Délibération n° 2020-137 du 28 octobre 2020 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion de l'aide à la souscription d'une assurance complémentaire santé » exploité par la Direction de l'Action et de l'Aide Sociales (DASO) et présenté par le Ministre d'État.

Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 918 du 27 décembre 1971 sur les établissements publics ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la loi n° 1.279 du 29 décembre 2003 modifiant certaines dispositions de la loi n° 335 du 19 décembre 1941 portant création d'un office d'assistance sociale ;
Vu la loi n° 1.465 du 11 décembre 2018 relative à l'aide à la famille monégasque et à l'aide sociale ;
Vu l'Ordonnance Souveraine n° 5.055 du 8 décembre 1972 sur les conditions d'administration et de gestion administrative et comptable des établissements publics ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l'Ordonnance Souveraine n° 5.641 du 14 décembre 2015 portant création d'une Direction de l'Action et de l'Aide Sociales ;
Vu l'Ordonnance Souveraine n° 5.744 du 3 mars 2016 relative à l'aide à la souscription d'une assurance complémentaire santé ;
Vu l'arrêté ministériel n° 2016-152 du 3 mars 2016 portant application de l'Ordonnance Souveraine n° 5.744 du 3 mars 2016 relative à l'aide à la souscription d'une assurance complémentaire santé ;
Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d'informations nominatives ;
Vu la demande d'avis déposée par le Ministre d'État le 16 juillet 2020 concernant la mise en œuvre d'un traitement automatisé d'informations nominatives ayant pour finalité « Gestion de l'aide à la souscription d'une assurance complémentaire santé » ;
Vu la prorogation du délai d'examen de ladite demande d'avis notifiée au responsable de traitement le 15 septembre 2020, conformément à l'article 19 de l'Ordonnance Souveraine n° 2.230 du 19 juin 2009, modifiée, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 28 octobre 2020 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,

Préambule
La Direction de l'Action et de l'Aide Sociales (DASO) est chargée de toutes missions relatives à l'action et l'aide sociales en Principauté.
Afin de mener à bien lesdites missions, elle souhaite mettre en place un traitement de gestion de l'aide à la souscription d'une assurance complémentaire santé.
Le traitement automatisé d'informations nominatives objet de la présente délibération est donc soumis à l'avis de la Commission conformément à l'article 7 de la loi n° 1.165 du 23 décembre 1993\.

I. Sur la finalité et les fonctionnalités du traitement
Ce traitement a pour finalité « Gestion de l'aide à la souscription d'une assurance complémentaire santé ».
Il est dénommé « ASACS ».
Les personnes concernées sont les bénéficiaires de l'aide à la souscription d'une Assurance Complémentaire Santé (ASACS) et les agents habilités de la DASO.
Enfin, les fonctionnalités sont les suivantes :
- assurer le suivi administratif et financier des dossiers (création, modification, renouvellement et suppression) ;
- collecter les justificatifs administratifs nécessaires à l'instruction du dossier ;
- créer et actualiser les fiches bénéficiaires ;
- déterminer l'ouverture des droits et vérifier la satisfaction d'octroi de cette aide financière pour le paiement d'une assurance complémentaire santé ;
- échanger des correspondances avec les demandeurs et les bénéficiaires ;
- échanger les éléments nécessaires à la gestion de cette prestation avec les entités habilitées (Directeur de l'Office de Protection Sociale (OPS), l'Agent comptable de l'OPS, le Contrôle Général des Dépenses (CGD)) ;
- procéder au paiement de la prestation conformément à la règlementation en vigueur ;
- élaborer des documents de suivi de la prestation (prévisions budgétaires, mouvements divers….) ;
- établir des statistiques anonymisées et études internes destinées à l'Administration monégasque, dont l'autorité de Tutelle (Département des Affaires Sociales et de la Santé) afin de lui permettre la mise en œuvre d'actions d'information au bénéfice des personnes.
Il appert par ailleurs à l'étude du dossier qu'il arrive que la DASO se rende compte qu'un de ses administrés, au titre de l'assurance complémentaire, perçoit déjà des aides d'un organisme de sécurité sociale.
La DASO gérant plusieurs types d'aides et allocations, elle peut en effet avoir connaissance d'éléments administratifs provenant directement de l'allocataire laissant supposer une ouverture de droit auprès d'une caisse de sécurité sociale (CCSS, CAMTI, SPME, CPAM, CFE, …), notamment la perception d'une retraite, de salaires sur des périodes travaillées et/ou d'aides au retour à l'emploi.
Après vérification, et si le droit est rétroactif, la DASO peut alors demander le remboursement à cet organisme.
La Commission constate ainsi que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.

