Délibération n° 2013-52 du 15 avril 2013 de la Commission de Contrôle des Informations Nominatives portant avis favorable sur la demande présentée par la Société Monégasque de l’Electricité et du Gaz (SMEG) relative à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité «Enregistrement des communications téléphoniques d’urgence»
Vu la Constitution ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;
Vu l’arrêté ministériel n° 2009-382 du 31 juillet 2009 portant application de l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée ;
Vu l’ordonnance souveraine n° 2.578 du 13 janvier 2010 approuvant le traité de concession de la SMEG, ainsi que ses annexes et cahiers des charges ;
Vu le traité de concession de service public de l’électricité et du gaz conclu entre la Principauté de Monaco et la SMEG, et entré en vigueur le 1er janvier 2009, accompagné de ses annexes et cahiers des charges ;
Vu la demande d’autorisation déposée par la SMEG, le 30 janvier 2013, concernant la mise en œuvre du traitement automatisé ayant pour finalité la «Gestion Enregistrement des communications téléphoniques de dépannages et manœuvres postes sources, historique des heures d’appel» ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 15 avril 2013 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
La SOCIETE MONEGASQUE DE L’ELECTRICITE ET DU GAZ (SMEG) est une société anonyme en charge de l’exploitation du service public de l’électricité et du gaz, en application du traité de concession conclu entre la SMEG et la Principauté de Monaco, et entré en vigueur le 1er janvier 2009.
A ce titre, elle répond aux différents appels d’urgence dont elle est saisie concernant les installations dont elle est en charge de l’exploitation.
Ainsi, conformément à l’article 11-1 de la loi n° 1.165, modifiée, la SMEG soumet une demande d’autorisation relative à la mise en œuvre d’un traitement ayant pour finalité «Enregistrement des communications téléphoniques de dépannages et manœuvres postes sources, historique des heures d’appel».
Cependant, à l’analyse du dossier, la Commission considère que ce traitement ne relève pas des dispositions de l’article 11-1 de la loi dont s’agit, mais de son article 7. Aussi, elle requalifie la demande d’autorisation en demande d’avis.
I. Sur la finalité et les fonctionnalités du traitement
Ce traitement a pour finalité «Enregistrement des communications téléphoniques de dépannages et manœuvres postes sources, historique des heures d’appel».
Les personnes concernées sont les salariés de la SMEG, ses clients, ainsi que les pompiers et Réseau de Transport d’Electricité (RTE).
Ses fonctionnalités sont les suivantes :
- enregistrement des communications téléphoniques d’urgence de dépannage et manœuvres postes sources ;
- archivage des heures d’appel de ces communications.
Considérant les fonctionnalités du traitement, la Commission rappelle que tout traitement d’informations nominatives doit avoir une finalité «déterminée, explicite et légitime» aux termes de l’article 10-1 de la loi n° 1.165, susmentionnée.
A cet égard, la finalité du présent traitement doit être plus explicite et mettre en évidence l’objectif recherché par le responsable de traitement, soit celui d’enregistrer les communications téléphoniques de dépannage et manœuvres postes sources, l’historique des heures d’appel s’analysant comme une fonctionnalité.
Par conséquent, la Commission considère que la finalité du traitement doit être modifiée comme suit : «Enregistrement des communications téléphoniques d’urgence».
Par ailleurs, elle constate que ce traitement permet également au responsable de traitement de constituer des preuves en cas de litige et d’améliorer les procédures d’interventions.
Elle prend donc acte de ces deux utilisations au titre des fonctionnalités du traitement.
II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le traitement est justifié par un motif d’intérêt public et par la réalisation d’un intérêt légitime, sans que ne soient méconnus les libertés et droits fondamentaux des personnes concernées.
A cet égard, il précise, notamment, que ce traitement lui permet de s’assurer que les moyens mis en œuvre à l’occasion des interventions d’urgence et de dépannage liées à la distribution de gaz sont adéquats et ont été effectuées dans un délai suffisant.
La Commission relève que seules sept lignes dédiées spécialement aux interventions sont enregistrées. Elle constate donc qu’il n’y a pas de risque d’atteinte à la vie privée, les personnes concernées disposant d’autres moyens de communication qui ne font pas l’objet d’un enregistrement. Le dispositif est donc proportionné aux objectifs poursuivis par le responsable de traitement.
Elle considère donc que le traitement est licite et justifié, conformément aux dispositions légales.
