Délibération n° 2011-47 du 6 juin 2011 portant avis favorable sur la demande présentée par le Ministre d’Etat, relative à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité «Work-Flow interne à l’Administration d’instruction des demandes de création d’activités économiques», dénommé «Work-Flow - demandes de création d’activités économiques - version 1»
Vu la Constitution ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 1.144 du 26 juillet 1991 concernant l’exercice de certaines activités économiques et juridiques ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu la loi n° 1.312 du 29 juin 2006 relative à la motivation des actes administratifs ;
Vu l’ordonnance souveraine n° 11.986 du 2 juillet 1996, modifiée, portant création de la direction de l’expansion économique ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu la demande d’avis déposée par le Ministre d’Etat le 27 avril 2011, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité «Work-Flow interne à l’Administration d’instruction des demandes de création d’activités économiques», dénommé «Work-Flow Autorisation de commerces - version 1» ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 6 juin 2011 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives
Préambule
Afin de répondre aux objectifs du Gouvernement de simplification et d’accélération des démarches administratives des personnes souhaitant créer une activité économique en Principauté de Monaco, le Ministre d’Etat souhaite que la Direction de l’Expansion Economique, en charge de l’instruction des demandes de création de telles activités, mette en œuvre un outil de traitement des demandes et de recollement des observations et avis des services administratifs habilités.
Un tel traitement comporte des informations nominatives sur les personnes souhaitant créer une activité économique en Principauté. Il est soumis à l’avis préalable de la Commission, conformément aux dispositions de l’article 7 de la loi n° 1.165 susvisé.
A titre liminaire, il convient de préciser que ce traitement a pour objet d’être mis en fonctionnement en phase test. Les demandeurs devront continuer à déposer leur dossier sous format papier. Considérant les inconnues de ce type d’expérimentation, un certain nombre d’éléments n’ont pu être exposés dans le dossier de demande d’avis. Toutefois, afin de mettre en œuvre la phase d’expérimentation conformément à la loi n° 1.165, susvisée, le responsable de traitement a estimé opportun de soumettre le présent traitement à l’avis de la Commission. Aussi, celle-ci émet, dans la présente délibération, des observations dont il conviendra de tenir compte lors du dépôt de la demande d’avis modificative qui devra lui être soumise une fois la version définitive du traitement établie.
I. Sur la finalité et les fonctionnalités du traitement
Le traitement en objet a pour finalité «Work-Flow interne à l’Administration d’instruction des demandes de création d’activités économiques». Il est dénommé, par le responsable de traitement «Work-Flow Autorisation de commerces - version 1».
Il a pour fonctionnalités :
- de permettre l’instruction interne à l’administration des dossiers de demande de création d’activités économiques ;
- d’établir un dossier numérisé et structuré pour toute demande de création d’activité économique comportant l’établissement d’une fiche électronique identifiant la demande et le ou les demandeurs, l’enregistrement et le scan de l’ensemble des pièces et documents communiqués, et des correspondances échangées ;
- de vérifier la recevabilité et la complétude du dossier ;
- de valider l’activité économique exposée ;
- de déterminer les services administratifs devant être consultés en fonction de la nature de l’activité ;
- de saisir les services à consulter, de leur permettre de consulter le dossier électronique établi et de réceptionner leur avis ;
- de suivre l’instruction du dossier de demande jusqu’à la délivrance ou non de l’autorisation ;
- d’établir des statistiques liées à l’objet du traitement.
Les personnes concernées par ledit traitement sont, selon la demande d’avis, les « personnes apparaissant dans les demandes de création d’activités économiques ». Sur ce point, la Commission relève que ce traitement permet également la collecte d’informations sur les personnels de la Direction de l’Expansion Economique qui saisiront des informations afin d’instruire le dossier de demande et sur les personnels de l’Administration qui y saisiront les observations relevant de leurs attributions lorsqu’ils sont consultés.
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
Toutefois, elle relève que la dénomination du traitement n’est pas en adéquation avec la portée du Work-Flow qui ne s’intéresse pas uniquement aux «autorisations de commerces» mais concerne toutes les activités économiques d’après la demande d’avis. Aussi, la Commission renomme la dénomination comme suit : «Work-Flow - demandes de création d’activités économiques».
La demande d’avis ne prévoit pas de mise en relation ou d’interconnexion du présent traitement avec d’autres traitements automatisés de la Direction de l’Expansion Economique. Si, en version 2, ce traitement alimente les différents registres et répertoires de la Direction de l’Expansion Economique légalement mis en œuvre, au sens de la loi n° 1.165, la demande d’avis modificative soumise à la Commission devra le mentionner explicitement. Les différents traitements alimentés devront également être modifiés concernant, notamment, l’origine des informations.
II. Sur la licéité du traitement
Aux termes de l’article 2 de l’ordonnance souveraine n° 11.986 du 2 juillet 1996, modifiée, portant création de la Direction de l’Expansion Economique, cette Direction «est notamment chargée de l’instruction et du suivi des dossiers de demandes de création d’activités économiques (…) ». Elle est « le service instructeur » des déclarations et des demandes de création d’activités artisanales, commerciales, industrielles et professionnelles à réaliser auprès du Ministre d’Etat, au sens de la loi n° 1.144, susvisée.
A cet égard, lors de l’instruction des dossiers, la Direction de l’Expansion Economique, plus spécifiquement la division «création d’entreprise», s’assure que l’ensemble de pièces et documents nécessaires à l’examen est fourni par le demandeur. Il recolle également les observations des différents services de l’Administration qui interviennent dans la procédure préalable à l’exercice d’une activité au regard des attributions qui sont légalement ou réglementairement conférées selon les activités envisagées. Ces consultations permettront au Ministre d’Etat de délivrer ou de refuser de délivrer l’autorisation demandée ou de répondre par la négative à la déclaration, et de motiver la décision conséquente, au sens de la loi n° 1.312 susvisée.
