Délibération n° 2024‑195 du 9 octobre 2024 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Permettre le suivi des demandeurs d'emploi et des employeurs dans le cadre du processus de recherche d'emploi », dénommé « Gestion de l'emploi en Principauté », exploité par la Direction du Travail présenté par le Ministre d'État.
Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la loi n° 629 du 17 juillet 1957 tendant à réglementer les conditions d’embauchage et de licenciement en Principauté ;
Vu la loi n° 537 du 12 mai 1951 relative à l’inspection du travail ;
Vu la loi n° 1.383 du 2 août 2011 pour une Principauté numérique, modifiée ;
Vu la loi n° 1.483 du 17 décembre 2019 relative à l’identité numérique ;
Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l’Ordonnance Souveraine n° 16.675 du 18 février 2005 portant création d’une Direction du Travail ;
Vu la délibération n° 2019-120 du 18 septembre 2019 de la Commission de Contrôle des Informations Nominatives portant avis sur la consultation du Ministre d’État portant sur le projet de loi relative à l’identité numérique ;
Vu la délibération n° 2021-104 du 2 juin 2021 de la Commission de Contrôle des Informations Nominatives portant avis sur la consultation du Ministre d’État relative à 3 projets d’Ordonnances Souveraines portant respectivement application des articles 4 et 5, 6, 8 et 13, 17 et 18 de la loi n° 1.483 relative à l’Identité Numérique ;
Vu la délibération n° 07-21 du 20 mars 2007 de la Commission de Contrôle des Informations Nominatives portant avis favorable avec réserve sur la demande présentée, en régularisation, par le Ministre d’État, relative au traitement automatisé ayant pour finalité « Constitution du dossier employeur » de la Direction du Travail ;
Vu la délibération n° 2011-2 du 10 janvier 2011 de la Commission de Contrôle des Informations Nominatives portant levée de réserve et confirmant l’avis émis par la Commission dans la délibération susvisée ;
Vu la délibération n° 2018-17 du 17 janvier 2018 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre de la modification du traitement automatisé d’informations nominatives ayant pour finalité « Constitution du dossier employeur » de la Direction du Travail, présenté par le Ministre d’État ;
Vu la délibération n° 07-25 du 19 avril 2007 de la Commission de Contrôle des Informations Nominatives portant avis favorable sur demande présentée, en régularisation, par le Ministre d’État, relative au traitement automatisé ayant pour finalité « Gestion des demandeurs d’emploi » de la Direction du Travail ;
Vu la délibération n° 2011-103 du 15 novembre 2011 de la Commission de Contrôle des Informations Nominatives portant avis favorable sur la demande présentée par le Ministre d’État relative à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Téléservice permettant le dépôt d’offres d’emploi du secteur privé » du Service de l’Emploi ;
Vu la demande d’avis présentée le 20 août 2024 par le Ministre d’État, concernant la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Permettre le suivi des demandeurs d’emploi et des employeurs dans le cadre du processus de recherche d’emploi » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 9 octobre 2024 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
La Direction du Travail souhaite mettre en place une nouvelle plateforme pour la gestion de l’emploi en Principauté. Celle-ci a pour objectif la création d’espaces personnalisés pour les demandeurs d’emploi et les employeurs afin de faciliter la transmission respectivement des offres et des candidats.
Elle indique que le présent traitement vient annuler et remplacer le traitement ayant pour finalité « Téléservice permettant le dépôt d’offres d’emploi du secteur privé » qui a fait l’objet d’une délibération portant avis favorable de la Commission en 2011 portée aux visas.
Ainsi, le traitement automatisé d’informations nominatives, objet de la présente demande, est soumis à l’avis de la Commission, conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée.
I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité « Permettre le suivi des demandeurs d’emploi et des employeurs dans le cadre du processus de recherche d’emploi ».
Il est dénommé « Gestion de l’emploi en Principauté ».
Il concerne les usagers particuliers (demandeurs d’emploi inscrits auprès de la Direction du Travail : monégasque, conjoint/enfant de monégasque, résident, français ou italiens des communes limitrophes ayant déjà occupé un emploi à Monaco), les usagers professionnels (employeurs inscrits auprès de la Direction du Travail), les agents habilités de la Direction du Travail, la Direction des Services Numériques, la Direction des Systèmes d’Information.