III. Sur les informations traitées
Le responsable de traitement indique que les informations nominatives objets du présent traitement sont :
- identité : voix de l’appelant et de l’appelé ;
- contenu de la conversation téléphonique ;
- adresses et coordonnées : numéro de l’appelant ;
- données d’identification électronique : logs de connexion des personnes habilitées à avoir accès aux enregistrements, nature de l’accès ;
- horodatage : date, heure, durée de l’appel.
Les informations collectées proviennent du dispositif d’enregistrement.
La Commission constate que ce traitement est interconnecté avec le traitement ayant pour finalité «Gestion des services de téléphonie fixe et mobile professionnels», concomitamment soumis à son avis.
Sur ce point, elle rappelle que les informations de ce dernier traitement ne pourront alimenter le traitement objet de la présente demande d’avis, qu’une fois qu’il aura été légalement mis en œuvre.
Sous réserve de ce qui précède, la Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
• Sur l’information préalable des personnes concernées
Les salariés sont informés par une rubrique propre à la protection des données personnelles publiée sur le site Internet de la SMEG et par une procédure interne accessible en Intranet.
Le gestionnaire du Réseau de Transport d’Electricité et les Sapeurs Pompiers sont prévenus par un courrier adressé à leurs directions par la SMEG.
Les clients sont informés par une mention informative sur les factures ainsi que par le biais du site Internet de la SMEG. Le site dispose d’un onglet « traitement des données nominatives » comportant l’ensemble des mentions exigées par l’article 14 de la loi n° 1.165, modifiée.
La Commission considère donc que les modalités d’information préalable sont conformes aux dispositions de l’article 14 de la loi n° 1.165, modifiée.
• Sur l’exercice du droit d’accès, de modification et de mise à jour
La Commission observe que les droits d’accès, de modification et de mise à jour des données sont exercés par voie postale ou par courrier électronique. Le délai de réponse à une demande de droit d’accès est de 20 jours.
La Commission constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 la loi n° 1.165, modifiée.
V. Sur les destinataires et les personnes ayant accès au traitement
• Sur les destinataires
Les destinataires des informations sont :
- Huissiers en cas de litige ou de contestation ;
- Direction de la Sûreté Publique sur réquisition judiciaire ;
- Autorité concédante (la Principauté de Monaco).
La Commission considère que ces communications d’informations sont justifiées.
• Sur les personnes ayant accès
Les personnes habilitées à écouter les enregistrements sont :
- le Responsable Juridique et la Direction des Systèmes d’Information de la SMEG ;
- au cas par cas, la Direction concernée par l’appel téléphonique en cause ;
- le Déontologue, uniquement en cas de litige avec un agent.
Enfin, le prestataire qui administre le système de télécommunication dispose également d’un accès aux informations.
Considérant les attributions des personnes susmentionnées, et eu égard à la finalité du traitement, les accès susvisés sont justifiés.
Concernant le prestataire, la Commission rappelle toutefois que conformément aux dispositions de l’article 17 de la loi n° 1.165, modifiée, ses accès doivent être limités à ce qui est strictement nécessaire à l’exécution de son contrat de prestation de service. De plus, celui-ci est soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de l’article 17, susvisé.
Elle rappelle enfin que conformément à l’article 17-1 de la loi n° 1.165, modifiée, le responsable de traitement est tenu de «déterminer nominativement la liste des personnes qui ont seul accès, pour les stricts besoins de l’accomplissement de leurs missions, aux locaux et aux installations utilisées pour les traitements, de même qu’aux informations traitées».
Elle demande donc à ce que cette liste, tenue à jour, puisse lui être communiquée à première réquisition.
VI. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
Cependant, la Commission précise que toute extraction d’informations doit être chiffrée sur son support de réception (CD/DVD, USB etc..).
VII. Sur la durée de conservation
Les informations nominatives sont conservées 90 jours. Les informations sont toutefois conservées en cas de litige ou de contestation durant la période nécessaire à leur résolution.
La Commission considère que ces durées de conservation sont conformes aux exigences légales.
Après en avoir délibéré,
Prend acte que ce traitement a également pour fonctionnalités : la constitution de preuves en cas de litige et l’amélioration des procédures d’interventions ;
Demande que la liste nominative des personnes ayant accès au traitement, visée à l’article 17-1 de la loi n° 1.165, modifiée, soit tenue à jour et puisse lui être communiquée à première réquisition.
A la condition de la prise en compte de ce qui précède,
La Commission de Contrôle des Informations Nominatives donne un avis favorable à la mise en œuvre, par la SOCIETE MONEGASQUE DE L’ELECTRICITE ET DU GAZ (SMEG), du traitement automatisé d’informations nominatives ayant pour finalité «Enregistrement des communications téléphoniques d’urgence».
