Délibération n° 2019-183 du 20 novembre 2019 de la Commission de Contrôle des Informations Nominatives portant autorisation de transfert d'informations nominatives ayant pour finalité « Communication des informations de la Direction du Tourisme & des Congrès aux bureaux situés dans des pays hors protection adéquate » présenté par le Ministre d'État et relatif à la Direction du Tourisme et des Congrès.

Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d'informations nominatives ;
Vu la demande d'avis déposée par le Ministre d'État le 14 août 2019 concernant la mise en œuvre d'un traitement automatisé d'informations nominatives ayant pour finalité « Promotion et valorisation de la destination Monaco » ;
Vu la demande d'autorisation de transfert déposée par le Ministre d'État, le 14 août 2019, concernant la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Communication des informations de la Direction du Tourisme et des Congrès aux bureaux situés dans des pays hors protection adéquate » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 20 novembre 2019 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,

Préambule
Le 14 février 2012, le Ministre d'État avait saisi la Commission d'une demande d'avis ayant pour finalité « Promotion et valorisation de la destination Monaco », dénommé « CRM (Customer Relationship Management) », de la Direction du Tourisme et des Congrès.
La Commission avait émis un avis favorable à la mise en œuvre de ce traitement par délibération n° 2012-54 du 16 avril 2012.
Suite à cet avis favorable, la Direction du Tourisme et des Congrès avait bénéficié de 7 autorisations de transferts vers des pays ne disposant pas d'une législation en matière de protection des informations nominatives d'un niveau de protection adéquat.
Le 14 août 2019, le Ministre d'État a souhaité faire part des évolutions concernant le traitement « Promotion et valorisation de la destination Monaco », en déposant une nouvelle demande d'avis, et des transferts y associés, analysés dans la présente délibération.
La Commission constate que la présente demande d'autorisation de transfert concerne toutes les communications d'informations nominatives vers des pays ne disposant pas d'un niveau de protection adéquat au sens de la législation monégasque, et soumis à l'autorisation de celle-ci, conformément aux articles 20 et 20-1 de la loi n° 1.165 du 23 décembre 1993, objet de la présente demande. Aussi, sont concernés les transferts vers les pays exposés dans la présente délibération, à savoir Japon, Singapour, Russie, Inde, États-Unis, Brésil, Australie, mais également tout futur transfert opéré pour la même finalité et dans les mêmes conditions techniques.

I. Sur la finalité du traitement
Le responsable de traitement indique que le traitement a pour finalité « Communication des informations de la Direction du Tourisme et des Congrès aux bureaux situés dans des pays hors protection adéquate ».
Il concerne les « prospects » et « clients » du tourisme en Principauté (agences, tours opérateurs, journalistes, etc.), les partenaires (hôtels, Centre de Congrès, etc.), et les Agents et fonctionnaires de l'État.
Il est indiqué que le transfert a pour objectif de « communiquer les informations des prospects/clients aux bureaux à l'étranger », « de partager des informations pour l'organisation d'évènements pour la promotion de Monaco ».
Il est en outre précisé que « pour tout nouveau bureau, le fonctionnement et la sécurité seront identiques ».
À cet égard, la Commission précise que lesdits transferts s'analysent en des accès distants sécurisés au CRM de la Direction du Tourisme et des Congrès. Il est en outre précisé qu'hors circonstances exceptionnelles nécessitant des travaux conjoints, les différents bureaux n'ont accès qu'aux informations relatives aux « clients » et « prospects » qu'ils ont apportés. Si les bureaux devaient avoir accès à plus d'informations, cela se traduirait par le dépôt d'informations nominatives dans la partie du CRM concernant chacun d'entre eux, et non par l'ouverture d'accès plus étendus sur le CRM.
La Commission considère que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.

II. Sur les informations nominatives concernées par le transfert
Le responsable de traitement indique que les informations nominatives concernées par le transfert sont :
- identité : nom, prénom ;
- adresse et coordonnées : adresses postales, coordonnées téléphoniques, email ;
- vie professionnelle : fonction ;
- adresses électroniques : identifiant technique de l'usager ;
- informations temporelles : horodatages, etc. : historique et traçabilité des accès ;
- historique sur Monaco : historiques des demandes et interactions.
Les informations ont pour origine la personne concernée, un partenaire de la Direction du Tourisme et des Congrès (hôtels, agences de tourisme ou organisateur de congrès professionnels, etc.) ou ses bureaux de représentation à l'étranger.
Les destinataires sont les bureaux de représentation de la Direction du Tourisme et des Congrès.
La Commission considère que les informations nominatives transférées sont « adéquates, pertinentes et non excessives », conformément à l'article 10-1 de la loi n° 1.165, du 23 décembre 1993.

