Délibération n° 2013-65 du 28 mai 2013 de la Commission de Contrôle des Informations Nominatives portant avis favorable sur la demande présentée par Monaco Télécom SAM relative à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité «Gestion des cartes affaires des collaborateurs de MT et MTI»
Vu la Constitution .
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu l’arrêté ministériel n° 2009-382 du 31 juillet 2009 portant application de l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée ;
Vu le contrat de concession du service public des communications électroniques sur le territoire de la Principauté de Monaco du 26 septembre 2011 ;
Vu le cahier des charges relatif à la concession du service public des communications électroniques sur le territoire de la Principauté de Monaco signé le 26 septembre 2011 et annexé à l’ordonnance souveraine n° 3.560 du 6 décembre 2011 ;
Vu la demande d’avis déposée par Monaco Télécom SAM le 15 mars 2013 concernant la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité «Gestion de cartes affaires» ;
Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 14 mai 2013, conformément à l’article 19 de l’ordonnance souveraine n° 2.230, susmentionnée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 28 mai 2013 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives
Préambule
Monaco Télécom SAM, immatriculée au RCI, est un organisme de droit privé concessionnaire d’un service public. Elle a notamment pour objet «d’assurer dans les relations intérieures et internationales, tous services de télécommunications. A ce titre, elle assure les activités d’opérateur public chargé de l’exploitation du service téléphonique de la Principauté de Monaco […]».
Dans le cadre de son activité, Monaco Télécom SAM gère des cartes affaires qui sont attribuées aux collaborateurs de Monaco Télécom SAM et de Monaco Télécom International SAM, sa filiale à 100 %.
A ce titre, en application de l’article 7 de la loi n° 1.165 du 23 décembre 1993, ladite société soumet la présente demande d’avis relative au traitement ayant pour finalité «Gestion de cartes affaires».
I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité «Gestion de cartes affaires».
Les personnes concernées sont les «collaborateurs MT et MTI».
Les fonctionnalités du traitement sont les suivantes :
- le suivi du parc de cartes de l’entreprise (liste des titulaires pour les sociétés MT & MTI, plafonds de paiements, n° des cartes, date déchéance, numéro des comptes bancaires de MT & MTI) ;
- la gestion des litiges, le suivi des souscriptions, annulations, demandes d’augmentation des plafonds et toutes autres demandes relatives aux cartes affaires.
Considérant les fonctionnalités du traitement, la Commission rappelle que tout traitement d’informations nominatives doit avoir une finalité «déterminée, explicite et légitime» aux termes de l’article 10-1 de la loi n° 1.165, susmentionnée.
A cet égard, la finalité du présent traitement doit être plus explicite et mettre en évidence l’objectif recherché par le responsable de traitement, soit celui d’assurer la gestion des cartes affaires des collaborateurs de MT et MTI.
Par conséquent, elle demande que la finalité du traitement soit modifiée comme suit : «Gestion des cartes affaires des collaborateurs de MT et MTI».
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
La Commission observe qu’à l’instar de toute société anonyme monégasque, la société Monaco Télécom est tenue de dresser un bilan et un compte des pertes et profits pour chaque exercice, conformément aux articles 6 et 7 de la loi n° 408 du 20 janvier 1945 complétant l’ordonnance sur les sociétés anonymes et en commandite par actions, du 5 mars 1895, notamment en ce qui concerne la nomination, les attributions et la responsabilité des commissaires.
Elle relève par ailleurs que les commissaires aux comptes sont chargés «d’une mission générale et permanente de surveillance, avec les pouvoirs les plus étendus d’investigation, portant sur la régularité des opérations et des comptes de la société et sur l’observation des dispositions légales et statutaires régissant son fonctionnement», conformément à l’article 8 de la loi n° 408, précitée.
A cet égard, le responsable de traitement indique qu’«il est indispensable que [les achats par cartes bleues] suivent les règles de validation interne».
La Commission considère que ledit traitement est licite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
• Sur la justification
Le responsable de traitement indique que ce traitement est justifié par la réalisation d’un intérêt légitime, sans que soient méconnus les libertés et droits fondamentaux des personnes concernées.
A cet égard, il précise qu’«il permet d’effectuer un suivi rigoureux des attributions de cartes» et qu’«il permet d’avoir un fichier de référence pour faciliter la collecte d’informations pour les échanges avec la banque».
La Commission relève par ailleurs que l’attribution de ces cartes affaires est nécessaire aux fins de procéder «aux achats dont le paiement ne peut se faire que par CB (par ex. abonnements, licences, petit matériel sur sites internet, en cas d’urgence lorsque d’autres modes de paiement ne peuvent pas être utilisés, ou lors de tests effectués».
Elle considère donc que le traitement est justifié, conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
Les informations objets du traitement sont :
- identité : nom, prénom ;
- vie professionnelle : direction d’appartenance ;
- caractéristiques financières : nom et numéro de compte d’entreprise débité ;
- informations relatives à la carte : numéro de cartes affaires et plafonds de paiements, date d’échéance de la carte.