Les fonctionnalités sont les suivantes :
- fonctionnalités spécifiques à l’outil interne (back-office) :
• enregistrer / modifier une personne ;
• enregistrer / modifier une demande d’emploi ;
• envoyer un mail d’inscription à un demandeur d’emploi ;
• renouveler une demande d’emploi ;
• clôturer une demande d’emploi ;
• réinscrire un demandeur d’emploi ;
• enregistrer / modifier un employeur ;
• envoyer un mail d’inscription à un employeur ;
• enregistrer / modifier une offre d’emploi ;
• valider une offre d’emploi ;
• rejeter une offre d’emploi ;
• clôturer une offre d’emploi ;
• imprimer un AR d’une offre d’emploi ;
• effectuer un rapprochement entre des offres d’emploi et des demandeurs d’emploi ;
• envoyer un mail à un demandeur d’emploi à la suite d’un rapprochement ;
• envoyer un mail à un employeur suite à un rapprochement ;
• transmettre une offre dans le portail du demandeur d’emploi à la suite d’un rapprochement ;
• transmettre une candidature dans le portail de l’employeur à la suite d’un rapprochement ;
• gérer des échanges ;
• extraire au format Excel des données nominatives relatives aux demandeurs d’emploi ;
• extraire au format Excel des données nominatives relatives aux employeurs ;
• extraire au format Excel des données nominatives relatives aux présentations ;
• bénéficier de données statistiques ;
• générer un mail pour signaler une date d’échéance pour les employeurs ;
• utiliser des référentiels ;
• historiser les actions effectuées par les utilisateurs.
- fonctionnalités spécifiques à l’espace demandeur d’emploi :
• accéder à son espace ;
• gérer son dossier ;
• consulter les offres transmises par le Service de l’Emploi ;
• accepter / refuser une offre ;
• consulter / modifier son espace personnel ;
• import de pièces jointe ;
• se désinscrire de son espace ;
• bénéficier d’indicateurs depuis la page d’accueil MonGuichet ;
- fonctionnalités spécifiques à l’espace employeur :
• accéder à son espace ;
• gérer son dossier ;
• déposer une offre d’emploi ;
• consulter les candidatures transmises par le Service de l’Emploi ;
• accepter / refuser un candidat ;
• gérer les droits d’accès à l’espace ;
• se désinscrire de son espace ;
• bénéficier d’indicateurs depuis la page d’accueil MonGuichet.
S’agissant des statistiques, la Commission relève des précisions du responsable de traitement que l’objectif est de produire « in fine des statistiques anonymisées ».
Par complément d’information, le responsable de traitement indique que les extractions nominatives « n’ont pas pour objectif de réaliser un contrôle sur les refus émis. Les extractions individuelles sont réalisées uniquement à des fins de contrôle de l’emploi en Principauté, et notamment : dans le cadre des missions de la Direction du Travail à des fins de contrôle des demandeurs d’emploi quant à leur recherche active d’un emploi ; et à des fins de facilitation de recherche des demandeurs d’emploi et de gestion pour le suivi pour les formations (mailing) ».
En outre, il précise « qu’il n’existe aucune alerte ou mécanisme de contrôle mis en place concernant les offres refusées par un demandeur d’emploi. ». La Commission en prend acte.
Par ailleurs, il appert des éléments du dossier qu’il ne sera pas possible de s’authentifier sur le téléservice sans utiliser une identité numérique. Celle-ci, réservée jusqu’à présent aux monégasques et résidents, sera donc étendue à d’autres populations, dont les demandeurs d’emploi, ce qui fera l’objet d’un traitement dédié dont l’interconnexion avec le présent traitement est visée au point VI de la délibération.
La Commission s’était déjà inquiétée d’une telle hypothèse d’authentification obligatoire par l’identité numérique au sein de sa délibération n° 2019-120 du 18 septembre 2019 portant avis sur la consultation du Ministre d’État portant sur le projet de loi relative à l’identité numérique. Elle avait ainsi indiqué s’interroger « sur l’obligation future d’obtenir un identifiant/identité numérique pour se connecter aux téléservices de l’Administration. Elle demande donc qu’il soit toujours possible et expressément prévu que les personnes désirant accéder aux services en ligne puissent le faire de manière autonome, service par service ».
