Délibération n° 2011-102 du 15 novembre 2011 de la Commission de Contrôle des Informations Nominatives portant avis favorable sur la demande par le Ministre d’Etat relative à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité «Postuler aux emplois publics de la Fonction Publique d’Etat par téléservice » de la Direction des Ressources Humaines et de la Formation de la Fonction Publique
Vu la Constitution ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 975 du 12 juillet 1975 portant statut des fonctionnaires de l’Etat ;
Vu l’ordonnance souveraine n° 1.635 du 30 avril 2008 fixant les attributions de la Direction des Ressources Humaines et de la Formation de la Fonction Publique ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu l’ordonnance souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l’Administration et l’administré, et son rapport de présentation ;
Vu l’ordonnance souveraine n° 3.122 du 11 février 2011 portant création de la Direction Informatique ;
Vu l’ordonnance souveraine n° 3.121 du 11 février 2011 portant création de la Direction de l’Administration Electronique et de l’Information aux Usagers ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu l’ordonnance souveraine n° 6.365 du 17 août 1978 fixant les conditions d’application de la loi n° 975 du 12 juillet 1975 portant statut des fonctionnaires de l’État ;
Vu la demande d’avis déposée, par le Ministre d’Etat, le 14 octobre 2011, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité «gestion des usagers» de la Direction de l’Administration Electronique et de l’Information aux Usagers ;
Vu la demande d’avis déposée, par le Ministre d’Etat, le 14 octobre 2011, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité «postuler aux emplois publics par téléservice» ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 15 novembre 2011 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
La Direction des Ressources Humaines et de la Formation de la Fonction Publique (DRHFFP) est un service exécutif, au sens de l’article 44 de la Constitution, placé sous l’autorité du Ministre d’Etat.
L’ordonnance Souveraine n° 1.635 du 30 avril 2008 portant création de cette Direction lui confie, notamment, pour mission de procéder au recrutement de l’ensemble des fonctionnaires et agents non titulaires de l’Etat.
Le traitement automatisé d’informations nominatives objet de la présente délibération entre dans ce cadre. Il est soumis à l’avis de la Commission, conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives.
Il s’inscrit dans le cadre du dispositif de modernisation de l’Administration souhaité par le Gouvernement au travers du développement de l’e-administration.
I. Sur la finalité et les fonctionnalités du traitement
Le traitement d’informations nominatives présenté a pour finalité «Postuler aux emplois publics par téléservice».
Les personnes concernées sont les personnes physiques qui souhaitent postuler à un avis de recrutement de l’Administration d’Etat par voie électronique.
Les fonctionnalités sont les suivantes :
- permettre à la Direction de l’Administration Electronique et de l’Information aux Usagers de mettre à jour les avis de recrutement auxquels les usagers peuvent postuler ;
- permettre aux personnes souhaitant postuler auprès de la DRHFFP à un ou plusieurs emploi(s) public(s) de l’Etat par voie électronique de :
• déposer leur dossier de candidature à un emploi public de la Fonction Publique de l’Etat ;
• mettre à jour les informations et documents lors de candidature(s) ultérieure(s) ;
• recevoir un accusé de réception électronique attestant du dépôt de sa candidature ;
- permettre à la DRHFFP de :
• recevoir les dossiers de candidatures à un emploi public de l’Etat et de les traiter conformément aux procédures établies en la matière ;
• adresser aux candidats un accusé de réception électronique de leur candidature par courrier électronique ;
- permettre au modérateur de la DRHFFP de réaliser les opérations de gestion des comptes utilisateurs au présent téléservice ;
- permettre à toute personne intéressée de contacter par courrier électronique la DRHFFP ;
- d’effectuer des sondages (anonymes) sur l’utilisation du téléservice ;
- de disposer des informations techniques permettant la gestion de la navigation sur le site dédié au téléservice ;
- d’établir des statistiques.
Pour accéder au présent traitement, toute personne souhaitant postuler à un emploi public devra préalablement créer un «compte personnel sécurisé», conformément au traitement automatisé ayant pour finalité «gestion de comptes personnels sécurisés permettant aux usagers
d’entreprendre des démarches par téléservices», et dans le respect des observations et demandes formalisées par la Commission dans sa délibération n° 2011-104 du 15 novembre 2011.
Conformément au précédent traitement, la Commission rappelle qu’«aucune information n’est transmise d’un téléservice à un autre [et qu’], il y a un cloisonnement étanche tant au niveau fonctionnel qu’au niveau des accès aux données».
