Délibération n° 2014-23 du 4 février 2014 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité «Gestion des plannings des agents du Secrétariat Général» présenté par son Président
Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel du 28 janvier 1981 et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu la délibération n° 2010-08 du 1er mars 2010 de la Commission relative à la mise en œuvre du traitement ayant pour finalité «Organisation et gestion des missions et activités du Secrétariat de la CCIN» ;
Vu la demande d’avis déposée par le Président de la Commission de Contrôle des Informations Nominatives le 8 janvier 2014 relative à la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité «Gestion des plannings des agents du Secrétariat Général» ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 4 février 2014 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
La Commission de Contrôle des Informations Nominatives est une autorité administrative indépendante, organisme de droit public.
Par délibération n° 2010-08 du 1er mars 2010, elle a mis en œuvre un traitement ayant pour finalité «Organisation et gestion des missions et activités du Secrétariat de la CCIN».
Pour répondre à l’accroissement de ses activités et à la nouvelle organisation interne du Secrétariat Général, la Commission a procédé à la refonte complète de son système d’information.
Dans ce cadre, il est apparu nécessaire de préciser certaines fonctionnalités du traitement susmentionné, et de les intégrer dans un traitement distinct.
Au vu de ces éléments, et en application de l’article 7 de la loi n° 1.165 du 23 décembre 1993, le Président de la Commission a décidé de soumettre à l’avis de la Commission un nouveau traitement ayant pour finalité «Gestion des plannings des agents du Secrétariat Général».
I. Sur la finalité et les fonctionnalités du traitement
Le traitement a pour finalité «Gestion des plannings des agents du Secrétariat Général».
Les personnes concernées sont les agents du Secrétariat Général, le Secrétaire Général ainsi que les tiers concernés par un évènement sur l’agenda.
Enfin, les fonctionnalités du traitement sont les suivantes :
- Création d’évènements sur l’agenda (réunion, RDV, rappel, etc.), («entrée d’agenda») ;
- Envoi d’alertes ou d’invitations à d’autres collaborateurs ainsi qu’à des tiers pour participer à ces évènements ;
- Vérification de la disponibilité des collaborateurs sur l’agenda ;
- Visualisation des évènements sur l’agenda ;
- Paramétrage des évènements et des alertes ou invitations envoyées (ex. «Marquer comme privé», «Marquer comme disponible», «M’avertir», «Ne pas recevoir de réponse des invités», «Empêcher les contre-propositions», «Empêcher la délégation», «Accusé de réception», «signer», «chiffrer») ;
- Paramétrage d’une alarme pour certains évènements ;
- Suppression ou replanification d’un évènement ;
- Interconnexion avec le traitement «Gestion de la messagerie électronique professionnelle» pour la récupération des adresses email enregistrées dans la messagerie Lotus Notes ainsi que pour l’envoi des alertes ou invitations susvisées et la réception des réponses (invitation acceptée, acceptée provisoirement, refusée) ;
- Interconnexion avec les messageries de tiers pour la réception des invitations, l’envoi des réponses auxdites invitations, et la réception de toute alerte relative au suivi ultérieur de l’évènement (ex. : annulation, replanification) ;
- Interconnexion avec le traitement «Gestion des habilitations» pour la récupération de l’identité des collaborateurs concernés par, ou invités à un évènement ;
- Statistiques sur les réunions du Secrétariat Général, rapportées dans le rapport d’activité annuel (Rapprochement avec les traitements «Elaboration des publications de la CCIN» et «Gestion des consultations juridiques de la CCIN»).
Par ailleurs, la Commission prend acte des indications selon lesquelles certaines fonctionnalités du logiciel ne sont pas exploitées (ex. : choix de salles, indication de ressources, réunion en ligne, conférence téléphonique).
Au vu de ces éléments, la Commission considère que la finalité du traitement est «déterminée, explicite et légitime», tel qu’exigé par l’article 10-1 de la loi n° 1.165, modifiée.
II. Sur la licéité et la justification du traitement
La Commission relève que le traitement dont s’agit est justifié par la réalisation d’un intérêt légitime, sans que soient méconnus l’intérêt ou les droits et libertés fondamentaux des personnes concernées.
En effet, il permet d’optimiser la gestion des réunions avec les agents du Secrétariat Général et/ou le Secrétaire Général, afin, notamment, d’accompagner les responsables de traitement dans leurs démarches auprès de la CCIN et de répondre aux interrogations des individus dont les droits sont susceptibles d’avoir été violés.
