Délibération n° 2015-82 du 16 septembre 2015 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des retraites » présenté par le Centre Hospitalier Princesse Grace
Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 127 du 15 janvier 1930 constituant l’hôpital en établissement public autonome ;
Vu la loi n° 918 du 27 décembre 1971 sur les établissements publics ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l’ordonnance souveraine n° 5.095 du 14 février 1973, modifiée, sur l’organisation et le fonctionnement du Centre Hospitalier Princesse Grace ;
Vu l’ordonnance souveraine n° 7.464 du 28 juillet 1982, modifiée, portant statut du Personnel de Service du Centre Hospitalier Princesse Grace ;
Vu l’ordonnance souveraine n° 13.839 du 29 décembre 1998, modifiée, portant statut des Praticiens Hospitaliers au Centre Hospitalier Princesse Grace ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l’arrêté ministériel n° 84-475 du 2 août 1984 agréant l’organisme spécialisé en matière de pensions de retraites dues au Personnel de Service du CHPG ;
Vu l’arrêté ministériel n° 86-620 du 10 novembre 1986 portant établissement du Règlement Intérieur du Centre Hospitalier Princesse Grace ;
Vu l’arrêté ministériel n° 98-631 du 29 décembre 1998 réglementant l’exercice d’une activité libérale au Centre Hospitalier Princesse Grace ;
Vu la demande d’avis reçue le 10 juillet 2015 concernant la mise en œuvre par le Centre Hospitalier Princesse Grace d’un traitement automatisé ayant pour finalité « Gestion des retraites » ;
Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 7 août 2015 conformément à l’article 19 de l’ordonnance souveraine n° 2.230 susmentionnée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 16 septembre 2015 portant examen du traitement susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Aux termes de la loi n° 127 du 15 janvier 1930, susvisé, le Centre Hospitalier Princesse Grace (CHPG) est un établissement public autonome.
Le traitement d’informations nominatives objet de la présente délibération est donc soumis à l’avis de la Commission conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives.
I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité « Gestion des retraites ».
Selon le responsable de traitement, il concerne « les retraités ».
Les fonctionnalités sont les suivantes :
- l’information sur la retraite ;
- l’estimation des liquidations de pension ;
- la gestion administrative des retraités ;
- le suivi budgétaire des pensions ;
- les statistiques nécessaires à l’activité de la cellule retraite ;
- l’élaboration et l’envoi des déclarations à effectuer auprès des organismes administratifs et sociaux ainsi que les opérations légales ou conventionnelles s’y rattachant.
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
La Commission observe que le CHPG est un établissement public en charge d’une « mission spécialisée d’intérêt général » au sens de la loi n° 918 du 27 décembre 1971 sur les établissements publics.
Elle relève également que l’ordonnance souveraine n° 5.095 du 14 février 1973 établit le cadre juridique propre à son organisation et son fonctionnement. En particulier, l’article 4 confère à son Directeur la gestion administrative de l’établissement. Par ailleurs, l’arrêté ministériel n° 86-620 du 10 novembre 1986 édicte le Règlement Intérieur du CHPG.
A cet égard, la Commission prend note des précisions du responsable de traitement selon lesquelles « le traitement est adapté en fonction de l’évolution de la législation française validée par le gouvernement monégasque, de l’application du règlement intérieur et du statut du personnel de service ».
En conséquence, elle constate que l’existence et les missions du CHPG disposent d’un fondement juridique propre et que le traitement est donc licite conformément aux articles 10-1 et 12 de la loi n° 1.165, modifiée.
• Sur la justification du traitement
Le traitement est justifié par le respect d’une obligation légale, un motif d’intérêt public et la réalisation d’un intérêt légitime poursuivi par le responsable de traitement afin de faire bénéficier ses personnels non médicaux (personnel de service) et ses personnels médicaux (praticiens hospitaliers) titulaires d’un « régime de retraite » géré selon des règles définies en 1963.
Par ailleurs, ce traitement ne méconnaît pas les droits et libertés fondamentaux des personnes concernées.
La Commission considère donc que ce traitement est justifié conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
Les informations nominatives traitées sont :
- identité : civilité, nom, nom de naissance, prénom, N° Matricule agent, date de naissance, sexe, âge, date de décès, nationalité, n° CCSS, n° Sécurité Social français, n° SPME, n° CGOS (Gestion des œuvres sociales), ADELI ;
- situation de famille : marié, veuf, célibataire, divorcé ;
- adresses et coordonnées : adresse, code postal et ville, numéro de téléphone ;
- formation - diplômes, vie professionnelle : élément historique du contrat (grade, date de recrutement, indice de rémunération fin de carrière), date et âge de départ à la retraite ;
- caractéristiques financières : éléments de rémunération, pension de retraire, id bancaire (RIB, IBAN), fiscalement français ;
- justificatif : certificat de vie ;
- identification électronique administrateur : log, traçabilité ;
- identification électronique toute personne habilitée : log, traçabilité.
