Délibération n° 2021-254 du 17 novembre 2021 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre d'un traitement automatisé d'informations nominatives ayant pour finalité « Bénéficier d'une aide auprès du Fonds Vert par une démarche en ligne » exploité par la Mission pour la Transition Énergétique présenté par le Ministre d'État.

No. Journal 8567
Date of publication 03/12/2021
Quality 100%
Page no.

Vu la Constitution ;

Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;

Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;

Vu l’Ordonnance Souveraine n° 1.464 du 7 janvier 2008 portant création d’une Direction de l’environnement ;

Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;

Vu l’Ordonnance Souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l’Administration et l’administré ;

Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;

Vu la demande d’avis déposée par le Ministre d’État, le 13 août 2021, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité « Bénéficier d’une aide auprès du Fonds Vert par une démarche en ligne » ;

Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 11 octobre 2021, conformément à l’article 19 de l’Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;

Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 17 novembre 2021 portant examen du traitement automatisé, susvisé ;

La Commission de Contrôle des Informations Nominatives,

Préambule

Le Gouvernement Princier a créé un fonds dénommé « Fonds Vert » destiné à financer la transition énergétique de la Principauté en accompagnant les entreprises dans la réduction de leur empreinte carbone.

Dans ce contexte, il souhaite ouvrir un téléservice afin de faciliter les démarches des entreprises souhaitant solliciter une aide auprès du Fonds.

Ainsi, le traitement automatisé d’informations nominatives objet de la présente est soumis à l’avis de la Commission, conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée.

I. Sur la finalité et les fonctionnalités du traitement

Le présent traitement a pour finalité « Bénéficier d’une aide auprès du Fonds Vert par une démarche en ligne ».

Il concerne les agents traitants de l’administration et les représentants des entreprises souhaitant bénéficier d’une aide auprès du Fonds Vert (les usagers).

Aussi, la démarche en ligne a pour fonctionnalités :

- La saisie des informations concernant la société requérante ;

- La saisie des informations concernant le projet de transition énergétique ;

- La saisie des informations concernant le prestataire impliqué ;

- La saisie des informations de coordonnées bancaires ;

- La réalisation de déclarations sur l’honneur ;

- L’import de pièces justificatives ;

- Le complément d’informations manquantes ;

- L’annulation d’une demande par l’usager ou par un agent ;

- L’envoi d’un courriel de confirmation d’enregistrement électronique de la demande ;

- L’export d’un fichier Excel qui comprend toutes les déclarations et leurs informations anonymisées par les agents ayant les droits nécessaires pour effectuer cette action.

Le responsable de traitement précise, par ailleurs, que « la création du compte usager se fait via Login » et que « le téléservice récupère l’adresse email grâce à ce compte ».

Il indique également l’existence d’un lien vers un questionnaire de satisfaction anonyme des usagers, dont les réponses seront traitées anonymement par la Direction des Services Numériques (conformément à l’Ordonnance Souveraine n° 7.955 du 12 mars 2020 portant création de la Direction des Services Numériques).

La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993, modifiée.

II. Sur la licéité et la justification du traitement

Le responsable de traitement indique que le présent traitement est justifié par le consentement des personnes concernées et par la réalisation d’un intérêt légitime qu’il poursuit et qui ne méconnaît ni l’intérêt, ni les droits et libertés fondamentaux des personnes concernées.

Il précise que le consentement des personnes concernées est formalisé par un acte positif clair, matérialisé par le biais d’une case à cocher mentionnant « J’accepte que mes données personnelles soient traitées dans le cadre du téléservice « Bénéficier d’une aide auprès du Fonds Vert » », ainsi que par l’acceptation préalable des conditions générales d’utilisation du téléservice, indispensable pour la création d’un compte sécurisé et l’accès à la démarche en ligne.

Par ailleurs, le présent traitement a vocation à accompagner la démarche de transition énergétique portée par la Mission pour la Transition Énergétique.

