Délibération n° 2011-108 du 28 novembre 2011 de la commission de contrôle des informations nominatives portant avis favorable sur la demande presentée par le Ministre d’état relative à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité «assurer la diffusion d’informations institutionnelles sur la Principauté de Monaco» de la direction de l’administration électronique et de l’information aux usagers
Vu la Constitution ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 1.383 du 2 août 2011 sur l’économie numérique ;
Vu la loi n° 1.299 du 15 juillet 2005 sur la liberté d’expression publique ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu l’ordonnance souveraine n° 3.122 du 11 février 2011 portant création de la Direction Informatique ;
Vu l’ordonnance souveraine n° 3.121 du 11 février 2011 portant création de la Direction de l’Administration Electronique et de l’Information aux Usagers ;
Vu l’ordonnance souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l’administration et l’administré, et son rapport de présentation ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu le traitement automatisé d’informations nominatives ayant pour finalité «site d’information au public», mis en œuvre par décision du Ministre d’Etat le 7 novembre 2005, après avis favorable de la CCIN par délibération n° 2005-16 du 3 octobre 2005 ;
Vu la demande d’avis déposée, par le Ministre d’Etat, le 17 octobre 2011, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité «sites Internet d’information au public» ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 28 novembre 2011 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives
Préambule
Le traitement automatisé d’informations nominatives objet de la présente délibération vise à permettre à la Direction de l’Administration Electronique et de l’Information aux Usagers (DAEIU) de gérer les sites Internet institutionnels qui seront déployés par le Gouvernement. Il est soumis à l’avis de la Commission, conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives.
I. Sur la finalité et les fonctionnalités du traitement
Le traitement d’informations nominatives présenté a pour finalité «sites Internet d’information au public».
Les personnes concernées sont définies comme étant «tous publics». Il peut s’agir de personnes sur lesquelles des informations sont diffusées en lien avec l’actualité de la Principauté de Monaco et/ou l’action du Gouvernement (ex. personne ayant participé à un événement public, représentant officiel des pays étrangers, officiels de la Principauté…), de personnes ayant une activité professionnelle au sein de l’Administration (ex. organigramme de l’Administration), ou plus généralement de toute personne échangeant des correspondances électroniques avec l’Administration.
Les fonctionnalités du traitement sont les suivantes :
- assurer la diffusion d’informations aux administrés et à toute personne intéressée par la Principauté se rapportant à :
• des informations institutionnelles :
• sur l’organisation des Institutions de la Principauté, de son Gouvernement et de l’Administration ;
• sur les représentations étrangères en Principauté et sur les représentations de la Principauté à l’étranger ;
• des actualités sur les activités et les actions du Gouvernement et des services de l’Administration ;
• des communiqués de presse, communiqués administratifs et des actualités publiées par le Centre de Presse.
- de mettre à disposition des points de contact entre les usagers et les services administratifs par :
• la diffusion des organigrammes et coordonnées des Directions et services administratifs ;
• l’identification des missions des services et si nécessaire, des fonctions, voire des personnes en charge de domaine spécifique ;
• la mise à disposition d’adresses électroniques génériques permettantaux usagers de s’adresser à l’Administration par voie électronique.
- d’échanger avec les administrés en leur permettant de :
• déposer des contributions ou suggestions générales ou thématiques ;
• recevoir des «newsletters» des Directions ou services administratifs ;
• répondre à des sondages anonymes.
La demande d’avis décline les outils qui seront mis en place afin de permettre aux usagers, administrations, voire à tout internaute intéressé par la Principauté de disposer d’informations sur des sites Internet, gérés par la DAEIU, établis en gardant à l’esprit la lisibilité des données, leur cohérence, et en évitant l’écueil de la multiplication et de la dispersion des supports.
En pratique, la DAEIU met en place des outils, des plateformes de communication que les services de l’Administration alimenteront, et que les usagers pourront utiliser pour s’informer ou prendre contact avec les services administratifs.
La Commission rappelle qu’aux termes de l’article 10-1 de la loi n° 1.165, la finalité d’un traitement automatisé doit être «déterminée, explicite et légitime».
Elle relève que la finalité intitulée «sites Internet d’information au public» ne permet pas de savoir quel est l’objectif global justifiant la collecte et le traitement d’informations nominatives. Considérant les fonctionnalités du traitement, la Commission estime que la finalité doit être renommée de la manière suivante : «assurer la diffusion d’informations institutionnelles sur la Principauté de Monaco».
