Arrêté Ministériel n° 2010-192 du 7 avril 2010 relatif aux modalités de déclaration simplifiée de conformité des traitements automatisés d’informations nominatives portant sur la gestion des fichiers de fournisseurs
Nous, Ministre d’Etat de la Principauté,
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu la délibération n° 09-11 du 23 novembre 2009 de la Commission de Contrôle des Informations Nominatives portant proposition d’élaboration d’une norme permettant la déclaration simplifiée de conformité des traitements automatisés d’informations nominatives relatifs à la gestion des fichiers de fournisseurs et d’abrogation de l’arrêté ministériel n° 2000-579 du 6 décembre 2000 ;
Vu la délibération du Conseil de Gouvernement en date du 24 mars 2010 ;
Arrêtons :
Article Premier.
La procédure de déclaration simplifiée de conformité prévue au deuxième alinéa de l’article 6 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, est applicable aux traitements automatisés d’informations nominatives relatifs à la gestion des fichiers de fournisseurs, dès lors :
- qu’ils concernent uniquement ceux exploités par les responsables de traitements, personnes physiques ou morales de droit privé, visées à l’article 6 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
- qu’ils ne portent que sur des données objectives facilement contrôlables par les personnes intéressées dans le cadre de l’exercice du droit d’accès ;
- qu’ils n’appliquent que des logiciels dont les résultats peuvent être facilement contrôlés ;
- qu’ils n’intéressent que des données contenues dans des fichiers appartenant au responsable de traitement ;
- qu’ils ne donnent pas lieu à d’autres interconnexions que celles nécessaires à l’accomplissement des fonctionnalités énoncées à l’article 2 ;
- qu’ils ne font l’objet d’aucun hébergement auprès d’une personne physique ou morale établie dans un pays ne disposant pas d’un niveau de protection adéquat au sens de l’article 20 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, ni d’aucun transfert d’information vers une telle personne ;
- qu’ils comportent des mesures techniques et organisationnelles propres à assurer un niveau de sécurité adéquat au regard des risques présentés par le traitement et la nature des données et à répondre aux exigences légales prescrites en cas de recours à un prestataire de services pour la réalisation du traitement, telles que visées à l’article 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
- qu’ils font l’objet d’une information claire et individuelle de la personne concernée conformément aux dispositions de l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, et notamment des modalités d’exercice de son droit d’accès, de rectification et d’opposition.
Art. 2.
Les traitements relevant de cette catégorie ne doivent pas avoir pour autres fonctionnalités que d’effectuer les opérations administratives liées :
- aux contrats ;
- aux commandes ;
- aux réceptions ;
- aux factures et à leur transmission par voie électronique ;
- aux règlements ;
- à la comptabilité des comptes fournisseurs ;
- à l’édition de titres de paiement ;
- à l’établissement de documentation ;
- à l’établissement de statistiques commerciales et financières par fournisseur.
Art. 3.
Les informations contenues dans le traitement doivent uniquement relever des catégories suivantes :
- identité du responsable du traitement et du fournisseur : nom, nom marital, prénoms, raison sociale ou dénomination sociale, adresse (siège social, lieu de facturation), téléphone (fixe ou mobile), numéro de télécopie, adresse de courrier électronique, code d’identification comptable, numéro d’identification commerciale, numéro intra-communautaire, numéro d’identification interne du fournisseur ;
- données d’identification électronique : éléments d’information se rapportant à la signature électronique des factures transmises par voie télématique ;
- caractéristique économique : profession, catégorie économique, activité ;
- éléments de facturation et du règlement ;
- commandes, factures, livraison et éléments s’y rapportant ;
- conditions et modalités de règlement, crédit, et éléments s’y rapportant ;
- impayés, avoirs, reçus, retenues ou oppositions ;
- informations relatives à la relation commerciale : demande(s) de documentation, demande(s) d’essai, produit(s) acheté(s), service(s) ou abonnement(s) souscrit(s), quantité, montant, périodicité, adresse de livraison, historique des achats, retour des produits, origine de la vente ou de la commande, correspondance avec le client et service après vente.
Art. 4.
Les informations nominatives relatives aux fournisseurs ne peuvent être conservées au-delà d’une durée de 10 ans.
Les informations visées aux articles 10 et 11 du Code de commerce sont conservées 10 ans et les informations relatives aux factures transmises par voie télématique sont conservées conformément aux dispositions du Code des taxes sur le chiffre d’affaires.
Art. 5.
Peuvent exclusivement avoir communication ou accès aux informations contenues dans le traitement, dans les limites de leurs attributions respectives :
- les personnels chargés des services commerciaux, administratifs, logistiques et comptables et leurs supérieurs hiérarchiques ;
- les personnes chargées des contrôles internes et externes à l’entreprise ;
- les entreprises extérieures liées contractuellement pour l’exécution de leur contrat ;
- les organismes publics, exclusivement pour répondre à des obligations légales ;
- les auxiliaires de justice et officiers ministériels dans le cadre de leur mission de recouvrement de créances ;
- les organismes financiers et les professionnels teneurs des comptes.
Art. 6.
Les traitements déclarés sur la base de l’arrêté ministériel n° 2000-579 du 6 décembre 2000, abrogé par l’arrêté ministériel n° 2010-191 du 7 avril 2010 sont réputés satisfaire aux dispositions du présent arrêté.
Art. 7.
Le Secrétaire Général du Ministère d’Etat est chargé de l’exécution du présent arrêté.