Afin d’éviter toute confusion sur le champ d’application du téléservice qui ne porte que sur le recrutement des fonctionnaires et agents non titulaires de l’Etat, la Commission considère que la finalité du traitement doit être explicitée par « postuler aux emplois publics de la Fonction Publique d’Etat par téléservice ».
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
Aux termes de l’article 2 de l’ordonnance souveraine n° 1.635 du 30 avril 2008 fixant les attributions de la Direction des Ressources Humaines et de la Formation de la Fonction Publique, cette dernière a, notamment, pour missions, «de procéder au recrutement de l’ensemble des fonctionnaires et agents non titulaires de l’Etat», «d’examiner, en lien direct avec les Chefs de Service et Directeurs, toutes les questions d’organisation de service, de mobilité au sein de la Fonction Publique», et «de constituer une documentation et des statistiques d’ensemble concernant la Fonction Publique et de développer la communication en son sein».
La Commission constate que le traitement présenté est licite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
• Sur la justification du traitement
Le responsable de traitement indique que le présent traitement est justifié par le consentement des personnes concernées, le respect d’une obligation légale à laquelle est soumis le responsable de traitement, et la réalisation d’un intérêt légitime poursuivi par le responsable de traitement qui ne méconnaît ni l’intérêt, ni les droits et libertés fondamentaux des personnes concernées.
S’agissant du consentement des personnes concernées, la Commission relève qu’il est intégré dans les conditions générales d’utilisation du site qui doivent être acceptées par l’utilisateur au moment de son identification.
S’agissant du respect d’obligations légales, le responsable de traitement s’appuie sur les attributions de la DRHFFP précitées. La Commission observe que ce traitement s’inscrit également dans le cadre des dispositions générales ou particulières à certains emplois publics encadrant les modalités de recrutement des fonctionnaires et agents de l’Etat consacrées, notamment par la loi n° 975 du 12 juillet 1975 portant statut des fonctionnaires de l’Etat, les textes encadrant les agents et fonctionnaires de l’Etat relevant de statuts particuliers, ou encore les accords et conventions relatifs à la coopération franco-monégasque.
L’intérêt, les droits et libertés fondamentaux des personnes concernées sont pris en considération dès lors que l’utilisateur choisit librement de postuler à un emploi public via le présent téléservice d’une part, et par la limitation des informations nominatives traitées au strict nécessaire par rapport à la finalité recherchée d’autre part.
La Commission relève que le traitement est justifié conformément à l’article 10-2 de la loi n° 1.165.
III. Sur les informations traitées et leurs origines
La Commission rappelle que les informations nominatives traitées doivent être «adéquates, pertinentes et non excessives au regard de la finalité pour laquelle elles sont collectées», conformément à l’article 10-1 de la loi n° 1.165. Aussi, dès lors qu’un document comportant de telles informations subit une opération de numérisation afin de permettre son intégration dans un ensemble structuré permettant de disposer de l’ensemble des pièces et informations se rapportant à une personne physique donnée, la Commission s’assure de la pertinence de la collecte des documents et informations traitées.
A cet égard, la Commission relève qu’un dossier de candidature à un emploi de la Fonction Publique d’Etat doit être déposé dans un délai de dix jours à compter de la publication de l’avis de recrutement ou de concours au Journal de Monaco.
Elle observe qu’au cours de l’année 2011, les arrêtés ministériels portant ouverture de concours imposent aux candidats d’adresser à la DRHFFP un dossier comportant : une demande sur papier libre ou sur timbre, deux extraits de leur acte de naissance, un extrait du casier judiciaire, un certificat de nationalité, une copie certifiée conforme des titres et références présentés. Dans ce cas, ni la carte d’identité, ni la carte de séjour de l’intéressé ne sont demandées.
Par ailleurs, elle note que les avis de recrutement exigent que les candidats adressent un dossier comportant : une lettre de motivation, un curriculum-vitae à jour, une copie des titres et références, une copie de la carte d’identité ou de la carte de séjour pour les résidents en Principauté. L’extrait du casier judiciaire devant être fournit ultérieurement à la demande de l’Administration.
Aussi, la Commission remarque que les documents permettant à l’intéressé de justifier de son identité, de sa nationalité et de son domicile susceptibles d’être traités ne concernent pas uniquement la carte d’identité ou la carte de séjour, comme mentionné dans le dossier de demande d’avis, mais peuvent être, selon le fondement du recrutement un extrait de l’acte de naissance, une fiche d’état civil, ou un certificat de nationalité (pour les personnes de nationalité monégasque).
