Délibération n° 2021-55 du 17 mars 2021 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre d'un traitement automatisé d'informations nominatives ayant pour finalité « Gestion du Site Internet Your Monaco » du Secrétariat Général du Gouvernement exploité par la Direction des Services Numériques présenté par le Ministre d'État.

No. Journal 8533
Date of publication 09/04/2021
Quality 100%
Page no.

Vu la Constitution ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l'Ordonnance Souveraine n° 7.995 du 12 mars 2020 portant création de la Direction des Services Numériques ;
Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d'informations nominatives ;
Vu la délibération n° 2019-83 du 15 mai 2019 portant recommandation sur les modalités de dépôt et la durée de conservation des cookies et autres traceurs sur les terminaux d'utilisateurs de réseaux de communication électronique ;
Vu la demande d'avis déposée par le Ministre d'État, le 23 novembre 2020 concernant la mise en œuvre d'un traitement automatisé d'informations nominatives ayant pour finalité « Gestion du Site Internet Your Monaco » ;
Vu la prorogation du délai d'examen de la présente demande d'avis notifiée au responsable de traitement le 21 janvier 2021, conformément à l'article 19 de l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 17 mars 2021 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Le Secrétariat Général du Gouvernement souhaite mettre en place un nouveau site internet « Your Monaco » pour poursuivre la diffusion d'informations urbaines, d'articles d'actualité et d'alertes de trafic en Principauté. Ce site sera exploité par la Direction des Services Numériques (la « DSN »).
Le traitement automatisé d'informations nominatives, objet de la présente, est soumis à l'avis de la Commission, conformément à l'article 7 de la loi n° 1.165 du 23 décembre 1993.
I.          Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité « Gestion du Site Internet Your Monaco » et s'inscrit dans le cadre du nouveau Site Internet Your Monaco, exploité par la DSN. Ce site vise à communiquer de l'information urbaine à la population, mesurer l'audience du site (cookies), fidéliser l'audience et créer un lien avec les utilisateurs/public du site.
Ce traitement concerne tout internaute qui accède au site internet, tout utilisateur qui s'y inscrit, ainsi que le personnel habilité de l'Administration.
Il présente les fonctionnalités suivantes :
-           « Création d'un compte utilisateur ;
-           Permettre la diffusion d'information urbaine (notamment chantiers en cours et futurs de la Principauté, grands travaux, trafic routier, parking, équipements urbains, environnement, …) ;
-           Permettre la diffusion d'informations sur les perturbations en cours et futures (mobilité, piétonnier, environnemental, visuel, sonore, etc.) ;
-           Permettre l'accès aux cartes trafic, chantiers, services urbains et points d'intérêt ;
-           Permettre la diffusion d'articles d'actualités et d'informations sur les évènements en cours ou futurs de la Principauté ;
-           Permettre la diffusion d'informations sur l'environnement monégasque ;
-           Permettre l'inscription aux alertes de trafic ;
-           Permettre l'émission d'alertes de trafic ;
-           Centralisation et diffusion d'informations sur les déplacements intermodaux et la mobilité en Principauté (état des parkings de la Principauté avec le nombre de places disponibles par parking, état des ascenseurs publics, informations sur les déplacements piétonniers, en véhicule électrique, en bus, etc.) ;
-           Informations pratiques (réglementation en vigueur, modalités de consultation des dossiers administratifs, etc.) ;
-           Permettre la navigation (gestion des cookies) ;
-           Établir des statistiques anonymes (cookies) ».
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.
II.        Sur la licéité et la justification du traitement
Le responsable de traitement indique que le présent traitement est justifié par le consentement des personnes concernées et par la réalisation d'un intérêt légitime qu'il poursuit et qui ne méconnaît ni l'intérêt, ni les droits et libertés fondamentaux des personnes concernées.
Il précise à cet égard que « certaines fonctionnalités du site sont justifiées par le consentement de l'utilisateur ». Il en est ainsi pour la création d'un compte utilisateur et le dépôt de cookies sur le terminal de l'internaute.
S'agissant de la création d'un compte utilisateur, qui est nécessaire pour recevoir les alertes de trafic, le consentement est formalisé par le biais de deux cases à cocher indiquant « J'accepte que mes données personnelles soient utilisées dans le cadre de la création de mon compte Your Monaco conformément à la politique de protection des données personnelles » et « j'accepte les conditions générales d'utilisation du Site Your Monaco ».
En outre, le responsable de traitement indique qu'un bandeau apparaît à l'internaute dès son accès sur le site et lui permet de gérer, de manière personnalisée et individuelle, les cookies qui y sont déposés.
La Commission constate que le bandeau propose à l'utilisateur d'accepter les cookies et de consentir à leur dépôt sur son terminal, d'effectuer une gestion personnalisée par le biais d'un bouton « Paramétrer » ou de les refuser.
Le traitement est par ailleurs justifié par l'intérêt légitime de l'État de Monaco « d'utiliser des moyens et outils des médias actuels afin de promouvoir et de diffuser de l'information urbaine relative à la Principauté de Monaco », comme le prévoit l'Ordonnance Souveraine n° 7.995 du 12 mars 2020 portant création de la Direction des Services Numériques.
Le responsable de traitement indique enfin que « les droits et libertés des personnes sont préservés par le souci de limitation des informations nominatives traitées, par la possibilité pour la personne d'exercer ses droits et par la possibilité de paramétrer les cookies ».
Au regard de ce qui précède, la Commission considère que le traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993, modifiée.
III.       Sur les informations traitées
Les informations traitées sont :
-           Identité, situation de famille : civilité, nom et prénom de l'utilisateur ;
-           Adresses et coordonnées : numéro de téléphone de l'utilisateur (facultatif) ;
-           Données d'identification électronique : adresse mail de l'abonné ;
-           Informations temporelles : logs ;
-           Données cookies : adresse IP (deux derniers octets anonymisés), nom de domaine internet de l'internaute, pages visitées et leur nombre, nombre d'affichages par page, durée passée sur chaque page, nombre de clics, nom et version du navigateur web de l'internaute, système d'exploitation de l'internaute, horodatage d'accès au site et des pages visitées sur le site ;
-           Back office (données administrateurs/Super Admin) : identifiant, nom et prénom de l'administrateur, adresse mail, mot de passe.
Les informations ont pour origine la personne concernée (utilisateur), à l'exception des informations temporelles et des données cookies qui proviennent du système et du navigateur de l'utilisateur, ainsi que des informations relatives au back-office qui proviennent de l'administrateur.
La Commission considère que les informations ainsi collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément à l'article 10-1 de la loi n° 1.165 du 23 décembre 1993, modifiée.
IV.       Sur les droits des personnes concernées