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;
Vu l’arrêté ministériel n° 2009-382 du 31 juillet 2009 portant application de l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée ;
Vu l’ordonnance souveraine n° 2.578 du 13 janvier 2010 approuvant le traité de concession de la SMEG, ainsi que ses annexes et cahiers des charges ;
Vu le traité de concession de service public de l’électricité et du gaz conclu entre la Principauté de Monaco et la SMEG, et entré en vigueur le 1er janvier 2009, accompagné de ses annexes et cahiers des charges ;
Vu la demande d’autorisation déposée par la SMEG, le 30 janvier 2013, concernant la mise en œuvre du traitement automatisé ayant pour finalité la «Gestion Enregistrement des communications téléphoniques de dépannages et manœuvres postes sources, historique des heures d’appel» ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 15 avril 2013 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
La SOCIETE MONEGASQUE DE L’ELECTRICITE ET DU GAZ (SMEG) est une société anonyme en charge de l’exploitation du service public de l’électricité et du gaz, en application du traité de concession conclu entre la SMEG et la Principauté de Monaco, et entré en vigueur le 1er janvier 2009.
A ce titre, elle répond aux différents appels d’urgence dont elle est saisie concernant les installations dont elle est en charge de l’exploitation.
Ainsi, conformément à l’article 11-1 de la loi n° 1.165, modifiée, la SMEG soumet une demande d’autorisation relative à la mise en œuvre d’un traitement ayant pour finalité «Enregistrement des communications téléphoniques de dépannages et manœuvres postes sources, historique des heures d’appel».
Cependant, à l’analyse du dossier, la Commission considère que ce traitement ne relève pas des dispositions de l’article 11-1 de la loi dont s’agit, mais de son article 7. Aussi, elle requalifie la demande d’autorisation en demande d’avis.
I. Sur la finalité et les fonctionnalités du traitement
Ce traitement a pour finalité «Enregistrement des communications téléphoniques de dépannages et manœuvres postes sources, historique des heures d’appel».
Les personnes concernées sont les salariés de la SMEG, ses clients, ainsi que les pompiers et Réseau de Transport d’Electricité (RTE).
Ses fonctionnalités sont les suivantes :
- enregistrement des communications téléphoniques d’urgence de dépannage et manœuvres postes sources ;
- archivage des heures d’appel de ces communications.
Considérant les fonctionnalités du traitement, la Commission rappelle que tout traitement d’informations nominatives doit avoir une finalité «déterminée, explicite et légitime» aux termes de l’article 10-1 de la loi n° 1.165, susmentionnée.
A cet égard, la finalité du présent traitement doit être plus explicite et mettre en évidence l’objectif recherché par le responsable de traitement, soit celui d’enregistrer les communications téléphoniques de dépannage et manœuvres postes sources, l’historique des heures d’appel s’analysant comme une fonctionnalité.
Par conséquent, la Commission considère que la finalité du traitement doit être modifiée comme suit : «Enregistrement des communications téléphoniques d’urgence».
Par ailleurs, elle constate que ce traitement permet également au responsable de traitement de constituer des preuves en cas de litige et d’améliorer les procédures d’interventions.
Elle prend donc acte de ces deux utilisations au titre des fonctionnalités du traitement.
II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le traitement est justifié par un motif d’intérêt public et par la réalisation d’un intérêt légitime, sans que ne soient méconnus les libertés et droits fondamentaux des personnes concernées.
A cet égard, il précise, notamment, que ce traitement lui permet de s’assurer que les moyens mis en œuvre à l’occasion des interventions d’urgence et de dépannage liées à la distribution de gaz sont adéquats et ont été effectuées dans un délai suffisant.
La Commission relève que seules sept lignes dédiées spécialement aux interventions sont enregistrées. Elle constate donc qu’il n’y a pas de risque d’atteinte à la vie privée, les personnes concernées disposant d’autres moyens de communication qui ne font pas l’objet d’un enregistrement. Le dispositif est donc proportionné aux objectifs poursuivis par le responsable de traitement.
Elle considère donc que le traitement est licite et justifié, conformément aux dispositions légales.
III. Sur les informations traitées
Le responsable de traitement indique que les informations nominatives objets du présent traitement sont :
- identité : voix de l’appelant et de l’appelé ;
- contenu de la conversation téléphonique ;
- adresses et coordonnées : numéro de l’appelant ;
- données d’identification électronique : logs de connexion des personnes habilitées à avoir accès aux enregistrements, nature de l’accès ;
- horodatage : date, heure, durée de l’appel.