L’intérêt légitime trouve en outre son fondement dans la volonté de l’Administration de simplifier les démarches administratives des administrés en leur permettant de déposer leur déclaration sans se déplacer et sans autre démarche, ce qui s’inscrit dans le cadre de l’Ordonnance Souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l’Administration et l’administré.

La Commission rappelle que, conformément aux dispositions de l’article 43 de l’Ordonnance Souveraine susvisée, « (…) la création d’un téléservice ne saurait toutefois avoir pour effet de supprimer la possibilité, pour l’usager, d’accomplir les démarches, formalités ou paiements qui en sont l’objet par des voies autres qu’électroniques ».

Enfin, il est précisé que le sondage « sera traité anonymement par la Direction des Services Numériques », chargée notamment d’identifier et d’analyser les attentes des usagers en matière de procédures et d’informations administratives.

La Commission considère que le traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165, modifiée.

III. Sur les informations traitées

Les informations nominatives traitées sont :

- Identité/situation de famille : titre, nom et prénom du déclarant (si différent du dirigeant de la société) ;

Nom et prénom du dirigeant de la société requérante ;

Raison sociale, numéro RCI et code NIS de la société requérante ;

Raison sociale, numéro RCI, code NIS, numéro SIRET ou numéro RCS du prestataire impliqué dans le cadre du projet de transition énergétique de la société demanderesse de l’aide ;

- Adresses et coordonnées : adresse, téléphone et pays de domiciliation de la société requérante ;

Pays de domiciliation du prestataire ;

- Vie professionnelle : secteur d’activité, chiffre d’affaires, année du chiffre d’affaires, nombre d’employés en Principauté et année de création de la société requérante ; Description de l’activité du prestataire ;

- Caractéristiques financières : nom de l’établissement bancaire, titulaire du compte, BIC et IBAN de la société requérante ;

- Données d’identification électronique : identifiant technique de l’usager ;

- Informations temporelles : données d’horodatage ;

- Données de connexion : logs de connexion et données de messagerie de l’usager ;

- Déclarations sur l’honneur : certification que la société requérante est monégasque, déclarations sur l’honneur ;

- Informations relatives au projet de transition énergétique : informations générales sur le projet : nom, nature, date estimée de début et date estimée de fin ;

Valeur ajoutée du projet : présentation du projet, réduction des gaz à effet de serre, impact sur le chiffre d’affaires, retour sur investissement et emplois crées ;

Coût du projet : coûts HT et TTC, effectif de la société dédié au projet ;

- Informations relatives à la demande : numéro, date et statut de la demande ;

- Pièces justificatives : devis du projet, argumentaire en faveur du projet de transition énergétique (contexte, lien avec la stratégie de la société, description de la démarche proposée, description des indicateurs clés), bilan carbone de la société requérante et RIB de la société requérante.

En outre, il appert que le résultat du bilan carbone de la société requérante, qui doit préalablement être réalisé en se connectant au site Coach Carbone du Pacte, est également collecté.

Les informations ont pour origine l’usager, à l’exception des données d’horodatage, des données de connexion et des informations relatives à la demande qui proviennent du système.

La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993, modifiée.

IV. Sur les droits des personnes concernées

Sur l’information préalable des personnes concernées

L’information préalable des personnes concernées est réalisée par le biais d’une mention particulière intégrée dans un document d’ordre général accessible en ligne, à savoir les conditions générales d’utilisation que l’usager doit accepter et peut consulter, dès qu’il accède à la démarche.

Ces dernières étant jointes au dossier, la Commission constate que les personnes concernées sont informées de manière conforme aux dispositions de l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée.

Sur l’exercice du droit d’accès, de modification et de mise à jour

Le droit d’accès est exercé sur place, par voie postale, par accès en ligne au dossier ou, par courrier électronique auprès de la Mission pour la Transition Énergétique.