La Commission estime qu’il est possible de restreindre exclusivement l’accès à des téléservices par le biais d’une authentification de niveau élevé ou substantiel quand s’applique un principe de nécessité. Il peut s’agir par exemple de cas d’utilisation de données sensibles au sens de l’article 12 de la loi n° 1.165 ou l’érection de services qui ont pour objectif de proposer une alternative à des démarches qui n’étaient possible qu’en se rendant sur place dans l’Administration concernée, comme dans le cas de l’accès aux registres de l’état civil.
En outre, la Commission constate que le procédé permettant de créer une identité numérique pour les demandeurs d’emploi utilisera un système biométrique dont il convient, et il conviendra encore plus de veiller en cas d’adoption du projet de loi n° 1.054 relative à a protection des données personnelles, à la qualité du consentement des personnes s’y soumettant. Or, forcer l’identité numérique de niveau substantiel pour ce téléservice conditionnera nécessairement le consentement des demandeurs d’emploi à l’utilisation d’une telle technologie, qui ne pourra donc pas être libre, spécifique, éclairé et univoque.
La Commission fait sienne l’analyse de la CNIL sur le système ALICEM qui explique que la mise en œuvre d’une telle solution comme seul point d’accès d’un téléservice doit être justifié, outre la nécessité, par un motif d’intérêt public important.
En outre, il semble que l’enrôlement à l’identité numérique pour les personnes non résidentes et non monégasques ne puisse se faire que par cette procédure à distance utilisant des données biométriques, sans alternatives. Si d’autres téléservices devaient proposer uniquement l’identité numérique comme moyen d’authentification, la Commission sera amenée à apprécier la proportionnalité de la mesure, notamment en ce que les services proposés ne seraient concernés que par le niveau substantiel.
Pour toutes ces raisons, la Commission estime que l’utilisation obligatoire d’une identité numérique ne doit pas résulter d’une simple opportunité mais doit relever d’une nécessité, renforcée en cas de recours à la biométrie, conditions qui ne sont pas réunies en l’espèce. Elle demande donc, en l’état des informations dont elle dispose et des objectifs affichés, et en l’absence de justification, qu’il soit possible d’utiliser ce téléservice par le biais d’un autre mode d’authentification, quand bien même le responsable de traitement indique que « chaque personne (demandeur d’emploi ou employeur) pourra continuer de bénéficier du process classique, à savoir se rendre directement à la Direction du Travail et par voie papier ».
Enfin, la Commission rappelle avoir recommandé au sein de sa délibération n° 2021-104 du 2 juin 2021 « qu’il aurait pu être opportun de préciser dans cette Ordonnance Souveraine [Ordonnance Souveraine portant application des articles 4 et 5 de la loi n° 1.483 du 17 décembre 2019 relative à l’Identité Numérique] à qui incombe la décision de demander tel ou tel niveau de garantie pour accéder à tel ou tel service ».
Sous cette réserve, la Commission considère que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993, modifiée.
II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le présent traitement est justifié par le consentement de la personne concernée et par un motif d’intérêt public.
À cet égard, il indique que le consentement des demandeurs à l’emploi et des employeurs est formalisé par un acte positif clair, matérialisé par le biais d’une case à cocher indiquant « j’accepte que mes données personnelles soient traitées » dans l’espace demandeur d’emploi ou employeur selon leur profil ainsi que par l’obligation d’accepter les conditions générales d’utilisation.
Par ailleurs, le présent traitement permet au responsable de traitement de réaliser les missions qui lui sont dévolues par l’Ordonnance Souveraine n° 16.675 du 18 février 2005 portant création de la Direction du Travail. Ainsi cette Direction est notamment chargée :
- « de l’information, l’orientation, du suivi et du placement des demandeurs d’emploi ;
- de l’attribution et du service des aides à l’embauche ;
- du contrôle du respect de la législation sur les conditions d’embauchage et de licenciement ;
- des études statistiques et analytiques sur le marché de l’emploi et de ses perspectives ;
- de toutes missions concernant l’emploi qui lui seraient confiées ».
L’article 3 de la loi n° 629 du 17 juillet 1957 tendant à réglementer les conditions d’embauchage et de licenciement en Principauté précise que « toute offre d’emploi doit être déclarée par l’employeur à la direction de la main-d’œuvre et des emplois qui lui adresse, dans les quatre jours francs de la déclaration, le ou les candidats à l’emploi ».