Par ailleurs, la demande d’avis comporte une autre fonctionnalité qui a pour objet de mettre en place des espaces privés et des espace de discussion qui permettent aux utilisateurs répondant à des profils déterminés de participer à des forums de discussion, de s’inscrire ou de se voir proposer de participer à des espaces de discussion privés ou thématiques avec accès à des documents, publications, groupes d’échange.
Les forums de discussion sont présentés comme modéré, thématiques et ouverts à un public ciblé. L’objectif de cette fonctionnalité n’est donc plus de diffuser de l’information à sens unique de l’Administration vers les usagers, ou de répondre à des correspondances entre un service administratif et un usager, mais de permettre à certaines catégories de personnes d’échanger sur une thématique donnée.
La Commission observe que l’objectif d’un forum de discussion est spécifique à son objet et que sa création doit être décidée selon les besoins d’une entité administrative déterminée. En outre, les informations traitées doivent être établies selon les critères de sélection d’entrée et les durées de conservation des données seront susceptibles de varier selon les forums.
Or, l’article 10-1 de la loi n° 1.165 impose que les «informations nominatives soient collectées pour une finalité déterminée, explicite et légitime». La Commission estime donc que la mise en place de forums de discussion ne peut être intégrée dans un traitement général permettant la diffusion à tous d’informations de type institutionnel.
Elle exclue donc cette fonctionnalité de l’analyse du présent traitement. Elle invite, néanmoins, les entités administratives concernées à revenir vers elle avec une demande d’avis appropriée.
En complément, la Commission relève que le présent traitement se substitue au traitement ayant pour finalité «site d’information au public» mis en œuvre le 7 novembre 2005 après avis favorable de la Commission. Elle demande donc que ce dernier traitement soit supprimé.
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
La Commission observe que la DAEIU, placée sous l’autorité du Ministre d’Etat, a été créée par l’ordonnance souveraine n° 3.121 du 11 février 2011 susvisée.
Considérant les missions dudit service, telles que précisées à l’article 2 de l’ordonnance souveraine précitée, la DAEIU apparaît être le service administratif central de la gestion des sites Internet de l’Administration. Ses attributions lui permettent d’être un relais de la diffusion de l’information institutionnelle, de jouer le rôle de moteur et de catalyseur pour un développement cohérent de l’e-administration.
La Commission constate que le traitement présenté est licite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
• Sur la justification du traitement
Le responsable de traitement indique que la mise en œuvre du présent traitement est justifiée par :
- le consentement des personnes concernées, qui choisissent ce mode d’information ou de communication dématérialisée avec l’Administration et doivent préalablement à l’utilisation accepter les conditions générales d’utilisation ;
- le respect d’une obligation légale de la DAEIU qui a pour mission de mettre à disposition des usagers une documentation administrative complète, de les informer sur les démarches à accomplir, qui doit «identifier et analyser les attentes des usagers en matière de procédures et d’information administratives » ;
- un motif d’intérêt public qui repose sur la qualité de l’information mise à disposition des administrés et le développement des nouvelles technologies dans le cadre de l’information aux usagers et des démarches administratives ;
- la réalisation d’un intérêt légitime, précisé comme étant la simplification des démarches administratives des usagers et la création de téléservice conformément à l’ordonnance souveraine n° 3.413 précitée.
La Commission relève ainsi que le traitement automatisé est justifié conformément à l’article 10-2 de la loi n° 1.165.
III. Sur les informations traitées et leurs origines
• Informations collectées
Selon le responsable de traitement, les informations traitées sont les suivantes :
- Identité : titre, nom, prénom, civilité, photo, fonction ;
- Adresses et coordonnées : adresse postale, téléphone et adresse électronique des services administratifs, adresse électronique des internautes qui contactent l’administration ou souhaitent recevoir une newsletter ;
- Formation - vie professionnelle : parcours et curriculum vitae des hauts fonctionnaires et des personnalités du Gouvernement, portraits de personnalité ;
- Données d’identification électronique : identifiant technique, adresse IP, mot de passe crypté ;
- Données de connexion : données d’horodatage, log de connexion de l’utilisateur, données de messagerie de l’utilisateur.
En complément, la Commission relève que des informations nominatives relatives aux personnels de l’Administration qui auront des rôles de contributeurs, afin de créer ou de modifier des contenus destinés à être diffusés sur le ou les sites Internet du Gouvernement, seront également traitées. En effet, la collecte de leurs informations est nécessaire afin de leur permettre d’accéder aux outils de publication, de tracer les opérations réalisées et de répondre aux obligations de l’article 34 de la loi n° 1.383 du 2 août 2011 sur l’économie numérique.