En conséquence, la Commission constate que le traitement objet de la présente délibération est licite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
III. Sur la justification du traitement
Le responsable de traitement justifie la mise en œuvre de ce traitement par la réalisation d’un intérêt légitime poursuivi par le responsable de traitement qui ne méconnait ni l’intérêt, ni les droits et libertés fondamentaux des personnes concernées.
La Commission relève qu’il s’agit de mettre en place des procédures dématérialisées d’instruction des dossiers de demandes de création d’activités économiques réalisées dans le cadre des attributions réglementaires conférées à la Direction de l’Expansion Economique.
Elle considère donc que le traitement est justifié, conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
IV. Sur les informations traitées
Les informations nominatives objets du présent traitement sont :
- Identité : civilité, nom, nom de jeune fille, prénom, nationalité, fonction, qualité de requérant ;
- Caractéristiques financières : régime matrimonial ;
- Adresses et coordonnées : adresse du domicile, adresse du local ou du bureau, coordonnées téléphoniques ;
- Numéro d’identification : numéro de dossier, nom du dossier, numéro de prospect / contact ;
- Données liées à la société : caractéristiques, numéro de dossier, raison sociale, type de société, code NAF, nom du demandeur en cas de société en nom personnel ;
- Documents agrafés en format image : formulaire de demande, fiche de renseignements, extrait du casier judiciaire, pièces d’état civil (extrait d’acte de naissance), pièce d’identité (selon le cas, certificat de nationalité pour les monégasques, photocopie de la pièce d’identité ou du passeport, photocopie de la carte de résident le cas échéant), curriculum vitae, diplômes, en cas de présence d’une personne morale le document attestant de sa décision de créer ou de participer à la création d’une activité (extrait de la délibération du Conseil d’Administration, identité des ayant-droits, extrait du répertoire du commerce), note de renseignements sur le local, documents d’informations se rapportant à la société en projet, le cas échéant les statuts ;
- Données administratives liées au Work-Flow : service ayant créé la fiche, liste des services administratifs à consulter, observations des services, nom et prénom de l’opérateur, dates de mises à jour, état d’avancement du dossier ;
- Données de gestion interne : nom, prénom de l’agent de la Direction de l’Expansion Economique ayant créé ou modifié un document, données d’horodatage.
Les documents agrafés électroniquement sont conservés en format image, sans qu’il soit possible de faire de recherche sur les éléments et informations y contenus. Le nombre et le type de documents dépendent du type d’activité en projet et de la forme juridique de l’établissement.
Les informations ont pour origine la ou les personnes qui demande(nt) à exercer une activité économique en Principauté, au travers du formulaire de demande d’exercice d’activité et des documents fournis à l’appui de la demande.
La Commission relève que les informations requises permettent au service instructeur des demandes de création d’activités économiques de vérifier le respect par les demandeurs des conditions inhérentes à l’exercice de l’activité en projet telles qu’encadrées par les textes généraux ou particuliers.
Elle observe que «l’Administration pourra solliciter par demande motivée la production de pièces complémentaires nécessaires à l’instruction du dossier», sans que le détail ou que des exemples de documents ne soient mentionnés. Aussi, elle demande que la demande d’avis modificative du présent traitement mette en évidence les documents complémentaires comportant les informations nominatives susceptibles d’être demandées aux intéressés.
La simplification administrative souhaitée par le gouvernement a conduit la Direction de l’Expansion Economique à établir un formulaire unique, appelé «note de renseignements individuels» des demandeurs, quelle que soit l’activité envisagée et quelle que soit la forme juridique de l’entité. Ce formulaire parait avoir été établi sur le fondement de l’ordonnance souveraine n° 2.853 du 22 juin 1962 portant application de la loi n° 721 du 27 décembre 1961 instituant un Répertoire du Commerce et de l’Industrie. Sur ce point, la Commission observe que toutes les activités économiques ne figurent pas dans ledit répertoire puisqu’il mentionne les personnes physiques ou morales réputées commerçantes et qui exercent sur le territoire de la Principauté une activité commerciale.
Tenant compte de la phase d’expérimentation du présent traitement qui entraînera des ajustements, notamment sur les informations collectées, la Commission demande que soit justifiée la collecte de certaines informations demandées au requérant.
Ainsi, la note de renseignement doit comporter «le domicile antérieur» sur les dix dernières années des requérants. La Commission a relevé que l’ordonnance précitée impose que le répertoire du commerce et de l’industrie comporte «le dernier établissement commercial que le déclarant a précédemment exploité à Monaco ou à l’étranger», et que les textes encadrant d’autres registres spéciaux gérés par la Direction Economique ne font pas référence aux dix dernières années de résidence. Aussi, la collecte de ces informations devra être explicitée.
De la même manière, il conviendra que soit justifiée la collecte systématique de l’information portant sur le nombre d’enfants à charge, la nationalité antérieure et le mode d’acquisition de la nationalité des demandeurs.
A l’exception des trois informations précitées, la Commission estime que les informations collectées sont «adéquates, pertinentes et non excessives» au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée, dès lors où leur collecte est en adéquation avec les textes encadrant l’activité économique en projet.
V. Sur les droits des personnes concernées
• Sur l’exercice du droit d’accès
Le responsable de traitement indique que les personnes concernées sont informées de leurs droits par une mention sur les documents de collecte, c’est-à-dire sur «la demande d’autorisation d’exercice d’une activité en Principauté de Monaco» signée par chaque requérant et sur la «note de renseignements individuels» à remplir par chaque requérant.