Sur l'information préalable des personnes concernées

L'information préalable des personnes concernées est réalisée par le biais d'une mention particulière intégrée dans un document d'ordre général accessible en ligne, à savoir les conditions générales d'utilisation du site.
À la lecture des mentions contenues dans ce document, la Commission constate que les droits offerts aux personnes concernées sont larges et reprennent les droits du Règlement Général à la Protection des Données, dont certains n'ont pas vocation à s'appliquer en l'espèce, tels que le droit à la portabilité. Elle s'interroge en outre sur le point de savoir si le responsable de traitement a les moyens effectifs pour faire bénéficier les personnes concernées de ce droit encore inexistant en droit interne.

Sur l'exercice du droit d'accès

Le droit d'accès est exercé par la personne concernée auprès de la Direction des Services Numériques sur place, par voie postale ou par courrier électronique.
S'agissant de l'exercice du droit d'accès par voie de courrier électronique, la Commission rappelle qu'une procédure devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations.
Elle précise que si une copie d'un document d'identité était demandée, la transmission et le traitement de ce document devront faire l'objet de mesures de protection particulières, comme rappelé dans sa délibération n° 2015-113 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d'identité officiels.
Sous cette réserve, elle constate que les modalités d'exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993, modifiée.
V.        Sur les destinataires et les personnes ayant accès au traitement
Le responsable de traitement indique que les personnes habilitées à avoir accès au traitement (chaque service a sa rubrique sur le site Internet) sont le personnel de l'Administration et notamment :
-           Les personnels des Directions du Département de l'Équipement, de l'Environnement et de l'Urbanisme : en lecture, en écriture et en validation ;
-           Les personnels de la Direction de la Communication : en lecture et écriture ;
-           Les personnels de la Direction des Affaires Culturelles (DAC) : en lecture et en écriture ;
-           Les personnels de la Direction de la Prospective, de l'Urbanisme et de la Mobilité (DPUM) : en lecture et écriture ;
-           Les personnels de la Transition Énergétique de la Principauté de Monaco (MTE) : en lecture et écriture ;
-           Les personnels du Service de Maintenance des Bâtiments Publics (SMBP) : en lecture et écriture ;
-           Les personnels de la Direction de l'Aménagement Urbain (DAU) : en lecture et écriture ;
-           Les personnels du Service des Titres de Circulation (STC) : en lecture et écriture ;
-           Les personnels de la Direction des Affaires Maritimes (DAM) : en lecture et écriture ;
-           Les personnels de la Direction de l'Environnement (DE) : en lecture et écriture ;
-           Les personnels du Service des Parkings Publics (SPP) : en lecture et écriture ;
-           Les personnels de la Direction des Travaux Publics (DTP) : en lecture et écriture ;
-           Les personnels de la Direction des Affaires Culturelles (DAC) : en lecture et écriture ;
-           Les personnels de la Direction des Services Numériques (DSN) : en lecture, en configuration, en paramétrage, en écriture et en traitement ;
-           Les personnels de la Direction des Systèmes d'Information (DSI) (accès strictement limité dans le cadre de leurs missions d'hébergement et de sécurisation des infrastructures) : en lecture et en configuration ;
-           L'Éditeur du site web : en lecture, en configuration, en paramétrage, en écriture, en traitement.
La Commission constate que la DSN, la DSI et l'Éditeur du site Web peuvent avoir accès aux comptes créés (aux données personnelles des personnes) et à leur contenu.
Le responsable de traitement indique à cet égard que « l'ensemble des personnes ayant des accès sur le Back Office sont strictement limitées par les Directions et listées nominativement » de même, « les Directions de la DEEU, de la DirCom et de la DAC n'accèdent à aucune information personnelle relative aux comptes utilisateurs, ils peuvent uniquement écrire et/ou valider les articles qui seront soumis sur le site Your Monaco ».
