Objet. La presente politique informe les agents, candidats, utilisateurs habilites et usagers concernes sur les traitements de donnees personnelles mis en oeuvre dans ROHI, y compris les traitements automatises et les usages d'intelligence artificielle lorsqu'ils existent effectivement.
Elle ne remplace pas les actes reglementaires, decisions administratives, habilitations internes, contrats de sous-traitance ou formalites CMIL applicables aux traitements publics concernes.
1. Responsable du traitement
Le responsable du traitement est le Ministere de l'Economie et des Finances, pour les traitements realises dans le cadre de la gestion administrative, RH et applicative de ROHI.
Les services habilites de la Direction des Ressources Humaines, des directions metiers et des equipes techniques interviennent uniquement dans les limites de leurs missions et habilitations.
2. Cadre juridique applicable
ROHI est soumis notamment a la loi malgache n° 2014-038 relative a la protection des donnees a caractere personnel, a ses textes d'application et au controle de la Commission Malagasy de l'Informatique et des Libertes (CMIL).
Pour les traitements automatises mis en oeuvre pour le compte de l'Etat, l'encadrement juridique applicable doit preciser la finalite, le service aupres duquel les droits s'exercent, les categories de donnees, les destinataires habilites et les durees de conservation. Lorsque requis, les formalites ou avis de la CMIL sont realises avant mise en oeuvre.
3. Finalites des traitements
Les donnees traitees dans ROHI peuvent etre utilisees pour :
- la gestion administrative des agents et des dossiers RH ;
- la gestion des comptes, profils, habilitations et sessions applicatives ;
- la gestion des absences, decisions, actes administratifs, affectations, structures, sites et portes ;
- la gestion des evaluations, du suivi de carriere, de la formation, du recrutement et des workflows RH lorsque ces modules sont actives ;
- la production de statistiques, tableaux de bord, historiques et journaux necessaires au pilotage RH ;
- la securite du systeme, la tracabilite, l'audit, la prevention des abus, la detection d'incidents et la maintenance ;
- la communication institutionnelle et les notifications liees aux services ROHI.
4. Categories de donnees traitees
Identification
Nom, prenom, matricule, identifiants, photo, contacts professionnels, informations de connexion.
Situation administrative
Corps, grade, indice, poste, structure, ministere, affectation, site, porte, historique administratif.
Gestion RH
Absences, decisions, evaluations, formations, documents, demandes, validations, notifications et pieces utiles.
Traces techniques
Journaux de connexion, actions applicatives, adresses techniques, horodatages, erreurs, alertes et traces de securite.
Les donnees sensibles, notamment les donnees biométriques ou assimilées, ne peuvent etre traitees que dans les cas autorises par le droit applicable et avec les garanties requises.
5. Donnees obligatoires ou facultatives
Certaines informations sont obligatoires pour permettre l'identification, l'habilitation, l'instruction d'une demande ou l'execution d'une obligation administrative. Les informations facultatives sont signalees comme telles lorsqu'elles sont collectees. L'absence de donnees obligatoires peut empecher l'acces au service ou le traitement d'une demande.
6. Destinataires et habilitations
Les donnees sont accessibles uniquement aux personnes et services habilites selon leurs missions : services RH, responsables hierarchiques, administrateurs fonctionnels, services techniques, controleurs ou auditeurs autorises, et prestataires agissant sur instruction documentee lorsque leur intervention est necessaire.
Les habilitations sont limitees, journalisees lorsque necessaire et revues selon les procedures internes.
7. Sous-traitance, hebergement et transferts
L'application principale ROHI est hebergee au Datacenter du Ministere de l'Economie et des Finances. Certains modules specialises peuvent etre exploites, heberges ou maintenus par des prestataires habilites agissant en qualite de sous-traitants, sur instruction documentee du responsable de traitement.
Lorsque l'hebergement, le support ou la maintenance implique un stockage ou un acces hors de Madagascar, ROHI precise le ou les pays ou regions concernes, la nature des operations realisees, les garanties contractuelles et techniques appliquees, ainsi que, le cas echeant, les autorisations ou formalites requises par la CMIL.