La mention d’information précise que «La Direction de l’Expansion Économique collecte les informations et les transmet aux services administratifs à des fins d’instruction de votre dossier. En application de la loi n° 1.165, modifiée, vous disposez d’un droit d’accès et de rectification à vos informations nominatives traitées auprès de la Direction de l’Expansion Économique».
La Commission relève que, pour être conforme à l’article 14 de la loi n° 1.165 susvisée, cette mention devra être complétée afin de préciser la finalité du traitement, le caractère obligatoire des informations et les conséquences en cas de défaut de réponse.
Elle propose la rédaction suivante : «La Direction de l’Expansion Economique collecte les informations nécessaires à l’instruction des demandes de création d’activités économiques. Elle les transmet aux services administratifs habilités qui doivent être consultés selon la nature de l’activité envisagée. La communication des informations demandées est obligatoire. En cas de défaut de réponse, le dossier sera réputé incomplet. En application de la loi n° 1.165, modifiée, vous disposez d’un droit d’accès et de rectification à vos informations nominatives traitées auprès de la Direction de l’Expansion Economique».
• Les droits d’accès, de rectification et de modification
Mis en place par une entité administrative dans le cadre de ses missions d’intérêt général, ce traitement ne peut faire l’objet d’un droit d’opposition de la part des personnes concernées, conformément à l’article 13 de la loi n° 1.165.
Les personnes peuvent exercer leur droit d’accès auprès de la Direction de l’Expansion Economique par voie postale ou sur place.
Il est procédé à la communication des informations dans les 10 jours suivants la réception de la demande.
En cas de demande de modification, de rectification, voire de suppression des informations nominatives, une réponse est adressée à la personne concernée par voie postale, sur place ou par courrier électronique.
La Commission constate que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.
VI. Sur les personnes ayant accès au traitement
Les personnes qui ont accès au traitement sont :
- le personnel habilité de la Direction de l’Expansion Economique en inscription, modification, mise à jour et consultation ;
- le personnel habilité de la Direction Informatique pour les accès techniques et de maintenance ;
- les consultants internes en assistance à maîtrise d’ouvrage : accès technique en inscription ;
- le personnel habilité des directions ou services administratifs consultés : en mise à jour pour leur réponse, et en consultation du dossier sur lequel l’entité est consultée.
La Commission rappelle, qu’aux termes de l’article 8 chiffre 4, les accès aux informations nominatives traitées doivent être accordés à des personnes ou catégories de personnes en considération de leurs fonctions.
A ce titre, elle relève que le responsable de traitement met en évidence des accès dévolus au «personnel habilité» de 15 Directions, 2 Départements, 2 Services et 5 commissaires de Gouvernement. Aussi, la Commission demande que les catégories de personnes habilitées, en raison de leurs fonctions, soient identifiées afin de lui permettre de s’assurer de la licéité des accès ainsi accordés.
Par ailleurs, ils disposent d’un accès en consultation aux seuls documents utiles à l’examen qu’ils doivent exercer. Ils ont également un accès en saisie pour les seuls observations et commentaires sur la mise en place d’une activité sur le territoire de la Principauté. La demande d’avis précise que «les informations qu’ils contiennent ne peuvent être utilisées pour des recherches ou des traitements automatisés».
Toutefois, ces accès spécifiques à chaque document n’ont pas été déclinés. Aussi considérant la sensibilité de certains d’entre eux, comme le casier judiciaire, ou leur contenu, comme la note de renseignements individuels qui comporte des informations relevant de la vie privée des requérants, la Commission demande que la demande d’avis modificative précise à quel(s) document(s) les personnes habilitées ont accès au regard de leurs fonctions.
Ces accès accordés «au cas par cas pour instruire les dossiers conformément au cadre légal de l’exercice de l’activité» ont été justifiés en considération des missions qui sont légalement ou réglementaires conférées aux entités suivantes selon les activités économiques envisagées :
- la Direction de l’Action Sanitaire et Sociale pour information, et le Département des Affaires Sociales et de la Santé pour les activités médicale, paramédicale, en lien avec la pharmacie, la cosmétique, l’alimentaire ;
- la Direction du Budget et du Trésor pour les activités bancaires et financières ;
- le Département de l’Intérieur pour les activités dans le domaine de la sécurité des biens et des personnes ;
- la Direction des Affaires Maritimes pour les activités régies par le Code de la mer ;
- la Direction de l’Aviation Civile pour les activités relevant du transport aérien ;
- la Direction des Ressources Humaines et de la Formation de la Fonction Publique dans le cas où un des demandeurs est fonctionnaire ou agent de l’Etat ;
- la Direction de l’Habitat lorsque l’activité sera exercée à domicile ;
- le Service d’Information et de Contrôle sur les Circuits Financiers (SICCFIN), pour information dès lors où l’activité relève de la loi n° 1.362 du 3 août 2009 relative à la lutte contre le blanchiment de capitaux, le financement du terrorisme et la corruption.
Toutefois, considérant ce qui précède, les éléments fournis à la demande d’avis n’ont pas permis à la Commission de déterminer dans quelles hypothèses et sur quel fondement juridique les entités administratives suivantes sont susceptibles de disposer d’un accès ponctuel «pour apprécier les critères de «compétence» et «d’opportunité»» de l’exercice d’une activité en Principauté, ou systématique au présent traitement.
Aussi, devront être plus précisément justifiés, avec précision des catégories de personnes habilitées, les accès accordés au Service des Titres de Circulation, à l’Administration des Domaines, au Centre de Presse, à la Direction de la Sûreté Publique, à la Direction des Services Fiscaux, à la Direction des Travaux Publics, à la Direction de l’Education Nationale, de la Jeunesse et des Sports, à la Direction de la Prospective, de l’Urbanisme et de la Mobilité, à la Direction de l’Environnement, à la Direction du Travail, à la Direction des Communications Electroniques, à la Direction Informatique, à la Direction du Tourisme et des Congrès, à la Direction des Affaires Culturelles, aux Commissaires de Gouvernement auprès des concessionnaires de services publics de la Principauté et auprès de la Commission de Contrôle des Activités Financières.