Les informations relatives à l’identité, à la situation de famille, aux adresses et coordonnées, aux caractéristiques financières et à la vie professionnelle ont pour origine le traitement automatisé des informations nominatives ayant pour finalité « Gestion des Ressources Humaines et paie ».
Les informations relatives au justificatif ont pour origine l’intéressé lui-même.
Les informations relatives à l’identification électronique de l’administrateur et toute personne habilitée ont pour origine le traitement automatisé des informations nominatives ayant pour finalité « Gestion des droits d’accès du personnel, des patients et des personnes en relation avec le CHPG ».
Au vu de ce qui précède, la Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions des articles 10-1 et 12 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
• Sur l’information préalable des personnes concernées
Le responsable de traitement indique que l’information préalable des personnes concernées est effectuée au moyen d’un livret d’accueil du personnel du CHPG et d’une charte d’utilisation du système d’information.
Après analyse de ces documents, la Commission rappelle que l’information des agents du CHPG doit comporter l’ensemble des mentions prévues à l’article 14 de la loi n° 1.165, modifiée.
Elle demande donc que ces documents d’information soient complétés en conséquence.
• Sur l’exercice du droit d’accès, de modification et de mise à jour
La Commission note que le droit d’accès est exercé par courrier électronique, par voie postale ou sur place auprès de la Direction des Ressources Humaines, le délai de réponse étant de 30 jours.
Les droits de modification, mise à jour ou suppression des données sont exercés selon les mêmes modalités.
Elle constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 la loi n° 1.165, modifiée.
V. Sur les personnes ayant accès au traitement et les destinataires
• Sur les personnes ayant accès au traitement
Les personnes ayant accès au traitement sont :
- les Agents du Service de la gestion des retraites : en inscription, modification, mise à jour et consultation ;
- les Agents de la Direction des Systèmes d’Information et Organisation (DSIO) habilités à des fins de maintenance des systèmes : en consultation uniquement.
• Sur les destinataires des informations
Les destinataires des informations sont :
- les Services fiscaux Monégasques, pour les seuls agents fiscalement français ;
- la Sécurité Sociale, en France et en Italie, pour l’ouverture des droits ;
- le Comité de Gestion des Œuvres Sociales (CGOS) en Principauté, ou l’organisme de retraite complémentaire en France et en Italie, pour les traitements perçus les deux dernières années d’activité ;
- la banque de l’agent, en Principauté, en France, en Italie ou autre Pays de résidence ;
- la Caisse de Retraite Complémentaire du Centre Hospitalier Princesse Grace (CRCC) en Principauté, pour la liste des retraités ;
- le Service des Prestations Médicales de l’Etat (SPME) en Principauté ;
- la Caisse de Compensation des Services Sociaux (CCSS) en Principauté.
Les accès au présent traitement et les communications sont dévolus en considération des missions et des fonctions des personnes ou organismes concernés, conformément aux articles 8 et 17 de la loi n° 1.165, modifiée.
VI. Sur les interconnexions de ce traitement
Le responsable de traitement précise que ce traitement est interconnecté avec les traitements suivants :
- Gestion des droits d’accès du personnel, des patients et des personnes en relation avec le CHPG (enregistré sous le n° 2010-2452) afin que seules les personnes autorisées puissent accéder aux informations du personnel hospitalier ;
- Gestion des identités et des coordonnées des personnes en relation avec le CHPG (enregistré sous le n° 2010-02454) ;
- Gestion des Ressources Humaines et paie (enregistré sous le n° 2014-04134) pour les éléments liés à l’attribution des pensions de retraite.
La Commission constate toutefois que cette dernière interconnexion nécessite la mise en œuvre dudit traitement conformément à l’article 7 de la loi n° 1.165, modifiée.
Elle demande donc au responsable de traitement de procéder dans les plus brefs délais à la publication de la décision de mise en œuvre du Directeur du CHPG et de la délibération correspondante au Journal de Monaco.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VIII. Sur la durée de conservation
Les informations nominatives collectées seront conservées 5 ans à compter du décès du dernier ayant droit.
Par ailleurs, les informations permettant l’identification des personnes ayant eu accès au traitement (administrateur et toute personne habilitée) sont conservées 5 mois.
La Commission considère que ces durées de conservation sont conformes aux exigences légales.
Après en avoir délibéré, la Commission :
Demande :
- que l’information des personnes concernées soit complétée conformément à l’article 14 de la loi n° 1.165, modifiée ;
- que le traitement ayant pour finalité la Gestion des Ressources Humaines soit mis en œuvre dans les plus brefs délais.
Sous réserve de la prise en compte de ce qui précède,
La Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Centre Hospitalier Princesse Grace, du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des retraites ».
