Délibération n° 2021-107 du 2 juin 2021 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la modification du traitement automatisé d'informations nominatives ayant pour finalité « Gestion et suivi des conditions d'entrée et de séjour des résidents étrangers de la Principauté » exploité par le Directeur de la Sûreté Publique présenté par le Ministre d'État.

No. Journal 8543
Date of publication 18/06/2021
Quality 100%
Page no.

Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la loi n° 1.383 du 2 août 2011 pour une Principauté Numérique, modifiée ;
Vu la loi n° 1.483 du 17 décembre 2019 relative à l'Identité Numérique ;
Vu l'Ordonnance du 23 juin 1902 établissant une Direction de la Sûreté Publique, modifiée ;
Vu l'Ordonnance Souveraine n° 3.153 du 19 mars 1964 relative aux conditions d'entrée et de séjour des étrangers dans la Principauté, modifiée ;
Vu l'Ordonnance Souveraine n° 765 du 13 novembre 2006 relative à l'organisation et au fonctionnement de la Direction de la Sûreté Publique, modifiée ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d'informations nominatives ;
Vu la délibération n° 2012-69 du 14 mai 2012 de la Commission de Contrôle des Informations Nominatives portant avis favorable sur la demande présentée par le Ministre d'État relative au traitement automatisé ayant pour finalité « Gestion des conditions de séjours des résidents de la Principauté » ;
Vu la saisine du Ministre d'État en date du 15 avril 2021 concernant le projet d'Ordonnance Souveraine portant modification de l'Ordonnance n° 3.153 du 19 mars 1964 relative aux conditions d'entrée et de séjour des étrangers dans la Principauté, et son Arrêté Ministériel portant application de l'article 4 ;
Vu la saisine du Ministre d'État en date du 8 avril 2021 concernant 3 projets d'Ordonnances Souveraines portant application des articles 4, 5, 6, 8, 13, 17 et 18 de la loi n° 1.483 relative à l'identité numérique ;
Vu la demande d'avis modificative déposée par le Ministre d'État, le 10 mai 2021, concernant la mise en œuvre d'un traitement automatisé ayant pour finalité « Accomplissement des missions dévolues à la Direction de la Sûreté Publique en matière de police des étrangers » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 2 juin 2021 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Le traitement de la Direction de la Sûreté Publique (DSP) relatif à la « Gestion des conditions de séjours des résidents de la Principauté » a été mis en œuvre le 26 juin 2012.
En application de l'article 4 de la loi n° 1.483 relative à l'identité numérique, « Une identité numérique apportant un niveau de garantie élevé tel que défini à l'article précédent est créée et est attribuée : 2) à toute personne physique titulaire d'un titre de séjour dans les conditions fixées par l'Ordonnance Souveraine n° 3.153 du 19 mars 1964 relative aux conditions d'entrée et de séjour des étrangers dans la Principauté, modifiée ».
Afin d'inclure les modifications que la loi n° 1.483 implique relativement au présent traitement, le Ministre d'État en soumet sa modification à l'avis de la Commission, conformément aux articles 7 et 9 de la loi n° 1.165 du 23 décembre 1993.