Se référant aux débats qui ont entouré l’instauration en Principauté d’une Carte d’Identité Electronique monégasque, comportant les empreintes digitales de leur titulaire, sur fond de protection des documents d’identité officiels, de lutte contre la fraude et la contrefaçon, la Commission estime que promouvoir la numérisation de ce document ne va pas dans le sens de la volonté de veiller à leur sécurisation comme mis en exergue en 2009.
Aussi, elle considère que la carte d’identité des candidats, quelle que soit leur nationalité ne peut faire l’objet d’un traitement automatisé quelle que soit le support utilisé. Ce document a donc été ôté des informations pouvant être traitées sur les intéressés.
Par ailleurs, tenant compte des procédures mises en place par la DRHFFP afin de veiller au respect des lois et règlements entourant le recrutement des fonctionnaires et agents de l’Etat, la Commission a relevé que d’autres documents pourraient, selon le cas, être demandés aux intéressés, donc traités dans le traitement en objet. Il s’agit de la carte de séjour, d’un extrait de l’acte de naissance, d’une fiche d’état civil, d’un certificat de nationalité, ainsi que d’une photographie.
En conséquence, les informations traitées sont les suivantes :
- identité : titre, nom, nom de jeune fille, prénom, date et lieu de naissance, nationalité, photographie ;
- adresses et coordonnées : adresse postale, téléphone, adresse électronique ;
- documents d’identité : carte de séjour, extrait de l’acte de naissance, fiche d’état civil, certificat de nationalité ;
- vie professionnelle : curriculum vitae, titres et diplômes ;
- historique de navigation de l’usager : pages visitées, temps resté sur les différentes pages ;
- données de connexion : données d’horodatage, log de connexion de l’utilisateur, données de messagerie de l’utilisateur.
Les documents numérisés sont joints sous un format d’image.
Ces informations ont pour origine :
- l’intéressé pour l’identité, les adresses, les documents d’identité, et la vie professionnelle ;
- le Module WEB du traitement pour l’historique de navigation et les données de connexion.
La Commission constate que les informations nominatives traitées sont «adéquates, pertinentes et non excessives», conformément à l’article 10-1 de la loi n° 1.165.
Elle rappelle que les informations nominatives des seuls candidats retenus pourront être ultérieurement traitées dans le cadre des traitements de la DRHFFP ayant pour finalité :
- «immatriculation des agents et fonctionnaires relevant de la Fonction Publique et de statut particulier», tel que mis en œuvre par décision du Ministre d’Etat du 19 août 2004 après avis favorable de la CCIN par délibération n° 2004-09 du 24 juillet 2004 ;
- «gestion des dossiers des fonctionnaires et agents relevant de la Fonction Publique et de statuts particuliers» de la Direction des Ressources Humaines et de la Formation de la Fonction Publique tel que modifié par décision du Ministre d’Etat du 2 octobre 2008, après avis favorable de la CCIN par délibération n° 2008-09 du 19 septembre 2008.
La Commission constate, par ailleurs, que ces utilisations ultérieures sont compatibles avec la présente, conformément aux dispositions de l’article 10-1 de la loi n° 1.165.
Enfin, la Commission rappelle que si des opérations permettant d’assurer la traçabilité du traitement des offres d’emploi devaient être mises en place, alors la présente demande d’avis devra être modifiée afin d’y intégrer ce processus qui comporte des informations nominatives se rapportant aux agents de la DRHFFP.
IV. Sur les droits des personnes concernées
• Sur l’information des personnes concernées
Le responsable de traitement indique que l’information préalable des personnes concernées est effectuée par une mention particulière intégrée dans un document d’ordre général accessible en ligne : les conditions générales d’utilisation du téléservice.
A l’examen de l’extrait de ces conditions se rapportant à l’information des personnes concernées, la Commission observe que les mentions obligatoires imposées par l’article 14 de la loi n° 1.165 sont respectées.
Elle observe toutefois que les personnes sont concernées par un traitement de leurs données qui a pour objet de leur permettre de postuler à un emploi public, et non par plusieurs traitements. Aussi, elle demande que le paragraphe sur le droit d’accès, de rectification et d’opposition soit modifié par «les personnes concernées par ce traitement (…)».
En outre, la Commission relève que le téléservice n’a pas pour objet de «fournir un produit ou un service » comme mentionné dans le même paragraphe, mais de « traiter la demande de l’intéressé».
Enfin, le droit d’accès pouvant s’exercer en ligne ou directement auprès de la DRHFFP, la Commission demande à ce que ces deux options soient clairement formalisées aux intéressés, et non uniquement celle lui imposant de se déplacer.