II. Sur la licéité et la justification du traitement
Le traitement dont s'agit est tout d'abord justifié par le respect d'une obligation légale à laquelle est soumis le responsable de traitement.
La Commission constate ainsi que l'aide à la souscription d'une assurance complémentaire santé a été instaurée par l'Ordonnance Souveraine n° 5.744 du 3 mars 2016 et mise en application avec l'arrêté ministériel n° 2016-152 du 3 mars 2016, qui « définissent cette prestation, établissent les règles d'attribution et de prise en charge ».
Elle relève qu'aux termes de l'article 4 de ladite Ordonnance, la demande d'aide à la souscription d'une assurance complémentaire santé est effectuée au moyen d'un formulaire disponible auprès de la Direction de l'Action et de l'Aide Sociales, qui doit être retourné à cette Direction par le demandeur, accompagné de toutes les pièces justificatives nécessaires à l'examen du dossier.
La Commission note par ailleurs que « La Division Aide Sociale Financière collecte les informations, établit la fiche de calcul et détermine l'ouverture de droit à l'ASACS. Elle assure le suivi de l'aide comme il est dit dans les textes ».
En outre, elle prend acte que « La collecte des informations nominatives, dont celles relatives à des mesures à caractère social dont peuvent bénéficier des personnes physiques, répond à une obligation fixée par Ordonnance Souveraine » et que « avec l'accord du requérant, des éléments concernant sa situation financière et celle de son foyer peuvent être sollicités auprès des services de l'Administration monégasque ».
Le responsable de traitement justifie également le traitement par un motif d'intérêt public.
À cet égard, il indique que celui-ci « repose sur le respect d'un droit fondamental garanti par la Constitution monégasque en son article 26 qui dispose que « Les Monégasques ont droit à l'aide de l'État en cas d'indigence, chômage, maladie, invalidité, vieillesse et maternité, dans les conditions et formes prévues par la loi » ».
Le responsable de traitement précise que « « Se fondant sur ce principe, la loi n° 1.465 du 11 décembre 2018 relative à l'aide à la famille monégasque et à l'aide sociale permet ainsi de renforcer le modèle social monégasque » qui, comme le rappelle l'exposé des motifs de la loi précitée, « se caractérise par des mécanismes collectifs de prévoyance ainsi que par une action publique offrant un niveau élevé de protection sociale à ses nationaux, résidents et travailleurs afin de les protéger contre les différents aléas de la vie (système de retraite par répartition, haut niveau de protection sociale, assurance chômage » ».
Il souligne en outre qu'« À côté des systèmes d'assurance sociale classiques reposant sur le principe de contribution, l'État apporte également une protection aux personnes en situation de besoin par l'octroi de différentes aides sociales. L'aide sociale, fondée sur le principe d'assistance, constitue, à Monaco comme ailleurs, un droit essentiel. Elle exprime la solidarité de la collectivité à l'égard des personnes en situation de besoin et fait abstraction contrairement à la couverture sociale, de toute exigence relative à des périodes d'activité professionnelle, d'affiliation ou de cotisation ».
Le responsable de traitement déclare également que « L'aide à la souscription d'un contrat d'assurance complémentaire santé est ainsi une aide financière, prévue à l'article 25 de la loi qui permet, selon l'exposé des motifs, « en pratique à son demandeur de bénéficier d'une réduction sur le coût de sa complémentaire santé. Cette aide connaît un champ d'application plus large que celui de l'aide médicale de l'État. Le plafond des ressources à ne pas dépasser pour bénéficier de l'aide étant en effet plus élevé, elle concerne un nombre plus important de bénéficiaires ».
Enfin, le traitement est également justifié par la réalisation d'un intérêt légitime poursuivi par le responsable de traitement qui ne méconnaît ni l'intérêt, ni les droits et libertés fondamentaux de la personne concernée.
À cet effet, la Commission constate que cette aide financière « permet en principe à son demandeur de bénéficier d'une réduction sur le coût de sa complémentaire santé ».
Elle considère donc que le traitement est justifié, conformément aux dispositions de l'article 10-2 de la loi n° 1.165 du 23 décembre 1993\.