I.          Sur la finalité et les fonctionnalités du traitement
La Commission prend acte que la DSP souhaite faire évoluer la finalité de « Gestion des conditions de séjours des résidents de la Principauté » à « Gestion et suivi des conditions d'entrée et de séjour des résidents étrangers de la Principauté ».
Le traitement concerne les personnes de nationalité étrangère titulaires d'une carte de résident ou d'un document de circulation en Principauté.
Les fonctionnalités qui avaient reçu un avis favorable de la Commission sont :
-           gérer la situation de séjour des résidents étrangers en Principauté de Monaco ;
-           permettre de procéder à leur identification et à leur recensement ;
-           assurer le suivi de leur situation (renouvellement des cartes de résident) ;
-           vérifier la conformité de leur situation administrative au regard de leur séjour ;
-           procéder au besoin à la neutralisation d'une carte de résident ;
-           établir des statistiques ;
-           délivrer des documents justificatifs (attestations, certificats) ;
-           effectuer des recherches par nom de la personne.
La Direction de la Sûreté Publique souhaite désormais ajouter les fonctionnalités suivantes :
-           répondre, à la demande du Gouvernement, à des statistiques relatives à la population actuelle des résidents, et éventuellement visant à en apprécier l'évolution historique ;
-           interconnexion avec les téléservices permettant de réaliser toutes démarches en ligne concernant la gestion des cartes de séjour (demande de carte de séjour, demande de renouvellement, demande de duplicata, indiquer un changement, solliciter un certificat de résidence,...) ;
-           interconnexion avec la plateforme permettant la délivrance et la gestion des cartes de séjour dans le cadre de l'identité numérique.
La Commission relève que cette dernière fonctionnalité est nécessaire pour la délivrance des cartes de séjour.
En ce qui concerne les interconnexions avec les téléservices, elle relève qu'il s'agit d'appréhender en amont les évolutions des relations entre la DSP et les personnes concernées. Elle considère donc légitime son ajout, mais rappelle néanmoins que lesdits téléservices devront être légalement mis en œuvre avant toute interconnexion avec le présent traitement.
Enfin, la Commission estime que la nouvelle fonctionnalité relative aux statistiques vient préciser une modalité d'application de la fonctionnalité statique ayant déjà reçu un avis favorable en 2012.
Elle constate donc que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.

II. Sur la licéité et la justification du traitement
La justification du traitement demeure inchangée. Il est cependant rajouté une référence à la loi n° 1.430 relative à la préservation de la sécurité nationale. La Commission relève que l'article 3 al.2 de ladite loi dispose que « Le Directeur de la Sûreté Publique procède également à des enquêtes aux fins de vérifier la situation personnelle, familiale et financière des personnes physiques désireuses de s'établir sur le territoire de la Principauté ou de renouveler leur titre de séjour conformément aux dispositions réglementaires applicables ». Elle constate donc que les résultats de ces enquêtes contenues dans le traitement y afférent pourront être utilisés pour fonder les décisions du présent traitement.

III.       Sur les informations traitées
Les informations nominatives traitées sont :
- Identité : nom, prénom, nom de jeune fille, titre, sexe, date et lieu de naissance, nationalité (pièces d'identité, n° de pièce d'identité, date de délivrance, date de fin de validité, pays de délivrance), nom et prénom du déclarant et de son conjoint, filiation (nom et prénom des parents) ;
-           Situation de famille : célibataire, marié, divorcé, veuvage, concubinage, enfants ;
-           Adresse et coordonnées : adresse précise, adresse postale précédente, situation et composition du logement (adresse à Monaco, bloc, étage, n° d'appartement, logement, qualité (locataire, propriétaire, hébergé), surface en m2, nombre de pièces principales, nombre d'occupants, nombre de places de stationnement, montant du loyer, périodicité du loyer, date de la dernière quittance), hébergeant, adresse email, numéro de téléphone ;
-           Caractéristiques financières : moyens d'existence, références bancaires, salaires ou autres ;
-           Informations temporelles : logs de connexion et d'activité des agents ;
-           Photographie : enregistrement de la photographie du visage ;
-           Documents administratifs : références des pièces d'identité fournies par le demandeur, type de carte de résident obtenue, numéro et date de validité, signature ;
-           Autres : langue de correspondance, canal de communication préféré ;
-           Pièces justificatives : identité : document de voyage pour étranger, passeport diplomatique, carte d'identité, passeport ; logement (selon le cas) : acte de propriété, attestation d'hébergement, avenant + hébergement, avenant au bail, bail à loyer, bail + avenant, bail + hébergement, certificat d'hébergement, certificat de position militaire, contrat d'habitation capitalisation + hébergement, contrat ou commodat, mise à disposition, propriété + hébergement, facture d'électricité ; revenus (selon le cas) : bulletin de salaire, extrait RCI, attestation bancaire, attestation expert-comptable, allocations/pensions, attestation de prise en charge, carte d'étudiant, relevés bancaires (seulement en consultation), attestation sur l'honneur, statuts de la société, déclaration d'impôts ; jugement civil.
La Commission relève à la lecture des pièces annexes l'existence d'un espace commentaire. Elle attire l'attention du responsable de traitement sur la qualité des observations pouvant y être mentionnées, et notamment la nécessité de n'y inscrire aucune information interdite au sens de l'article 12 de la loi n° 1.165, modifiée.
Elle relève également des onglets « avis CTH » et « enquêteur » qui sont notamment en lien avec la Commission en charge d'apprécier l'habitabilité du logement au regard du nombre d'occupants.
Par ailleurs, il est indiqué que l'ensemble de ces informations sont communiquées par la personne concernée, excepté les informations temporelles qui sont produites par le système.
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.

