Source: http://journaldemonaco.gouv.mc/Journaux/2017/Journal-8342/Deliberation-n-2016-102-du-20-juillet-2016-de-la-Commission-de-Controle-des-Informations-Nominatives-portant-avis-favorable-a-la-mise-en-oeuvre-du-traitement-automatise-d-informations-nominatives-ayant-pour-finalite-Gestion-des-habilitations-de-la-secu
Timestamp: 2017-08-20 07:48:54+00:00

Document:
Délibération n° 2016-102 du 20 juillet 2016 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du... / Journal 8342 / Année 2017 / Journaux / Accueil - Journal de Monaco
Délibération n° 2016-102 du 20 juillet 2016 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du...
Vu l'Ordonnance Souveraine n° 1.857 du 3 septembre 1958 relative à l'organisation et au fonctionnement de la médecine du travail, modifiée ;
Vu la Recommandation R(97) 5 du Comité des Ministres aux États membres du Conseil de l'Europe relative à la protection des données médicales du 13 février 1997 ;
Vu la demande d'avis déposée par le directeur de l'Office de la Médecine du Travail, le 22 avril 2016, concernant la mise en œuvre d'un traitement automatisé ayant pour finalité « Gestion des habilitations, de la sécurité et de la traçabilité des accès » ;
Vu la prorogation du délai d'examen de la présente demande d'autorisation notifiée au responsable de traitement le 20 juin 2016, conformément à l'article 19 de l'Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 20 juillet 2016 portant examen du traitement automatisé susvisé ;
L'Office de la Médecin du Travail (OMT), responsable de traitement, est un organisme de droit privé investi d'une mission d'intérêt général au sens de l'arrêté ministériel n° 2010-638 du 23 décembre 2010 portant application de l'article 7 de la loi n° 1.165 du 23 décembre 1993.
Le traitement a pour finalité « Gestion des habilitations, de la sécurité et de la traçabilité des accès ».
Il a pour objectif de permettre à l'OMT, dans le cadre de son organisation interne, d'assurer la sécurité de son système d'information.
Les personnes concernées sont les salariés de l'Office, les intervenants extérieurs agissant pour son compte, ainsi que les « invités » c'est-à-dire les personnes souhaitant accéder à Internet au moyen de l'accès WiFi de l'Office.
- création et gestion des comptes utilisateurs informatiques ;
- création et gestion de groupe d'utilisateurs ;
- attribution de droits d'accès à des ressources (ex. fichiers, dossiers, espaces intranet, fonctionnalités des logiciels métiers, etc.) aux groupes et comptes selon les besoins ;
- établissement de fichiers journaux permettant, en cas de besoin, d'identifier tout accès malveillant ou tout usage anormal ou abusif des outils informatiques ou ne respectant pas la charte information de l'OMT.
L'Office de la Médecine du Travail a été créé par la loi n° 637 du 11 janvier 1958\. Il est défini en son article 1er comme « un service public chargé de la médecine préventive du travail ». Ces missions sont déterminées à l'article 2 de ladite loi.
L'OMT intervient ainsi tout au long de la vie professionnelle d'un salarié. Aux termes de l'article 5 de la loi n° 637 du 11 janvier 1958, les examens médicaux tendant à vérifier l'aptitude médicale au travail d'une personne sont « obligatoires pour les salariés de la Principauté ».
Tenant compte des dispositions de la loi n° 637 du 11 janvier 1958, et des textes pris en son application, le présent traitement participe à assurer la protection des données traitées par l'OMT et son personnel dans le cadre de leurs fonctions.
Dans ce sens, le présent traitement vise à « prévoir des mesures techniques et d'organisation appropriées pour protéger les informations nominatives contre la destruction accidentelle ou illicite, la perte accidentelle, l'altération, la diffusion ou l'accès non autorisé, notamment lorsque le traitement comporte des transmissions d'informations dans un réseau, ainsi que contre toute autre forme de traitement illicite », conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993.
Ainsi, la Commission constate que le traitement est licite conformément à l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.
Le traitement des données est justifié par la réalisation d'un intérêt légitime du responsable de traitement, sans que soient méconnus l'intérêt ou les droits et libertés fondamentaux des personnes concernées. Il n'est pas exploité à des fins de surveillances des activités ou des personnes.
En effet, il participe à la sécurité du système d'information de l'OMT, tant par l'administration des droits d'accès en fonction des habilitations de chaque collaborateur, que par la supervision des logs (ex. erreurs de connexions, problèmes d'accès).
De plus, les droits des personnes concernées sont respectés, comme précisés au point IV de la présente délibération.
La Commission considère que le traitement est justifié, conformément aux dispositions de l'article 10-2 de la loi n° 1.165 du 23 décembre 1993\.
