Délibération n° 2014-11 du 4 février 2014 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Gestion du fichier des contacts (fichier d’adresses) du NMNM » présenté par le Musée National (« Nouveau Musée National de Monaco »)
Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la loi n° 918 du 27 décembre 1971 sur les établissements publics ;
Vu la loi n° 922 du 29 mai 1972 créant un établissement public dit « Musée National » ;
Vu l’ordonnance souveraine n° 5.055 du 8 décembre 1972 sur les conditions d’administration et de gestion administrative et comptable des établissements publics ;
Vu l’ordonnance souveraine n° 642 du 10 août 2006 sur l’organisation et le fonctionnement de l’établissement public dit « Musée National » ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu la demande d’avis déposée par le Directeur du Musée National le 13 décembre 2013 concernant la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Gestion du fichier des contacts (fichier d’adresses) du NMNM » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 4 février 2014 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Le Musée National, appelé Nouveau Musée National de Monaco, est un établissement public « ayant pour mission de recueillir, de conserver et d’exposer au public des œuvres d’art ou des objets présentant un intérêt pour l’art, l’érudition ou l’histoire ».
Afin d’informer le public de l’organisation d’évènements, ce dernier utilise un fichier d’adresses.
Par conséquent, conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993, le Directeur du Musée National, responsable de traitement en tant que titulaire des pouvoirs relatifs à la gestion administrative de l’établissement public au sens de l’article 8 de la loi n° 918 précitée, soumet la présente demande d’avis relative à la mise en œuvre du traitement ayant pour finalité « Gestion du fichier des contacts (fichiers d’adresses) du NMNM ».
I. Sur la finalité et les fonctionnalités du traitement
Le traitement a pour finalité « Gestion du fichier des contacts (fichier d’adresse) du NMNM ».
Les personnes concernées sont « tous les contacts du NMNM (visiteurs, prêteurs etc…) et toute personne demandant à être inscrite au fichier ».
Ce traitement dispose d’une fonctionnalité unique :
« Constitution et mise à jour d’une base de données « contacts » qui permettent de tenir informées [les] personnes de l’organisation d’évènements par le biais de correspondances, invitations, mailings, emailings, envoi de brochures/flyers, newsletter ».
Au vu de ces éléments, la Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
La Commission relève que l’article 5 de l’ordonnance souveraine n° 642 du 10 août 2006 précitée, dispose que la gestion administrative est assurée par le Directeur du Musée National.
Elle observe par ailleurs que la décision d’avoir recours à un tel traitement relatif à l’établissement d’un fichier des contacts des personnes souhaitant être tenues informées des évènements organisés par l’établissement, relève de la compétence du Directeur dans le cadre, notamment, de ses attributions.
Elle constate donc que le traitement est licite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
• Sur la justification
Le traitement est justifié par le consentement des personnes concernées.
A cet égard, la Commission observe que l’inscription à cette liste de contacts est effectuée par la personne qui le souhaite par le biais d’un formulaire prévu à cet effet.
Par ailleurs, elle constate que ce traitement contribue à la réalisation de sa mission de présentation au public des œuvres, prévue au sein de l’article 2 de l’ordonnance souveraine n° 642, précitée.
La Commission considère donc que le traitement est justifié, conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
Les informations objets du traitement sont les suivantes :
- identité : nom, prénom ;
- adresses et coordonnées : adresse postale, adresse électronique, numéro de téléphone.
Ces informations ont pour origine la personne souhaitant figurer sur ce listing.
La Commission considère que les informations traitées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
• Sur l’information des personnes concernées
L’information préalable des personnes concernées est effectuée par le biais d’une mention particulière intégrée dans un document d’ordre général accessible en ligne.
Toutefois, la copie dudit document n’ayant pas été jointe au dossier, la Commission n’a pas été en mesure de l’analyser. Aussi, elle rappelle que ce dernier devra comporter l’ensemble des mentions obligatoires prévues par l’article 14 de la loi n° 1.165.
De plus, l’inscription sur ce fichier contact pouvant s’effectuer par le biais d’un formulaire papier, elle demande au responsable de traitement d’intégrer les mentions d’information visées à l’article précité au sein dudit formulaire.
Sous cette réserve, la Commission constate que les modalités d’information des personnes concernées sont conformes aux exigences légales.
• Sur l’exercice du droit d’accès
Les droits d’accès, de modification et de suppression sont exercés par courrier électronique, par voie postale et sur place auprès de la Direction du Nouveau Musée National de Monaco.
Le délai de réponse est de 15 jours.
La Commission constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.
V. Sur les personnes ayant accès au traitement
Les personnes habilitées à avoir accès au traitement sont :
- la secrétaire de Direction (inscription, modification et consultation) ;
- la chargée de communication (inscription, modification et consultation) ;
- le responsable des publics (inscription, modification et consultation) ;
- l’assistant développement et supports multimédia (inscription, modification et consultation) ;
- le reste du personnel du Nouveau Musée National de Monaco (consultation).