Enfin, le responsable de traitement indique que « la mise à disposition d’un espace en ligne accessible aux demandeurs d’emploi ainsi qu’aux employeurs a pour objectif de faciliter et développer le placement et le recrutement de demandeurs d’emploi inscrits auprès de la Direction du Travail ».
La Commission en prend acte et considère que le traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
Les informations nominatives traitées sont :
- informations liées à l’état civil de la personne : numéro Service de l’Emploi (SE), numéro CCSS, titre, sexe, nom d’usage, nom de naissance, prénom, prénom(s) supplémentaire(s), date de naissance, ville de naissance, pays de naissance, rang si homonymie, situation familiale, nombre d’enfants à charge, carte de séjour, date d’échéance de la carte de séjour, nationalité, UE/hors UE ;
- informations liées à l’adresse de la personne : adresse, complément d’adresse code postal, ville, pays ;
- informations liées au statut du demandeur d’emploi :
• statut du demandeur d’emploi, priorité, âge, indemnisation, numéro « Pôle Emploi », date de fin de droit, aide publique, date de début de l’aide publique, dispensé(e) de recherche, téléphone, email disponible, email, date d’inscription, motif d’inscription, date de renouvellement, date limite de validité, motif de clôture, date de clôture, date de disponibilité, absence, date de début d’absence, date de fin d’absence, pièce jointe : carte de séjour ;
• historique des demandes ;
- informations liées à la recherche du demandeur d’emploi : type de contrat recherché, durée de travail recherchée, nombre d’heures mensuelles, salaire brut mensuel, télétravail, date du rendez-vous, heure du rendez-vous ;
- informations liées au profil du demandeur d’emploi : code ROME, qualification, diplôme, niveau d’études, observations, expérience, nombre d’années d’expérience, langue, niveau de langues, permis, compétences informatiques, observations, pièce jointe : CV ;
- informations liées aux courriers de la personne : pièce jointe : tout courrier en lien avec la personne ;
- données issues du processus d’authentification pour l’usager « demandeur d’emploi » :
• informations du profil MonGuichet de l’usager : ID usager, email, type de compte (entreprise ou particulier), langue de préférence, civilité, nationalité (pour un compte particulier) ;
• informations MConnect pour un demandeur d’emploi : ID MConnect usager, nom à la naissance, prénoms, date de naissance, heure de naissance, ville de naissance, pays de naissance, genre à la naissance, autorité d’enregistrement ;
- informations liées à l’employeur : numéro SE, numéro CAR, numéro NIS, structure, numéro RCI, raison sociale, forme juridique, statut entreprise, type employeur, siège social, enseigne, enseigne(s) supplémentaires, téléphone, statut employeur, date de création, date d’affiliation, date de radiation, embauche autorisée, télétravail possible, date d’autorisation télétravail, aménagement concerté du temps de travail, superficie, activités dominantes, observations, code NAF, activité NAF, type de régime du détachement ;
- informations liées au suivi de l’employeur par l’Inspection du Travail :
• convention collective, nombre maximum d’employés administratifs, effectif total, règlement intérieur, référent harcèlement, élection DP obligatoire, date des dernières élections DP, CHS, date de visite, date de passage en commission technique, résultat commission technique, date de validation de conformité électrique, durée de validité, date d’échéance du contrôle, date de 1ère relance, date de 2ème relance, date de mise en demeure, observations diverses, pièce jointe : tout document en lien avec le rapport fait par l’Inspection du Travail ;
• type de commission, date de commission, observations ;
- informations liées au(x) contact(s) de l’employeur : titre, nom d’usage, prénom, fonction, téléphone, email ;
- informations liées à l’adresse de l’employeur : adresse, code postal, ville, pays ;
- informations liées aux courriers de l’employeur : pièce jointe : tout courrier en lien avec l’employeur ;
- données issues du processus d’authentification pour l’usager « employeur » :
• informations du profil MonGuichet de l’usager : ID usager, email, type de compte (entreprise ou particulier), langue de préférence, civilité, nationalité (pour un compte particulier) ;
• informations du profil déclaratif MonGuichet pour un employeur : nom d’usage, prénoms ;
- informations liées aux offres d’emploi : statut de l’offre, motif de refus offre, offre web, type d’offre, diffusion publique de l’offre, date de dépôt de l’offre, date de validation de l’offre, date d’annulation de l’offre, motif d’annulation, intitulé du poste, nombre de postes, nombre de postes restants, télétravail, type de contrat, durée du contrat (mois), durée du contrat (jours), renouvelable, durée du travail, salaire brut mensuel, nombre d’heures hebdomadaires, nombre d’heures mensuelles, descriptif du poste de travail, compétences informatiques, observations internes, observations, code ROME, qualification, diplôme, niveau d’études, observations, expérience, nombre d’années d’expérience, langues, niveau de langues, exigence langues, permis, pièce jointe : fiche du poste, pièce jointe : document complémentaire spécifique (pour certains secteurs d’activité), numéro offre de l’emploi ;
