Décision de sanction en date du 7 novembre 2018 du Président de la Commission de Contrôle des Informations Nominatives à l'encontre de la Société des Bains de Mer et du Cercle des Étrangers.
Avertissement suite à investigation et publication de la sanction
Le Président de la Commission de Contrôle des Informations Nominatives,
Vu la Constitution ;
Vu la Convention du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu la délibération n° 2010-13 du 3 mai 2010 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les dispositifs de vidéosurveillance mis en œuvre par les personnes physiques ou morales de droit privé ;
Vu la délibération n° 2017-129 du 19 juillet 2017 de la Commission de Contrôle des Informations Nominatives portant mission d'investigation ;
Vu l'Ordonnance sur requête en date du 8 août 2017 de Madame le Vice-Président du Tribunal de Première Instance, délivrée en application de l'article 18-2 de la loi n° 1.165, susvisée ;
Vu la Lettre de Mission du Président de la Commission de Contrôle des Informations Nominatives délivrée en date du 13 septembre 2017 aux Agents investigateurs ;
Vu les Procès-Verbaux d'investigation en date des 13 et 15 septembre 2017 et du 19 octobre 2017 ;
Vu le Rapport d'investigation adressé à la Société des Bains de Mer et du Cercle des Étrangers en date du 26 juin 2018 ;
Vu les autres pièces du dossier ;
Faits et procédure :
La Société des Bains de Mer et du Cercle des Étrangers (SBM) est une société anonyme sise Place du Casino à Monaco bénéficiant du privilège des jeux en Principauté de Monaco.
Dans le cadre de ses activités, la SBM exploite divers établissements, dont le Café de Paris, situé Place du Casino.
Des employés de cet établissement ont constaté, en consultant le répertoire public des traitements au siège de la Commission de Contrôle des Informations Nominatives (CCIN) qu'aucun dispositif de vidéosurveillance n'avait fait l'objet d'une autorisation de mise en œuvre de la part de la CCIN, comme l'impose l'article 11-1 de la loi n° 1.165 relative à la protection des informations nominatives.
Par lettre en date du 30 mars 2017, ils ont adressé une plainte au Président de la CCIN au motif que des caméras étaient implantées dans certaines zones du Café de Paris, à savoir : « au minibar, au bar central, à l'entrée de la plonge côté bar central et au kiosque à glace (écaille) ».
Par courrier daté du 15 mai 2017 le Président de la CCIN a rappelé au Président Délégué de la SBM que toute exploitation d'un système de vidéosurveillance sans autorisation de la CCIN constituait une infraction pénale et qu'il lui incombait de désactiver ledit dispositif dans l'attente de l'obtention de l'autorisation d'exploitation délivrée par la CCIN.
Le 19 juin 2017, la Commission a reçu un dossier de demande d'autorisation relatif au traitement automatisé d'informations nominatives ayant pour finalité « Sécurité des personnes et des biens dans les locaux du Café de Paris Monte-Carlo à l'aide d'un système de vidéosurveillance », qui a, par la suite, fait l'objet d'une autorisation de mise en œuvre par délibération n° 2017‑169 du 20 septembre 2017.
Le 23 juin 2017, un Membre de la Direction de la SBM a, lors d'une audience accordée par le Président et le Secrétaire Général de la Commission, indiqué que dès réception du courrier adressé à la SBM le 15 mai, cette dernière avait désactivé toutes les caméras filmant les bars de l'établissement.
Peu de temps après, l'un des plaignants a indiqué au Secrétaire Général de la CCIN qu'il avait pu constater qu'aucune caméra n'avait été désactivée et que les salariés étaient encore filmés à leurs postes de travail.
Aux termes de la délibération n° 2010-13 du 3 mai 2010 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les dispositifs de vidéosurveillance mis en œuvre par les personnes physiques ou morales de droit privé un tel dispositif ne doit pas permettre de contrôler le travail ou le temps de travail des salariés, ni conduire à un contrôle permanent et inopportun des personnes concernées.
Par délibération n° 2017-129 du 19 juillet 2017, la Commission a décidé de procéder à une mission d'investigation relative à l'exploitation d'un dispositif de vidéosurveillance exploité par la SBM au sein de l'établissement le Café de Paris, sur autorisation préalable du Président du Tribunal de Première Instance saisi par le Président de la CCIN, et statuant par Ordonnance sur requête.
L'Ordonnance sur requête permettant l'accès aux locaux a été délivrée le 8 août 2017.