La Commission demande que les mentions d’information des personnes concernées établies pour respecter les dispositions de l’article 14 de la loi n° 1.165 soient amendées dans ce sens afin de les rendre cohérentes avec l’objet du présent traitement.
• Sur l’exercice du droit d’accès
Selon le responsable de traitement, le droit d’accès est exercé par un accès en ligne direct ou sur place auprès de la DRHFFP. Le délai de réponse est de trente jours.
Les droits de modification, mise à jour et suppression des données sont exercés par un message de validation du dossier accessible en ligne ou auprès de cette même Direction.
Les modalités d’exercice des droits des personnes concernées sont donc conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.
V. Sur les personnes ayant accès au traitement et les destinataires des informations
• Sur les personnes ayant accès au traitement
D’après le responsable de traitement, les personnes habilitées à avoir accès au traitement sont :
- les personnels de la DRHFFP en charge de la gestion des candidatures et de leurs suites : accès en consultation, extraction et exploitation des informations dans le cadre de leurs fonctions ;
- le personnel habilité de la Direction Informatique ou tiers intervenant pour son compte : tout accès dans le cadre des missions de maintenance, de développement des applicatifs nécessaires au fonctionnement du site, mais aussi du contrôle et du maintien des mesures de la sécurité du site et du système d’information de l’Etat ;
- le personnel habilité de la Direction de l’Administration Electronique et de l’Information aux Usagers, ou les personnes agissant sous son autorité : tout accès dans le cadre des missions d’assistance à maîtrise d’ouvrage sur la procédure qui leur sont affectés.
Concernant les tiers intervenant pour le compte de la DAEIU ou de la Direction Informatique, la Commission prend acte que «les sociétés qui interviennent sont tenues à des engagements de confidentialité qui se retrouvent dans les contrats passés par l’Administration». Elle observe donc que le responsable de traitement précise s’être assuré que les prestataires agissant sous son autorité sont en mesure de satisfaire aux obligations de sécurité et de confidentialité des traitements et des informations nominatives conformément à l’article 17 de la loi n° 1.165, susvisée.
Les accès au présent traitement sont dévolus en considération des missions et des fonctions des personnes auxquels ils sont attribués, conformément aux articles 8 et 17 de la loi n° 1.165, modifiée.
• Sur les destinataires des informations
Les destinataires des informations sont les chefs de service concernés par le recrutement.
VI. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations n’appellent pas d’observation.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VII. Sur la durée de conservation
D’après le responsable de traitement, les informations traitées sont conservées pendant les durées suivantes :
- les informations relatives à l’identité, aux adresses, à la vie professionnelle sont conservées 6 mois à partir de la dernière candidature de l’intéressé ;
- les informations relatives à l’historique de navigation, et aux données de connexion sont conservées 3 mois.
La Commission considère que ces durées de conservation sont conformes aux articles 9 et 10-1 de la loi n° 1.165.
La durée de conservation des données d’horodatage a appelé l’attention de la Commission. En effet, ces dernières permettent de déterminer les éléments temporels du dépôt d’une offre d’emploi. Considérant les délais posés par la loi n° 629 susvisée et les délais de prescriptions en cas de litige, la Commission recommande au responsable de traitement de s’interroger sur l’impact des données d’horodatage en termes de contentieux administratifs et de s’assurer que le délai de 3 mois est suffisant pour permettre tant à l’Administration qu’aux usagers de défendre leurs droits.
Après en avoir délibéré :
Rappelle que si des opérations permettant d’assurer la traçabilité du traitement des candidatures devaient être mises en place, et que ces opérations venaient à permettre de déterminer quel agent de la DRHFFP a traité quel dossier et quand, alors la présente demande d’avis devra être modifiée afin d’y intégrer ce processus qui comporte des informations nominatives se rapportant auxdits agents ;
Recommande qu’une étude soit réalisée sur l’impact de la conservation des données d’horodatage en termes de contentieux administratifs afin de veiller à l’instauration d’un délai de conservation des informations suffisant pour permettre tant à l’Administration qu’aux usagers de défendre leurs droits ;
Demande que :
- la finalité du traitement soit explicitée en intégrant la notion de «Fonction Publique d’Etat» eu égard à son champ d’application ;
- la carte d’identité des candidats ne soit pas collectée ;
- les mentions d’informations des personnes concernées soient amendées comme précisé dans la délibération.