- informations liées aux présentations des rendez-vous entre l’employeur et le demandeur d’emploi : date de présentation, résultat présentation demandeur, date résultat présentation demandeur, motifs de refus demandeur, résultat présentation employeur, date résultat présentation employeur, motif de refus employeur, observations ;
- informations liées au lieu d’intervention du détachement : numéro du lieu d’intervention, type de lieu d’intervention, nom du lieu d’intervention ;
- informations liées à l’autorisation du détachement : numéro d’autorisation, date de début de l’autorisation, date de fin de l’autorisation, observations, pièce jointe : autorisation du détachement ;
- informations liées au détachement : numéro de détachement, intitulé du poste, statut du détachement, date de début du détachement, date de fin du détachement, date d’autorisation du détachement, nom du lieu d’intervention, adresse, complément d’adresse, code postal, ville, pays ;
- informations temporelles, horodatage : historisation des actions des utilisateurs (consultation, création, modification, suppression), données de connexion ;
- données issues du processus d’authentification pour les personnes habilitées à avoir accès à l’application : matricule, nom, prénom, email (si disponible), téléphone (si disponible), service de rattachement de l’utilisateur (si disponible).
Il appert à la lecture du dossier que des cookies sont également traités. Le responsable de traitement indique ne procéder qu’au dépôt de cookies techniques, « strictement nécessaires au bon fonctionnement du site » et précise que les mesures d’audience sont anonymisées.
S’agissant de la carte de séjour, le responsable de traitement précise dans le cadre d’un complément d’information que sa collecte « est obligatoire car si le demandeur d’emploi concerné perd le statut de résident alors les droits spécifiques et liés à sa résidence seront également perdus. Il est donc obligatoire pour la Direction du Travail de s’assurer du statut de la personne demandeur d’emploi afin de lui attribuer les droits liés à son statut. Toute personne peut être demandeur d’emploi en Principauté mais uniquement les monégasques et résidents disposent d’un statut particulier avec des droits particuliers. » La Commission en prend acte.
Enfin, en ce qui concerne les zones de « commentaires libres » ou « champs observation », la Commission relève que la Direction du Travail s’est dotée d’une « Charte des bonnes pratiques » qui encadre leur utilisation. Il y est notamment prévu que « l’inscription d’informations nominatives dans la zone libre ne pourra intervenir que sous réserve qu’une autre zone ne permette la collecte de ces informations » tout en veillant à respecter certaines règles dont l’interdiction de commentaires excessifs ou inappropriés. Une attention est également portée sur la définition de données sensibles au sens de l’article 12 de la loi n° 1.165. En outre, la mention de prévention précitée est directement inscrite dans l’outil à côté des zones concernées. La Commission en prend acte.
L’origine des informations n’appelle pas d’observation.
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives », au regard de la finalité du traitement, conformément à l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.
IV. Sur les droits des personnes concernées
> Sur l’information préalable des personnes concernées
L’information préalable des personnes concernées est réalisée par le biais d’une mention particulière intégrée dans un document d’ordre général accessible en ligne, à savoir les conditions générales d’utilisation de la démarche en ligne, que l’usager doit accepter et peut consulter, dès l’accès à la démarche.
Ces dernières étant jointes au dossier, la Commission constate que les personnes concernées sont informées de manière conforme aux dispositions de l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée.
Elle constate en outre la mise à disposition d’une politique cookie.
S’agissant de l’information préalable des agents habilités de la Direction du Travail, le responsable de traitement indique qu’ils sont informés du traitement de leurs données dans le cadre du présent traitement dans la « Charte des bonnes pratiques » de l’utilisation de l’outil mise à leur disposition, plus précisément dans la rubrique « Mentions d’informations préalables concernant le traitement de vos informations nominatives ». Il précise que ce document est communiqué par email aux personnes concernées.
