Délibération n° 2021-140 du 23 juin 2021 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Permettre l'utilisation de l'identité numérique des monégasques et résidents par le biais d'une application mobile dédiée » dénommé « MConnect Mobile » exploité par la Direction des Services Numériques présenté par le Ministre d'État.

Vu la Constitution ;

Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;

Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;

Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;

Vu la loi n° 1.483 du 17 décembre 2019 relative à l’identité numérique ;

Vu la loi n° 1.383 du 2 août 2011 pour une Principauté Numérique, modifiée ;

Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;

Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés d’informations nominatives ;

Vu la délibération n° 2021-104 du 2 juin 2021 de la Commission de Contrôle des Informations Nominatives portant avis sur la consultation du Ministre d’État relative à 3 projets d’Ordonnances Souveraines portant respectivement application des articles 4 et 5, 6, 8 et 13, 17 et 18 de la loi n° 1.483 relative à l’Identité Numérique ;

Vu la délibération n° 2021-105 du 2 juin 2021 de la Commission de Contrôle des Informations Nominatives portant avis sur la consultation du Ministre d’État sur un projet d’Ordonnance Souveraine relative à la carte d’identité monégasque et sur un projet d’Ordonnance Souveraine portant modification de l’Ordonnance Souveraine n° 3.153 du 19 mars 1964 relative aux conditions d’entrée et de séjour des étrangers dans la Principauté et son arrêté ministériel portant application de l’article 4 ;

Vu la délibération n° 2021-112 du 2 juin 2021 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Fourniture des services de confiance pour l’identité numérique » ;

Vu la demande d’avis déposée par le Ministre d’État le 14 juin 2021 concernant la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Permettre l’utilisation de l’identité numérique des monégasques et résidents par le biais d’une application mobile dédiée » ;

Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 23 juin 2021 portant examen du traitement automatisé, susvisé ;

La Commission de Contrôle des Informations Nominatives,

Préambule

Par délibération n° 2021-112 du 2 juin 2021, la Commission a émis un avis favorable à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Fourniture des services de confiance pour l’identité numérique », en demandant toutefois que « MConnect Mobile ne soit pas activé avant d’avoir été soumis à une formalité dédiée répondant aux interrogations juridiques et techniques de la Commission ».

Aussi, afin d’apporter les éléments de réponse nécessaires, conformément aux dispositions de l’article 7 de la loi n° 1.165 du 23 décembre 1993, le Ministre d’État soumet à l’avis de la Commission le traitement ayant pour finalité « Permettre l’utilisation de l’identité numérique des monégasques et résidents par le biais d’une application mobile dédiée ».

Cette dernière renvoie par ailleurs à la délibération n° 2021‑112 relativement à ses remarques sur l’articulation de l’identité numérique des résidents et monégasques avec l’identité numérique pour tous.

I. Sur la finalité et les fonctionnalités du traitement

Le traitement a pour finalité « Permettre l’utilisation de l’identité numérique des monégasques et résidents par le biais d’une application mobile dédiée » et est dénommé « MConnect Mobile ».

Le responsable de traitement précise qu’il concerne les monégasques, résidents, et les administrateurs de base de données du prestataire.

Il indique en outre que « L’application MConnect Mobile est une application mise à disposition afin de permettre aux Monégasques et aux Résidents d’utiliser leur identité numérique via leur téléphone mobile. L’application vient en complément de l’usage de la carte, lorsque l’usager souhaite rapidement accéder à un service en ligne sans se munir de son lecteur de carte à brancher en USB sur son PC ».

En outre, les fonctionnalités permettent aux monégasques et résidents de :

-  télécharger l’application sur les stores éligibles ;

-  renseigner leur identité numérique dans l’application sécurisée, qui sera alors liée au mobile choisi, via NFC (lecture des certificats contenus sur les titres d’identité par les téléphones mobiles contenant cette fonctionnalité) ou QR Code au kiosque ;

-  choisir le code de verrouillage de l’application ;

-  s’authentifier aux fournisseurs de services éligibles par le biais de MConnect Mobile.

En ce qui concerne la connexion aux fournisseurs de service, il est précisé qu’« Au moment de l’authentification sur le téléservice, la personne va recevoir une notification sur l’application MConnect Mobile. L’application MConnect Mobile va alors demander le consentement de la personne afin d’autoriser l’accès aux informations nom de naissance, nom d’usage, prénoms, date de naissance, heure de naissance, lieu de naissance, genre et ainsi permettre son authentification sur le téléservice ».

La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.

II. Sur la licéité et la justification du traitement

Le responsable de traitement indique que le présent traitement est justifié par une mission d’intérêt public ainsi que par le consentement des personnes concernées.

À cet égard, il précise que le présent traitement permet au Gouvernement d’exercer la mission dont il est investi en application de la loi relative à l’identité numérique.

En outre, il est indiqué qu’aux projets d’Ordonnances Souveraines relatives à la carte d’identité monégasque et au projet d’arrêté ministériel portant application de l’article 4 de l’Ordonnance Souveraine n° 3.153 du 19 mars 1964 sur les conditions d’entrée et de séjour des étrangers dans la Principauté, sur lesquels la Commission a émis un avis le 2 juin 2021, seront rajoutés des articles prévoyant cette dérivation mobile de l’identité numérique monégasque.

À cet égard, l’article 5 du projet d’Ordonnance Souveraine relative à la carte d’identité disposera que « Sans préjudice de l’article 4, le titulaire de la carte d’identité peut, s’il le souhaite, choisir en sus de ladite carte, un moyen d’utilisation de l’identité numérique sur une application mobile offrant au minimum un niveau de garantie substantiel et contenant les informations figurant sur la carte d’identité.