Les informations relatives à l’identité ont pour origine le collaborateur, celles relatives à la vie professionnelle proviennent de Monaco Télécom et les autres informations ont pour origine la banque.
La Commission considère que les informations traitées sont «adéquates, pertinentes et non excessives» au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
• Sur l’information des personnes concernées
Le responsable de traitement indique que l’information préalable des personnes concernées est effectuée par le biais d’un document spécifique, non joint au dossier.
La Commission demande que le responsable de traitement s’assure que les mentions d’information figurant sur ledit document spécifique soient conformes aux dispositions de l’article 14 de la loi n° 1.165, modifiée.
• Sur l’exercice des droits des personnes concernées
Les droits d’accès, de modification et de suppression sont exercés sur place auprès du Service Trésorerie de Monaco Télécom. Le délai de réponse est de 30 jours.
La Commission constate que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifié.
V. Sur les destinataires et les personnes ayant accès au traitement
• Sur les destinataires
Le responsable de traitement indique que les informations collectées dans le cadre du traitement sont communiquées à la banque HSBC France (Marseille).
La Commission estime que cette communication d’informations est conforme aux dispositions de la loi n° 1.165, modifiée.
• Sur les personnes ayant accès au traitement
Le responsable de traitement indique que «le fichier est accessible uniquement par le service de trésorerie en inscription, modification, mise à jour et consultation».
Considérant les attributions de ce service, et eu égard à la finalité du traitement, la Commission considère que cet accès est justifié.
VI. Sur les rapprochements avec d’autres traitements
Le responsable de traitement indique un «rapprochement bancaire sur les montants débités sur les comptes de la société figurant sur les relevés bancaires avec les traitements de gestion des achats».
La Commission relève que le traitement de gestion des achats n’est pas légalement mis en œuvre au sens de la loi n° 1.165. Elle demande donc à ce qu’il soit soumis à son avis, s’il s’agit d’un traitement automatisé.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation particulière.
Elle rappelle enfin que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VIII. Sur la durée de conservation
Les informations sont conservées pour la durée d’affectation de la carte.
Elle considère que cette durée de conservation est conforme aux exigences légales.
Après en avoir délibéré,
Demande que :
- la finalité du traitement soit modifiée par : «Gestion des cartes affaires des collaborateurs de MT et MTI» ;
- le responsable de traitement s’assure que les mentions d’information figurant sur le document communiqué aux employés soient conformes aux dispositions de l’article 14 de la loi n° 1.165, modifiée ;
- le responsable de traitement lui soumette, s’il est automatisé, le traitement de gestion des achats ;
A la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par Monaco Telecom SAM, du traitement automatisé d’informations nominatives ayant pour finalité «Gestion des cartes affaires des collaborateurs de MT et MTI».
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu l’arrêté ministériel n° 2009-382 du 31 juillet 2009 portant application de l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée ;
Vu le contrat de concession du service public des communications électroniques sur le territoire de la Principauté de Monaco du 26 septembre 2011 ;
Vu le cahier des charges relatif à la concession du service public des communications électroniques sur le territoire de la Principauté de Monaco signé le 26 septembre 2011 et annexé à l’ordonnance souveraine n° 3.560 du 6 décembre 2011 ;
Vu la demande d’avis déposée par Monaco Télécom SAM le 15 mars 2013 concernant la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité «Gestion de cartes affaires» ;
Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 14 mai 2013, conformément à l’article 19 de l’ordonnance souveraine n° 2.230, susmentionnée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 28 mai 2013 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives
Préambule
Monaco Télécom SAM, immatriculée au RCI, est un organisme de droit privé concessionnaire d’un service public. Elle a notamment pour objet «d’assurer dans les relations intérieures et internationales, tous services de télécommunications. A ce titre, elle assure les activités d’opérateur public chargé de l’exploitation du service téléphonique de la Principauté de Monaco […]».
Dans le cadre de son activité, Monaco Télécom SAM gère des cartes affaires qui sont attribuées aux collaborateurs de Monaco Télécom SAM et de Monaco Télécom International SAM, sa filiale à 100 %.
A ce titre, en application de l’article 7 de la loi n° 1.165 du 23 décembre 1993, ladite société soumet la présente demande d’avis relative au traitement ayant pour finalité «Gestion de cartes affaires».
I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité «Gestion de cartes affaires».
Les personnes concernées sont les «collaborateurs MT et MTI».
Les fonctionnalités du traitement sont les suivantes :
- le suivi du parc de cartes de l’entreprise (liste des titulaires pour les sociétés MT & MTI, plafonds de paiements, n° des cartes, date déchéance, numéro des comptes bancaires de MT & MTI) ;
- la gestion des litiges, le suivi des souscriptions, annulations, demandes d’augmentation des plafonds et toutes autres demandes relatives aux cartes affaires.
Considérant les fonctionnalités du traitement, la Commission rappelle que tout traitement d’informations nominatives doit avoir une finalité «déterminée, explicite et légitime» aux termes de l’article 10-1 de la loi n° 1.165, susmentionnée.
A cet égard, la finalité du présent traitement doit être plus explicite et mettre en évidence l’objectif recherché par le responsable de traitement, soit celui d’assurer la gestion des cartes affaires des collaborateurs de MT et MTI.