Les informations collectées proviennent du dispositif d’enregistrement.
La Commission constate que ce traitement est interconnecté avec le traitement ayant pour finalité «Gestion des services de téléphonie fixe et mobile professionnels», concomitamment soumis à son avis.
Sur ce point, elle rappelle que les informations de ce dernier traitement ne pourront alimenter le traitement objet de la présente demande d’avis, qu’une fois qu’il aura été légalement mis en œuvre.
Sous réserve de ce qui précède, la Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
• Sur l’information préalable des personnes concernées
Les salariés sont informés par une rubrique propre à la protection des données personnelles publiée sur le site Internet de la SMEG et par une procédure interne accessible en Intranet.
Le gestionnaire du Réseau de Transport d’Electricité et les Sapeurs Pompiers sont prévenus par un courrier adressé à leurs directions par la SMEG.
Les clients sont informés par une mention informative sur les factures ainsi que par le biais du site Internet de la SMEG. Le site dispose d’un onglet « traitement des données nominatives » comportant l’ensemble des mentions exigées par l’article 14 de la loi n° 1.165, modifiée.
La Commission considère donc que les modalités d’information préalable sont conformes aux dispositions de l’article 14 de la loi n° 1.165, modifiée.
• Sur l’exercice du droit d’accès, de modification et de mise à jour
La Commission observe que les droits d’accès, de modification et de mise à jour des données sont exercés par voie postale ou par courrier électronique. Le délai de réponse à une demande de droit d’accès est de 20 jours.
La Commission constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 la loi n° 1.165, modifiée.
V. Sur les destinataires et les personnes ayant accès au traitement
• Sur les destinataires
Les destinataires des informations sont :
- Huissiers en cas de litige ou de contestation ;
- Direction de la Sûreté Publique sur réquisition judiciaire ;
- Autorité concédante (la Principauté de Monaco).
La Commission considère que ces communications d’informations sont justifiées.
• Sur les personnes ayant accès
Les personnes habilitées à écouter les enregistrements sont :
- le Responsable Juridique et la Direction des Systèmes d’Information de la SMEG ;
- au cas par cas, la Direction concernée par l’appel téléphonique en cause ;
- le Déontologue, uniquement en cas de litige avec un agent.
Enfin, le prestataire qui administre le système de télécommunication dispose également d’un accès aux informations.
Considérant les attributions des personnes susmentionnées, et eu égard à la finalité du traitement, les accès susvisés sont justifiés.
Concernant le prestataire, la Commission rappelle toutefois que conformément aux dispositions de l’article 17 de la loi n° 1.165, modifiée, ses accès doivent être limités à ce qui est strictement nécessaire à l’exécution de son contrat de prestation de service. De plus, celui-ci est soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de l’article 17, susvisé.
Elle rappelle enfin que conformément à l’article 17-1 de la loi n° 1.165, modifiée, le responsable de traitement est tenu de «déterminer nominativement la liste des personnes qui ont seul accès, pour les stricts besoins de l’accomplissement de leurs missions, aux locaux et aux installations utilisées pour les traitements, de même qu’aux informations traitées».
Elle demande donc à ce que cette liste, tenue à jour, puisse lui être communiquée à première réquisition.
VI. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
Cependant, la Commission précise que toute extraction d’informations doit être chiffrée sur son support de réception (CD/DVD, USB etc..).
VII. Sur la durée de conservation
Les informations nominatives sont conservées 90 jours. Les informations sont toutefois conservées en cas de litige ou de contestation durant la période nécessaire à leur résolution.
La Commission considère que ces durées de conservation sont conformes aux exigences légales.
Après en avoir délibéré,
Prend acte que ce traitement a également pour fonctionnalités : la constitution de preuves en cas de litige et l’amélioration des procédures d’interventions ;
Demande que la liste nominative des personnes ayant accès au traitement, visée à l’article 17-1 de la loi n° 1.165, modifiée, soit tenue à jour et puisse lui être communiquée à première réquisition.
A la condition de la prise en compte de ce qui précède,
La Commission de Contrôle des Informations Nominatives donne un avis favorable à la mise en œuvre, par la SOCIETE MONEGASQUE DE L’ELECTRICITE ET DU GAZ (SMEG), du traitement automatisé d’informations nominatives ayant pour finalité «Enregistrement des communications téléphoniques d’urgence».
Le Président de la Commission
de Contrôle des Informations Nominatives.