Ledit moyen est constitué de :

1° une application mobile mise à disposition par le Gouvernement ;

2° un moyen d’activation de l’identité numérique sur cette application, par le biais de la carte d’identité ;

3° des certificats complémentaires à ceux de la carte d’identité, constitués de clés publiques correspondant aux clés privées associées ».

Une insertion similaire sera effectuée dans les textes réglementaires relatifs à la carte de résident.

La Commission relève que cette insertion répond à ses préoccupations formulées dans sa délibération n° 2021-112 du 2 juin 2021.

En outre, elle constate que pour installer son identité numérique sur son application mobile, la personne concernée a préalablement dû accepter d’activer ses certificats sur son document d’identité ou de séjour, puis a choisi de télécharger l’application et d’en accepter les conditions générales d’utilisation l’informant notamment des modalités d’utilisations de ses données personnelles.

La Commission considère donc que ce traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993.

III. Sur les informations traitées

Les informations nominatives traitées sont :

-  adresse et coordonnées : numéro de téléphone mobile (afin d’envoyer la notification de demande de connexion sur l’application mobile) ;

-  informations temporelles : logs de connexion des administrateurs de bases de données du prestataire ;

-  code de verrouillage : choisi et saisi par le titulaire ;

-  certificats associés au titulaire de l’identité numérique : certificats d’authentification contenus dans l’application mobile : les 5 champs de l’identité numérique : nom, prénoms, date de naissance, heure de naissance, lieu de naissance, ainsi que les champs supplémentaires suivants : nom d’usage, sexe à la naissance.

Les informations ont pour origine la personne concernée lors de l’association de l’identité numérique et de l’application en ce qui concerne le numéro de téléphone et le choix du code de verrouillage. L’horodatage est produit par le système. Les certificats sont délivrés par le traitement ayant pour finalité « Gestion des moyens d’utilisation de l’identité numérique ».

La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.

IV.   Sur les droits des personnes concernées

→   Sur l’information préalable des personnes concernées

L’information des personnes concernées est réalisée par le biais d’une mention d’information particulière intégrée dans un document d’ordre général accessible en ligne.

Il est précisé que « les mentions d’informations préalables communiquées aux utilisateurs de MConnect Mobile sont communiquées :

-  Lors de l’acceptation des CGU lors du téléchargement de l’application MConnect Mobile ;

-  À tout moment, directement sur l’application MConnect Mobile dans la rubrique des CGU ;

-  Sur le portail MConnect, dans la rubrique « Informations Réglementaires » - « MConnect Mobile » ».

Cette dernière étant jointe au dossier, la Commission relève que le contenu de cette mention d’information est conforme aux dispositions de l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée.

→   Sur l’exercice du droit d’accès, de modification et de mise à jour

Le droit d’accès est exercé par voie postale. Il est précisé qu’un formulaire de contact est disponible depuis la page relative à la Direction des Services Numériques, accessible depuis le site du Gouvernement.

La Commission constate que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.

V. Sur les personnes ayant accès au traitement

Le responsable de traitement indique qu’ont accès au traitement les seuls administrateurs de bases de données du prestataire dans le cadre de ses missions de maintenance et d’administration (infogérance et garantie de l’intégrité).

La Commission rappelle qu’en ce qui concerne les prestataires, leurs accès doivent être limités à ce qui est strictement nécessaire à l’exécution de leur contrat de prestation de service, conformément à l’article 17 de la loi n° 1.165. De plus, ils sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement.

Elle considère que ces accès sont justifiés.

VI.   Sur les interconnexions avec d’autres traitements

Le responsable de traitement indique que le présent traitement fait l’objet d’une interconnexion avec le traitement ayant pour finalité « Fourniture des services de confiance pour l’identité numérique », ayant reçu un avis favorable de la Commission et en attente de mise en œuvre.

Il est précisé que « L’application MConnect Mobile ne s’interconnecte avec aucun système ou application externe à M-Road. En effet, elle ne s’interconnecte qu’avec MConnect, la brique de service de confiance authentification présentée dans la demande d’avis « Fourniture des services de confiance pour l’identité numérique » ».

La Commission constate que cette interconnexion est conforme à la finalité du traitement sus-évoqué. Elle rappelle néanmoins que celle-ci ne peut être effective qu’entre traitements ayant légalement été mis en œuvre.

VII. Sur la sécurité du traitement et des informations

Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.

Cependant les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.

Enfin, la Commission rappelle que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.

VIII. Sur la durée de conservation

Le responsable de traitement indique que les informations sont conservées :

-  le temps de la durée de l’authentification en ce qui concerne le numéro de mobile ;

-  1 an pour les données d’horodatage ;

-  le temps de la durée d’installation de l’application pour le code de verrouillage ;

-  3 ans en ce qui concerne les certificats, qui doivent être renouvelés à leur expiration.

La Commission constate que ces durées de conservation sont conformes aux exigences légales.

Après en avoir délibéré, la Commission :

Rappelle que :

-  les Ordonnances Souveraines projetées, qui servent de bases légales aux différents traitements en lien avec l’identité numérique, devront être publiées au plus tard concomitamment à la mise en œuvre des traitements y associés ;

-  les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé ;

-  les traitements en lien avec l’identité numérique ne pourront être interconnectés qu’une fois légalement mis en œuvre.

À la condition de la prise en compte des éléments qui précèdent,

la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d’État, du traitement automatisé d’informations nominatives ayant pour finalité « Permettre l’utilisation de l’identité numérique des monégasques et résidents par le biais d’une application mobile dédiée ».

Le Président de la Commission de Contrôle des Informations Nominatives.