III. Sur la licéité et la justification du transfert

• Sur la licéité du transfert

La Commission observe qu'aux termes de l'Ordonnance Souveraine n° 3.880 du 12 octobre 1967, susvisée, la Direction du Tourisme et des Congrès a pour missions :
- d'organiser la propagande touristique à l'étranger et notamment d'arrêter, le cas échéant, par l'entremise d'organismes spécialisés, toutes mesures propres à assurer cette publicité ;
- de veiller à l'accueil des touristes et des personnalités étrangères ;
- d'étudier et proposer toutes mesures tendant à faciliter la venue de touristes dans la Principauté et améliorer les conditions de leur séjour.
La Commission constate que le transfert opéré s'inscrit dans le cadre des missions précitées.
Par ailleurs, elle relève que ce transfert d'informations nominatives s'inscrit également dans le prolongement du traitement automatisé de cette Direction ayant pour finalité « Promotion et valorisation de la destination Monaco ». À ce titre, elle observe que ce transfert est compatible avec la finalité dudit traitement.
En conséquence, elle considère que le transfert est licite conformément à l'article 10-1 de la loi n° 1.165, modifiée.

• Sur les garanties contractuelles

Afin de veiller au respect des principes de la loi n° 1.165, le responsable de traitement et les bureaux de représentation situés dans des pays ne disposant pas d'un niveau de protection adéquat signent des marchés de gré à gré qui imposent, notamment, aux destinataires une exploitation des informations conforme avec la finalité du traitement et une obligation de confidentialité et de non divulgation à des tiers des informations qui lui seront transmises par la DTC.
La Commission relève donc que le responsable de traitement et le destinataire fondent les garanties permettant « d'assurer le respect de la protection des libertés et des droits des personnes », imposées par le deuxième alinéa de l'article 20-1 de la loi n° 1.165, sur des clauses contractuelles formalisées par une lettre d'engagement, et non sur le consentement des personnes concernées, tel qu'indiqué dans la présente demande d'autorisation de transfert.
La Commission relève que les clauses insérées dans les marchés de gré à gré sont conformes aux demandes exprimées par la Commission en 2012 dans ses sept délibérations relatives aux transferts vers les bureaux de représentation situés dans des pays ne disposant pas d'un niveau de protection adéquat.
Elle relève par ailleurs qu'il est fait référence aux clauses contractuelles types de la Commission européenne, qui ne sont pas d'application à Monaco, ni dans les pays concernés par le transfert, et qui diffèrent selon que le transfert est effectué de responsable de traitement à responsable de traitement ou de responsable de traitement à un sous-traitant. Si le contenu de ces clauses peut être introduit dans les contrats en l'adaptant au contexte monégasque (notamment de manière formelle en référence à la loi de protection des informations nominatives monégasque, en excluant les notions propres au droit européen telles que les références au RGPD, à la Directive 95/46/CE, à la notion d'État membre, etc.), tel n'est pas le cas en l'espèce. Il n'est ainsi pas possible de savoir ce que cette clause entend couvrir comme obligation.

• Sur les droits des personnes concernées

Le responsable de traitement précise que chaque courrier électronique envoyé dans le cadre des missions de la DTC comporte une mention d'information qui est explicitée dans la délibération relative au traitement « Promotion et valorisation de la destination Monaco ». La Commission renvoie donc à ses remarques développées dans ledit document.

IV.  Sur la sécurité du transfert et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du transfert et des informations concernées n'appellent pas d'observation particulière.
La Commission rappelle néanmoins que, conformément à l'article 17 de la loi n  1.165 du 23 décembre 1993 les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.
Après en avoir délibéré, la Commission :
Demande que ne soit pas inclus dans les contrats de gré à gré un renvoi aux clauses contractuelles types, mais si nécessaire qu'elles soient intégrées dans le contrat, et adaptées à la législation monégasque.
À la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives autorise le transfert d'informations nominatives, présenté par le Ministre d'État, à destination des bureaux de représentation de la Direction du Tourisme et des Congrès et ayant pour finalité « Communication des informations de la Direction du Tourisme & des Congrès aux bureaux situés dans des pays hors protection adéquate ».

Le Président de la Commission de Contrôle des Informations Nominatives.