Cependant, la Commission observe que les modalités d’application de l’article 34 de la loi précitée sont soumises aux dispositions d’une ordonnance souveraine non encore publiée. Elle demande donc qu’une demande d’avis modificative lui soit adressée sur ces éléments dès que l’ordonnance souveraine dont s’agit aura été édictée.
Par ailleurs, concernant la diffusion des photographies des personnalités ou des photographies prises lors de manifestations publiques, la Commission relève qu’elle devra être respectueuse de la loi n° 1056 du 27 mai 1983 concernant la protection du nom ou des titres et de l’image des personnes et de la loi n° 1.299 du 15 juillet 2005 sur la liberté d’expression publique.
Enfin, s’agissant de la diffusion des photographies des agents publics de l’Etat à des fins de présentation des services de l’Administration, la Commission considère que le consentement des intéressés devra être demandé préalablement à cette diffusion.
• Origine des informations
Ces informations ont pour origine :
- pour les informations diffusées à titre d’information, communiqué de presse ou actualité, les parcours et curriculum vitae des membres du gouvernement et personnalités : le référent habilité de l’entité administrative ayant diffusé l’information ;
- pour les informations portant sur les organigrammes et les missions des services : le référent habilité de chaque entité administrative ;
- pour les adresses électroniques professionnelles des entités administratives : le référent habilité de l’entité administrative ayant diffusé l’information ;
- pour les adresses électroniques des personnes souhaitant recevoir une newsletter : les internautes intéressés.
La Commission relève que ce traitement permet l’exploitation d’informations nominatives collectées et traitées par des entités administratives dans le cadre de leurs missions. Elle rappelle que la loi n° 1.165 impose à tout responsable de traitement de veiller à la compatibilité de l’exploitation des informations nominatives, de leur collecte jusqu’à leur suppression.
Aussi, elle demande que chaque entité qui aura la possibilité de diffuser des informations nominatives par ce biais s’assure, préalablement à la saisie d’informations nominatives sur les sites du Gouvernement, que le traitement initial des informations, s’il existe, a été légalement mis en œuvre au sens de la loi n° 1.165.
La Commission rappelle par ailleurs que les services à l’origine des informations diffusées devront être clairement identifiés afin que les personnes concernées, les personnes sur lesquelles des informations nominatives sont diffusées puissent exercer leurs droits.
Elle relève enfin que les informations traitées sont «adéquates, pertinentes et non excessives» conformément à l’article 10-1 de la loi n° 1.165.
IV. Sur les droits des personnes concernées
• Sur l’information des personnes concernées
Le responsable de traitement indique que l’information préalable des personnes concernées est effectuée par une mention particulière intégrée dans un document d’ordre général accessible en ligne : les conditions générales d’utilisation.
Considérant ce qui précède, ces conditions générales d’utilisation devront supprimer toute référence aux «espaces privés». Par ailleurs, les éléments faisant référence à l’avis favorable de la CCIN devront être adaptés au traitement en objet.
D’après le responsable de traitement, aucun procédé n’est mis en place afin de conserver des informations ou d’accéder à des informations conservées dans l’équipement terminal d’un abonné ou d’un utilisateur. Cet élément est important car, conformément à l’article 14-2 de la loi n° 1.165, si de tels procédés sont mis en place, le responsable de traitement doit informer l’utilisateur de manière «claire et complète» de leur existence, de leur finalité et des moyens dont il dispose pour s’y opposer.
• Sur l’exercice du droit d’accès
Selon la demande d’avis, le droit d’accès est exercé par un accès en ligne ou sur place auprès de la DAEIU. Le délai de réponse est de trente jours.
Les droits de modification, mise à jour et suppression des données sont exercés par un message de validation du dossier accessible en ligne ou auprès de la DAEIU.
Comme précédemment évoqué, la Commission rappelle qu’il appartient à cette Direction de disposer des outils qui lui permettront de déterminer quel service est à l’origine de la diffusion d’une information ou vers quel service un courrier électronique a été redirigé afin de pouvoir répondre à toute demande d’exercice de droit d’accès de manière effective.
Les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.
V. Sur les personnes ayant accès au traitement
D’après le responsable de traitement, les personnes habilitées à avoir accès au traitement sont :
- le personnel habilité de la Direction Informatique ou tiers intervenant pour son compte : tout accès dans le cadre des missions de maintenance, de développement des applicatifs nécessaires au fonctionnement du ou des sites, mais aussi du contrôle et du maintien des mesures de la sécurité des sites internet et du système d’information de l’Etat ;
- le Webmaster de la Direction de l’Administration Electronique et de l’Information aux Usagers, ou tiers agissant sous l’autorité de cette Direction, en consultation, exploitation, validation et traitement des données ;
- les personnes habilitées des services administratifs ou tiers intervenant pour leur compte ayant des rôles liés à la contribution (référents, responsables éditoriaux, valideurs, Webmaster) : création, modification, suppression, et validation de contenus aux fins de diffusion sur Ies sites Internet.