A la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par le Ministre d’Etat du traitement automatisé d’informations nominatives ayant pour finalité «Postuler aux emplois publics de la Fonction Publique d’Etat par téléservice» de la Direction des Ressources Humaines et de la Formation de la Fonction Publique.
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 975 du 12 juillet 1975 portant statut des fonctionnaires de l’Etat ;
Vu l’ordonnance souveraine n° 1.635 du 30 avril 2008 fixant les attributions de la Direction des Ressources Humaines et de la Formation de la Fonction Publique ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu l’ordonnance souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l’Administration et l’administré, et son rapport de présentation ;
Vu l’ordonnance souveraine n° 3.122 du 11 février 2011 portant création de la Direction Informatique ;
Vu l’ordonnance souveraine n° 3.121 du 11 février 2011 portant création de la Direction de l’Administration Electronique et de l’Information aux Usagers ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu l’ordonnance souveraine n° 6.365 du 17 août 1978 fixant les conditions d’application de la loi n° 975 du 12 juillet 1975 portant statut des fonctionnaires de l’État ;
Vu la demande d’avis déposée, par le Ministre d’Etat, le 14 octobre 2011, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité «gestion des usagers» de la Direction de l’Administration Electronique et de l’Information aux Usagers ;
Vu la demande d’avis déposée, par le Ministre d’Etat, le 14 octobre 2011, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité «postuler aux emplois publics par téléservice» ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 15 novembre 2011 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
La Direction des Ressources Humaines et de la Formation de la Fonction Publique (DRHFFP) est un service exécutif, au sens de l’article 44 de la Constitution, placé sous l’autorité du Ministre d’Etat.
L’ordonnance Souveraine n° 1.635 du 30 avril 2008 portant création de cette Direction lui confie, notamment, pour mission de procéder au recrutement de l’ensemble des fonctionnaires et agents non titulaires de l’Etat.
Le traitement automatisé d’informations nominatives objet de la présente délibération entre dans ce cadre. Il est soumis à l’avis de la Commission, conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives.
Il s’inscrit dans le cadre du dispositif de modernisation de l’Administration souhaité par le Gouvernement au travers du développement de l’e-administration.
I. Sur la finalité et les fonctionnalités du traitement
Le traitement d’informations nominatives présenté a pour finalité «Postuler aux emplois publics par téléservice».
Les personnes concernées sont les personnes physiques qui souhaitent postuler à un avis de recrutement de l’Administration d’Etat par voie électronique.
Les fonctionnalités sont les suivantes :
- permettre à la Direction de l’Administration Electronique et de l’Information aux Usagers de mettre à jour les avis de recrutement auxquels les usagers peuvent postuler ;
- permettre aux personnes souhaitant postuler auprès de la DRHFFP à un ou plusieurs emploi(s) public(s) de l’Etat par voie électronique de :
• déposer leur dossier de candidature à un emploi public de la Fonction Publique de l’Etat ;
• mettre à jour les informations et documents lors de candidature(s) ultérieure(s) ;
• recevoir un accusé de réception électronique attestant du dépôt de sa candidature ;
- permettre à la DRHFFP de :
• recevoir les dossiers de candidatures à un emploi public de l’Etat et de les traiter conformément aux procédures établies en la matière ;
• adresser aux candidats un accusé de réception électronique de leur candidature par courrier électronique ;
- permettre au modérateur de la DRHFFP de réaliser les opérations de gestion des comptes utilisateurs au présent téléservice ;
- permettre à toute personne intéressée de contacter par courrier électronique la DRHFFP ;
- d’effectuer des sondages (anonymes) sur l’utilisation du téléservice ;
- de disposer des informations techniques permettant la gestion de la navigation sur le site dédié au téléservice ;
- d’établir des statistiques.
Pour accéder au présent traitement, toute personne souhaitant postuler à un emploi public devra préalablement créer un «compte personnel sécurisé», conformément au traitement automatisé ayant pour finalité «gestion de comptes personnels sécurisés permettant aux usagers
d’entreprendre des démarches par téléservices», et dans le respect des observations et demandes formalisées par la Commission dans sa délibération n° 2011-104 du 15 novembre 2011.
Conformément au précédent traitement, la Commission rappelle qu’«aucune information n’est transmise d’un téléservice à un autre [et qu’], il y a un cloisonnement étanche tant au niveau fonctionnel qu’au niveau des accès aux données».
Afin d’éviter toute confusion sur le champ d’application du téléservice qui ne porte que sur le recrutement des fonctionnaires et agents non titulaires de l’Etat, la Commission considère que la finalité du traitement doit être explicitée par « postuler aux emplois publics de la Fonction Publique d’Etat par téléservice ».
