Source: http://journaldemonaco.gouv.mc/Journaux/2017/Journal-8350/Deliberation-n-2017-168-du-20-septembre-2017-de-la-Commission-de-Controle-des-Informations-Nominatives-portant-avis-favorable-a-la-mise-en-oeuvre-du-traitement-automatise-d-informations-nominatives-ayant-pour-finalite-Gestion-des-ressources-humaines-hor
Timestamp: 2018-06-21 19:41:39+00:00
Document Index: 93582249

Matched Legal Cases: ["l'article 7", "l'article 10", "l'article 12", "l'article 10", "l'article 12", "l'article 14", "l'article 14", "l'article 17", "l'article 12"]

Délibération n° 2017-168 du 20 septembre 2017 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre d... / Journal 8350 / Année 2017 / Journaux / Accueil - Journal de Monaco
Délibération n° 2017-168 du 20 septembre 2017 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre d...
MONACO TELECOM SAM, immatriculée au RCI, est un organisme de droit privé concessionnaire d'un service public. Elle a notamment pour objet « d'assurer dans les relations intérieures et internationales, tous services de télécommunications. À ce titre, elle assure les activités d'opérateur public chargé de l'exploitation du service téléphonique de la Principauté de Monaco […] ».
Cette société a reçu un avis favorable à la mise en œuvre d'un traitement ayant une finalité similaire et intitulé « ARAGON eRH » par délibération n° 2013-152\. Les modalités d'exploitation ayant évolué, Monaco Telecom SAM souhaite aujourd'hui remplacer le traitement initial par le présent traitement.
Ainsi, ce dernier est soumis à l'avis de la commission conformément à l'article 7 de la loi n°1.165 du 23 décembre 1993.
Ce traitement a pour finalité « Gestion des ressources humaines hors paie ».
Le responsable de traitement indique que les personnes concernées sont les salariés de Monaco Telecom SAM (MT), ainsi que ceux de sa filiale Monaco Telecom International (MTI) et de Monaco Telecom Services SARL (MTS) qui ne disposent pas de leurs propres services de ressources humaines.
- gestion et suivi des congés, absences et heures supplémentaires du personnel ;
- établissement et mise à jour du dossier administratif du salarié et de sa fiche de poste : situation professionnelle, historique de carrière au sein de la société, compétences et diplômes ;
- gestion des trombinoscopes ;
- gestion des déclarations d'accident du travail et de maladie professionnelle, suivi administratif des visites médicales obligatoires des salariés ;
- gestion des compétences et des évaluations professionnelles du salarié : gestion des entretiens d'évaluation et des appréciations des aptitudes professionnelles sur la base de critères objectifs, saisie des observations et souhaits formulés par le salarié ;
- gestion du suivi des embauches, renouvellements et fins de contrat, conformément à la législation monégasque ;
- gestion des formations : suivi des demandes de formation et des périodes de formation effectuées ;
- établissement de listes de salariés permettant de répondre à des besoins de gestion administrative ou à des obligations de nature légale ou réglementaire ;
- établissement d'états statistiques ;
En l'espèce, la finalité du présent traitement doit être plus explicite c'est-à-dire être plus claire et précise s'agissant de l'objectif du traitement, à savoir gérer les ressources humaines pour l'ensemble des trois entités précitées.
Par conséquent, elle modifie la finalité comme suit : « Gestion des ressources humaines hors paie de Monaco Telecom, Monaco Telecom International et Monaco Telecom Services ».
Le traitement est justifié par certaines obligations légales, l'exécution du contrat de travail ainsi que la réalisation d'un intérêt légitime, sans que ne soient méconnus ni l'intérêt, ni les droits et libertés fondamentaux des personnes concernées.
À cet égard, la Commission observe que la centralisation des données de ressources humaines permet une gestion optimisée et une plus grande transparence envers les collaborateurs.
Comme l'indique le responsable de traitement, ceux-ci bénéficient d'un droit constant de visualisation et de modification de leurs données administratives en ligne.
Ce traitement permet en outre la bonne gestion des carrières des collaborateurs en application des contrats de travail, mais aussi de la loi n° 629 du 17 juillet 1957 tendant à réglementer les conditions d'embauchage et de licenciement en Principauté, de l'Ordonnance-loi n° 677 du 2 décembre 1959 sur la durée du travail, de la loi n° 739 du 16 mars 1963 sur le salaire, ainsi que de la loi n° 800 du 18 février 1966 régissant la rémunération et les conditions de travail relatives aux jours fériés légaux.
Par ailleurs, elle relève que la personne concernée consent à la collecte de sa photo.
Au vu de ces éléments, la Commission considère que le traitement est justifié, conformément à l'article 10-2 de la loi n° 1.165, modifiée.