En ce qui concerne l'Éditeur du site web, la Commission rappelle que, conformément aux dispositions de l'article 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, les droits d'accès doivent être limités à ce qui est strictement nécessaire à l'exécution de son contrat de prestation de services.
De plus, ce dernier est soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
La Commission relève par ailleurs que les personnes concernées disposent également d'un accès à leur propre compte.
Elle considère que ces accès sont justifiés.
VI.       Sur les interconnexions
Le présent traitement fait l'objet d'une interconnexion avec le traitement « Gestion du site d'informations https://www.infochantiers.mc et de ses abonnements », légalement mis en œuvre.
La Commission constate, par ailleurs, que le présent traitement est rapproché au traitement ayant pour finalité « Gestion de la messagerie électronique », légalement mis en œuvre.
Le responsable de traitement indique que la « finalité de ces interconnexions est de permettre aux services de l'État d'alerter les abonnés au site Your Monaco, de diffuser de l'information sur les chantiers et la mobilité sur le site Your Monaco dans l'attente de la refonte du back-office infochantiers ».
La Commission considère que ces interconnexions sont conformes aux exigences légales.
VII.     Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation particulière.
Cependant, les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
En outre, la Commission constate l'utilisation de recaptcha Google, qui implique un transfert d'informations vers les États-Unis. Aussi, elle demande qu'il soit mis fin à son utilisation sous 2 mois, et qu'une information renforcée des personnes concernées soit faite sur les pages concernées qu'elles puissent être en mesure de se déterminer, en toute connaissance de cause, sur leur volonté de poursuivre leur navigation.
La Commission rappelle néanmoins que, conformément à l'article 17 de la loi n° 1.165 modifiée, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement, au regard des risques présentés par ce traitement et de la nature des données à protéger, devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.
VIII.    Sur la durée de conservation
Les informations nominatives sont conservées tant que le compte de la personne est actif ou, en cas d'inactivité du compte, pendant 3 ans après une relance par email invitant la personne concernée à se reconnecter.
Les informations temporelles sont, quant à elles, conservées 53 semaines et les données cookies 13 mois. Enfin, les données du back office le sont « tant que la personne travaille dans la direction sur ce sujet de remontées usagers ».
La Commission relève que ces délais sont conformes aux exigences légales.
Après en avoir délibéré, la Commission :
Considère qu'une procédure relative au droit d'accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations.
Rappelle que :
-           le responsable de traitement, s'il intègre de nouveaux droits aux personnes concernées, doit être en mesure de les assurer, et doit vérifier l'adéquation de ceux-ci avec le présent traitement, notamment en ce qui concerne le droit à la portabilité ;
-           les accès doivent être restreints au strict besoin d'en connaitre et que les interventions de supports soient effectuées selon des modalités définies conformes aux règles de l'art ;
-           les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switch, routeurs, pares-feux), ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
Demande que le recaptcha Google ne soit plus utilisé passé un délai de 2 mois et qu'une information renforcée relative au transfert d'informations vers les États-Unis et à son caractère obligatoire soit effectuée auprès des utilisateurs afin qu'ils puissent être en mesure de se déterminer, en toute connaissance de cause, sur leur volonté de poursuivre leur navigation.
Sous le bénéfice de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d'État, du traitement automatisé d'informations nominatives ayant pour finalité « Gestion du Site Internet Your Monaco ».