À l’analyse de ladite mention, la Commission constate qu’elle est conforme aux exigences légales.
> Sur l’exercice du droit d’accès, de modification et de mise à jour
Le droit d’accès est exercé par courrier électronique ou par voie postale auprès de la Direction du Travail.
À cet égard, la Commission rappelle que la réponse à ce droit d’accès doit s’exercer dans le mois suivant la réception de la demande.
S’agissant de l’exercice du droit d’accès par voie électronique, la Commission rappelle qu’une procédure doit être mise en place afin que le responsable de traitement puisse s’assurer, en cas de doute sur l’identité de la personne à l’origine du courriel, qu’il s’agit effectivement de la personne concernée par les informations.
À ce titre, elle précise que si une copie d’un document d’identité était demandée, la transmission et le traitement de ce document devront faire l’objet de mesures de protection particulières, comme rappelé dans sa délibération n° 2015-113 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d’identité officiels.
Sous ces réserves, elle constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.
V. Sur les personnes ayant accès au traitement
Le responsable de traitement indique que les accès sont définis comme suit :
- le personnel de la Direction du Travail : tous droits selon les profils attribués ;
- le personnel de la Direction des Systèmes d’Information (DSI) ou tiers intervenant pour son compte : tous les droits dans le cadre des missions de maintenance, de développement des applicatifs nécessaires au fonctionnement du site et de sécurité du site et du système d’information de l’État ;
- le personnel de la Direction des Services Numériques (DSN) ou tiers intervenant pour son compte : tous les droits dans le cadre d’un rôle d’assistance à maîtrise d’ouvrage, des missions de maintenance, développement des applicatifs nécessaires au fonctionnement du site et de sécurité du site et du système d’information de l’État.
Le responsable de traitement précise que « la liste des agents ayant accès au traitement est définie et validée par le service » et que « l’ensemble des accès (…) font l’objet d’une traçabilité conformément aux dispositions de la PSSIE ».
En ce qui concerne les tiers intervenant pour le compte de la DSI et de la DSN, elle rappelle également que, conformément aux dispositions de l’article 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, les droits d’accès doivent être limités à ce qui est strictement nécessaire à l’exécution de leurs contrats de prestation de services. De plus, ceux-ci sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement.
La Commission considère que ces accès sont justifiés.
VI. Sur les interconnexions et rapprochements
Le responsable de traitement indique que le présent traitement fait l’objet d’interconnexions avec les traitements de l’État, légalement mis en œuvre, ayant respectivement pour finalité :
- « Gestion du compte permettant aux usagers d’entreprendre et suivre des démarches par téléservices (MonGuichet.mc) » afin de permettre :
• aux usagers demandeurs d’emploi et employeurs : de retrouver, depuis leur page d’accueil MonGuichet, des informations sur le nombre de démarches en attente d’action, en cours et clôturées ;
• la remontée dans la solution des informations liées à l’authentification des usagers demandeurs d’emploi et employeurs ;
- « Gestion des habilitations et des accès au système d’information » afin de disposer des éléments permettant aux agents de l’État de se connecter au réseau afin d’exécuter leurs missions selon leur profil ;
- « Gestion des accès dédiés au Système d’Information » afin de permettre à la DSI de donner des accès limités au système avec des droits d’administration ;
- « Gestion et analyse des évènements du système d’information » pour tracer toutes actions dans la solution et dans les espaces demandeurs d’emploi et employeur ;
- « Gestion des sites Internet du Gouvernement Princier de Monaco » afin de transmettre vers le site MonServicePublic.mc les offres d’emploi non pourvues sous réserve d’avoir l’accord de l’employeur et que le délai de 4 jours francs soit dépassé.
Par complément d’information, le responsable de traitement précise que le présent traitement est interconnecté avec les traitements légalement mis en œuvre ayant pour finalités respectives « Gestion des demandeurs d’emploi » et « Constitution du dossier employeur ». À cet égard, la Commission relève que lesdits traitements ont fait l’objet d’avis favorables en 2007 accompagnés de réserves et recommandations. La Commission invite le responsable de traitement à vérifier l’adéquation de ses formalités de 2007 avec les évolutions de son fonctionnement actuel, afin d’établir si le traitement est à jour et conforme aux dispositions de la loi n° 1.165 telle que modifiée depuis 2008.