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
Aux termes de l’article 2 de l’ordonnance souveraine n° 1.635 du 30 avril 2008 fixant les attributions de la Direction des Ressources Humaines et de la Formation de la Fonction Publique, cette dernière a, notamment, pour missions, «de procéder au recrutement de l’ensemble des fonctionnaires et agents non titulaires de l’Etat», «d’examiner, en lien direct avec les Chefs de Service et Directeurs, toutes les questions d’organisation de service, de mobilité au sein de la Fonction Publique», et «de constituer une documentation et des statistiques d’ensemble concernant la Fonction Publique et de développer la communication en son sein».
La Commission constate que le traitement présenté est licite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
• Sur la justification du traitement
Le responsable de traitement indique que le présent traitement est justifié par le consentement des personnes concernées, le respect d’une obligation légale à laquelle est soumis le responsable de traitement, et la réalisation d’un intérêt légitime poursuivi par le responsable de traitement qui ne méconnaît ni l’intérêt, ni les droits et libertés fondamentaux des personnes concernées.
S’agissant du consentement des personnes concernées, la Commission relève qu’il est intégré dans les conditions générales d’utilisation du site qui doivent être acceptées par l’utilisateur au moment de son identification.
S’agissant du respect d’obligations légales, le responsable de traitement s’appuie sur les attributions de la DRHFFP précitées. La Commission observe que ce traitement s’inscrit également dans le cadre des dispositions générales ou particulières à certains emplois publics encadrant les modalités de recrutement des fonctionnaires et agents de l’Etat consacrées, notamment par la loi n° 975 du 12 juillet 1975 portant statut des fonctionnaires de l’Etat, les textes encadrant les agents et fonctionnaires de l’Etat relevant de statuts particuliers, ou encore les accords et conventions relatifs à la coopération franco-monégasque.
L’intérêt, les droits et libertés fondamentaux des personnes concernées sont pris en considération dès lors que l’utilisateur choisit librement de postuler à un emploi public via le présent téléservice d’une part, et par la limitation des informations nominatives traitées au strict nécessaire par rapport à la finalité recherchée d’autre part.
La Commission relève que le traitement est justifié conformément à l’article 10-2 de la loi n° 1.165.
III. Sur les informations traitées et leurs origines
La Commission rappelle que les informations nominatives traitées doivent être «adéquates, pertinentes et non excessives au regard de la finalité pour laquelle elles sont collectées», conformément à l’article 10-1 de la loi n° 1.165. Aussi, dès lors qu’un document comportant de telles informations subit une opération de numérisation afin de permettre son intégration dans un ensemble structuré permettant de disposer de l’ensemble des pièces et informations se rapportant à une personne physique donnée, la Commission s’assure de la pertinence de la collecte des documents et informations traitées.
A cet égard, la Commission relève qu’un dossier de candidature à un emploi de la Fonction Publique d’Etat doit être déposé dans un délai de dix jours à compter de la publication de l’avis de recrutement ou de concours au Journal de Monaco.
Elle observe qu’au cours de l’année 2011, les arrêtés ministériels portant ouverture de concours imposent aux candidats d’adresser à la DRHFFP un dossier comportant : une demande sur papier libre ou sur timbre, deux extraits de leur acte de naissance, un extrait du casier judiciaire, un certificat de nationalité, une copie certifiée conforme des titres et références présentés. Dans ce cas, ni la carte d’identité, ni la carte de séjour de l’intéressé ne sont demandées.
Par ailleurs, elle note que les avis de recrutement exigent que les candidats adressent un dossier comportant : une lettre de motivation, un curriculum-vitae à jour, une copie des titres et références, une copie de la carte d’identité ou de la carte de séjour pour les résidents en Principauté. L’extrait du casier judiciaire devant être fournit ultérieurement à la demande de l’Administration.
Aussi, la Commission remarque que les documents permettant à l’intéressé de justifier de son identité, de sa nationalité et de son domicile susceptibles d’être traités ne concernent pas uniquement la carte d’identité ou la carte de séjour, comme mentionné dans le dossier de demande d’avis, mais peuvent être, selon le fondement du recrutement un extrait de l’acte de naissance, une fiche d’état civil, ou un certificat de nationalité (pour les personnes de nationalité monégasque).
Se référant aux débats qui ont entouré l’instauration en Principauté d’une Carte d’Identité Electronique monégasque, comportant les empreintes digitales de leur titulaire, sur fond de protection des documents d’identité officiels, de lutte contre la fraude et la contrefaçon, la Commission estime que promouvoir la numérisation de ce document ne va pas dans le sens de la volonté de veiller à leur sécurisation comme mis en exergue en 2009.