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 127 du 15 janvier 1930 constituant l’hôpital en établissement public autonome ;
Vu la loi n° 918 du 27 décembre 1971 sur les établissements publics ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l’ordonnance souveraine n° 5.095 du 14 février 1973, modifiée, sur l’organisation et le fonctionnement du Centre Hospitalier Princesse Grace ;
Vu l’ordonnance souveraine n° 7.464 du 28 juillet 1982, modifiée, portant statut du Personnel de Service du Centre Hospitalier Princesse Grace ;
Vu l’ordonnance souveraine n° 13.839 du 29 décembre 1998, modifiée, portant statut des Praticiens Hospitaliers au Centre Hospitalier Princesse Grace ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l’arrêté ministériel n° 84-475 du 2 août 1984 agréant l’organisme spécialisé en matière de pensions de retraites dues au Personnel de Service du CHPG ;
Vu l’arrêté ministériel n° 86-620 du 10 novembre 1986 portant établissement du Règlement Intérieur du Centre Hospitalier Princesse Grace ;
Vu l’arrêté ministériel n° 98-631 du 29 décembre 1998 réglementant l’exercice d’une activité libérale au Centre Hospitalier Princesse Grace ;
Vu la demande d’avis reçue le 10 juillet 2015 concernant la mise en œuvre par le Centre Hospitalier Princesse Grace d’un traitement automatisé ayant pour finalité « Gestion des retraites » ;
Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 7 août 2015 conformément à l’article 19 de l’ordonnance souveraine n° 2.230 susmentionnée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 16 septembre 2015 portant examen du traitement susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Aux termes de la loi n° 127 du 15 janvier 1930, susvisé, le Centre Hospitalier Princesse Grace (CHPG) est un établissement public autonome.
Le traitement d’informations nominatives objet de la présente délibération est donc soumis à l’avis de la Commission conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives.
I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité « Gestion des retraites ».
Selon le responsable de traitement, il concerne « les retraités ».
Les fonctionnalités sont les suivantes :
- l’information sur la retraite ;
- l’estimation des liquidations de pension ;
- la gestion administrative des retraités ;
- le suivi budgétaire des pensions ;
- les statistiques nécessaires à l’activité de la cellule retraite ;
- l’élaboration et l’envoi des déclarations à effectuer auprès des organismes administratifs et sociaux ainsi que les opérations légales ou conventionnelles s’y rattachant.
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
La Commission observe que le CHPG est un établissement public en charge d’une « mission spécialisée d’intérêt général » au sens de la loi n° 918 du 27 décembre 1971 sur les établissements publics.
Elle relève également que l’ordonnance souveraine n° 5.095 du 14 février 1973 établit le cadre juridique propre à son organisation et son fonctionnement. En particulier, l’article 4 confère à son Directeur la gestion administrative de l’établissement. Par ailleurs, l’arrêté ministériel n° 86-620 du 10 novembre 1986 édicte le Règlement Intérieur du CHPG.
A cet égard, la Commission prend note des précisions du responsable de traitement selon lesquelles « le traitement est adapté en fonction de l’évolution de la législation française validée par le gouvernement monégasque, de l’application du règlement intérieur et du statut du personnel de service ».
En conséquence, elle constate que l’existence et les missions du CHPG disposent d’un fondement juridique propre et que le traitement est donc licite conformément aux articles 10-1 et 12 de la loi n° 1.165, modifiée.
• Sur la justification du traitement
Le traitement est justifié par le respect d’une obligation légale, un motif d’intérêt public et la réalisation d’un intérêt légitime poursuivi par le responsable de traitement afin de faire bénéficier ses personnels non médicaux (personnel de service) et ses personnels médicaux (praticiens hospitaliers) titulaires d’un « régime de retraite » géré selon des règles définies en 1963.
Par ailleurs, ce traitement ne méconnaît pas les droits et libertés fondamentaux des personnes concernées.
La Commission considère donc que ce traitement est justifié conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
Les informations nominatives traitées sont :
- identité : civilité, nom, nom de naissance, prénom, N° Matricule agent, date de naissance, sexe, âge, date de décès, nationalité, n° CCSS, n° Sécurité Social français, n° SPME, n° CGOS (Gestion des œuvres sociales), ADELI ;
- situation de famille : marié, veuf, célibataire, divorcé ;
- adresses et coordonnées : adresse, code postal et ville, numéro de téléphone ;
- formation - diplômes, vie professionnelle : élément historique du contrat (grade, date de recrutement, indice de rémunération fin de carrière), date et âge de départ à la retraite ;
- caractéristiques financières : éléments de rémunération, pension de retraire, id bancaire (RIB, IBAN), fiscalement français ;
- justificatif : certificat de vie ;
- identification électronique administrateur : log, traçabilité ;
- identification électronique toute personne habilitée : log, traçabilité.