- identité : (1) Matricule entreprise, matricule CCSS et caisses complémentaires du collaborateur, matricule SS France ; (2) Civilité, nom, prénoms, nom de jeune fille, prénom usuel, date et lieu de naissance type et numéro de pièce d'identité, photo, nationalité, statut marital ; (3) noms, prénoms et date de naissance des enfants et du conjoint. Statut marital ;
- adresses et coordonnées : numéro de voie, nom de voie, complément, code postal, ville, numéro de téléphone privé, nom, prénom, téléphone et lien de parenté du contact en cas d'urgence ;
- formation/ diplômes/ vie professionnelle : (1) Diplômes obtenus avec l'année et le lieu d'obtention, parcours professionnel, poste occupé et compétences, nom du supérieur hiérarchique, plan de formation prévu pour le collaborateur et formations effectuées, dates d'entrée et de sortie de la société, type de contrat et convention collective, ancienneté dans la société, ancienneté dans la profession, motif de départ de la société, début et fin de période d'essai, temps partiel, statut télétravail, rythme horaire contractuel, lieu de travail, Direction, département, pôle et service d'appartenance, habilitations, fonctions sécuritaires, heures supplémentaires, travail en heures spécifiques effectuées ; (2) Statut de travailleur handicapé, données d'invalidité, accidents du travail, de trajet ou maladie professionnelle, conclusion de la visite médicale du travail, dates des visites médicales ;
- caractéristiques financières : mode de paiement, IBAN/BIC, nom de la banque, perception de titre restaurant ;
- consommation de biens et services : carte d'abonnement et de fidélité pour les transports ; affectation d'équipements professionnels (téléphone, ordinateur, voiture), numéro d'immatriculation des véhicules ; solde de jours de congés, historique des absences et type d'absences, moyen de transport, situation militaire, planning des absences ;
- données d'identification électronique : adresse électronique MT, numéro de badge, numéro de téléphone fixe et portable professionnel ;
- mesures à caractère social : délégués du personnel (collège, groupe, fonction, heures de délégation) ; membres du fonds social (appartenance) ;
- évaluation collaborateur : notation et évaluation annuelle (EAD).
À l'analyse du dossier, la Commission relève que sont également collectés le justificatif de situation fiscale pour les français résidents en Principauté, la photocopie de la pièce d'identité, de la carte de séjour, du permis de conduire, la dernière fiche de paie du dernier employeur. Elle en prend donc acte. Elle rappelle à cet égard que la collecte du permis de conduire doit être justifiée eu égard au poste concerné, et demande à ce que les modalités de collecte et de conservation des documents d'identité soient effectuées conformément à sa délibération n° 2015-113 portant sur ceux-ci.
Les informations relatives à la première catégorie de données d'identité, les données de consommation de biens et services, les données d'identification électronique, les mesures à caractère social, ont pour origine la Direction des Ressources Humaines.
L'évaluation du collaborateur est saisie par le manager de la personne concernée.
Certaines données proviennent directement des collaborateurs. Il s'agit de la seconde catégorie des données d'identité et de situation de famille, de l'adresse et des coordonnées, des informations relatives aux diplômes, à la formation ainsi qu'à la vie professionnelle du collaborateur, et des caractéristiques financières.
Les données visées dans la catégorie « Formation/diplômes/ vie professionnelle » peuvent également avoir pour origine la Médecine du Travail.
Enfin, il convient de relever que les données renseignées dans la rubrique « Mesures à caractère social », relatives aux délégués du personnel et aux membres du fonds social, ne sont pas des données sensibles au sens de l'article 12 de la loi n° 1.165 du 23 décembre 1993\. Dès lors, elles ne nécessitent pas de justification particulière quant à leur collecte.
Au vu de ces éléments, et considérant les dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993, la Commission estime que les informations traitées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement.
Elle rappelle toutefois que le responsable de traitement devra être vigilant et ne pas collecter de données relatives à la santé, soumises aux dispositions de l'article 12 de la loi n° 1.165, modifiée, et souligne en particulier que la nature des handicaps, des maladies ou autres motifs médicaux liés aux absences, ne devront en aucun cas faire l'objet d'un traitement, qu'il soit automatisé ou non.
L'information préalable des personnes concernées, à savoir les collaborateurs, est effectuée par le biais d'une mention particulière intégrée dans un document d'ordre général accessible en ligne.
Le document n'ayant pas été joint au dossier, la Commission n'est pas en mesure de vérifier s'il comporte les dispositions de l'article 14 de la loi n° 1.165 du 23 décembre 1993.
La Commission rappelle que les personnes concernées doivent être informées conformément aux dispositions de l'article 14 de la loi n° 1.165 du 23 décembre 1993.
À cet égard, la Commission rappelle que la réponse à ce droit d'accès doit intervenir dans le mois suivant la réception de la demande.
- le département des ressources humaines : en inscription, modification et mise à jour ;
- les collaborateurs : en mise à jour et consultation pour les données le concernant ;
- les managers : en consultation pour certaines données concernant leurs collaborateurs et en mise à jour ;
- les personnes habilitées de la Direction Systèmes d'information : en inscription, modification, mise à jour et consultation.