De plus, les droits des personnes concernées sont respectés, comme cela est examiné au point IV de la présente délibération.
Par ailleurs, la gestion de ces réunions répond aux missions conférées à la CCIN par l’article 2 de la loi n° 1.165, modifiée - missions ayant vocation à assurer la protection des libertés et droits fondamentaux visés par le Titre III de la Constitution.
C’est pourquoi la Commission considère que le traitement dont s’agit est également justifié par le respect d’obligations légales ainsi qu’un motif d’intérêt public.
Par conséquent, elle estime que le traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
Les informations objets du traitement sont les suivantes :
- identité : nom, prénom des agents du Secrétariat Général, du Secrétaire Général ou des tiers concernés par les évènements de l’agenda ; nom de la société ;
- adresses : adresse de l’évènement s’il est extérieur à la CCIN ;
- données d’identification électronique : email des personnes invitées aux évènements ;
- horodatage et alertes : date, heure de début et heure de fin de l’évènement, paramètres des alertes, durée de l’évènement, réponses aux invitations envoyées et suivi de l’évènement ;
- catégorie d’évènements : objet, réunion, RDV, évènement sur une journée, etc.
Les données font toutes l’objet d’une saisie manuelle par le collaborateur qui crée l’évènement sur l’agenda, à l’exception des alertes et du calcul de la durée de l’évènement, le cas échéant, générés automatiquement par le système, et de la catégorie d’évènement, choisie dans un menu déroulant.
Considérant les dispositions de l’article 10-1 de la loi n° 1.165, modifiée, la Commission estime que les informations traitées sont «adéquates, pertinentes et non excessives» au regard de la finalité du traitement.
IV. Sur les droits des personnes concernées
• Sur l’information des personnes concernées
La Commission observe que l’information préalable des personnes concernées est effectuée suivant plusieurs modalités.
Tout d’abord, les collaborateurs de la CCIN sont informés par le biais de la charte informatique de la CCIN, qui comprend un article spécifique à la protection des informations nominatives. Y sont mentionnés les traitements exploités par la CCIN ainsi que les modalités d’exercice, par les collaborateurs, de leurs droits.
Par ailleurs, les tiers sont informés par le biais des mentions légales du site Internet de la CCIN, qui comprend un paragraphe spécifique à la protection des informations nominatives.
Enfin, l’ensemble des personnes concernées est informé par un affichage à l’entrée des locaux de la CCIN.
La Commission relève que ces mentions sont complètes au regard des exigences de l’article 14 de la loi n° 1.165, modifiée.
Ainsi, elle considère que les modalités d’information préalable des personnes concernées sont conformes aux exigences légales.
• Sur l’exercice des droits d’accès, de rectification et d’opposition
La Commission observe que les droits d’accès, de rectification et de suppression des personnes concernées peuvent être exercés sur place ou par voie postale, à l’attention du Secrétariat Général de la CCIN.
Le délai de réponse est de 30 jours.
Elle considère donc que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.
V. Sur les destinataires et les personnes ayant accès au traitement
• Sur les destinataires
Les tiers invités aux évènements de l’agenda sont rendus destinataires de certaines données (nom et prénom de la personne adressant l’invitation, type d’évènement, date et heure, etc.) par emails automatiques, envoyés par le biais de Lotus Notes.
La Commission considère que ces transmissions sont conformes aux exigences légales.
• Sur les personnes ayant accès au traitement
L’agent du Secrétariat Général ou le Secrétaire Général créant une entrée dans l’agenda dispose d’accès en consultation, inscription, modification et suppression de cette entrée («évènement»).
Les autres agents invités à l’évènement disposent d’accès en consultation, et éventuellement en modification, si le paramétrage de l’invitation le permet (envoi de contre-proposition, délégation).
Les collaborateurs non invités ont accès aux évènements non paramétrés comme privés en seule consultation, sur l’agenda.
L’agent administrateur informatique dispose de tous les droits d’accès dans le cadre de sa mission de maintenance du système informatique.
La Commission considère que les accès susvisés sont conformes aux exigences légales.
VI. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation particulière.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VII. Sur la durée de conservation
Les données objets du présent traitement sont supprimées au terme d’un délai d’un an révolu.
Toutefois, elles peuvent être conservées pour un délai plus long pour les besoins d’une procédure judiciaire.
La Commission considère que ces durées de conservation sont conformes aux exigences légales.
Au vu de ces éléments,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Président de la Commission de Contrôle des Informations Nominatives, du traitement automatisé d’informations nominatives ayant pour finalité «Gestion des plannings des agents du Secrétariat Général».