Concernant les tiers intervenants pour le compte de la DAEIU, de la Direction informatique ou des services administratifs, la Commission prend acte que «les sociétés qui interviennent sont tenues à des engagements de confidentialité qui se retrouvent dans les contrats passés par l’Administration». Elle observe donc que le responsable de traitement précise s’être assuré que les prestataires agissant sous son autorité sont en mesure de satisfaire aux obligations de sécurité et de confidentialité des traitements et des informations nominatives conformément à l’article 17 de la loi n° 1.165, susvisée.
Cette demande d’avis met en lumière l’apparition de nouvelles tâches au sein de l’Administration liées au développement de l’e-administration et des outils de communication électronique qui permettent de mettre à disposition du public par un procédé de communication électronique, de signes, de signaux, d’écrits, d’images, de sons ou de messages de toute nature qui n’ont pas le caractère d’une correspondance privée.
La Commission rappelle que les accès dévolus à un traitement doivent être justifiés par les fonctions des personnes ou catégories de personnes concernées. Elle estime que les fonctions associées aux métiers en référence mériteraient d’être formalisées afin d’apporter un support à la justification des accès mentionnés considérant les notions de «responsabilité éditoriale » et de « création de contenu» évoquées.
La Commission estime que les accès au traitement sont dévolus conformément aux articles 8 et 17 de la loi n° 1.165, modifiée.
VI. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations n’appellent pas d’observation.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VII. Sur la durée de conservation
Les informations relatives aux hauts fonctionnaires de l’Etat, membres du Gouvernement et aux personnalités «sont affichées tant que les personnes sont en poste».
Les communiqués de presse et articles d’actualités sont conservés 3 ans.
Les informations diffusées dans le cadre des organigrammes des services de l’Etat sont conservées tant que l’information est valide.
Les adresses électroniques et les données transmises par l’usager par les personnes ayant souhaité déposer une suggestion ou une contribution nominative sur les sites, ou adresser une correspondance électronique à l’Administration sont conservées pendant 1 année.
Les informations relatives aux données de connexion sont conservées 3 mois.
Ces durées de conservation n’appellent pas d’observation de la part de la Commission.
Après en avoir délibéré :
Considère que :
- le traitement d’informations nominatives dans le cadre d’espaces de discussion par une entité administrative répond à une finalité spécifique, au sens de la loi n° 1.165 ;
- le présent traitement ne permet pas de mettre en place des espaces de discussion, d’offrir la faculté aux utilisateurs de participer à des forums de discussion, de s’inscrire ou de se voir proposer de participer à des espaces de discussion privés ou thématiques permettant l’accès à des documents, publications, groupes d’échange ;
Rappelle que :
- chaque entité qui aura la possibilité de diffuser des informations nominatives par le biais des sites Internet du Gouvernement devra s’assurer, préalablement à la saisie d’informations nominatives sur ces sites que le traitement automatisé initial des informations,s’il existe, a été légalement mis en œuvre ;
- les services à l’origine des informations diffusées devront être clairement identifiés afin que les personnes concernées, les personnes sur lesquelles des informations nominatives sont diffusées puissent exercer leurs droits ;
Demande :
- que la finalité du présent traitement soit modifiée par «assurer la diffusion d’informations institutionnelles sur la Principauté de Monaco» ;
- qu’une demande d’avis modificative lui soit adressée une fois publiée l’ordonnance souveraine d’application de l’article 34 de la loi n° 1.383 du 2 août 2011 sur l’économie numérique ;
- que la diffusion des photographies des agents et fonctionnaires de l’Etat à des fins de présentation des services de l’Administration soit soumise au consentement préalable des intéressés ;
- que le traitement automatisé ayant pour finalité « site d’information au public » mis en œuvre le 7 novembre 2005 après avis favorable de la CCIN par délibération n° 2005-16 du 3 octobre 2005 soit supprimé ;
A la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par le Ministre d’Etat du traitement automatisé d’informations nominatives ayant pour finalité «assurer la diffusion d’informations institutionnelles sur la Principauté de Monaco» de la direction de l’administration électronique et de l’information aux usagers.
