exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993.

III. Sur les personnes ayant accès au traitement
Les personnes habilitées à avoir accès au traitement sont :
- l'ensemble du Service des Ressources Humaines : mise à jour ou corrections éventuelles ;
- chaque agent : consultation de son compte et demande de correction ;
- les responsables hiérarchiques : consultation des présences ou absences de leurs collaborateurs et validation des demandes de correction d'anomalies ;
- le Secrétariat des Ressources Humaines : délivrance et remplacement des badges personnalisés ;
- l'éditeur et le personnel du Service Informatique : tous droits dans le cadre de ses opérations de maintenance du système.
Considérant les attributions de chacune de ces personnes, et eu égard à la finalité du traitement, les accès susvisés sont justifiés.
En ce qui concerne le prestataire de services, elle rappelle que conformément aux dispositions de l'article 17 de la loi n° 1.165 du 23 décembre 1993, les droits d'accès doivent être limités à ce qui est strictement nécessaire à l'exécution de son contrat de prestation de service. De plus, ledit prestataire de services est soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
La Commission rappelle enfin qu'en application de l'article 17-1 de la loi n° 1.165 du 23 décembre 1993 la liste nominative des personnes ayant accès au traitement doit être tenue à jour, et précise que cette liste doit lui être communiquée à première réquisition.

IV. Sur les interconnexions et rapprochements
Le responsable de traitement indique que le présent traitement fait l'objet d'une interconnexion avec le traitement ayant pour finalité « Gestion des Ressources Humaines », légalement mis en œuvre.

V. Sur la durée de conservation
Le responsable de traitement indique que les informations relatives à l'identité, à la formation, aux diplômes et à la vie professionnelle sont conservées 5 ans après le départ du personnel de l'organisme, à l'exception des informations temporelles ou d'horodatage qui sont conservées 5 ans à compter de leur collecte.
La Commission considère que ces durées sont conformes aux exigences légales.
Après en avoir délibéré, la Commission :
Considère qu'une procédure relative au droit d'accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations.
Rappelle que :
- l'information préalable des personnes concernées doit impérativement comporter l'ensemble des mentons prévues à l'article 14 de la loi n° 1.165 du 23 décembre 1993 ;
- la liste nominative des personnes ayant accès au traitement doit être tenue à jour et doit lui être communiquée à première réquisition.
À la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives autorise la mise en œuvre par la Caisse de Compensation des Services Sociaux au titre de la gestion commune des organismes de la modification du traitement automatisé d'informations nominatives ayant pour finalité « Gestion du contrôle d'accès, de décompte du temps de travail et des absences du personnel des CSM ».

Le Président de la Commission de Contrôle des Informations Nominatives.