IV. Sur les droits des personnes concernées

Sur l'information préalable des personnes concernées

L'information préalable des personnes concernées est réalisée via une mention sur le document de collecte, qui n'est pas joint au dossier.
La Commission rappelle donc que le contenu de cette mention d'information doit être conforme aux dispositions de l'article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée.

Sur l'exercice du droit d'accès, de modification et de mise à jour

Le droit d'accès est exercé par voie postale auprès de la Section des Résidents de la DSP.
À cet égard, la Commission rappelle que la réponse à ce droit d'accès doit s'exercer dans le mois suivant la réception de la demande.
Sous cette réserve, elle constate ainsi que les modalités d'exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.

V. Sur les destinataires et les personnes ayant accès au traitement

Sur les destinataires

La Commission constate que les informations d'identité peuvent être communiquées au Service des titres de la circulation « seulement par le biais d'un accès restreint au nom, prénom, date et lieu de naissance, nationalité, adresse, numéro de carte de séjour ou statut de la carte ».
La Commission rappelle que dans sa délibération n° 2012-69 précitée, elle indiquait :
« La Commission s'interroge sur les raisons d'une telle communication d'informations. Elle relève en effet qu'aux termes de sa délibération n° 2011-59 du 4 juillet 2011 relative au traitement ayant pour finalité « Gestion des véhicules immatriculés en Principauté de Monaco », mis en œuvre le 29 février 2012 par le Ministre d'État, les informations exploitées dans ce traitement ont pour seule origine la personne concernée.
Par ailleurs, le responsable de traitement indique également que le traitement fait l'objet d'une interconnexion avec le traitement du Service des Titres de Circulation, précité, permettant audit Service de vérifier si une personne sollicitant l'immatriculation d'un véhicule en Principauté est titulaire d'une carte de résident.
À cet égard, la Commission constate que le traitement « Gestion des véhicules immatriculés en Principauté de Monaco » du Service des Titres de la Circulation ne fait nullement état d'une quelconque mise en relation avec le traitement objet de la présente délibération.
Enfin, elle relève qu'en l'absence d'information complémentaire, elle n'est pas en mesure d'analyser les éléments de sécurité informatique afférents à cette interconnexion ou communication de données.
Au demeurant, la Commission n'estime pas opportun de demander un complément d'information sur ce point, cette mise en relation ou interconnexion de traitements automatisés, ou cette communication de données étant en tout état de cause injustifiée au regard de la finalité du traitement.
Aussi, la Commission demande à ce que toute communication d'informations, sous quelque forme que ce soit, au Service des Titres de Circulation soit interrompue ».
La Commission constate que cette dernière demande n'a manifestement pas été suivie d'effet. Elle demande donc que cette communication d'informations cesse immédiatement.
En outre, elle rappelle que cet accès par le Service des titres de circulation aux informations des personnes concernées détenues par la DSP est contradictoire avec la mise en place en Principauté du Principe du « dites-le nous une fois » qui repose sur le consentement préalable de celles-ci pour pouvoir être mis en œuvre.