Aussi, elle considère que la carte d’identité des candidats, quelle que soit leur nationalité ne peut faire l’objet d’un traitement automatisé quelle que soit le support utilisé. Ce document a donc été ôté des informations pouvant être traitées sur les intéressés.
Par ailleurs, tenant compte des procédures mises en place par la DRHFFP afin de veiller au respect des lois et règlements entourant le recrutement des fonctionnaires et agents de l’Etat, la Commission a relevé que d’autres documents pourraient, selon le cas, être demandés aux intéressés, donc traités dans le traitement en objet. Il s’agit de la carte de séjour, d’un extrait de l’acte de naissance, d’une fiche d’état civil, d’un certificat de nationalité, ainsi que d’une photographie.
En conséquence, les informations traitées sont les suivantes :
- identité : titre, nom, nom de jeune fille, prénom, date et lieu de naissance, nationalité, photographie ;
- adresses et coordonnées : adresse postale, téléphone, adresse électronique ;
- documents d’identité : carte de séjour, extrait de l’acte de naissance, fiche d’état civil, certificat de nationalité ;
- vie professionnelle : curriculum vitae, titres et diplômes ;
- historique de navigation de l’usager : pages visitées, temps resté sur les différentes pages ;
- données de connexion : données d’horodatage, log de connexion de l’utilisateur, données de messagerie de l’utilisateur.
Les documents numérisés sont joints sous un format d’image.
Ces informations ont pour origine :
- l’intéressé pour l’identité, les adresses, les documents d’identité, et la vie professionnelle ;
- le Module WEB du traitement pour l’historique de navigation et les données de connexion.
La Commission constate que les informations nominatives traitées sont «adéquates, pertinentes et non excessives», conformément à l’article 10-1 de la loi n° 1.165.
Elle rappelle que les informations nominatives des seuls candidats retenus pourront être ultérieurement traitées dans le cadre des traitements de la DRHFFP ayant pour finalité :
- «immatriculation des agents et fonctionnaires relevant de la Fonction Publique et de statut particulier», tel que mis en œuvre par décision du Ministre d’Etat du 19 août 2004 après avis favorable de la CCIN par délibération n° 2004-09 du 24 juillet 2004 ;
- «gestion des dossiers des fonctionnaires et agents relevant de la Fonction Publique et de statuts particuliers» de la Direction des Ressources Humaines et de la Formation de la Fonction Publique tel que modifié par décision du Ministre d’Etat du 2 octobre 2008, après avis favorable de la CCIN par délibération n° 2008-09 du 19 septembre 2008.
La Commission constate, par ailleurs, que ces utilisations ultérieures sont compatibles avec la présente, conformément aux dispositions de l’article 10-1 de la loi n° 1.165.
Enfin, la Commission rappelle que si des opérations permettant d’assurer la traçabilité du traitement des offres d’emploi devaient être mises en place, alors la présente demande d’avis devra être modifiée afin d’y intégrer ce processus qui comporte des informations nominatives se rapportant aux agents de la DRHFFP.
IV. Sur les droits des personnes concernées
• Sur l’information des personnes concernées
Le responsable de traitement indique que l’information préalable des personnes concernées est effectuée par une mention particulière intégrée dans un document d’ordre général accessible en ligne : les conditions générales d’utilisation du téléservice.
A l’examen de l’extrait de ces conditions se rapportant à l’information des personnes concernées, la Commission observe que les mentions obligatoires imposées par l’article 14 de la loi n° 1.165 sont respectées.
Elle observe toutefois que les personnes sont concernées par un traitement de leurs données qui a pour objet de leur permettre de postuler à un emploi public, et non par plusieurs traitements. Aussi, elle demande que le paragraphe sur le droit d’accès, de rectification et d’opposition soit modifié par «les personnes concernées par ce traitement (…)».
En outre, la Commission relève que le téléservice n’a pas pour objet de «fournir un produit ou un service » comme mentionné dans le même paragraphe, mais de « traiter la demande de l’intéressé».
Enfin, le droit d’accès pouvant s’exercer en ligne ou directement auprès de la DRHFFP, la Commission demande à ce que ces deux options soient clairement formalisées aux intéressés, et non uniquement celle lui imposant de se déplacer.
La Commission demande que les mentions d’information des personnes concernées établies pour respecter les dispositions de l’article 14 de la loi n° 1.165 soient amendées dans ce sens afin de les rendre cohérentes avec l’objet du présent traitement.