Fait à Monaco, en l’Hôtel du Gouvernement, le sept avril deux mille dix.
Le Ministre d’Etat,
M. Roger.
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu la délibération n° 09-11 du 23 novembre 2009 de la Commission de Contrôle des Informations Nominatives portant proposition d’élaboration d’une norme permettant la déclaration simplifiée de conformité des traitements automatisés d’informations nominatives relatifs à la gestion des fichiers de fournisseurs et d’abrogation de l’arrêté ministériel n° 2000-579 du 6 décembre 2000 ;
Vu la délibération du Conseil de Gouvernement en date du 24 mars 2010 ;
Arrêtons :
Article Premier.
La procédure de déclaration simplifiée de conformité prévue au deuxième alinéa de l’article 6 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, est applicable aux traitements automatisés d’informations nominatives relatifs à la gestion des fichiers de fournisseurs, dès lors :
- qu’ils concernent uniquement ceux exploités par les responsables de traitements, personnes physiques ou morales de droit privé, visées à l’article 6 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
- qu’ils ne portent que sur des données objectives facilement contrôlables par les personnes intéressées dans le cadre de l’exercice du droit d’accès ;
- qu’ils n’appliquent que des logiciels dont les résultats peuvent être facilement contrôlés ;
- qu’ils n’intéressent que des données contenues dans des fichiers appartenant au responsable de traitement ;
- qu’ils ne donnent pas lieu à d’autres interconnexions que celles nécessaires à l’accomplissement des fonctionnalités énoncées à l’article 2 ;
- qu’ils ne font l’objet d’aucun hébergement auprès d’une personne physique ou morale établie dans un pays ne disposant pas d’un niveau de protection adéquat au sens de l’article 20 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, ni d’aucun transfert d’information vers une telle personne ;
- qu’ils comportent des mesures techniques et organisationnelles propres à assurer un niveau de sécurité adéquat au regard des risques présentés par le traitement et la nature des données et à répondre aux exigences légales prescrites en cas de recours à un prestataire de services pour la réalisation du traitement, telles que visées à l’article 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
- qu’ils font l’objet d’une information claire et individuelle de la personne concernée conformément aux dispositions de l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, et notamment des modalités d’exercice de son droit d’accès, de rectification et d’opposition.
Art. 2.
Les traitements relevant de cette catégorie ne doivent pas avoir pour autres fonctionnalités que d’effectuer les opérations administratives liées :
- aux contrats ;
- aux commandes ;
- aux réceptions ;
- aux factures et à leur transmission par voie électronique ;
- aux règlements ;
- à la comptabilité des comptes fournisseurs ;
- à l’édition de titres de paiement ;
- à l’établissement de documentation ;
- à l’établissement de statistiques commerciales et financières par fournisseur.
Art. 3.
Les informations contenues dans le traitement doivent uniquement relever des catégories suivantes :
- identité du responsable du traitement et du fournisseur : nom, nom marital, prénoms, raison sociale ou dénomination sociale, adresse (siège social, lieu de facturation), téléphone (fixe ou mobile), numéro de télécopie, adresse de courrier électronique, code d’identification comptable, numéro d’identification commerciale, numéro intra-communautaire, numéro d’identification interne du fournisseur ;
- données d’identification électronique : éléments d’information se rapportant à la signature électronique des factures transmises par voie télématique ;
- caractéristique économique : profession, catégorie économique, activité ;
- éléments de facturation et du règlement ;
- commandes, factures, livraison et éléments s’y rapportant ;
- conditions et modalités de règlement, crédit, et éléments s’y rapportant ;
- impayés, avoirs, reçus, retenues ou oppositions ;
- informations relatives à la relation commerciale : demande(s) de documentation, demande(s) d’essai, produit(s) acheté(s), service(s) ou abonnement(s) souscrit(s), quantité, montant, périodicité, adresse de livraison, historique des achats, retour des produits, origine de la vente ou de la commande, correspondance avec le client et service après vente.
Art. 4.
Les informations nominatives relatives aux fournisseurs ne peuvent être conservées au-delà d’une durée de 10 ans.
Les informations visées aux articles 10 et 11 du Code de commerce sont conservées 10 ans et les informations relatives aux factures transmises par voie télématique sont conservées conformément aux dispositions du Code des taxes sur le chiffre d’affaires.
Art. 5.
Peuvent exclusivement avoir communication ou accès aux informations contenues dans le traitement, dans les limites de leurs attributions respectives :
- les personnels chargés des services commerciaux, administratifs, logistiques et comptables et leurs supérieurs hiérarchiques ;
- les personnes chargées des contrôles internes et externes à l’entreprise ;
- les entreprises extérieures liées contractuellement pour l’exécution de leur contrat ;
- les organismes publics, exclusivement pour répondre à des obligations légales ;
- les auxiliaires de justice et officiers ministériels dans le cadre de leur mission de recouvrement de créances ;
- les organismes financiers et les professionnels teneurs des comptes.
Art. 6.
Les traitements déclarés sur la base de l’arrêté ministériel n° 2000-579 du 6 décembre 2000, abrogé par l’arrêté ministériel n° 2010-191 du 7 avril 2010 sont réputés satisfaire aux dispositions du présent arrêté.
Art. 7.
Le Secrétaire Général du Ministère d’Etat est chargé de l’exécution du présent arrêté.
Fait à Monaco, en l’Hôtel du Gouvernement, le sept avril deux mille dix.
Le Ministre d’Etat,
M. Roger.