Les opérations d'investigation sur place se sont déroulées les 13, 15 septembre et 19 octobre 2017.
Conformément à l'article 18 alinéa 8 de la loi n° 1.165, les procès-verbaux rédigés lors de ces opérations de contrôle ont été dressés contradictoirement.
En application de l'article 19 de la loi n° 1.165, susmentionnée, le rapport détaillant les irrégularités relevées lors de ces opérations de contrôle a été adressé à la SBM le 26 juin 2018 afin qu'elle puisse faire part de ses observations sur celui-ci dans un délai d'un mois.
Aucune observation sur ledit rapport n'a été formulée par la SBM.
Motifs de la décision :
1\. Sur la régularité de la mise en œuvre du dispositif de vidéosurveillance au sein du Café de Paris
En application de l'article 11-1 de la loi n° 1.165, les traitements automatisés d'informations nominatives mis en œuvre à des fins de surveillance ne peuvent être exploités qu'après avoir obtenu une autorisation de la CCIN.
Il a été relevé l'existence d'un dispositif de vidéosurveillance composé de 70 caméras au sein du Café de Paris.
Les constatations ont fait apparaître que l'historisation du dispositif contient des traces d'activité remontant à plus de 3 mois.
De plus, il a été constaté un écran de visualisation de la caméra filmant la cuisine du Café de Paris pour lequel il a été indiqué qu'il était en fonction depuis plus de 5 ans.
Ces éléments font apparaître l'exploitation d'un dispositif de vidéosurveillance sans autorisation préalable de la CCIN.
En outre, il a été constaté également que contrairement à ce qui a été indiqué par l'un des Membres de la Direction de la SBM au Président et au Secrétaire Général de la CCIN le 23 juin 2017, aucune caméra du Café de Paris n'a été désactivée suite au courrier du Président de la Commission en date du 15 mai 2017.
Ceci est contraire aux dispositions de l'article 11-1 de la loi n° 1.165 relative à la protection des informations nominatives en application duquel la mise en œuvre de traitements automatisés d'informations nominatives à des fins de surveillance est subordonnée à l'autorisation préalable de la CCIN.
2\. Sur les durées de conservation des informations
La délibération n° 2010-13 du 3 mai 2010 de la CCIN portant recommandation sur les dispositifs de vidéosurveillance mis en œuvre par les personnes physiques ou morales de droit privé précise que, sauf justification du responsable de traitement, les logs de connexion ne peuvent être conservés plus d'un mois.
L'historisation de l'activité qui a été constatée fait cependant apparaître que des traces d'activité remontent à plus de 3 mois alors que certains paramètres tendent à démontrer que le serveur est configuré pour conserver un historique de 30 jours seulement.
Ceci démontre un défaut de maîtrise des durées de conservation des logs de connexion.
Cette durée de conservation des logs de connexion n'est pas conforme à la délibération n° 2010-13 susmentionnée selon laquelle la durée de conservation des logs de conservation ne peut être supérieure à un mois, sauf justification du responsable de traitement, et à l'article 10-1 de la loi n° 1.165 aux termes duquel les informations nominatives ne doivent pas être conservées pour une durée excédant celle nécessaire à la réalisation de la finalité pour laquelle elles ont été collectées.
3\. Sur les personnes ayant accès au traitement
Le logiciel d'habilitation fait apparaître que les Groupes « Brasserie » et « Café de Paris » ont accès au traitement, et le système d'habilitation ne mentionne pas le Chef de cuisine.
Cependant, dans le bureau du Chef de cuisine du Café de Paris, accessible à tous, il est constaté l'existence d'un écran de visualisation de la caméra filmant la cuisine (caméra 2042).
Il a été indiqué que cet écran est en fonction depuis plus de 5 ans, et que techniquement il y a eu une prise en compte d'images du système analogique dans le nouveau système numérique. Les caméras analogiques, dont la 2042, sont encodées sur le nouveau système. Lors de la bascule, le déport de visualisation vers le bureau du Chef de cuisine a été maintenu.
Cet accès déporté analogique n'est dès lors pas tracé dans les habilitations visibles sur le nouveau système et n'est pas connu des administrateurs du système.
Ceci n'est pas conforme à l'article 17-1 de la loi n° 1.165 en application duquel lorsque le traitement est mis en œuvre à des fins de surveillance, le responsable de traitement doit prendre des mesures tendant « notamment à déterminer nominativement la liste des personnes autorisées qui ont seules accès, pour les stricts besoins de l'accomplissement de leurs missions, aux locaux et aux installations utilisés pour les traitements, de même qu'aux informations traitées ».