Invite les entités administratives intéressées par la création d’un forum de discussion dans le cadre de leurs attributions à déposer auprès de la Commission une demande d’avis.
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 1.383 du 2 août 2011 sur l’économie numérique ;
Vu la loi n° 1.299 du 15 juillet 2005 sur la liberté d’expression publique ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu l’ordonnance souveraine n° 3.122 du 11 février 2011 portant création de la Direction Informatique ;
Vu l’ordonnance souveraine n° 3.121 du 11 février 2011 portant création de la Direction de l’Administration Electronique et de l’Information aux Usagers ;
Vu l’ordonnance souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l’administration et l’administré, et son rapport de présentation ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu le traitement automatisé d’informations nominatives ayant pour finalité «site d’information au public», mis en œuvre par décision du Ministre d’Etat le 7 novembre 2005, après avis favorable de la CCIN par délibération n° 2005-16 du 3 octobre 2005 ;
Vu la demande d’avis déposée, par le Ministre d’Etat, le 17 octobre 2011, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité «sites Internet d’information au public» ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 28 novembre 2011 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives
Préambule
Le traitement automatisé d’informations nominatives objet de la présente délibération vise à permettre à la Direction de l’Administration Electronique et de l’Information aux Usagers (DAEIU) de gérer les sites Internet institutionnels qui seront déployés par le Gouvernement. Il est soumis à l’avis de la Commission, conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives.
I. Sur la finalité et les fonctionnalités du traitement
Le traitement d’informations nominatives présenté a pour finalité «sites Internet d’information au public».
Les personnes concernées sont définies comme étant «tous publics». Il peut s’agir de personnes sur lesquelles des informations sont diffusées en lien avec l’actualité de la Principauté de Monaco et/ou l’action du Gouvernement (ex. personne ayant participé à un événement public, représentant officiel des pays étrangers, officiels de la Principauté…), de personnes ayant une activité professionnelle au sein de l’Administration (ex. organigramme de l’Administration), ou plus généralement de toute personne échangeant des correspondances électroniques avec l’Administration.
Les fonctionnalités du traitement sont les suivantes :
- assurer la diffusion d’informations aux administrés et à toute personne intéressée par la Principauté se rapportant à :
• des informations institutionnelles :
• sur l’organisation des Institutions de la Principauté, de son Gouvernement et de l’Administration ;
• sur les représentations étrangères en Principauté et sur les représentations de la Principauté à l’étranger ;
• des actualités sur les activités et les actions du Gouvernement et des services de l’Administration ;
• des communiqués de presse, communiqués administratifs et des actualités publiées par le Centre de Presse.
- de mettre à disposition des points de contact entre les usagers et les services administratifs par :
• la diffusion des organigrammes et coordonnées des Directions et services administratifs ;
• l’identification des missions des services et si nécessaire, des fonctions, voire des personnes en charge de domaine spécifique ;
• la mise à disposition d’adresses électroniques génériques permettantaux usagers de s’adresser à l’Administration par voie électronique.
- d’échanger avec les administrés en leur permettant de :
• déposer des contributions ou suggestions générales ou thématiques ;
• recevoir des «newsletters» des Directions ou services administratifs ;
• répondre à des sondages anonymes.
La demande d’avis décline les outils qui seront mis en place afin de permettre aux usagers, administrations, voire à tout internaute intéressé par la Principauté de disposer d’informations sur des sites Internet, gérés par la DAEIU, établis en gardant à l’esprit la lisibilité des données, leur cohérence, et en évitant l’écueil de la multiplication et de la dispersion des supports.
En pratique, la DAEIU met en place des outils, des plateformes de communication que les services de l’Administration alimenteront, et que les usagers pourront utiliser pour s’informer ou prendre contact avec les services administratifs.
La Commission rappelle qu’aux termes de l’article 10-1 de la loi n° 1.165, la finalité d’un traitement automatisé doit être «déterminée, explicite et légitime».
Elle relève que la finalité intitulée «sites Internet d’information au public» ne permet pas de savoir quel est l’objectif global justifiant la collecte et le traitement d’informations nominatives. Considérant les fonctionnalités du traitement, la Commission estime que la finalité doit être renommée de la manière suivante : «assurer la diffusion d’informations institutionnelles sur la Principauté de Monaco».
Par ailleurs, la demande d’avis comporte une autre fonctionnalité qui a pour objet de mettre en place des espaces privés et des espace de discussion qui permettent aux utilisateurs répondant à des profils déterminés de participer à des forums de discussion, de s’inscrire ou de se voir proposer de participer à des espaces de discussion privés ou thématiques avec accès à des documents, publications, groupes d’échange.