- adresses et coordonnées : numéro de téléphone professionnel, adresse de messagerie professionnelle ;
- données d'identification électronique : couple identifiant de connexion ;
- fichiers journaux : adresse IP, identifiant, date et heure de connexion, ressource, action effectuée ;
- habilitations : droits d'accès aux ressources.
Les informations relatives à l'identité ont pour origine le collaborateur et le service informatique.
Les informations relatives aux adresses et coordonnées, aux données d'identification électronique et aux habilitations ont pour origine le service informatique.
Les informations relatives aux fichiers journaux ont pour origine le système d'information (exemples : serveur AD, serveur syslog, serveur Proxy, serveur Supervision, pare-feux).
L'information préalable des personnes concernées est réalisée par un document spécifique : la charte informatique de l'OMT, « diffusée à l'ensemble des collaborateurs de manière individuelle, et mise à disposition sur l'Intranet » de l'Office.
En outre, une rubrique particulière sur la page d'accès à Internet pour les « invités » a été mise en place afin d'informer toute personne souhaitant avoir un « accès WIFI invité » de l'OMT.
La Commission observe qu'afin de respecter les mentions obligatoires fixées à l'article 14 de la loi n° 1.165 du 23 décembre 1993, la finalité du traitement devrait être clairement indiquée dans le document d'information des personnes concernées.
Le droit d'accès s'exerce auprès du Directeur de l'Office sur place. Une réponse est adressée à la personne concernée dans les trente jours suivant sa demande.
Le traitement est interne à l'Office.
- le service informatique : les administrateurs systèmes et réseaux ont accès en création, mise à jour et suppression des comptes utilisateurs, ainsi qu'en consultation aux différents journaux aux fins de suivi du bon fonctionnement du système d'information, voire, le cas échéant, de recherche, diagnostic et correction des causes de dysfonctionnement identifiées ;
- le directeur de l'Office : accès indirect au traitement « via des remontées d'informations faites à sa demande ou sur alerte d'un administrateur systèmes et réseaux de l'OMT » ;
- les prestataires techniques : accès aux équipements dans le cadre exclusif de leurs missions de maintenance encadrées par un contrat de prestation.
En ce qui concerne les prestataires, la Commission relève que, conformément aux dispositions de l'article 17 de la loi n° 1.165 du 23 décembre 1993, leurs droits d'accès sont limités à ce qui est strictement nécessaire à l'exécution de leur contrat de prestation de service, et qu'ils sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
Tous les intervenants sont soumis au secret professionnel.
Le responsable de traitement indique qu'il n'existe pas de rapprochement ou interconnexion avec un autre traitement.
Toutefois, à l'examen de la demande d'avis la Commission relève un rapprochement avec un traitement concernant la gestion administrative du personnel de l'Office qu'il conviendra de mettre en conformité avec la loi n° 1.165 du 23 décembre 1993.
La Commission relève toutefois que l'architecture technique repose sur des équipements de raccordement (switchs, pare-feux), de serveurs et périphériques qui doivent être protégés par un login et un mot de passe et que les ports non utilisés doivent être désactivés.
Elle rappelle, en outre, que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation et d'archivage du présent traitement.
Le responsable de traitement indique que les informations sont conservées, sans distinction, un an après le départ du collaborateur.
Plus précisément, les données nécessaires à l'établissement des « fichiers journaux » ont une durée de conservation de 1 an maximum conformément à la charte informatique de l'Office et aux conditions d'utilisation de l'accès Internet invité. En conséquence, après le départ d'un collaborateur ce type de données sera conservé pendant un an après sa dernière connexion au système.
Par ailleurs, les informations nécessaires au fonctionnement du compte utilisateur sont conservées tant que la personne travaille au sein de l'OMT, elles seront désactivées à la date de prise d'effet de fin de fonctions de l'intéressé, puis supprimées dans le mois qui suit.
Rappelle que les équipements de raccordement (switchs, pare-feux), de serveurs et périphériques doivent être protégés par un login et un mot de passe et les ports non utilisés doivent être désactivés.
Demande que la finalité du traitement soit clairement indiquée dans les documents d'information des personnes concernées, conformément à l'article 14 de la loi n° 1.165 du 23 décembre 1993.
Invite le responsable de traitement à mettre en conformité avec les dispositions de la loi n° 1.165 du 23 décembre 1993 le traitement automatisé d'informations nominatives relatif à la gestion administrative des salariés.
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par l'Office de la Médecine du Travail du traitement automatisé d'informations nominative ayant pour finalité « Gestion des habilitations, de la sécurité et de la traçabilité des accès ».

References: l'article 19
 l'article 7
 l'article 2
 l'article 5
 l'article 17
 l'article 10
 l'article 10
 l'article 14
 l'article 17
 l'article 17
 l'article 14