III. Sur les informations nominatives traitées
Les informations nominatives traitées sont :
- identité du demandeur : civilité, nom, nom d'usage, prénom, date et lieu de naissance, nationalité, numéro de sécurité sociale, date d'arrivée à Monaco, situation familiale ;
- identité des personnes vivant au foyer : civilité, nom, nom d'usage, prénom, date de naissance, date et lieu de naissance, nationalité, lien avec le demandeur, situation familiale, photocopie de la carte d'identité ou de la carte de séjour du demandeur et des membres du foyer, date d'arrivée à Monaco ;
- adresses et coordonnées : adresse postale, adresse électronique, coordonnées téléphoniques du demandeur ou du représentant légal ;
- caractéristiques financières : montant des revenus, RIB (du demandeur ou du tiers autorisé à percevoir l'aide), calcul des droits, montant de l'aide, justificatifs papier de la demande (carte d'identité ou carte de séjour du demandeur et des membres du foyer, carte d'étudiant ou certificat de scolarité, copie de l'ordonnance de séparation de corps ou de jugement de divorce pour les personnes séparées ou divorcées, justificatifs de perception de revenus autres que professionnels sur les 12 derniers mois, justificatifs de perception d'allocations sur les 12 derniers mois, attestation des revenus des valeurs et capitaux mobiliers pour chaque personne de plus de 18 ans, vivant au foyer, y compris étudiants, pour l'année civile précédentes, établie par la ou les banque(s) ou la poste dans lesquelles il est détenu un ou des compte(s), justificatifs des pensions alimentaires et parts contributives à l'éducation et à l'entretien des enfants sur les 12 derniers mois, quittances de loyer ou charges de copropriété des 12 derniers mois afin de calculer la moyenne économique du demandeur et de son foyer tel que défini par arrêté ministériel, un certificat médical datant de moins de 3 mois en cas de demande d'exonération du ticket modérateur, un RIB, appel à cotisation de l'assurance complémentaire santé ;
- attestation sur l'honneur (scannée) : document papier complété et signé par le demandeur attestant de l'exactitude des données communiquées par le demandeur, de sa compréhension sur le dispositif de cette aide financière, avec notamment la possibilité pour l'OPS d'exercer son droit de recours sur succession, de son engagement à déclarer à la DASO tout changement intervenant dans sa situation susceptible de modifier la période de sa prise en charge ;
- mesures à caractère social : intitulé de l'aide, demande de prise en charge ou de renouvellement, justificatifs papier scannés (financiers, attestation de prise en charge AME (Aide Médicale de l'État), extrait de de l'ordonnance du Juge tutélaire permettant l'instruction du dossier par la DASF (Division Aide Sociale Financière), demande de prise en charge ou renouvellement, motivation de la demande et conservation par le service des informations strictement nécessaire à cette fin) ;
- données d'identification électronique : login et mot de passe des personnes habilitées à avoir accès au traitement ;
- informations temporelles, horodatage : log de connexion ;
- identité des agents habilités à avoir accès au traitement : nom, prénom, initiales, accès autorisé ;
- éléments de traçabilité des dossiers : date, heure, nom, prénom, action.
Concernant la carte d'identité ou carte de séjour du demandeur et des membres du foyer, la carte d'étudiant ou le certificat de scolarité, la Commission prend acte des précisions du responsable de traitement selon lesquelles « Ces documents sont photocopiés et scannés en noir et blanc et les données sont barrées ».
Par ailleurs, concernant l'extrait de la copie de l'ordonnance de séparation de corps ou du jugement de divorce pour les personnes séparées ou divorcées, le responsable de traitement indique qu'« Uniquement les données nécessaires à l'instruction du dossier sont collectées et conservées ».
Les informations relatives à l'identité du demandeur et des personnes vivant au foyer, les adresses et les coordonnées ainsi que les caractéristiques financières et l'attestation sur l'honneur ont pour origine le formulaire relatif à l'aide à la souscription d'une assurance complémentaire à compléter par le demandeur et les personnes vivant au foyer.
Les informations relatives aux mesures sociales ont pour origine les demandeurs de l'ASACS et leur foyer ainsi que les services de l'administration monégasque sur autorisation du demandeur.
Les données d'identification électronique ont pour origine la Direction des Systèmes d'Information pour le login et la personne concernée pour le mot de passe.
Les logs de connexion ont pour origine le système.
Enfin, les informations relatives à l'identité des agents habilités à avoir accès au traitement ont pour origine le responsable de service.
La Commission considère ainsi que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.

IV. Sur les droits des personnes concernées

• Sur l'information préalable des personnes concernées

L'information préalable des personnes concernées est effectuée par le biais de documents spécifiques, à savoir le formulaire de demande et les courriers de notification.
À l'analyse de ces documents, la Commission considère que ceux-ci sont conformes à l'article 14 de la loi n° 1.165 du 23 décembre 1993.