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel du 28 janvier 1981 et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu la délibération n° 2010-08 du 1er mars 2010 de la Commission relative à la mise en œuvre du traitement ayant pour finalité «Organisation et gestion des missions et activités du Secrétariat de la CCIN» ;
Vu la demande d’avis déposée par le Président de la Commission de Contrôle des Informations Nominatives le 8 janvier 2014 relative à la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité «Gestion des plannings des agents du Secrétariat Général» ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 4 février 2014 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
La Commission de Contrôle des Informations Nominatives est une autorité administrative indépendante, organisme de droit public.
Par délibération n° 2010-08 du 1er mars 2010, elle a mis en œuvre un traitement ayant pour finalité «Organisation et gestion des missions et activités du Secrétariat de la CCIN».
Pour répondre à l’accroissement de ses activités et à la nouvelle organisation interne du Secrétariat Général, la Commission a procédé à la refonte complète de son système d’information.
Dans ce cadre, il est apparu nécessaire de préciser certaines fonctionnalités du traitement susmentionné, et de les intégrer dans un traitement distinct.
Au vu de ces éléments, et en application de l’article 7 de la loi n° 1.165 du 23 décembre 1993, le Président de la Commission a décidé de soumettre à l’avis de la Commission un nouveau traitement ayant pour finalité «Gestion des plannings des agents du Secrétariat Général».
I. Sur la finalité et les fonctionnalités du traitement
Le traitement a pour finalité «Gestion des plannings des agents du Secrétariat Général».
Les personnes concernées sont les agents du Secrétariat Général, le Secrétaire Général ainsi que les tiers concernés par un évènement sur l’agenda.
Enfin, les fonctionnalités du traitement sont les suivantes :
- Création d’évènements sur l’agenda (réunion, RDV, rappel, etc.), («entrée d’agenda») ;
- Envoi d’alertes ou d’invitations à d’autres collaborateurs ainsi qu’à des tiers pour participer à ces évènements ;
- Vérification de la disponibilité des collaborateurs sur l’agenda ;
- Visualisation des évènements sur l’agenda ;
- Paramétrage des évènements et des alertes ou invitations envoyées (ex. «Marquer comme privé», «Marquer comme disponible», «M’avertir», «Ne pas recevoir de réponse des invités», «Empêcher les contre-propositions», «Empêcher la délégation», «Accusé de réception», «signer», «chiffrer») ;
- Paramétrage d’une alarme pour certains évènements ;
- Suppression ou replanification d’un évènement ;
- Interconnexion avec le traitement «Gestion de la messagerie électronique professionnelle» pour la récupération des adresses email enregistrées dans la messagerie Lotus Notes ainsi que pour l’envoi des alertes ou invitations susvisées et la réception des réponses (invitation acceptée, acceptée provisoirement, refusée) ;
- Interconnexion avec les messageries de tiers pour la réception des invitations, l’envoi des réponses auxdites invitations, et la réception de toute alerte relative au suivi ultérieur de l’évènement (ex. : annulation, replanification) ;
- Interconnexion avec le traitement «Gestion des habilitations» pour la récupération de l’identité des collaborateurs concernés par, ou invités à un évènement ;
- Statistiques sur les réunions du Secrétariat Général, rapportées dans le rapport d’activité annuel (Rapprochement avec les traitements «Elaboration des publications de la CCIN» et «Gestion des consultations juridiques de la CCIN»).
Par ailleurs, la Commission prend acte des indications selon lesquelles certaines fonctionnalités du logiciel ne sont pas exploitées (ex. : choix de salles, indication de ressources, réunion en ligne, conférence téléphonique).
Au vu de ces éléments, la Commission considère que la finalité du traitement est «déterminée, explicite et légitime», tel qu’exigé par l’article 10-1 de la loi n° 1.165, modifiée.
II. Sur la licéité et la justification du traitement
La Commission relève que le traitement dont s’agit est justifié par la réalisation d’un intérêt légitime, sans que soient méconnus l’intérêt ou les droits et libertés fondamentaux des personnes concernées.
En effet, il permet d’optimiser la gestion des réunions avec les agents du Secrétariat Général et/ou le Secrétaire Général, afin, notamment, d’accompagner les responsables de traitement dans leurs démarches auprès de la CCIN et de répondre aux interrogations des individus dont les droits sont susceptibles d’avoir été violés.
De plus, les droits des personnes concernées sont respectés, comme cela est examiné au point IV de la présente délibération.