Aucun transfert non encadre de donnees personnelles n'est autorise. Les prestataires ne peuvent pas reutiliser les donnees ROHI pour leurs propres finalites.
8. Cookies, journaux et securite
ROHI utilise des cookies ou mecanismes equivalents strictement necessaires a l'authentification, a la securite, a la conservation de session et au bon fonctionnement du service. Ces mecanismes ne poursuivent pas de finalite publicitaire.
Des journaux techniques et fonctionnels peuvent etre conserves pour assurer la securite, detecter les anomalies, etablir la preuve d'une action, analyser un incident, administrer le service ou repondre a une obligation legale. Leur acces est limite aux personnes habilitees et leur duree de conservation est definie selon leur finalite.
9. Traitements algorithmiques et intelligence artificielle
Lorsque ROHI recourt a des traitements algorithmiques ou a des fonctionnalites d'intelligence artificielle portant sur des donnees personnelles, les personnes concernees sont informees de leur finalite, des categories de donnees utilisees, de la logique generale du traitement, des consequences principales attendues et des modalites d'exercice de leurs droits.
Aucune decision administrative impliquant une appreciation sur le comportement, la carriere, la promotion, la discipline, le recrutement, l'evaluation ou l'acces a un service n'est prise sur le seul fondement d'un traitement automatise, d'un score, d'un profilage ou d'un systeme d'intelligence artificielle. Une intervention humaine competente est maintenue pour les decisions sensibles.
Tout nouveau deploiement d'un traitement algorithmique avance ou d'un systeme d'intelligence artificielle impliquant des donnees personnelles fait l'objet d'un examen prealable de conformite, de l'intervention du delegue a la protection des donnees ou de la fonction designee, des formalites CMIL requises, d'une analyse des risques, d'une documentation des finalites, d'une mise a jour de la presente politique lorsque necessaire, et de garanties de supervision humaine, de tracabilite, d'auditabilite et de recours.
10. Durees de conservation
Les donnees sont conservees pendant la duree necessaire aux finalites pour lesquelles elles sont traitees, puis archivees ou supprimees selon les obligations legales, les regles d'archivage public, les besoins probatoires et les decisions applicables au traitement ROHI.
Les durees precises par categorie de donnees sont documentees dans les registres, actes, decisions ou tableaux d'archivage applicables. A titre de principe, les journaux techniques ne sont pas conserves au-dela de la duree utile a la securite, a l'audit ou a la preuve, sauf obligation ou incident justifiant une conservation plus longue.
11. Droits des personnes concernees
Conformement au droit applicable, les personnes concernees peuvent exercer leurs droits d'information, d'acces, de rectification et, lorsque les conditions legales sont remplies, d'opposition ou de limitation. Lorsqu'une decision produisant des effets juridiques est fondee sur un traitement automatise, la personne concernee peut demander les informations utiles sur la logique generale du traitement et solliciter une intervention humaine.
La demande doit permettre d'identifier la personne concernee et le traitement vise. Une piece ou information d'identification peut etre demandee lorsque cela est necessaire pour proteger les donnees contre un acces non autorise.
12. Contact protection des donnees
Pour exercer vos droits ou signaler une question relative aux donnees personnelles, vous pouvez contacter le canal de protection des donnees designe par le Ministere de l'Economie et des Finances ou, a defaut, le service RH/technique habilite pour transmettre la demande au delegue a la protection des donnees ou a la fonction competente.
Contact institutionnel ROHI : Ministere de l'Economie et des Finances, Direction des Ressources Humaines / administration ROHI.
En cas de difficulte persistante, la personne concernee peut saisir l'autorite de controle competente, la CMIL, selon les modalites prevues par les textes applicables.
13. Mise a jour de la politique
La presente politique peut etre mise a jour pour tenir compte de l'evolution de ROHI, des modules actives, des sous-traitants, des mesures de securite, des usages algorithmiques ou d'intelligence artificielle, des exigences de la CMIL et du cadre juridique applicable.