Sur les personnes ayant accès au traitement

Les accès sont définis comme suit :
-           le personnel habilité de la Direction de la Sûreté Publique pour le traitement des demandes ;
-           les personnels administratifs de la Direction des Systèmes d'Information (DSI), ou tiers intervenant pour son compte : tout accès dans le cadre des missions de maintenance, développement des applicatifs nécessaires au fonctionnement du site et de sécurité du site et du système d'information de l'État ;
-           les Personnels de la Directions des Services Numériques (DSN), ou tiers intervenant pour son compte ayant un rôle d'assistance à maîtrise d'ouvrage sur la procédure : tous droits.
La Commission rappelle qu'en ce qui concerne les accès de la DSI et de la DSN, ils doivent être restreints au strict besoin d'en connaître et leurs interventions de support doivent être effectuées selon des modalités définies conformes aux règles de l'art.
En ce qui concerne les prestataires, la Commission rappelle que conformément aux dispositions de l'article 17 de la loi n° 1.165 du 23 décembre 1993 les droits d'accès doivent être limités à ce qui est strictement nécessaire à l'exécution de leur contrat de prestation de service. De plus, lesdits prestataires sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
Sous ces réserves, la Commission considère que ces accès sont justifiés.

VI.       Sur les interconnexions
Le présent traitement fait l'objet d'interconnexions ou de rapprochements avec les traitements légalement mis en œuvre par l'État suivants :
-           « Gérer des habilitations et des accès au système d'information » ;
-           « Gestion de la messagerie professionnelle » ;
-           « Assistance aux utilisateurs par le Centre de service de la DSI » (rapprochement) ;
-           « Gestion et analyse des évènements du système d'information ».
La Commission considère que ces interconnexions sont conformes aux exigences légales.
En outre, le traitement sera interconnecté avec des téléservices qui lui seront prochainement soumis, à savoir « Demander une carte de séjour par voie dématérialiser », et « Demander un renouvellement ou un duplicata de sa carte de séjour, indiquer un changement de situation ou solliciter un certificat de résidence par voie dématérialisée », et qui seront exploités par la DSP.
Enfin, le traitement est interconnecté avec le traitement concomitamment soumis, ayant pour finalité « Gestion d'une plateforme permettant la délivrance et la gestion des cartes de séjour », en lien avec l'identité numérique.
Concernant les interconnexions avec les traitements concomitamment soumis ou non encore déposés, la Commission rappelle qu'elles ne peuvent être effectives qu'une fois les traitements légalement été mis en œuvre.

VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation.
Cependant les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort.
De plus les communications d'informations doivent être sécurisées en tenant compte de la nature des informations transmises.
La Commission rappelle enfin que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.

VIII.    Sur la durée de conservation
Les durées de conservation demeurent inchangées. Toutefois, concernant les informations temporelles qui ne figuraient pas au dossier initial, et que la DSP indique conserver un an, la Commission relève qu'il résulte de l'article 7 de la loi n° 1.430 que les données de journalisation doivent être conservées 10 ans. En outre, les pièces justificatives, nouvellement rajoutées, sont conservées le temps de l'instruction du dossier.
Après en avoir délibéré, la Commission :
Rappelle que :
-           les téléservices devront être légalement mis en œuvre avant toute interconnexion avec le présent traitement ;
-           les accès par les Directions supports doivent être restreints au strict besoin d'en connaître et leurs interventions doivent être effectuées selon des modalités définies conformes aux règles de l'art ;
-           les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé ;
-           les communications d'informations doivent être sécurisées en tenant compte de la nature des informations transmises ;
-           les personnes concernées doivent être informées de manière conforme aux dispositions de l'article 14 de la loi n° 1.165 du 23 décembre 1993 ;
-           l'espace commentaire doit être utilisé de manière strictement proportionnée à la finalité du présent traitement, et doit être conforme à la loi n° 1.165.
Demande qu'il soit mis fin aux communications d'informations vers le Service des Titres de la Circulation.
Fixe la durée de conservation des informations temporelles à 10 ans.
Sous le bénéfice de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la modification, par le Ministre d'État, du traitement automatisé d'informations nominatives ayant pour finalité « Gestion et suivi des conditions d'entrée et de séjour des résidents étrangers de la Principauté ».