Par ailleurs, la gestion de ces réunions répond aux missions conférées à la CCIN par l’article 2 de la loi n° 1.165, modifiée - missions ayant vocation à assurer la protection des libertés et droits fondamentaux visés par le Titre III de la Constitution.
C’est pourquoi la Commission considère que le traitement dont s’agit est également justifié par le respect d’obligations légales ainsi qu’un motif d’intérêt public.
Par conséquent, elle estime que le traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
Les informations objets du traitement sont les suivantes :
- identité : nom, prénom des agents du Secrétariat Général, du Secrétaire Général ou des tiers concernés par les évènements de l’agenda ; nom de la société ;
- adresses : adresse de l’évènement s’il est extérieur à la CCIN ;
- données d’identification électronique : email des personnes invitées aux évènements ;
- horodatage et alertes : date, heure de début et heure de fin de l’évènement, paramètres des alertes, durée de l’évènement, réponses aux invitations envoyées et suivi de l’évènement ;
- catégorie d’évènements : objet, réunion, RDV, évènement sur une journée, etc.
Les données font toutes l’objet d’une saisie manuelle par le collaborateur qui crée l’évènement sur l’agenda, à l’exception des alertes et du calcul de la durée de l’évènement, le cas échéant, générés automatiquement par le système, et de la catégorie d’évènement, choisie dans un menu déroulant.
Considérant les dispositions de l’article 10-1 de la loi n° 1.165, modifiée, la Commission estime que les informations traitées sont «adéquates, pertinentes et non excessives» au regard de la finalité du traitement.
IV. Sur les droits des personnes concernées
• Sur l’information des personnes concernées
La Commission observe que l’information préalable des personnes concernées est effectuée suivant plusieurs modalités.
Tout d’abord, les collaborateurs de la CCIN sont informés par le biais de la charte informatique de la CCIN, qui comprend un article spécifique à la protection des informations nominatives. Y sont mentionnés les traitements exploités par la CCIN ainsi que les modalités d’exercice, par les collaborateurs, de leurs droits.
Par ailleurs, les tiers sont informés par le biais des mentions légales du site Internet de la CCIN, qui comprend un paragraphe spécifique à la protection des informations nominatives.
Enfin, l’ensemble des personnes concernées est informé par un affichage à l’entrée des locaux de la CCIN.
La Commission relève que ces mentions sont complètes au regard des exigences de l’article 14 de la loi n° 1.165, modifiée.
Ainsi, elle considère que les modalités d’information préalable des personnes concernées sont conformes aux exigences légales.
• Sur l’exercice des droits d’accès, de rectification et d’opposition
La Commission observe que les droits d’accès, de rectification et de suppression des personnes concernées peuvent être exercés sur place ou par voie postale, à l’attention du Secrétariat Général de la CCIN.
Le délai de réponse est de 30 jours.
Elle considère donc que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.
V. Sur les destinataires et les personnes ayant accès au traitement
• Sur les destinataires
Les tiers invités aux évènements de l’agenda sont rendus destinataires de certaines données (nom et prénom de la personne adressant l’invitation, type d’évènement, date et heure, etc.) par emails automatiques, envoyés par le biais de Lotus Notes.
La Commission considère que ces transmissions sont conformes aux exigences légales.
• Sur les personnes ayant accès au traitement
L’agent du Secrétariat Général ou le Secrétaire Général créant une entrée dans l’agenda dispose d’accès en consultation, inscription, modification et suppression de cette entrée («évènement»).
Les autres agents invités à l’évènement disposent d’accès en consultation, et éventuellement en modification, si le paramétrage de l’invitation le permet (envoi de contre-proposition, délégation).
Les collaborateurs non invités ont accès aux évènements non paramétrés comme privés en seule consultation, sur l’agenda.
L’agent administrateur informatique dispose de tous les droits d’accès dans le cadre de sa mission de maintenance du système informatique.
La Commission considère que les accès susvisés sont conformes aux exigences légales.
VI. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation particulière.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VII. Sur la durée de conservation
Les données objets du présent traitement sont supprimées au terme d’un délai d’un an révolu.
Toutefois, elles peuvent être conservées pour un délai plus long pour les besoins d’une procédure judiciaire.
La Commission considère que ces durées de conservation sont conformes aux exigences légales.
Au vu de ces éléments,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Président de la Commission de Contrôle des Informations Nominatives, du traitement automatisé d’informations nominatives ayant pour finalité «Gestion des plannings des agents du Secrétariat Général».
Le Président de la Commission
de Contrôle des Informations Nominatives.