Il importe que l’entité dispose d’un cadre juridique qui établit ses missions. Par exemple, la consultation du Centre de Presse lorsqu’un projet d’activité relève du domaine de l’industrie cinématographique paraît délicate dès lors où, comme déjà évoqué par la Commission notamment dans la délibération n° 2011-13 du 17 janvier 2011, aucun texte réglementaire ne consacre son existence juridique et ne précise ses missions. La Commission a noté que son Directeur est membre de la Commission de l’industrie cinématographique qui est susceptible d’être consultée par le Ministre d’Etat dans ce cadre, aux termes de l’article 8 de la loi n° 544 du 15 mai 1951 portant réglementation de l’industrie cinématographique. Cependant, la Commission estime que cette base légale n’est pas suffisante pour justifier la consultation du Centre de Presse.
Par ailleurs, il importe que l’entité administrative dispose de missions qui lui permettent d’intervenir dans les procédures préalables relatives à la création d’activités économiques. Par exemple, la Direction Informatique, créée par l’ordonnance souveraine n° 3.122 du 11 février 2011, ne dispose pas d’attributions lui permettant d’émettre une quelconque observation quant à la compétence ou à l’opportunité de création d’une activité économique.
Ainsi, considérant les attributions des Départements, Directions, Services et des Commissaires de Gouvernement précédemment évoquées, la Commission demande que les accès dévolus au présent traitement soient précisés et juridiquement fondés.
En outre, la Commission relève que si ces entités disposent des informations nominatives afin de les traiter par ailleurs, elles devront soumettre un avis à la Commission conformément à l’article 7 de la loi n° 1.165.
VII. Sur la sécurité du traitement et des informations
Les mesures techniques et organisationnelles mises en place pour assurer la sécurité et la confidentialité du traitement appellent les observations suivantes.
Les mesures relatives à la politique de sécurité générale et à l’architecture de communication sont conformes à l’état de l’art et permettent de veiller à la sécurité des informations comme prévu par la loi n° 1.165
Cependant, à terme, l’échange d’informations et de documents dématérialisés entre l’Administration et un usager (ex. accusé réception électronique, données d’horodatage des envois) nécessitera de développer les modalités de ces communications afin que la Commission puisse vérifier leur adéquation au regard des risques présentés par le traitement. Les mesures prises pour assurer la sécurité et la confidentialité des informations collectées sur un réseau ouvert, et les modalités mises en place afin d’authentifier les demandeurs et de conserver les documents électroniques dans le temps devront, notamment, être précisées.
Par ailleurs, la Commission relève, de manière générale, que les mesures organisationnelles mises en place sont établies non pas en considération des fonctions des intéressés mais en lien avec leur identité. Considérant les mouvements de personnel au sein de l’Administration, ce procédé n’apporte pas de garanties suffisantes qui permettent de veiller à ce que seules les personnes habilitées en raison de leurs fonctions aient accès au traitement.
Elle demande que le détail des accès soit décliné au regard des fonctions des personnes qui ont accès au traitement.
Elle recommande par ailleurs qu’une étude soit menée sur ce point qui concerne l’ensemble des traitements automatisés d’informations nominatives de l’Etat.
Enfin, elle prend acte que le traitement des informations nominatives des personnels habilités à avoir accès au workflow est conforme au traitement automatisé d’informations nominatives ayant pour finalité «gestion des techniques automatisées du SIE», mis en œuvre par décision du Ministre d’Etat le 10 octobre 2005, après avis favorable de la Commission émis par délibération n° 2005-10 du 22 septembre 2005.
VIII. Sur la durée de conservation
La Commission constate que les informations sont conservées 30 ans après radiation de l’organisme autorisé à exercer une activité en Principauté, ou du dépôt du dossier de demande en cas de refus.
La Commission considère que la durée de conservation est conforme aux dispositions de l’article 10-1 de la loi n° 1.165.
Après en avoir délibéré :
Prend acte que le présent traitement est mis en œuvre en phase test et qu’il permettra à l’autorité compétente de finaliser les informations qui devront être collectées et les accès qui devront être mis en place dans le cadre de l’instruction des demandes de créations d’activités par la Direction de l’Expansion Economique ;
Rappelle que les accès à un traitement automatisé d’informations nominatives doivent être dévolus en tenant compte des fonctions des personnes fondées sur les missions qui leur sont légalement ou réglementairement conférées ;
Recommande qu’une étude soit menée sur l’établissement des profils d’accès aux traitements automatisés concernés afin de veiller à ce que seules les personnes habilitées, selon leurs fonctions, aient accès au traitement ;
Demande que :
- la dénomination du traitement soit modifiée par «Workflow - demandes de création d’activités économiques - version 1» ;
- soit justifiée la collecte systématique du domicile antérieur sur les dix dernières années des requérants, leur nationalité d’origine et le mode d’acquisition de la nationalité, ainsi que le nombre d’enfants à charge ;
- la mention d’information inscrite sur les formulaires de collecte d’informations nominatives soit modifiée afin de comporter les éléments imposés par l’article 14 de la loi n° 1.165 susvisée ;
A la condition de la prise en compte des demandes qui précèdent,
La Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, en phase test, d’un traitement automatisé d’informations nominatives ayant pour finalité «Work-Flow interne à l’Administration d’instruction des demandes de création d’activités économiques», dénommé «Work-Flow demandes de création d’activités économiques - version 1» de la Direction de l’Expansion Economique.