Les forums de discussion sont présentés comme modéré, thématiques et ouverts à un public ciblé. L’objectif de cette fonctionnalité n’est donc plus de diffuser de l’information à sens unique de l’Administration vers les usagers, ou de répondre à des correspondances entre un service administratif et un usager, mais de permettre à certaines catégories de personnes d’échanger sur une thématique donnée.
La Commission observe que l’objectif d’un forum de discussion est spécifique à son objet et que sa création doit être décidée selon les besoins d’une entité administrative déterminée. En outre, les informations traitées doivent être établies selon les critères de sélection d’entrée et les durées de conservation des données seront susceptibles de varier selon les forums.
Or, l’article 10-1 de la loi n° 1.165 impose que les «informations nominatives soient collectées pour une finalité déterminée, explicite et légitime». La Commission estime donc que la mise en place de forums de discussion ne peut être intégrée dans un traitement général permettant la diffusion à tous d’informations de type institutionnel.
Elle exclue donc cette fonctionnalité de l’analyse du présent traitement. Elle invite, néanmoins, les entités administratives concernées à revenir vers elle avec une demande d’avis appropriée.
En complément, la Commission relève que le présent traitement se substitue au traitement ayant pour finalité «site d’information au public» mis en œuvre le 7 novembre 2005 après avis favorable de la Commission. Elle demande donc que ce dernier traitement soit supprimé.
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
La Commission observe que la DAEIU, placée sous l’autorité du Ministre d’Etat, a été créée par l’ordonnance souveraine n° 3.121 du 11 février 2011 susvisée.
Considérant les missions dudit service, telles que précisées à l’article 2 de l’ordonnance souveraine précitée, la DAEIU apparaît être le service administratif central de la gestion des sites Internet de l’Administration. Ses attributions lui permettent d’être un relais de la diffusion de l’information institutionnelle, de jouer le rôle de moteur et de catalyseur pour un développement cohérent de l’e-administration.
La Commission constate que le traitement présenté est licite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
• Sur la justification du traitement
Le responsable de traitement indique que la mise en œuvre du présent traitement est justifiée par :
- le consentement des personnes concernées, qui choisissent ce mode d’information ou de communication dématérialisée avec l’Administration et doivent préalablement à l’utilisation accepter les conditions générales d’utilisation ;
- le respect d’une obligation légale de la DAEIU qui a pour mission de mettre à disposition des usagers une documentation administrative complète, de les informer sur les démarches à accomplir, qui doit «identifier et analyser les attentes des usagers en matière de procédures et d’information administratives » ;
- un motif d’intérêt public qui repose sur la qualité de l’information mise à disposition des administrés et le développement des nouvelles technologies dans le cadre de l’information aux usagers et des démarches administratives ;
- la réalisation d’un intérêt légitime, précisé comme étant la simplification des démarches administratives des usagers et la création de téléservice conformément à l’ordonnance souveraine n° 3.413 précitée.
La Commission relève ainsi que le traitement automatisé est justifié conformément à l’article 10-2 de la loi n° 1.165.
III. Sur les informations traitées et leurs origines
• Informations collectées
Selon le responsable de traitement, les informations traitées sont les suivantes :
- Identité : titre, nom, prénom, civilité, photo, fonction ;
- Adresses et coordonnées : adresse postale, téléphone et adresse électronique des services administratifs, adresse électronique des internautes qui contactent l’administration ou souhaitent recevoir une newsletter ;
- Formation - vie professionnelle : parcours et curriculum vitae des hauts fonctionnaires et des personnalités du Gouvernement, portraits de personnalité ;
- Données d’identification électronique : identifiant technique, adresse IP, mot de passe crypté ;
- Données de connexion : données d’horodatage, log de connexion de l’utilisateur, données de messagerie de l’utilisateur.
En complément, la Commission relève que des informations nominatives relatives aux personnels de l’Administration qui auront des rôles de contributeurs, afin de créer ou de modifier des contenus destinés à être diffusés sur le ou les sites Internet du Gouvernement, seront également traitées. En effet, la collecte de leurs informations est nécessaire afin de leur permettre d’accéder aux outils de publication, de tracer les opérations réalisées et de répondre aux obligations de l’article 34 de la loi n° 1.383 du 2 août 2011 sur l’économie numérique.
Cependant, la Commission observe que les modalités d’application de l’article 34 de la loi précitée sont soumises aux dispositions d’une ordonnance souveraine non encore publiée. Elle demande donc qu’une demande d’avis modificative lui soit adressée sur ces éléments dès que l’ordonnance souveraine dont s’agit aura été édictée.
