Délibération n° 2014-76 du 7 avril 2014 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des fichiers fournisseurs et prestataires de service » présenté par son Président
Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel du 28 janvier 1981 et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu la demande d’avis déposée par le Président de la Commission de Contrôle des Informations Nominatives le 19 mars 2014 relative à la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité « Gestion des fichiers fournisseurs et prestataires de service » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 7 avril 2014 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives
Préambule
La Commission de Contrôle des Informations Nominatives est une autorité administrative indépendante, organisme de droit public.
Afin de garantir le respect des procédures de passation de ses marchés, et d’assurer le suivi de ses engagements contractuels avec ses fournisseurs et ses prestataires de service, elle souhaite procéder à l’informatisation des fichiers y relatifs.
En application de l’article 7 de la loi n° 1.165 du 23 décembre 1993, le Président de la Commission a donc décidé de soumettre à l’avis de la Commission un traitement ayant pour finalité « Gestion des fichiers fournisseurs et prestataires de service ».
I. Sur la finalité et les fonctionnalités du traitement
Le traitement a pour finalité la « Gestion des fichiers fournisseurs et prestataires de service ».
Les personnes concernées sont les fournisseurs, les prestataires, les sociétés consultées dans le cadre d’un appel d’offres, le personnel de la CCIN ainsi que son Président.
Ses fonctionnalités sont les suivantes :
- tenir à jour la liste des fournisseurs et prestataires de service ;
- gérer la procédure de passation des marchés (établissement du cahier des charges, liste des sociétés consultées, etc.) ;
- établissement des contrats, des commandes et des opérations y afférentes (courriers, etc.) ;
- numérisation des documents en lien avec le présent traitement (contrats, factures, etc.) ;
- rapprochement avec le traitement « Gestion de la comptabilité » ;
- interconnexion avec le traitement « Gestion de l’imprimante multifonction » pour la traçabilité des travaux d’impression et de numérisation effectués à partir du présent traitement ;
- interconnexion (filtrage) avec le traitement ayant pour finalité « Gestion des habilitations » pour les accès aux répertoires partagés ;
- rapprochement avec le traitement « Gestion de la messagerie électronique professionnelle » pour l’envoi de données ou de documents objets du présent traitement ou l’échange d’emails en lien avec le présent traitement.
Au vu de ces éléments, la Commission considère que la finalité du traitement est « déterminée, explicite et légitime », conformément à l’article 10-1 de la loi n° 1.165, modifiée.
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
La Commission relève qu’aux termes de l’article 5-5 de la loi du 23 décembre 1993, modifiée, « le président de la commission conclut tous contrats nécessaires au bon fonctionnement de ses services ». L’exposé des motifs de la loi dont s’agit précise à ce titre que, « Cette autonomie sur le plan contractuel n’exclura bien entendu ni l’application des procédures de marchés publics, ni la possibilité de profiter de divers avantages dont bénéficient les organes d’Etat, par exemple les tarifs négociés au titre de marchés de commandes de fournitures ou autres ».
Elle considère donc que le traitement est licite conformément à l’article 10-1 de la loi n° 1.165, modifiée.
• Sur la justification du traitement
Le traitement est justifié par l’exécution d’un contrat ou de mesure précontractuelle avec la personne concernée, ainsi que par la réalisation d’un intérêt légitime dans le respect des droits et libertés fondamentaux des personnes concernées.
A cet égard, la Commission relève que ce traitement permet de gérer la procédure de passation des marchés et d’assurer l’exécution des contrats qu’elle a conclus.
Par conséquent, elle considère que le traitement est justifié, conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
Les informations objets du traitement sont les suivantes :
- identité du prestataire de service, du fournisseur et de la société consultée : nom, nom marital, prénom de l’interlocuteur, raison sociale ou dénomination sociale, adresse (siège social, lieu de facturation), téléphone (fixe ou mobile), numéro de télécopie, adresse de courrier électronique, code d’identification comptable, numéro d’identification commerciale, numéro intra-communautaire, numéro d’identification interne du fournisseur ;
- identité du personnel de la CCIN et du Président : nom, prénom, fonction ;
- caractéristiques économiques : profession, catégorie économique, activité ;
- documentation contractuelle : commandes, factures, contrats, bons à tirer, livraison et éléments s’y rapportant ;
- caractéristiques financières : tarif proposé, conditions et modalités de règlement, crédits et éléments s’y rapportant, impayés, avoirs, reçus, retenues ou oppositions ;
- informations relatives à la relation commerciale : demande(s) de documentation, demande(s) d’essai, produit(s) acheté(s), service(s) ou abonnement(s) souscrit(s), quantité, montant, périodicité, historique des achats, retour des produits, origine de la vente ou de la commande, correspondance avec le client et service après-vente ;
Elles ont pour origine les personnes concernées.