Un prestataire a également accès au traitement pour la maintenance de l’équipement.
Considérant les attributions de chacune de ces personnes, et eu égard à la finalité du traitement, la Commission constate que les accès susvisés sont justifiés.
En ce qui concerne le prestataire, elle rappelle toutefois que conformément aux dispositions de l’article 17 de la loi n° 1.165, modifiée, ses droits d’accès doivent être limités à ce qui est strictement nécessaire à l’exécution de son contrat de prestation de service. De plus, celui-ci est soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de l’article 17, susvisé.
VI. Sur les interconnexions avec d’autres traitements
Le responsable de traitement indique que l’inscription au fichier des contacts objet de la présente demande d’avis, peut s’effectuer par une inscription effectuée sur le site internet du Nouveau Musée National de Monaco.
A cet égard, la Commission constate l’existence d’un rapprochement ou d’une interconnexion avec le traitement « Gestion du site internet », qui n’a pas été légalement mis en œuvre au sens de l’article 7 de la loi n° 1.165, modifiée.
Ainsi, elle demande qu’aucune interconnexion ou mise en relation ne soit effectuée avec le traitement objet de la présente demande d’avis tant que les traitements sources ne sont pas mis en conformité avec les dispositions de la loi n° 1.165, modifiée.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation particulière de la part de la Commission.
Elle rappelle toutefois que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VIII. Sur la durée de conservation
Le responsable de traitement indique que les informations nominatives sont collectées pour une durée « indéterminée (tant que l’information communiquée est à jour) ».
A cet égard, la Commission demande que les informations soient immédiatement supprimées dès que la personne concernée en aura formulé le souhait.
Sous cette réserve, elle considère que la durée de conservation est conforme aux exigences légales.
Après en avoir délibéré,
Demande :
- qu’aucune interconnexion ou mise en relation ne soit effectuée tant que les traitements sources ne sont pas mis en conformité avec les dispositions de la loi n°1.165 ;
- que l’ensemble des mentions obligatoires prévues à l’article 14 de la loi n° 1.165 soient intégrées sur tous les supports destinés à la collecte des informations ;
- que les informations objets du traitement soient immédiatement supprimées dès que la personne concernée en aura formulé le souhait ;
Sous réserve de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Musée National, du traitement automatisé d’informations nominatives ayant pour finalité « Gestion du fichier des contacts (fichier d’adresses) du NMNM ».
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la loi n° 918 du 27 décembre 1971 sur les établissements publics ;
Vu la loi n° 922 du 29 mai 1972 créant un établissement public dit « Musée National » ;
Vu l’ordonnance souveraine n° 5.055 du 8 décembre 1972 sur les conditions d’administration et de gestion administrative et comptable des établissements publics ;
Vu l’ordonnance souveraine n° 642 du 10 août 2006 sur l’organisation et le fonctionnement de l’établissement public dit « Musée National » ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu la demande d’avis déposée par le Directeur du Musée National le 13 décembre 2013 concernant la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Gestion du fichier des contacts (fichier d’adresses) du NMNM » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 4 février 2014 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Le Musée National, appelé Nouveau Musée National de Monaco, est un établissement public « ayant pour mission de recueillir, de conserver et d’exposer au public des œuvres d’art ou des objets présentant un intérêt pour l’art, l’érudition ou l’histoire ».
Afin d’informer le public de l’organisation d’évènements, ce dernier utilise un fichier d’adresses.
Par conséquent, conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993, le Directeur du Musée National, responsable de traitement en tant que titulaire des pouvoirs relatifs à la gestion administrative de l’établissement public au sens de l’article 8 de la loi n° 918 précitée, soumet la présente demande d’avis relative à la mise en œuvre du traitement ayant pour finalité « Gestion du fichier des contacts (fichiers d’adresses) du NMNM ».
I. Sur la finalité et les fonctionnalités du traitement
Le traitement a pour finalité « Gestion du fichier des contacts (fichier d’adresse) du NMNM ».
Les personnes concernées sont « tous les contacts du NMNM (visiteurs, prêteurs etc…) et toute personne demandant à être inscrite au fichier ».
Ce traitement dispose d’une fonctionnalité unique :
« Constitution et mise à jour d’une base de données « contacts » qui permettent de tenir informées [les] personnes de l’organisation d’évènements par le biais de correspondances, invitations, mailings, emailings, envoi de brochures/flyers, newsletter ».
Au vu de ces éléments, la Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
La Commission relève que l’article 5 de l’ordonnance souveraine n° 642 du 10 août 2006 précitée, dispose que la gestion administrative est assurée par le Directeur du Musée National.
Elle observe par ailleurs que la décision d’avoir recours à un tel traitement relatif à l’établissement d’un fichier des contacts des personnes souhaitant être tenues informées des évènements organisés par l’établissement, relève de la compétence du Directeur dans le cadre, notamment, de ses attributions.