Invite l’autorité compétence à déposer une demande d’avis modificative du présent traitement dans un délai de deux ans, en tenant compte des observations de la Commission portant, particulièrement, sur la sécurité du traitement et sur la justification des accès dévolus au traitement.
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 1.144 du 26 juillet 1991 concernant l’exercice de certaines activités économiques et juridiques ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu la loi n° 1.312 du 29 juin 2006 relative à la motivation des actes administratifs ;
Vu l’ordonnance souveraine n° 11.986 du 2 juillet 1996, modifiée, portant création de la direction de l’expansion économique ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu la demande d’avis déposée par le Ministre d’Etat le 27 avril 2011, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité «Work-Flow interne à l’Administration d’instruction des demandes de création d’activités économiques», dénommé «Work-Flow Autorisation de commerces - version 1» ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 6 juin 2011 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives
Préambule
Afin de répondre aux objectifs du Gouvernement de simplification et d’accélération des démarches administratives des personnes souhaitant créer une activité économique en Principauté de Monaco, le Ministre d’Etat souhaite que la Direction de l’Expansion Economique, en charge de l’instruction des demandes de création de telles activités, mette en œuvre un outil de traitement des demandes et de recollement des observations et avis des services administratifs habilités.
Un tel traitement comporte des informations nominatives sur les personnes souhaitant créer une activité économique en Principauté. Il est soumis à l’avis préalable de la Commission, conformément aux dispositions de l’article 7 de la loi n° 1.165 susvisé.
A titre liminaire, il convient de préciser que ce traitement a pour objet d’être mis en fonctionnement en phase test. Les demandeurs devront continuer à déposer leur dossier sous format papier. Considérant les inconnues de ce type d’expérimentation, un certain nombre d’éléments n’ont pu être exposés dans le dossier de demande d’avis. Toutefois, afin de mettre en œuvre la phase d’expérimentation conformément à la loi n° 1.165, susvisée, le responsable de traitement a estimé opportun de soumettre le présent traitement à l’avis de la Commission. Aussi, celle-ci émet, dans la présente délibération, des observations dont il conviendra de tenir compte lors du dépôt de la demande d’avis modificative qui devra lui être soumise une fois la version définitive du traitement établie.
I. Sur la finalité et les fonctionnalités du traitement
Le traitement en objet a pour finalité «Work-Flow interne à l’Administration d’instruction des demandes de création d’activités économiques». Il est dénommé, par le responsable de traitement «Work-Flow Autorisation de commerces - version 1».
Il a pour fonctionnalités :
- de permettre l’instruction interne à l’administration des dossiers de demande de création d’activités économiques ;
- d’établir un dossier numérisé et structuré pour toute demande de création d’activité économique comportant l’établissement d’une fiche électronique identifiant la demande et le ou les demandeurs, l’enregistrement et le scan de l’ensemble des pièces et documents communiqués, et des correspondances échangées ;
- de vérifier la recevabilité et la complétude du dossier ;
- de valider l’activité économique exposée ;
- de déterminer les services administratifs devant être consultés en fonction de la nature de l’activité ;
- de saisir les services à consulter, de leur permettre de consulter le dossier électronique établi et de réceptionner leur avis ;
- de suivre l’instruction du dossier de demande jusqu’à la délivrance ou non de l’autorisation ;
- d’établir des statistiques liées à l’objet du traitement.
Les personnes concernées par ledit traitement sont, selon la demande d’avis, les « personnes apparaissant dans les demandes de création d’activités économiques ». Sur ce point, la Commission relève que ce traitement permet également la collecte d’informations sur les personnels de la Direction de l’Expansion Economique qui saisiront des informations afin d’instruire le dossier de demande et sur les personnels de l’Administration qui y saisiront les observations relevant de leurs attributions lorsqu’ils sont consultés.
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
Toutefois, elle relève que la dénomination du traitement n’est pas en adéquation avec la portée du Work-Flow qui ne s’intéresse pas uniquement aux «autorisations de commerces» mais concerne toutes les activités économiques d’après la demande d’avis. Aussi, la Commission renomme la dénomination comme suit : «Work-Flow - demandes de création d’activités économiques».
La demande d’avis ne prévoit pas de mise en relation ou d’interconnexion du présent traitement avec d’autres traitements automatisés de la Direction de l’Expansion Economique. Si, en version 2, ce traitement alimente les différents registres et répertoires de la Direction de l’Expansion Economique légalement mis en œuvre, au sens de la loi n° 1.165, la demande d’avis modificative soumise à la Commission devra le mentionner explicitement. Les différents traitements alimentés devront également être modifiés concernant, notamment, l’origine des informations.
II. Sur la licéité du traitement
Aux termes de l’article 2 de l’ordonnance souveraine n° 11.986 du 2 juillet 1996, modifiée, portant création de la Direction de l’Expansion Economique, cette Direction «est notamment chargée de l’instruction et du suivi des dossiers de demandes de création d’activités économiques (…) ». Elle est « le service instructeur » des déclarations et des demandes de création d’activités artisanales, commerciales, industrielles et professionnelles à réaliser auprès du Ministre d’Etat, au sens de la loi n° 1.144, susvisée.
A cet égard, lors de l’instruction des dossiers, la Direction de l’Expansion Economique, plus spécifiquement la division «création d’entreprise», s’assure que l’ensemble de pièces et documents nécessaires à l’examen est fourni par le demandeur. Il recolle également les observations des différents services de l’Administration qui interviennent dans la procédure préalable à l’exercice d’une activité au regard des attributions qui sont légalement ou réglementairement conférées selon les activités envisagées. Ces consultations permettront au Ministre d’Etat de délivrer ou de refuser de délivrer l’autorisation demandée ou de répondre par la négative à la déclaration, et de motiver la décision conséquente, au sens de la loi n° 1.312 susvisée.