S’agissant de l’exercice du droit d’accès par voie électronique, la Commission considère qu’une procédure devra être mise en place afin que le responsable de traitement puisse s’assurer que l’expéditeur du courriel est effectivement la personne concernée par les informations. À ce titre, elle précise que si une copie d’un document d’identité était demandée, la transmission et le traitement de ce document devront faire l’objet de mesures de protection particulières, comme rappelé dans sa délibération n° 2015-113 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d’identité officiels.

Sous cette réserve, elle constate que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993, modifiée.

V. Sur les personnes ayant accès au traitement

Les accès au présent traitement sont définis comme suit :

- Les personnels de la Mission pour la Transition Énergétique : dans le cadre des missions de traitement des demandes (consultation, vérification, traitement et paramétrage) ;

- La Direction des Services Numériques, ou tiers intervenant pour son compte : accès configuration dans le cadre d’un rôle d’assistance à maitrise d’ouvrage, des missions de maintenance, développement des applicatifs nécessaires au fonctionnement du site et de sécurité du site et du système d’information de l’État. À cet égard, une procédure est mise en œuvre pour que la DSN accède aux informations sur demande écrite en cas de nécessité technique.

En ce qui concerne les prestataires, la Commission rappelle que, conformément aux dispositions de l’article 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, les droits d’accès doivent être limités à ce qui est strictement nécessaire à l’exécution de leur contrat de prestation de services. De plus, lesdits prestataires sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.

La Commission relève, par ailleurs, que les personnes concernées disposent d’un accès à leur propre compte.

Elle considère que ces accès sont justifiés.

VI. Sur les interconnexions et rapprochements

Le présent traitement fait l’objet d’interconnexions avec les traitements suivants :

- « Gestion du compte permettant aux usagers d’entreprendre des démarches par téléservices », légalement mis en œuvre ;

- « Gérer les habilitations des agents et fonctionnaires de l’État aux téléservices contenus dans le « Guichet Virtuel » », légalement mis en œuvre.

Lesdits traitements ont pour vocation de permettre l’accès sécurisé des usagers à la démarche et de gérer les habilitations des personnels de l’État, dans le respect des cadres fixés dans les délibérations y relatives de la Commission portant avis favorables à leur mise en œuvre.

Le responsable de traitement indique également que le traitement est interconnecté avec les messageries professionnelles du Gouvernement, légalement mises en œuvre par l’État.

Enfin, la Commission prend acte de l’existence d’un rapprochement avec le traitement « Gestion du Site Internet Coach Carbone du Pacte », légalement mis en œuvre.

La Commission considère que ces interconnexions et ce rapprochement sont conformes aux exigences légales.

VII. Sur la sécurité du traitement et des informations

Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.

Cependant, les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.

La Commission rappelle, en outre, qu’il doit être mis fin à l’utilisation du reCAPTCHA Google, qui implique des transferts de données vers les États-Unis, pays ne disposant pas d’une législation présentant un niveau adéquat en matière de protection des informations nominatives. Elle prend acte des précisions du Gouvernement qu’il est en train d’opérer, sur les systèmes des téléservices, un changement de solution présentant des garanties en la matière. Elle analysera cette dernière lors du dépôt des dossiers utilisant cette solution.

La Commission rappelle enfin que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.

VIII. Sur la durée de conservation

Les données sont conservées trois ans après la clôture du projet, à l’exception des données d’identification électronique, des données d’horodatage et des données de connexion qui sont effacées au bout d’un an.

La Commission considère que ces délais sont conformes aux exigences légales.

Après en avoir délibéré, la Commission :

Rappelle que :

- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux), ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé ;

- les accès doivent être restreints au strict besoin d’en connaitre et que les interventions de supports doivent être effectuées selon des modalités définies conformes aux règles de l’art ;

Considère qu’une procédure relative au droit d’accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s’assurer que l’expéditeur du courriel est effectivement la personne concernée par les informations ;

Sous le bénéfice de la prise en compte de ce qui précède,

la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d’État, du traitement automatisé d’informations nominatives ayant pour finalité « Bénéficier d’une aide auprès du Fonds Vert par une démarche en ligne ».