Les informations relatives à l’identité, à la situation de famille, aux adresses et coordonnées, aux caractéristiques financières et à la vie professionnelle ont pour origine le traitement automatisé des informations nominatives ayant pour finalité « Gestion des Ressources Humaines et paie ».
Les informations relatives au justificatif ont pour origine l’intéressé lui-même.
Les informations relatives à l’identification électronique de l’administrateur et toute personne habilitée ont pour origine le traitement automatisé des informations nominatives ayant pour finalité « Gestion des droits d’accès du personnel, des patients et des personnes en relation avec le CHPG ».
Au vu de ce qui précède, la Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions des articles 10-1 et 12 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
• Sur l’information préalable des personnes concernées
Le responsable de traitement indique que l’information préalable des personnes concernées est effectuée au moyen d’un livret d’accueil du personnel du CHPG et d’une charte d’utilisation du système d’information.
Après analyse de ces documents, la Commission rappelle que l’information des agents du CHPG doit comporter l’ensemble des mentions prévues à l’article 14 de la loi n° 1.165, modifiée.
Elle demande donc que ces documents d’information soient complétés en conséquence.
• Sur l’exercice du droit d’accès, de modification et de mise à jour
La Commission note que le droit d’accès est exercé par courrier électronique, par voie postale ou sur place auprès de la Direction des Ressources Humaines, le délai de réponse étant de 30 jours.
Les droits de modification, mise à jour ou suppression des données sont exercés selon les mêmes modalités.
Elle constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 la loi n° 1.165, modifiée.
V. Sur les personnes ayant accès au traitement et les destinataires
• Sur les personnes ayant accès au traitement
Les personnes ayant accès au traitement sont :
- les Agents du Service de la gestion des retraites : en inscription, modification, mise à jour et consultation ;
- les Agents de la Direction des Systèmes d’Information et Organisation (DSIO) habilités à des fins de maintenance des systèmes : en consultation uniquement.
• Sur les destinataires des informations
Les destinataires des informations sont :
- les Services fiscaux Monégasques, pour les seuls agents fiscalement français ;
- la Sécurité Sociale, en France et en Italie, pour l’ouverture des droits ;
- le Comité de Gestion des Œuvres Sociales (CGOS) en Principauté, ou l’organisme de retraite complémentaire en France et en Italie, pour les traitements perçus les deux dernières années d’activité ;
- la banque de l’agent, en Principauté, en France, en Italie ou autre Pays de résidence ;
- la Caisse de Retraite Complémentaire du Centre Hospitalier Princesse Grace (CRCC) en Principauté, pour la liste des retraités ;
- le Service des Prestations Médicales de l’Etat (SPME) en Principauté ;
- la Caisse de Compensation des Services Sociaux (CCSS) en Principauté.
Les accès au présent traitement et les communications sont dévolus en considération des missions et des fonctions des personnes ou organismes concernés, conformément aux articles 8 et 17 de la loi n° 1.165, modifiée.
VI. Sur les interconnexions de ce traitement
Le responsable de traitement précise que ce traitement est interconnecté avec les traitements suivants :
- Gestion des droits d’accès du personnel, des patients et des personnes en relation avec le CHPG (enregistré sous le n° 2010-2452) afin que seules les personnes autorisées puissent accéder aux informations du personnel hospitalier ;
- Gestion des identités et des coordonnées des personnes en relation avec le CHPG (enregistré sous le n° 2010-02454) ;
- Gestion des Ressources Humaines et paie (enregistré sous le n° 2014-04134) pour les éléments liés à l’attribution des pensions de retraite.
La Commission constate toutefois que cette dernière interconnexion nécessite la mise en œuvre dudit traitement conformément à l’article 7 de la loi n° 1.165, modifiée.
Elle demande donc au responsable de traitement de procéder dans les plus brefs délais à la publication de la décision de mise en œuvre du Directeur du CHPG et de la délibération correspondante au Journal de Monaco.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VIII. Sur la durée de conservation
Les informations nominatives collectées seront conservées 5 ans à compter du décès du dernier ayant droit.
Par ailleurs, les informations permettant l’identification des personnes ayant eu accès au traitement (administrateur et toute personne habilitée) sont conservées 5 mois.
La Commission considère que ces durées de conservation sont conformes aux exigences légales.
Après en avoir délibéré, la Commission :
Demande :
- que l’information des personnes concernées soit complétée conformément à l’article 14 de la loi n° 1.165, modifiée ;
- que le traitement ayant pour finalité la Gestion des Ressources Humaines soit mis en œuvre dans les plus brefs délais.
Sous réserve de la prise en compte de ce qui précède,
La Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Centre Hospitalier Princesse Grace, du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des retraites ».
Le Président de la Commission
de Contrôle des Informations Nominatives.