En conséquence, la Commission constate que le traitement objet de la présente délibération est licite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
III. Sur la justification du traitement
Le responsable de traitement justifie la mise en œuvre de ce traitement par la réalisation d’un intérêt légitime poursuivi par le responsable de traitement qui ne méconnait ni l’intérêt, ni les droits et libertés fondamentaux des personnes concernées.
La Commission relève qu’il s’agit de mettre en place des procédures dématérialisées d’instruction des dossiers de demandes de création d’activités économiques réalisées dans le cadre des attributions réglementaires conférées à la Direction de l’Expansion Economique.
Elle considère donc que le traitement est justifié, conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
IV. Sur les informations traitées
Les informations nominatives objets du présent traitement sont :
- Identité : civilité, nom, nom de jeune fille, prénom, nationalité, fonction, qualité de requérant ;
- Caractéristiques financières : régime matrimonial ;
- Adresses et coordonnées : adresse du domicile, adresse du local ou du bureau, coordonnées téléphoniques ;
- Numéro d’identification : numéro de dossier, nom du dossier, numéro de prospect / contact ;
- Données liées à la société : caractéristiques, numéro de dossier, raison sociale, type de société, code NAF, nom du demandeur en cas de société en nom personnel ;
- Documents agrafés en format image : formulaire de demande, fiche de renseignements, extrait du casier judiciaire, pièces d’état civil (extrait d’acte de naissance), pièce d’identité (selon le cas, certificat de nationalité pour les monégasques, photocopie de la pièce d’identité ou du passeport, photocopie de la carte de résident le cas échéant), curriculum vitae, diplômes, en cas de présence d’une personne morale le document attestant de sa décision de créer ou de participer à la création d’une activité (extrait de la délibération du Conseil d’Administration, identité des ayant-droits, extrait du répertoire du commerce), note de renseignements sur le local, documents d’informations se rapportant à la société en projet, le cas échéant les statuts ;
- Données administratives liées au Work-Flow : service ayant créé la fiche, liste des services administratifs à consulter, observations des services, nom et prénom de l’opérateur, dates de mises à jour, état d’avancement du dossier ;
- Données de gestion interne : nom, prénom de l’agent de la Direction de l’Expansion Economique ayant créé ou modifié un document, données d’horodatage.
Les documents agrafés électroniquement sont conservés en format image, sans qu’il soit possible de faire de recherche sur les éléments et informations y contenus. Le nombre et le type de documents dépendent du type d’activité en projet et de la forme juridique de l’établissement.
Les informations ont pour origine la ou les personnes qui demande(nt) à exercer une activité économique en Principauté, au travers du formulaire de demande d’exercice d’activité et des documents fournis à l’appui de la demande.
La Commission relève que les informations requises permettent au service instructeur des demandes de création d’activités économiques de vérifier le respect par les demandeurs des conditions inhérentes à l’exercice de l’activité en projet telles qu’encadrées par les textes généraux ou particuliers.
Elle observe que «l’Administration pourra solliciter par demande motivée la production de pièces complémentaires nécessaires à l’instruction du dossier», sans que le détail ou que des exemples de documents ne soient mentionnés. Aussi, elle demande que la demande d’avis modificative du présent traitement mette en évidence les documents complémentaires comportant les informations nominatives susceptibles d’être demandées aux intéressés.
La simplification administrative souhaitée par le gouvernement a conduit la Direction de l’Expansion Economique à établir un formulaire unique, appelé «note de renseignements individuels» des demandeurs, quelle que soit l’activité envisagée et quelle que soit la forme juridique de l’entité. Ce formulaire parait avoir été établi sur le fondement de l’ordonnance souveraine n° 2.853 du 22 juin 1962 portant application de la loi n° 721 du 27 décembre 1961 instituant un Répertoire du Commerce et de l’Industrie. Sur ce point, la Commission observe que toutes les activités économiques ne figurent pas dans ledit répertoire puisqu’il mentionne les personnes physiques ou morales réputées commerçantes et qui exercent sur le territoire de la Principauté une activité commerciale.
Tenant compte de la phase d’expérimentation du présent traitement qui entraînera des ajustements, notamment sur les informations collectées, la Commission demande que soit justifiée la collecte de certaines informations demandées au requérant.
Ainsi, la note de renseignement doit comporter «le domicile antérieur» sur les dix dernières années des requérants. La Commission a relevé que l’ordonnance précitée impose que le répertoire du commerce et de l’industrie comporte «le dernier établissement commercial que le déclarant a précédemment exploité à Monaco ou à l’étranger», et que les textes encadrant d’autres registres spéciaux gérés par la Direction Economique ne font pas référence aux dix dernières années de résidence. Aussi, la collecte de ces informations devra être explicitée.
De la même manière, il conviendra que soit justifiée la collecte systématique de l’information portant sur le nombre d’enfants à charge, la nationalité antérieure et le mode d’acquisition de la nationalité des demandeurs.
A l’exception des trois informations précitées, la Commission estime que les informations collectées sont «adéquates, pertinentes et non excessives» au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée, dès lors où leur collecte est en adéquation avec les textes encadrant l’activité économique en projet.
V. Sur les droits des personnes concernées
• Sur l’exercice du droit d’accès
Le responsable de traitement indique que les personnes concernées sont informées de leurs droits par une mention sur les documents de collecte, c’est-à-dire sur «la demande d’autorisation d’exercice d’une activité en Principauté de Monaco» signée par chaque requérant et sur la «note de renseignements individuels» à remplir par chaque requérant.
La mention d’information précise que «La Direction de l’Expansion Économique collecte les informations et les transmet aux services administratifs à des fins d’instruction de votre dossier. En application de la loi n° 1.165, modifiée, vous disposez d’un droit d’accès et de rectification à vos informations nominatives traitées auprès de la Direction de l’Expansion Économique».