Considérant les dispositions de l’article 10-1 de la loi n° 1.165, modifiée, la Commission estime que les informations traitées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement.
IV. Sur les droits des personnes concernées
• Sur l’information des personnes concernées
L’information préalable des personnes concernées est effectuée suivant plusieurs modalités :
- Un affichage ;
- Une rubrique propre à la protection des données accessible sur le site Internet de la CCIN ;
- Un disclaimer envoyé par mail.
La Commission considère que les modalités d’information préalable des personnes concernées sont conformes aux exigences légales.
• Sur l’exercice des droits d’accès et de rectification
Les droits d’accès et de rectification des personnes concernées peuvent être exercés sur place, par voie postale ou par courrier électronique, à l’attention du secrétariat général de la CCIN.
Le délai de réponse est de 30 jours.
La Commission considère donc que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.
V. Sur les destinataires et les personnes ayant accès au traitement
• Sur les destinataires
Les informations relatives aux identités, aux caractéristiques économiques et à la relation commerciale sont communiquées à la Direction du Budget et du Trésor dans le cadre de la déclaration fiscale annuelle de certaines prestations de service.
Celles relatives aux identités, aux caractéristiques économiques et à la documentation contractuelle sont transmises au Contrôle Général des Dépenses à des fins de contrôle a posteriori des dépenses.
Le cabinet d’expertise comptable de la CCIN, situé à Monaco, est destinataire de l’ensemble des informations objets du présent traitement pour vérification de la comptabilité annuelle.
La Commission considère que ces transmissions sont conformes aux exigences légales.
• Sur les personnes ayant accès au traitement
Le personnel de la division administrative a accès au traitement en inscription, modification, mise à jour.
Le Président et le Secrétaire Général disposent d’un accès en consultation.
L’administrateur informatique a accès au traitement dans le cadre de la maintenance du système.
L’expert-comptable est susceptible d’avoir accès au traitement en cas de vérification sur place.
Au vu de ces éléments, la Commission considère que les accès dont s’agit sont conformes aux exigences légales.
VI. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation particulière.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VII. Sur la durée de conservation
Les informations seront conservées 10 ans.
Cette durée de conservation est conforme aux exigences légales.
Au vu de ces éléments,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des fichiers fournisseurs et prestataires de service ».
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel du 28 janvier 1981 et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu la demande d’avis déposée par le Président de la Commission de Contrôle des Informations Nominatives le 19 mars 2014 relative à la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité « Gestion des fichiers fournisseurs et prestataires de service » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 7 avril 2014 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives
Préambule
La Commission de Contrôle des Informations Nominatives est une autorité administrative indépendante, organisme de droit public.
Afin de garantir le respect des procédures de passation de ses marchés, et d’assurer le suivi de ses engagements contractuels avec ses fournisseurs et ses prestataires de service, elle souhaite procéder à l’informatisation des fichiers y relatifs.
En application de l’article 7 de la loi n° 1.165 du 23 décembre 1993, le Président de la Commission a donc décidé de soumettre à l’avis de la Commission un traitement ayant pour finalité « Gestion des fichiers fournisseurs et prestataires de service ».
I. Sur la finalité et les fonctionnalités du traitement
Le traitement a pour finalité la « Gestion des fichiers fournisseurs et prestataires de service ».
Les personnes concernées sont les fournisseurs, les prestataires, les sociétés consultées dans le cadre d’un appel d’offres, le personnel de la CCIN ainsi que son Président.
Ses fonctionnalités sont les suivantes :
- tenir à jour la liste des fournisseurs et prestataires de service ;
- gérer la procédure de passation des marchés (établissement du cahier des charges, liste des sociétés consultées, etc.) ;
- établissement des contrats, des commandes et des opérations y afférentes (courriers, etc.) ;
- numérisation des documents en lien avec le présent traitement (contrats, factures, etc.) ;
- rapprochement avec le traitement « Gestion de la comptabilité » ;
- interconnexion avec le traitement « Gestion de l’imprimante multifonction » pour la traçabilité des travaux d’impression et de numérisation effectués à partir du présent traitement ;
- interconnexion (filtrage) avec le traitement ayant pour finalité « Gestion des habilitations » pour les accès aux répertoires partagés ;
- rapprochement avec le traitement « Gestion de la messagerie électronique professionnelle » pour l’envoi de données ou de documents objets du présent traitement ou l’échange d’emails en lien avec le présent traitement.
Au vu de ces éléments, la Commission considère que la finalité du traitement est « déterminée, explicite et légitime », conformément à l’article 10-1 de la loi n° 1.165, modifiée.