Par ailleurs, concernant la diffusion des photographies des personnalités ou des photographies prises lors de manifestations publiques, la Commission relève qu’elle devra être respectueuse de la loi n° 1056 du 27 mai 1983 concernant la protection du nom ou des titres et de l’image des personnes et de la loi n° 1.299 du 15 juillet 2005 sur la liberté d’expression publique.
Enfin, s’agissant de la diffusion des photographies des agents publics de l’Etat à des fins de présentation des services de l’Administration, la Commission considère que le consentement des intéressés devra être demandé préalablement à cette diffusion.
• Origine des informations
Ces informations ont pour origine :
- pour les informations diffusées à titre d’information, communiqué de presse ou actualité, les parcours et curriculum vitae des membres du gouvernement et personnalités : le référent habilité de l’entité administrative ayant diffusé l’information ;
- pour les informations portant sur les organigrammes et les missions des services : le référent habilité de chaque entité administrative ;
- pour les adresses électroniques professionnelles des entités administratives : le référent habilité de l’entité administrative ayant diffusé l’information ;
- pour les adresses électroniques des personnes souhaitant recevoir une newsletter : les internautes intéressés.
La Commission relève que ce traitement permet l’exploitation d’informations nominatives collectées et traitées par des entités administratives dans le cadre de leurs missions. Elle rappelle que la loi n° 1.165 impose à tout responsable de traitement de veiller à la compatibilité de l’exploitation des informations nominatives, de leur collecte jusqu’à leur suppression.
Aussi, elle demande que chaque entité qui aura la possibilité de diffuser des informations nominatives par ce biais s’assure, préalablement à la saisie d’informations nominatives sur les sites du Gouvernement, que le traitement initial des informations, s’il existe, a été légalement mis en œuvre au sens de la loi n° 1.165.
La Commission rappelle par ailleurs que les services à l’origine des informations diffusées devront être clairement identifiés afin que les personnes concernées, les personnes sur lesquelles des informations nominatives sont diffusées puissent exercer leurs droits.
Elle relève enfin que les informations traitées sont «adéquates, pertinentes et non excessives» conformément à l’article 10-1 de la loi n° 1.165.
IV. Sur les droits des personnes concernées
• Sur l’information des personnes concernées
Le responsable de traitement indique que l’information préalable des personnes concernées est effectuée par une mention particulière intégrée dans un document d’ordre général accessible en ligne : les conditions générales d’utilisation.
Considérant ce qui précède, ces conditions générales d’utilisation devront supprimer toute référence aux «espaces privés». Par ailleurs, les éléments faisant référence à l’avis favorable de la CCIN devront être adaptés au traitement en objet.
D’après le responsable de traitement, aucun procédé n’est mis en place afin de conserver des informations ou d’accéder à des informations conservées dans l’équipement terminal d’un abonné ou d’un utilisateur. Cet élément est important car, conformément à l’article 14-2 de la loi n° 1.165, si de tels procédés sont mis en place, le responsable de traitement doit informer l’utilisateur de manière «claire et complète» de leur existence, de leur finalité et des moyens dont il dispose pour s’y opposer.
• Sur l’exercice du droit d’accès
Selon la demande d’avis, le droit d’accès est exercé par un accès en ligne ou sur place auprès de la DAEIU. Le délai de réponse est de trente jours.
Les droits de modification, mise à jour et suppression des données sont exercés par un message de validation du dossier accessible en ligne ou auprès de la DAEIU.
Comme précédemment évoqué, la Commission rappelle qu’il appartient à cette Direction de disposer des outils qui lui permettront de déterminer quel service est à l’origine de la diffusion d’une information ou vers quel service un courrier électronique a été redirigé afin de pouvoir répondre à toute demande d’exercice de droit d’accès de manière effective.
Les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.
V. Sur les personnes ayant accès au traitement
D’après le responsable de traitement, les personnes habilitées à avoir accès au traitement sont :
- le personnel habilité de la Direction Informatique ou tiers intervenant pour son compte : tout accès dans le cadre des missions de maintenance, de développement des applicatifs nécessaires au fonctionnement du ou des sites, mais aussi du contrôle et du maintien des mesures de la sécurité des sites internet et du système d’information de l’Etat ;
- le Webmaster de la Direction de l’Administration Electronique et de l’Information aux Usagers, ou tiers agissant sous l’autorité de cette Direction, en consultation, exploitation, validation et traitement des données ;
- les personnes habilitées des services administratifs ou tiers intervenant pour leur compte ayant des rôles liés à la contribution (référents, responsables éditoriaux, valideurs, Webmaster) : création, modification, suppression, et validation de contenus aux fins de diffusion sur Ies sites Internet.