La Commission relève que, pour être conforme à l’article 14 de la loi n° 1.165 susvisée, cette mention devra être complétée afin de préciser la finalité du traitement, le caractère obligatoire des informations et les conséquences en cas de défaut de réponse.
Elle propose la rédaction suivante : «La Direction de l’Expansion Economique collecte les informations nécessaires à l’instruction des demandes de création d’activités économiques. Elle les transmet aux services administratifs habilités qui doivent être consultés selon la nature de l’activité envisagée. La communication des informations demandées est obligatoire. En cas de défaut de réponse, le dossier sera réputé incomplet. En application de la loi n° 1.165, modifiée, vous disposez d’un droit d’accès et de rectification à vos informations nominatives traitées auprès de la Direction de l’Expansion Economique».
• Les droits d’accès, de rectification et de modification
Mis en place par une entité administrative dans le cadre de ses missions d’intérêt général, ce traitement ne peut faire l’objet d’un droit d’opposition de la part des personnes concernées, conformément à l’article 13 de la loi n° 1.165.
Les personnes peuvent exercer leur droit d’accès auprès de la Direction de l’Expansion Economique par voie postale ou sur place.
Il est procédé à la communication des informations dans les 10 jours suivants la réception de la demande.
En cas de demande de modification, de rectification, voire de suppression des informations nominatives, une réponse est adressée à la personne concernée par voie postale, sur place ou par courrier électronique.
La Commission constate que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.
VI. Sur les personnes ayant accès au traitement
Les personnes qui ont accès au traitement sont :
- le personnel habilité de la Direction de l’Expansion Economique en inscription, modification, mise à jour et consultation ;
- le personnel habilité de la Direction Informatique pour les accès techniques et de maintenance ;
- les consultants internes en assistance à maîtrise d’ouvrage : accès technique en inscription ;
- le personnel habilité des directions ou services administratifs consultés : en mise à jour pour leur réponse, et en consultation du dossier sur lequel l’entité est consultée.
La Commission rappelle, qu’aux termes de l’article 8 chiffre 4, les accès aux informations nominatives traitées doivent être accordés à des personnes ou catégories de personnes en considération de leurs fonctions.
A ce titre, elle relève que le responsable de traitement met en évidence des accès dévolus au «personnel habilité» de 15 Directions, 2 Départements, 2 Services et 5 commissaires de Gouvernement. Aussi, la Commission demande que les catégories de personnes habilitées, en raison de leurs fonctions, soient identifiées afin de lui permettre de s’assurer de la licéité des accès ainsi accordés.
Par ailleurs, ils disposent d’un accès en consultation aux seuls documents utiles à l’examen qu’ils doivent exercer. Ils ont également un accès en saisie pour les seuls observations et commentaires sur la mise en place d’une activité sur le territoire de la Principauté. La demande d’avis précise que «les informations qu’ils contiennent ne peuvent être utilisées pour des recherches ou des traitements automatisés».
Toutefois, ces accès spécifiques à chaque document n’ont pas été déclinés. Aussi considérant la sensibilité de certains d’entre eux, comme le casier judiciaire, ou leur contenu, comme la note de renseignements individuels qui comporte des informations relevant de la vie privée des requérants, la Commission demande que la demande d’avis modificative précise à quel(s) document(s) les personnes habilitées ont accès au regard de leurs fonctions.
Ces accès accordés «au cas par cas pour instruire les dossiers conformément au cadre légal de l’exercice de l’activité» ont été justifiés en considération des missions qui sont légalement ou réglementaires conférées aux entités suivantes selon les activités économiques envisagées :
- la Direction de l’Action Sanitaire et Sociale pour information, et le Département des Affaires Sociales et de la Santé pour les activités médicale, paramédicale, en lien avec la pharmacie, la cosmétique, l’alimentaire ;
- la Direction du Budget et du Trésor pour les activités bancaires et financières ;
- le Département de l’Intérieur pour les activités dans le domaine de la sécurité des biens et des personnes ;
- la Direction des Affaires Maritimes pour les activités régies par le Code de la mer ;
- la Direction de l’Aviation Civile pour les activités relevant du transport aérien ;
- la Direction des Ressources Humaines et de la Formation de la Fonction Publique dans le cas où un des demandeurs est fonctionnaire ou agent de l’Etat ;
- la Direction de l’Habitat lorsque l’activité sera exercée à domicile ;
- le Service d’Information et de Contrôle sur les Circuits Financiers (SICCFIN), pour information dès lors où l’activité relève de la loi n° 1.362 du 3 août 2009 relative à la lutte contre le blanchiment de capitaux, le financement du terrorisme et la corruption.
Toutefois, considérant ce qui précède, les éléments fournis à la demande d’avis n’ont pas permis à la Commission de déterminer dans quelles hypothèses et sur quel fondement juridique les entités administratives suivantes sont susceptibles de disposer d’un accès ponctuel «pour apprécier les critères de «compétence» et «d’opportunité»» de l’exercice d’une activité en Principauté, ou systématique au présent traitement.
Aussi, devront être plus précisément justifiés, avec précision des catégories de personnes habilitées, les accès accordés au Service des Titres de Circulation, à l’Administration des Domaines, au Centre de Presse, à la Direction de la Sûreté Publique, à la Direction des Services Fiscaux, à la Direction des Travaux Publics, à la Direction de l’Education Nationale, de la Jeunesse et des Sports, à la Direction de la Prospective, de l’Urbanisme et de la Mobilité, à la Direction de l’Environnement, à la Direction du Travail, à la Direction des Communications Electroniques, à la Direction Informatique, à la Direction du Tourisme et des Congrès, à la Direction des Affaires Culturelles, aux Commissaires de Gouvernement auprès des concessionnaires de services publics de la Principauté et auprès de la Commission de Contrôle des Activités Financières.