De plus, ceci est également contraire à l'article 30 de l'Ordonnance Souveraine n° 2.230 fixant les modalités d'application de la loi n° 1.165 aux termes duquel lorsqu'un traitement est mis en œuvre en application de l'article 11-1 de la loi n° 1.165, les utilisateurs doivent être authentifiés par un identifiant et un mot de passe.
4\. Sur l'implantation des caméras
Les caméras 2042 « CP accès cuisine 1 », 2043 « CP accès bar ext » et 2007 « CP UGIS 1 » filment en permanence les salariés, dans la cuisine et au bar.
Par ailleurs, concernant spécifiquement la caméra « CP accès cuisine 1 », son orientation est différente de celle fournie dans le dossier de demande d'autorisation soumis à la CCIN en date du 19 juin 2017\. L'angle de visualisation de ladite caméra n'était plus centré sur l'entrée cuisine, comme cela était indiqué au dossier, mais proposait un plan de film plus large, permettant de filmer en permanence les salariés.
De plus, la caméra 2146 CP UGIS permet de filmer en permanence les clients attablés en terrasse.
Ceci n'est pas conforme à l'article 11-1 de la loi n° 1.165 en ce qu'un tel dispositif ne doit pas méconnaître le droit au respect de la vie privée des personnes concernées.
Cet élément n'est également pas conforme à la délibération n° 2010-13, susmentionnée, aux termes de laquelle « un dispositif de vidéosurveillance ne doit pas :
- permettre de contrôler le travail ou le temps de travail d'un salarié ;
- conduire à un contrôle permanent et inopportun des personnes concernées ».
En outre, comme mentionné précédemment, aucune caméra filmant les salariés à leurs postes de travail n'a été désactivée suite à l'envoi du courrier du Président de la CCIN en date du 15 mai 2017, contrairement à ce qui lui avait été affirmé le 23 juin 2017 par un Membre de la Direction de la SBM.
5\. Sur l'information des personnes concernées
À l'entrée principale du Café de Paris un affichage discret en transparence est apposé sur une porte coulissante ouverte quasiment en permanence.
Aucun affichage n'est apposé à l'attention des clients qui entrent dans l'établissement directement par la terrasse du Café de Paris.
S'agissant de l'information des salariés, l'affichage est discret et peu visible.
Ceci n'est pas conforme à la délibération n° 2010-13 selon laquelle l'information préalable des personnes concernées par un dispositif de vidéosurveillance doit être effectuée par le biais d'un affichage garantissant une information « visible, lisible, claire et permanente », ni à l'article 14 de la loi n° 1.165 qui prévoit une obligation d'information de toutes les personnes concernées.
6\. Sur le contrat avec le prestataire de service
Le contrat de maintenance en date du 10 juillet 2014 conclu avec le prestataire de maintenance du système d'enregistreur numérique du Casino, du Café de Paris, du Sporting d'hiver et du Sporting MC n'est pas conforme à l'article 17 de la loi n° 1.165 en ce qu'il ne précise pas que les obligations résultant des alinéas 1 et 2 dudit article incombent également au prestataire (obligation de prévoir des mesures techniques et d'organisation appropriées pour protéger les informations nominatives contre la destruction accidentelle ou illicite, la perte accidentelle, l'altération, la diffusion ou l'accès non autorisé, …).
Sanction et publication :
Les manquements à la législation relative à la protection des informations nominatives ci-dessus relevés justifient qu'un avertissement soit prononcé à l'encontre de la Société des Bains de Mer et du Cercle des Étrangers.
De plus, eu égard au nombre de ces manquements et au constat qui a été fait qu'aucune caméra n'a été désactivée contrairement à ce qui a été indiqué au Président et au Secrétaire Général de la Commission par un Membre de la Direction de la Société des Bains de Mer et du Cercle des Étrangers, la présente sanction sera rendue publique puis anonymisée à l'expiration d'un délai de deux ans à compter de sa publication.
Les mesures de publicité de la présente sanction peuvent faire l'objet d'un recours devant le Président du Tribunal de Première Instance, dans les formes et conditions prévues à l'article 19 alinéa 7 de la loi n° 1.165, susmentionnée.
Le Président de la Commission de
Contrôle des Informations Nominatives.