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
La Commission relève qu’aux termes de l’article 5-5 de la loi du 23 décembre 1993, modifiée, « le président de la commission conclut tous contrats nécessaires au bon fonctionnement de ses services ». L’exposé des motifs de la loi dont s’agit précise à ce titre que, « Cette autonomie sur le plan contractuel n’exclura bien entendu ni l’application des procédures de marchés publics, ni la possibilité de profiter de divers avantages dont bénéficient les organes d’Etat, par exemple les tarifs négociés au titre de marchés de commandes de fournitures ou autres ».
Elle considère donc que le traitement est licite conformément à l’article 10-1 de la loi n° 1.165, modifiée.
• Sur la justification du traitement
Le traitement est justifié par l’exécution d’un contrat ou de mesure précontractuelle avec la personne concernée, ainsi que par la réalisation d’un intérêt légitime dans le respect des droits et libertés fondamentaux des personnes concernées.
A cet égard, la Commission relève que ce traitement permet de gérer la procédure de passation des marchés et d’assurer l’exécution des contrats qu’elle a conclus.
Par conséquent, elle considère que le traitement est justifié, conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
Les informations objets du traitement sont les suivantes :
- identité du prestataire de service, du fournisseur et de la société consultée : nom, nom marital, prénom de l’interlocuteur, raison sociale ou dénomination sociale, adresse (siège social, lieu de facturation), téléphone (fixe ou mobile), numéro de télécopie, adresse de courrier électronique, code d’identification comptable, numéro d’identification commerciale, numéro intra-communautaire, numéro d’identification interne du fournisseur ;
- identité du personnel de la CCIN et du Président : nom, prénom, fonction ;
- caractéristiques économiques : profession, catégorie économique, activité ;
- documentation contractuelle : commandes, factures, contrats, bons à tirer, livraison et éléments s’y rapportant ;
- caractéristiques financières : tarif proposé, conditions et modalités de règlement, crédits et éléments s’y rapportant, impayés, avoirs, reçus, retenues ou oppositions ;
- informations relatives à la relation commerciale : demande(s) de documentation, demande(s) d’essai, produit(s) acheté(s), service(s) ou abonnement(s) souscrit(s), quantité, montant, périodicité, historique des achats, retour des produits, origine de la vente ou de la commande, correspondance avec le client et service après-vente ;
Elles ont pour origine les personnes concernées.
Considérant les dispositions de l’article 10-1 de la loi n° 1.165, modifiée, la Commission estime que les informations traitées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement.
IV. Sur les droits des personnes concernées
• Sur l’information des personnes concernées
L’information préalable des personnes concernées est effectuée suivant plusieurs modalités :
- Un affichage ;
- Une rubrique propre à la protection des données accessible sur le site Internet de la CCIN ;
- Un disclaimer envoyé par mail.
La Commission considère que les modalités d’information préalable des personnes concernées sont conformes aux exigences légales.
• Sur l’exercice des droits d’accès et de rectification
Les droits d’accès et de rectification des personnes concernées peuvent être exercés sur place, par voie postale ou par courrier électronique, à l’attention du secrétariat général de la CCIN.
Le délai de réponse est de 30 jours.
La Commission considère donc que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.
V. Sur les destinataires et les personnes ayant accès au traitement
• Sur les destinataires
Les informations relatives aux identités, aux caractéristiques économiques et à la relation commerciale sont communiquées à la Direction du Budget et du Trésor dans le cadre de la déclaration fiscale annuelle de certaines prestations de service.
Celles relatives aux identités, aux caractéristiques économiques et à la documentation contractuelle sont transmises au Contrôle Général des Dépenses à des fins de contrôle a posteriori des dépenses.
Le cabinet d’expertise comptable de la CCIN, situé à Monaco, est destinataire de l’ensemble des informations objets du présent traitement pour vérification de la comptabilité annuelle.
La Commission considère que ces transmissions sont conformes aux exigences légales.
• Sur les personnes ayant accès au traitement
Le personnel de la division administrative a accès au traitement en inscription, modification, mise à jour.
Le Président et le Secrétaire Général disposent d’un accès en consultation.
L’administrateur informatique a accès au traitement dans le cadre de la maintenance du système.
L’expert-comptable est susceptible d’avoir accès au traitement en cas de vérification sur place.
Au vu de ces éléments, la Commission considère que les accès dont s’agit sont conformes aux exigences légales.
VI. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation particulière.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VII. Sur la durée de conservation
Les informations seront conservées 10 ans.
Cette durée de conservation est conforme aux exigences légales.
Au vu de ces éléments,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des fichiers fournisseurs et prestataires de service ».
Le Président de la Commission
de Contrôle des Informations Nominatives.