Le responsable de traitement indique par ailleurs que le présent traitement est rapproché avec les traitements de l’État, légalement mis en œuvre, suivants :
- « Assistance aux utilisateurs par le Centre de Service » afin de permettre d’une part, aux utilisateurs de remonter un incident sur la solution puis de suivre l’évolution du traitement de leur demande, et d’autre part, aux collaborateurs de la DSN/DSI d’intervenir selon les demandes et leurs attributions et d’enregistrer les actions effectuées ;
- « Gestion de la messagerie professionnelle » afin de permettre aux acteurs du traitement (technicien, utilisateurs, usagers…) de pouvoir échanger.
En outre, le responsable de traitement indique que le présent traitement est interconnecté avec le traitement, légalement mis en œuvre, de la Caisse de Compensation des Services Sociaux ayant pour finalité « Gestion de l’Immatriculation des salariés », afin « de permettre à la Direction du travail de récupérer (…) le numéro d’immatriculation du salarié ».
Il indique par ailleurs que le présent traitement est interconnecté avec un traitement relatif à la création d’une identité numérique pour les non-monégasque et non-résidents à Monaco qui « est en cours de finalisation pour dépôt dans les plus brefs délais ». La Commission en prend acte et renvoie aux réserves évoquées au point I de la présente délibération. Elle constate en outre qu’en liant l’authentification à la seule identité numérique, le présent traitement ne peut fonctionner sans le traitement lié à la délivrance de l’identité numérique aux demandeurs d’emploi.
Le responsable de traitement indique enfin que le présent traitement est également rapproché avec un traitement relatif à l’exploitation des outils permettant l’élaboration de reporting pour les services de l’Administration qui est « en cours de rédaction pour dépôt » avec pour objectif de « transmettre des données non nominatives afin de permettre la génération et la transmission de statistiques à la Direction du Travail ».
À cet égard, la Commission rappelle que tout rapprochement ou interconnexion ne peut avoir lieu qu’entre des traitements légalement mis en œuvre et demande au responsable de traitement de lui soumettre ledit traitement dans les plus brefs délais.
En toute fin, il appert à l’analyse du dossier que le présent traitement est interconnecté avec le traitement concomitamment déposé ayant pour finalité « Gestion de la demande d’embauchage et du permis de travail ».
Sous cette condition, la Commission considère que ces rapprochements et interconnexions sont conformes aux exigences légales.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation particulière.
Cependant il convient de rappeler que les éléments exportés/extraits dans le cadre de ce traitement doivent être enregistrés dans un espace sécurisé accessible aux seules personnes habilitées.
La Commission rappelle par ailleurs que les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
Elle rappelle également que, conformément à l’article 17 de la loi n° 1.165 modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement, au regard des risques présentés par ce traitement et de la nature des données à protéger, devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VIII. Sur la durée de conservation
Les informations liées à l’état civil de la personne ainsi que les données liées à l’adresse de celle-ci sont conservées « jusqu’à l’âge légal de départ à la retraite de la personne en Principauté (65 ans) en base active + 10 ans en archivage intermédiaire ».
À cet égard, le responsable de traitement indique pour justifier cette durée de conservation de l’état civil que les personnes concernées doivent, à quelques exceptions près, avoir été des salariés pour, le cas échéant, être des demandeurs d’emploi auprès de la Direction du Travail.
Toutefois, la Commission relève des précisions du responsable de traitement que dans de rares cas, des personnes peuvent avoir ce statut de demandeur d’emploi sans n’avoir jamais travaillé en Principauté. La Commission estime que ces personnes, dans le cas où elles n’acceptent jamais d’offre et ne revêtent donc à aucun moment la qualité de salarié, ne doivent pas être soumises à la même durée de conservation. Elle demande au responsable de traitement d’appliquer à ces informations la même durée de conservation que celle prévue pour la conservation des informations liées au statut, à la recherche et au profil du demandeur d’emploi.
Les informations liées au statut, à la recherche et au profil du demandeur d’emploi sont conservées :
- 5 ans après le versement des aides ou allocation pour les demandeurs assujettis ;
- 2 ans après la date de clôture de recherche d’emploi dans le cas où le demandeur n’aurait bénéficié d’aucune allocation (chômage ou équivalente).