• Sur l'exercice du droit d'accès, de modification et de mise à jour

Le droit d'accès s'exerce sur place ou par voie postale auprès de la Direction de l'Action et de l'Aide Sociales - Division de l'Aide Sociale Financière.
La Commission constate ainsi que les modalités d'exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993.

V. Sur les destinataires et les personnes ayant accès au traitement

• Sur les destinataires

Le responsable de traitement indique que « Sont destinataires d'informations nominatives issues du présent traitement, en fonction du type de demande et du régime de l'assuré :
- Le Directeur de l'Office de Protection Sociale, le Contrôle Général des Dépenses, l'agent comptable de l'OPS, et la banque respectivement chargés de signer, contrôler les certificats de paiement et de virement, et la banque qui procède au paiement de l'aide à la souscription d'une assurance complémentaire Santé (ASACS), par virement bancaire soit directement auprès de l'assureur soit auprès du demandeur, dans l'hypothèse où celui-ci aurait acquitté le montant de la cotisation annuelle.
- Le représentant légal : Il peut solliciter l'octroi de l'ASACS pour le compte de son administré, adresser et signer le formulaire de demande et attestation sur l'honneur.
- L'OPS peut disposer des éléments nécessaires pour l'exercice de son droit de recours en récupération des sommes avancées à l'encontre des bénéficiaires, conformément à l'article 3 de la loi n° 1.279 du 29 décembre 2003, modifiée.
- Le Département des Affaires Sociales et de la Santé, autorité de tutelle, pour le suivi de l'octroi de l'aide permettant la mise en œuvre d'actions d'information au bénéfice des personnes, dans le cadre d'une consultation du Département, pour l'instruction de dossiers complexes, pour toute demande de dérogation et dans le cadre d'une contestation ou recours administratif contre une décision rendue.
- Les Services de l'Administration Monégasque, avec l'accord du demandeur, en application de l'article 53 de l'Ordonnance Souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l'Administration et l'administré ».
La Commission en prend acte et considère que ces transmissions sont conformes aux exigences légales.

• Sur les personnes ayant accès au traitement

Les personnes habilitées à avoir accès au traitement sont :
- le personnel habilité de la DASO en charge du suivi de l'ASACS (contrôleur et attaché) : création, modification et suppression des fiches bénéficiaires ;
- le personnel habilité de la DASO en charge du Secrétariat de la Direction : consultation des fiches bénéficiaires et tous droits d'accès à la base courrier ;
- le comptable de la DASO : création, modification et suppression des fiches bénéficiaires pour la mise à jour des paiements ou des remboursements ;
- le Chargé de mission de la DASO : consultation des fiches bénéficiaires ;
- le Directeur de l'OPS (organisme payeur) : consultation des fiches bénéficiaires, contrôle et validation des certificats de paiements ;
- l'agent comptable de l'OPS et le Contrôle Général des Dépenses : contrôle et validation des certificats de paiement ;
- les agents habilités de la DSI et toute personne travaillant sous son autorité : accès dans le cadre de leurs missions d'assistance technique et de maintenance.
Concernant ces derniers, la Commission demande que les accès effectués aux applications métiers et bases courriers par la DSI ainsi que les sauvegardes de ces accès soient collectés et qu'un message/une alerte soit envoyé(e) au responsable métier l'informant de cet accès qui sera préalablement justifié ou devra l'être.
De même, elle demande que toute réplication/copie des applications métiers et bases courriers soit autorisée par le responsable de service, tracée par le système et fasse l'objet d'une alerte auprès du responsable métier.
Sous ces conditions, considérant les attributions de chacune de ces personnes, et eu égard à la finalité du traitement, les accès susvisés sont justifiés.

VI. Sur les interconnexions et rapprochements
Le responsable de traitement indique que le présent traitement fait l'objet de trois interconnexions avec les traitements ayant respectivement pour finalité « Gestion des habilitations et des accès au Système d'information », « Gestion des techniques automatisées de communication (Lotus Notes) » et « Gestion de la messagerie professionnelle Exchange ».
La Commission prend acte que ces traitements ont été légalement mis en œuvre.
Le responsable de traitement indique également un rapprochement avec un traitement ayant pour finalité « Assistance aux utilisateurs par le Centre de Service de la DSI », déposé récemment et qui fera l'objet d'une prochaine délibération de la Commission.
Enfin, il indique que le présent traitement fait l'objet d'un rapprochement avec deux traitements ayant respectivement pour finalité « Certificats de paiement et listing des bénéficiaires/CGD » et « Gestion des contentieux » dont le responsable de traitement est l'OPS.
Concernant ces deux traitements, la Commission demande qu'ils lui soient soumis dans les plus brefs délais.
Enfin, elle constate à l'étude du dossier un rapprochement avec un traitement ayant pour finalité « Sommier de la Nationalité », légalement mis en œuvre par la Mairie de Monaco.

VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations appellent plusieurs remarques.
La Commission rappelle ainsi que les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort.
Elle rappelle également que toute communication d'informations confidentielles et/ou sensibles par voie électronique doit être sécurisée.
La Commission constate en outre que les informations et données sont enregistrées dans le fichier Excel sans sécurité ni chiffrement.
Elle demande donc que lesdites informations et données soient chiffrées ou ne soient uniquement accessibles que par les personnes ayant à en connaître.
La Commission rappelle par ailleurs que la copie et l'extraction d'informations issues de ce traitement doit être chiffrée sur son support de réception.
Elle rappelle enfin que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.

VIII. Sur la durée de conservation
Les informations relatives à l'identité du demandeur et des personnes vivant au foyer, aux adresses et coordonnées sont conservées le temps de l'année en cours d'instruction du dossier plus 10 années.
À cet égard, le responsable de traitement de traitement précise que « L'Aide à la Souscription d'une Assurance Complémentaire Santé étant susceptible de faire l'objet d'un recours sur succession sur les cinq dernières années de secours (prescription légale), les dossiers seraient conservés après le décès de la personne et jusqu'au recouvrement de la créance, partielle ou totale, et deux ans après la clôture du recours, en cas d'éventuelles contestations. Au-delà ces documents seraient détruits ».
Les caractéristiques financières sont conservées le temps de l'année en cours d'instruction du dossier et l'année précédente, « dans la mesure où le bénéfice de l'ASACS est accordé au plus pour une année et, sur l'année précédente, dans le cas d'un renouvellement de la demande. Passé ces délais, ces documents seraient détruits ».
L'attestation sur l'honneur est conservée « jusqu'au décès de la personne et/ou jusqu'au recouvrement partiel ou total de la créance de l'OPS et deux ans après la clôture du recours, en cas d'éventuelles contestations. Au-delà ces documents seraient détruits ».
En ce qui concerne les mesures à caractère social, la durée de conservation des justificatifs financiers est le temps de l'année en cours d'instruction du dossier et les 10 années suivantes puisque « L'Aide à la Souscription d'une Assurance Complémentaire Santé étant susceptible de faire l'objet d'un recours sur succession sur les cinq dernières années de secours (prescription légale), les dossiers seraient conservés après le décès de la personne et jusqu'au recouvrement de la créance, partielle ou totale, et deux ans après la clôture du recours, en cas d'éventuelles contestations. Au-delà ces documents seraient détruits ».
Les données d'identification électronique et les informations relatives aux agents habilités à avoir accès au traitement sont conservées tant que la personne est autorisée à avoir accès.
Les logs de connexion sont conservés 180 jours.
Enfin, les éléments de traçabilité des dossiers sont conservés 10 ans puis détruits.
Concernant ces derniers, la Commission demande qu'ils ne soient conservés qu'un an maximum.
Sous cette condition, la Commission considère que ces durées sont conformes aux exigences légales.
Après en avoir délibéré, la Commission :

Rappelle que :
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort ;
- toute communication d'informations confidentielles et/ou sensibles par voie électronique doit être sécurisée ;
- la copie et l'extraction d'informations issues de ce traitement doit être chiffrée sur son support de réception.
Demande que :
- les traitements exploités par l'OPS lui soient soumis dans les plus brefs délais ;
- les accès effectués aux applications métiers et bases courriers par la DSI ainsi que les sauvegardes de ces accès soient collectés et qu'un message/une alerte soit envoyé(e) au responsable métier l'informant de cet accès qui sera préalablement justifié ou devra l'être ;
- toute réplication/copie des applications métiers et bases courriers soit autorisée par le responsable de service, tracée par le système et fasse l'objet d'une alerte auprès du responsable métier ;
- les informations et données enregistrées dans le fichier Excel soient chiffrées ou ne soient uniquement accessibles que par les personnes ayant à en connaître.
Fixe la durée de conservation des éléments de traçabilité à 1 an maximum.
Sous le bénéfice de la prise en compte de ce qui précède, la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par le Ministre d'État du traitement automatisé d'informations nominatives ayant pour finalité « Gestion de l'aide à la souscription d'une assurance complémentaire santé ».

Le Président de la Commission de Contrôle des Informations Nominatives.