• Sur l’exercice du droit d’accès
Selon le responsable de traitement, le droit d’accès est exercé par un accès en ligne direct ou sur place auprès de la DRHFFP. Le délai de réponse est de trente jours.
Les droits de modification, mise à jour et suppression des données sont exercés par un message de validation du dossier accessible en ligne ou auprès de cette même Direction.
Les modalités d’exercice des droits des personnes concernées sont donc conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.
V. Sur les personnes ayant accès au traitement et les destinataires des informations
• Sur les personnes ayant accès au traitement
D’après le responsable de traitement, les personnes habilitées à avoir accès au traitement sont :
- les personnels de la DRHFFP en charge de la gestion des candidatures et de leurs suites : accès en consultation, extraction et exploitation des informations dans le cadre de leurs fonctions ;
- le personnel habilité de la Direction Informatique ou tiers intervenant pour son compte : tout accès dans le cadre des missions de maintenance, de développement des applicatifs nécessaires au fonctionnement du site, mais aussi du contrôle et du maintien des mesures de la sécurité du site et du système d’information de l’Etat ;
- le personnel habilité de la Direction de l’Administration Electronique et de l’Information aux Usagers, ou les personnes agissant sous son autorité : tout accès dans le cadre des missions d’assistance à maîtrise d’ouvrage sur la procédure qui leur sont affectés.
Concernant les tiers intervenant pour le compte de la DAEIU ou de la Direction Informatique, la Commission prend acte que «les sociétés qui interviennent sont tenues à des engagements de confidentialité qui se retrouvent dans les contrats passés par l’Administration». Elle observe donc que le responsable de traitement précise s’être assuré que les prestataires agissant sous son autorité sont en mesure de satisfaire aux obligations de sécurité et de confidentialité des traitements et des informations nominatives conformément à l’article 17 de la loi n° 1.165, susvisée.
Les accès au présent traitement sont dévolus en considération des missions et des fonctions des personnes auxquels ils sont attribués, conformément aux articles 8 et 17 de la loi n° 1.165, modifiée.
• Sur les destinataires des informations
Les destinataires des informations sont les chefs de service concernés par le recrutement.
VI. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations n’appellent pas d’observation.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VII. Sur la durée de conservation
D’après le responsable de traitement, les informations traitées sont conservées pendant les durées suivantes :
- les informations relatives à l’identité, aux adresses, à la vie professionnelle sont conservées 6 mois à partir de la dernière candidature de l’intéressé ;
- les informations relatives à l’historique de navigation, et aux données de connexion sont conservées 3 mois.
La Commission considère que ces durées de conservation sont conformes aux articles 9 et 10-1 de la loi n° 1.165.
La durée de conservation des données d’horodatage a appelé l’attention de la Commission. En effet, ces dernières permettent de déterminer les éléments temporels du dépôt d’une offre d’emploi. Considérant les délais posés par la loi n° 629 susvisée et les délais de prescriptions en cas de litige, la Commission recommande au responsable de traitement de s’interroger sur l’impact des données d’horodatage en termes de contentieux administratifs et de s’assurer que le délai de 3 mois est suffisant pour permettre tant à l’Administration qu’aux usagers de défendre leurs droits.
Après en avoir délibéré :
Rappelle que si des opérations permettant d’assurer la traçabilité du traitement des candidatures devaient être mises en place, et que ces opérations venaient à permettre de déterminer quel agent de la DRHFFP a traité quel dossier et quand, alors la présente demande d’avis devra être modifiée afin d’y intégrer ce processus qui comporte des informations nominatives se rapportant auxdits agents ;
Recommande qu’une étude soit réalisée sur l’impact de la conservation des données d’horodatage en termes de contentieux administratifs afin de veiller à l’instauration d’un délai de conservation des informations suffisant pour permettre tant à l’Administration qu’aux usagers de défendre leurs droits ;
Demande que :
- la finalité du traitement soit explicitée en intégrant la notion de «Fonction Publique d’Etat» eu égard à son champ d’application ;
- la carte d’identité des candidats ne soit pas collectée ;
- les mentions d’informations des personnes concernées soient amendées comme précisé dans la délibération.
A la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par le Ministre d’Etat du traitement automatisé d’informations nominatives ayant pour finalité «Postuler aux emplois publics de la Fonction Publique d’Etat par téléservice» de la Direction des Ressources Humaines et de la Formation de la Fonction Publique.
Le Président de la Commission
de Contrôle des Informations Nominatives.