Il importe que l’entité dispose d’un cadre juridique qui établit ses missions. Par exemple, la consultation du Centre de Presse lorsqu’un projet d’activité relève du domaine de l’industrie cinématographique paraît délicate dès lors où, comme déjà évoqué par la Commission notamment dans la délibération n° 2011-13 du 17 janvier 2011, aucun texte réglementaire ne consacre son existence juridique et ne précise ses missions. La Commission a noté que son Directeur est membre de la Commission de l’industrie cinématographique qui est susceptible d’être consultée par le Ministre d’Etat dans ce cadre, aux termes de l’article 8 de la loi n° 544 du 15 mai 1951 portant réglementation de l’industrie cinématographique. Cependant, la Commission estime que cette base légale n’est pas suffisante pour justifier la consultation du Centre de Presse.
Par ailleurs, il importe que l’entité administrative dispose de missions qui lui permettent d’intervenir dans les procédures préalables relatives à la création d’activités économiques. Par exemple, la Direction Informatique, créée par l’ordonnance souveraine n° 3.122 du 11 février 2011, ne dispose pas d’attributions lui permettant d’émettre une quelconque observation quant à la compétence ou à l’opportunité de création d’une activité économique.
Ainsi, considérant les attributions des Départements, Directions, Services et des Commissaires de Gouvernement précédemment évoquées, la Commission demande que les accès dévolus au présent traitement soient précisés et juridiquement fondés.
En outre, la Commission relève que si ces entités disposent des informations nominatives afin de les traiter par ailleurs, elles devront soumettre un avis à la Commission conformément à l’article 7 de la loi n° 1.165.
VII. Sur la sécurité du traitement et des informations
Les mesures techniques et organisationnelles mises en place pour assurer la sécurité et la confidentialité du traitement appellent les observations suivantes.
Les mesures relatives à la politique de sécurité générale et à l’architecture de communication sont conformes à l’état de l’art et permettent de veiller à la sécurité des informations comme prévu par la loi n° 1.165
Cependant, à terme, l’échange d’informations et de documents dématérialisés entre l’Administration et un usager (ex. accusé réception électronique, données d’horodatage des envois) nécessitera de développer les modalités de ces communications afin que la Commission puisse vérifier leur adéquation au regard des risques présentés par le traitement. Les mesures prises pour assurer la sécurité et la confidentialité des informations collectées sur un réseau ouvert, et les modalités mises en place afin d’authentifier les demandeurs et de conserver les documents électroniques dans le temps devront, notamment, être précisées.
Par ailleurs, la Commission relève, de manière générale, que les mesures organisationnelles mises en place sont établies non pas en considération des fonctions des intéressés mais en lien avec leur identité. Considérant les mouvements de personnel au sein de l’Administration, ce procédé n’apporte pas de garanties suffisantes qui permettent de veiller à ce que seules les personnes habilitées en raison de leurs fonctions aient accès au traitement.
Elle demande que le détail des accès soit décliné au regard des fonctions des personnes qui ont accès au traitement.
Elle recommande par ailleurs qu’une étude soit menée sur ce point qui concerne l’ensemble des traitements automatisés d’informations nominatives de l’Etat.
Enfin, elle prend acte que le traitement des informations nominatives des personnels habilités à avoir accès au workflow est conforme au traitement automatisé d’informations nominatives ayant pour finalité «gestion des techniques automatisées du SIE», mis en œuvre par décision du Ministre d’Etat le 10 octobre 2005, après avis favorable de la Commission émis par délibération n° 2005-10 du 22 septembre 2005.
VIII. Sur la durée de conservation
La Commission constate que les informations sont conservées 30 ans après radiation de l’organisme autorisé à exercer une activité en Principauté, ou du dépôt du dossier de demande en cas de refus.
La Commission considère que la durée de conservation est conforme aux dispositions de l’article 10-1 de la loi n° 1.165.
Après en avoir délibéré :
Prend acte que le présent traitement est mis en œuvre en phase test et qu’il permettra à l’autorité compétente de finaliser les informations qui devront être collectées et les accès qui devront être mis en place dans le cadre de l’instruction des demandes de créations d’activités par la Direction de l’Expansion Economique ;
Rappelle que les accès à un traitement automatisé d’informations nominatives doivent être dévolus en tenant compte des fonctions des personnes fondées sur les missions qui leur sont légalement ou réglementairement conférées ;
Recommande qu’une étude soit menée sur l’établissement des profils d’accès aux traitements automatisés concernés afin de veiller à ce que seules les personnes habilitées, selon leurs fonctions, aient accès au traitement ;
Demande que :
- la dénomination du traitement soit modifiée par «Workflow - demandes de création d’activités économiques - version 1» ;
- soit justifiée la collecte systématique du domicile antérieur sur les dix dernières années des requérants, leur nationalité d’origine et le mode d’acquisition de la nationalité, ainsi que le nombre d’enfants à charge ;
- la mention d’information inscrite sur les formulaires de collecte d’informations nominatives soit modifiée afin de comporter les éléments imposés par l’article 14 de la loi n° 1.165 susvisée ;
A la condition de la prise en compte des demandes qui précèdent,
La Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, en phase test, d’un traitement automatisé d’informations nominatives ayant pour finalité «Work-Flow interne à l’Administration d’instruction des demandes de création d’activités économiques», dénommé «Work-Flow demandes de création d’activités économiques - version 1» de la Direction de l’Expansion Economique.
Invite l’autorité compétence à déposer une demande d’avis modificative du présent traitement dans un délai de deux ans, en tenant compte des observations de la Commission portant, particulièrement, sur la sécurité du traitement et sur la justification des accès dévolus au traitement.
Le Président de la Commission
de Contrôle des Informations Nominatives.