Par conséquent, elle demande que la finalité du traitement soit modifiée comme suit : «Gestion des cartes affaires des collaborateurs de MT et MTI».
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
La Commission observe qu’à l’instar de toute société anonyme monégasque, la société Monaco Télécom est tenue de dresser un bilan et un compte des pertes et profits pour chaque exercice, conformément aux articles 6 et 7 de la loi n° 408 du 20 janvier 1945 complétant l’ordonnance sur les sociétés anonymes et en commandite par actions, du 5 mars 1895, notamment en ce qui concerne la nomination, les attributions et la responsabilité des commissaires.
Elle relève par ailleurs que les commissaires aux comptes sont chargés «d’une mission générale et permanente de surveillance, avec les pouvoirs les plus étendus d’investigation, portant sur la régularité des opérations et des comptes de la société et sur l’observation des dispositions légales et statutaires régissant son fonctionnement», conformément à l’article 8 de la loi n° 408, précitée.
A cet égard, le responsable de traitement indique qu’«il est indispensable que [les achats par cartes bleues] suivent les règles de validation interne».
La Commission considère que ledit traitement est licite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
• Sur la justification
Le responsable de traitement indique que ce traitement est justifié par la réalisation d’un intérêt légitime, sans que soient méconnus les libertés et droits fondamentaux des personnes concernées.
A cet égard, il précise qu’«il permet d’effectuer un suivi rigoureux des attributions de cartes» et qu’«il permet d’avoir un fichier de référence pour faciliter la collecte d’informations pour les échanges avec la banque».
La Commission relève par ailleurs que l’attribution de ces cartes affaires est nécessaire aux fins de procéder «aux achats dont le paiement ne peut se faire que par CB (par ex. abonnements, licences, petit matériel sur sites internet, en cas d’urgence lorsque d’autres modes de paiement ne peuvent pas être utilisés, ou lors de tests effectués».
Elle considère donc que le traitement est justifié, conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
Les informations objets du traitement sont :
- identité : nom, prénom ;
- vie professionnelle : direction d’appartenance ;
- caractéristiques financières : nom et numéro de compte d’entreprise débité ;
- informations relatives à la carte : numéro de cartes affaires et plafonds de paiements, date d’échéance de la carte.
Les informations relatives à l’identité ont pour origine le collaborateur, celles relatives à la vie professionnelle proviennent de Monaco Télécom et les autres informations ont pour origine la banque.
La Commission considère que les informations traitées sont «adéquates, pertinentes et non excessives» au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
• Sur l’information des personnes concernées
Le responsable de traitement indique que l’information préalable des personnes concernées est effectuée par le biais d’un document spécifique, non joint au dossier.
La Commission demande que le responsable de traitement s’assure que les mentions d’information figurant sur ledit document spécifique soient conformes aux dispositions de l’article 14 de la loi n° 1.165, modifiée.
• Sur l’exercice des droits des personnes concernées
Les droits d’accès, de modification et de suppression sont exercés sur place auprès du Service Trésorerie de Monaco Télécom. Le délai de réponse est de 30 jours.
La Commission constate que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifié.
V. Sur les destinataires et les personnes ayant accès au traitement
• Sur les destinataires
Le responsable de traitement indique que les informations collectées dans le cadre du traitement sont communiquées à la banque HSBC France (Marseille).
La Commission estime que cette communication d’informations est conforme aux dispositions de la loi n° 1.165, modifiée.
• Sur les personnes ayant accès au traitement
Le responsable de traitement indique que «le fichier est accessible uniquement par le service de trésorerie en inscription, modification, mise à jour et consultation».
Considérant les attributions de ce service, et eu égard à la finalité du traitement, la Commission considère que cet accès est justifié.
VI. Sur les rapprochements avec d’autres traitements
Le responsable de traitement indique un «rapprochement bancaire sur les montants débités sur les comptes de la société figurant sur les relevés bancaires avec les traitements de gestion des achats».
La Commission relève que le traitement de gestion des achats n’est pas légalement mis en œuvre au sens de la loi n° 1.165. Elle demande donc à ce qu’il soit soumis à son avis, s’il s’agit d’un traitement automatisé.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation particulière.
Elle rappelle enfin que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VIII. Sur la durée de conservation
Les informations sont conservées pour la durée d’affectation de la carte.
Elle considère que cette durée de conservation est conforme aux exigences légales.
Après en avoir délibéré,
Demande que :
- la finalité du traitement soit modifiée par : «Gestion des cartes affaires des collaborateurs de MT et MTI» ;
- le responsable de traitement s’assure que les mentions d’information figurant sur le document communiqué aux employés soient conformes aux dispositions de l’article 14 de la loi n° 1.165, modifiée ;
- le responsable de traitement lui soumette, s’il est automatisé, le traitement de gestion des achats ;
A la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par Monaco Telecom SAM, du traitement automatisé d’informations nominatives ayant pour finalité «Gestion des cartes affaires des collaborateurs de MT et MTI».
Le Président de la Commission
de Contrôle des Informations Nominatives.