Concernant les tiers intervenants pour le compte de la DAEIU, de la Direction informatique ou des services administratifs, la Commission prend acte que «les sociétés qui interviennent sont tenues à des engagements de confidentialité qui se retrouvent dans les contrats passés par l’Administration». Elle observe donc que le responsable de traitement précise s’être assuré que les prestataires agissant sous son autorité sont en mesure de satisfaire aux obligations de sécurité et de confidentialité des traitements et des informations nominatives conformément à l’article 17 de la loi n° 1.165, susvisée.
Cette demande d’avis met en lumière l’apparition de nouvelles tâches au sein de l’Administration liées au développement de l’e-administration et des outils de communication électronique qui permettent de mettre à disposition du public par un procédé de communication électronique, de signes, de signaux, d’écrits, d’images, de sons ou de messages de toute nature qui n’ont pas le caractère d’une correspondance privée.
La Commission rappelle que les accès dévolus à un traitement doivent être justifiés par les fonctions des personnes ou catégories de personnes concernées. Elle estime que les fonctions associées aux métiers en référence mériteraient d’être formalisées afin d’apporter un support à la justification des accès mentionnés considérant les notions de «responsabilité éditoriale » et de « création de contenu» évoquées.
La Commission estime que les accès au traitement sont dévolus conformément aux articles 8 et 17 de la loi n° 1.165, modifiée.
VI. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations n’appellent pas d’observation.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VII. Sur la durée de conservation
Les informations relatives aux hauts fonctionnaires de l’Etat, membres du Gouvernement et aux personnalités «sont affichées tant que les personnes sont en poste».
Les communiqués de presse et articles d’actualités sont conservés 3 ans.
Les informations diffusées dans le cadre des organigrammes des services de l’Etat sont conservées tant que l’information est valide.
Les adresses électroniques et les données transmises par l’usager par les personnes ayant souhaité déposer une suggestion ou une contribution nominative sur les sites, ou adresser une correspondance électronique à l’Administration sont conservées pendant 1 année.
Les informations relatives aux données de connexion sont conservées 3 mois.
Ces durées de conservation n’appellent pas d’observation de la part de la Commission.
Après en avoir délibéré :
Considère que :
- le traitement d’informations nominatives dans le cadre d’espaces de discussion par une entité administrative répond à une finalité spécifique, au sens de la loi n° 1.165 ;
- le présent traitement ne permet pas de mettre en place des espaces de discussion, d’offrir la faculté aux utilisateurs de participer à des forums de discussion, de s’inscrire ou de se voir proposer de participer à des espaces de discussion privés ou thématiques permettant l’accès à des documents, publications, groupes d’échange ;
Rappelle que :
- chaque entité qui aura la possibilité de diffuser des informations nominatives par le biais des sites Internet du Gouvernement devra s’assurer, préalablement à la saisie d’informations nominatives sur ces sites que le traitement automatisé initial des informations,s’il existe, a été légalement mis en œuvre ;
- les services à l’origine des informations diffusées devront être clairement identifiés afin que les personnes concernées, les personnes sur lesquelles des informations nominatives sont diffusées puissent exercer leurs droits ;
Demande :
- que la finalité du présent traitement soit modifiée par «assurer la diffusion d’informations institutionnelles sur la Principauté de Monaco» ;
- qu’une demande d’avis modificative lui soit adressée une fois publiée l’ordonnance souveraine d’application de l’article 34 de la loi n° 1.383 du 2 août 2011 sur l’économie numérique ;
- que la diffusion des photographies des agents et fonctionnaires de l’Etat à des fins de présentation des services de l’Administration soit soumise au consentement préalable des intéressés ;
- que le traitement automatisé ayant pour finalité « site d’information au public » mis en œuvre le 7 novembre 2005 après avis favorable de la CCIN par délibération n° 2005-16 du 3 octobre 2005 soit supprimé ;
A la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par le Ministre d’Etat du traitement automatisé d’informations nominatives ayant pour finalité «assurer la diffusion d’informations institutionnelles sur la Principauté de Monaco» de la direction de l’administration électronique et de l’information aux usagers.
Invite les entités administratives intéressées par la création d’un forum de discussion dans le cadre de leurs attributions à déposer auprès de la Commission une demande d’avis.
Le Président de la Commission
de Contrôle des Informations Nominatives.