La Commission souligne que les accès des personnels de la DSI devront s'effectuer strictement dans le cade de leurs tâches d'exploitation.
Ainsi, considérant les attributions de chacune de ces personnes, et eu égard à la finalité du traitement, les accès susvisés sont justifiés.
La Commission souligne qu'en cas de recours à des prestataires, leurs accès doivent être limités à ce qui est strictement nécessaire à l'exécution de leur contrat de prestation de service, conformément à l'article 17 de la loi n° 1.165\. De plus ils sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement.
- « Gestion des titres restaurant de MT et MTI », légalement mis en œuvre, pour la prise en compte des choix des personnes souhaitant en bénéficier et des évènements affectant leur délivrance ;
- « Gestion des notes de frais des collaborateurs », légalement mis en œuvre, aux fins de fournir les informations d'organigramme et mettre à jour le fichier de saisie de note de frais.
Il est également interconnecté avec le traitement ayant pour finalité « Gestion paie », légalement mis en œuvre, pour la prise en compte dans les salaires des heures supplémentaires et des congés.
Par ailleurs, la Commission relève que le traitement est également interconnecté avec le traitement ayant pour finalité « Gestion des habilitations au système d'information » légalement mis en œuvre, afin de gérer les personnes habilitées à accéder au présent traitement.
Cependant, les personnes habilitées de la Direction des Systèmes d'Information doivent disposer d'un identifiant et d'un mot de passe nominatifs leur permettant d'effectuer leurs tâches d'exploitation.
Les données objets du traitement sont conservées 5 ans après le terme contractuel, c'est-à-dire après la fin de la relation de travail avec le collaborateur.
La Commission rappelle qu'aux termes de l'arrêté ministériel n° 2016-501 du 5 aout 2016 relatif aux modalités de déclaration simplifiée des traitements automatisés d'informations nominatives relatifs à la gestion administrative des salariés (bien que Monaco Telecom ne soit pas éligible à ce type de formalité), il est estimé comme proportionné les durées de conservation suivantes :
« Les informations collectées dans le cadre des traitements prévus au présent arrêté ne peuvent, sauf dispositions législatives ou réglementaires contraires, être conservées au-delà de la période d'emploi de la personne concernée.
Les informations relatives aux sujétions particulières ouvrant droits à congés spéciaux ou à un crédit d'heures de délégation ne peuvent être conservées au-delà de la période de sujétion du salarié concerné.
Au-delà, ces informations collectées peuvent être archivées sur un support informatique distinct et à accès très limité, conformément aux règles applicables en matière d'archivage ».
Aussi, elle demande à ce que les informations gardées pendant 5 ans après le départ du salarié soient conservées en respect d'une politique d'archivage restreignant l'accès auxdites informations.
Par ailleurs, en ce qui concerne les délégués du personnel, la Commission estime que les listes des délégués du personnel peuvent être conservées en archive active cinq ans à compter de la fin de chaque mandat, avant d'être conservées sur support distinct à des fins historiques.
Prend acte que le présent traitement se substitue au traitement dénommé « ARAGON eRH ».
Modifie la finalité du traitement par : « Gestion des ressources humaines hors paie de Monaco Telecom, Monaco Telecom International et Monaco Telecom Services ».
- sont exploitées les informations suivantes : justificatif de situation fiscale pour les français résidents en Principauté, la photocopie de la pièce d'identité, de la carte de séjour, du permis de conduire, la dernière fiche de paie du dernier employeur ;
- le traitement est interconnecté avec le traitement ayant pour finalité « Gestion des habilitations au système d'information » légalement mis en œuvre, afin de gérer les personnes habilitées à accéder au présent traitement.
- la collecte d'informations relatives au permis de conduire doit être justifiée eu égard au poste concerné ;
- les informations collectées dans le cadre du présent traitement conservées 5 ans au-delà de la période d'emploi de la personne concernée soient conservées sur un support à accès limité, en archive intermédiaire ;
- le responsable de traitement doit veiller à ne pas collecter de données relatives à la santé, soumises aux dispositions de l'article 12 de la loi n° 1.165 du 23 décembre 1993, et que la nature des handicaps, les maladies ou autres motifs médicaux liés aux absences, ne devront en aucun cas faire l'objet d'un traitement, qu'il soit automatisé ou non.
- les personnes habilitées de la Direction des Systèmes d'Information disposent d'un identifiant et d'un mot de passe nominatifs leur permettant d'effectuer leurs tâches d'exploitation ;
- les modalités de collecte et de conservation des documents d'identité soient effectuées conformément à sa délibération n° 2015-113 relative à ces derniers.
Fixe la durée de conservation des listes des délégués du personnel en archive active à cinq ans à compter de la fin de chaque mandat, avant de pouvoir être conservées sur support distinct à des fins historiques.
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion des ressources humaines hors paie de Monaco Telecom, Monaco Telecom International et Monaco Telecom Services » par Monaco Telecom SAM.