Elle constate donc que le traitement est licite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
• Sur la justification
Le traitement est justifié par le consentement des personnes concernées.
A cet égard, la Commission observe que l’inscription à cette liste de contacts est effectuée par la personne qui le souhaite par le biais d’un formulaire prévu à cet effet.
Par ailleurs, elle constate que ce traitement contribue à la réalisation de sa mission de présentation au public des œuvres, prévue au sein de l’article 2 de l’ordonnance souveraine n° 642, précitée.
La Commission considère donc que le traitement est justifié, conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
Les informations objets du traitement sont les suivantes :
- identité : nom, prénom ;
- adresses et coordonnées : adresse postale, adresse électronique, numéro de téléphone.
Ces informations ont pour origine la personne souhaitant figurer sur ce listing.
La Commission considère que les informations traitées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
• Sur l’information des personnes concernées
L’information préalable des personnes concernées est effectuée par le biais d’une mention particulière intégrée dans un document d’ordre général accessible en ligne.
Toutefois, la copie dudit document n’ayant pas été jointe au dossier, la Commission n’a pas été en mesure de l’analyser. Aussi, elle rappelle que ce dernier devra comporter l’ensemble des mentions obligatoires prévues par l’article 14 de la loi n° 1.165.
De plus, l’inscription sur ce fichier contact pouvant s’effectuer par le biais d’un formulaire papier, elle demande au responsable de traitement d’intégrer les mentions d’information visées à l’article précité au sein dudit formulaire.
Sous cette réserve, la Commission constate que les modalités d’information des personnes concernées sont conformes aux exigences légales.
• Sur l’exercice du droit d’accès
Les droits d’accès, de modification et de suppression sont exercés par courrier électronique, par voie postale et sur place auprès de la Direction du Nouveau Musée National de Monaco.
Le délai de réponse est de 15 jours.
La Commission constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.
V. Sur les personnes ayant accès au traitement
Les personnes habilitées à avoir accès au traitement sont :
- la secrétaire de Direction (inscription, modification et consultation) ;
- la chargée de communication (inscription, modification et consultation) ;
- le responsable des publics (inscription, modification et consultation) ;
- l’assistant développement et supports multimédia (inscription, modification et consultation) ;
- le reste du personnel du Nouveau Musée National de Monaco (consultation).
Un prestataire a également accès au traitement pour la maintenance de l’équipement.
Considérant les attributions de chacune de ces personnes, et eu égard à la finalité du traitement, la Commission constate que les accès susvisés sont justifiés.
En ce qui concerne le prestataire, elle rappelle toutefois que conformément aux dispositions de l’article 17 de la loi n° 1.165, modifiée, ses droits d’accès doivent être limités à ce qui est strictement nécessaire à l’exécution de son contrat de prestation de service. De plus, celui-ci est soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de l’article 17, susvisé.
VI. Sur les interconnexions avec d’autres traitements
Le responsable de traitement indique que l’inscription au fichier des contacts objet de la présente demande d’avis, peut s’effectuer par une inscription effectuée sur le site internet du Nouveau Musée National de Monaco.
A cet égard, la Commission constate l’existence d’un rapprochement ou d’une interconnexion avec le traitement « Gestion du site internet », qui n’a pas été légalement mis en œuvre au sens de l’article 7 de la loi n° 1.165, modifiée.
Ainsi, elle demande qu’aucune interconnexion ou mise en relation ne soit effectuée avec le traitement objet de la présente demande d’avis tant que les traitements sources ne sont pas mis en conformité avec les dispositions de la loi n° 1.165, modifiée.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation particulière de la part de la Commission.
Elle rappelle toutefois que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VIII. Sur la durée de conservation
Le responsable de traitement indique que les informations nominatives sont collectées pour une durée « indéterminée (tant que l’information communiquée est à jour) ».
A cet égard, la Commission demande que les informations soient immédiatement supprimées dès que la personne concernée en aura formulé le souhait.
Sous cette réserve, elle considère que la durée de conservation est conforme aux exigences légales.
Après en avoir délibéré,
Demande :
- qu’aucune interconnexion ou mise en relation ne soit effectuée tant que les traitements sources ne sont pas mis en conformité avec les dispositions de la loi n°1.165 ;
- que l’ensemble des mentions obligatoires prévues à l’article 14 de la loi n° 1.165 soient intégrées sur tous les supports destinés à la collecte des informations ;
- que les informations objets du traitement soient immédiatement supprimées dès que la personne concernée en aura formulé le souhait ;
Sous réserve de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Musée National, du traitement automatisé d’informations nominatives ayant pour finalité « Gestion du fichier des contacts (fichier d’adresses) du NMNM ».
Le Président de la Commission
de Contrôle des Informations Nominatives.