Les informations liées aux courriers de la personne sont conservées 5 ans à compter de la réception du courrier.
Les données issues du processus d’authentification pour les demandeurs d’emploi ainsi que pour les employeurs est de « 3 ans à compter de la dernière connexion au compte ».
S’agissant des informations relatives à l’employeur il est précisé que sont conservées comme suit :
- informations liées à l’employeur, à son adresse ainsi que liées à son suivi par l’Inspection du Travail : « 15 ans à compter de la radiation de la société » ;
- informations liées au(x) contact(s) de l’employeur : « 2 ans à compter du dernier contact avec la personne concernée » ;
- informations liées aux courriers de l’employeur : « 5 ans à compter de la réception du courrier » ;
- informations relatives aux commissions : « 3 ans à compter de la commission ».
Par ailleurs, sont conservées comme suit :
- les informations liées aux offres d’emploi côté employeur « 1 an à compter de la date ou l’offre a été pourvue/retirée » ;
- les informations liées aux offres d’emploi côté Direction du Travail : « 5 ans à compter de la date ou l’offre a été pourvue / retirée » ;
- les informations liées aux présentations des rendez-vous entre l’employeur et le demandeur d’emploi : « 5 ans à compter du résultat du rendez-vous » ;
- les données liées au détachement ainsi qu’au lieu d’intervention du détachement : « 5 ans à compter de la fin de la période de détachement » ;
- les données relatives à l’autorisation du détachement : « 5 ans à compter de la fin de la période d’exécution » ;
- les données issues du processus d’authentification pour les personnes habilitées à avoir accès à l’outil : « tant que le compte est actif » pour le titulaire et agent de l’État ;
- les données issues du processus d’authentification pour les prestataires : supprimés « lors de la désactivation du compte » ;
- les informations temporelles : « la durée de conservation de 1 an permet d’assurer une traçabilité des accès et des actions des différents utilisateurs habilités à accéder au système ».
Sous la condition susmentionnée, la Commission considère que ces délais sont conformes aux exigences légales.
Après en avoir délibéré, la Commission :
Constate que le traitement relatif à la création d’une identité numérique pour les non-monégasque et non-résidents à Monaco sera déposé à la Commission dans les plus brefs délais.
Invite le responsable de traitement à vérifier l’adéquation de ses formalités de 2007 avec les évolutions de son fonctionnement actuel, afin d’établir si le traitement est à jour et conforme aux dispositions de la loi n° 1.165 telle que modifiée depuis 2008.
Rappelle que :
- la réponse à ce droit d’accès doit s’exercer dans le mois suivant la réception de la demande ;
- une procédure relative au droit d’accès par voie électronique doit être mise en place afin que le responsable de traitement puisse s’assurer, en cas de doute sur l’identité de la personne à l’origine du courriel, qu’il s’agisse effectivement de la personne concernée par les informations ;
- tout rapprochement ou interconnexion ne peut avoir lieu qu’entre des traitements légalement mis en œuvre ;
- les éléments exportés/extraits dans le cadre de ce traitement doivent être enregistrés dans un espace sécurisé accessible aux seules personnes habilitées ;
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switch, routeurs, pares-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
Demande :
- en l’état des informations dont elle dispose et des objectifs affichés, et en l’absence de justification, qu’il soit possible d’utiliser ce téléservice par le biais d’un autre mode d’authentification, quand bien même le responsable de traitement indique que « chaque personne (demandeur d’emploi ou employeur) pourra continuer de bénéficier du process classique, à savoir se rendre directement à la Direction du Travail et par voie papier » ;
- que le traitement relatif à l’exploitation des outils permettant l’élaboration de reporting pour les services de l’Administration lui soit soumis dans les plus brefs délais ;
- d’appliquer aux informations relatives à l’état civil et coordonnées ne revêtant à aucun moment la qualité de salarié la même durée de conservation que celle prévue pour la conservation des informations liées au statut, à la recherche et au profil du demandeur d’emploi.
Sous le bénéfice de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d’État, du traitement automatisé d’informations nominatives ayant pour finalité « Permettre le suivi des demandeurs d’emploi et des employeurs dans le cadre du processus de recherche d’emploi ».
Le Président de la Commission
de Contrôle des Informations Nominatives.