Délibération n° 2020-22 du 19 février 2020 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion des fiches descriptives des éléments de bâtis remarquables » exploité par la Direction de la Prospective, de l'Urbanisme et de la Mobilité (DPUM) et présenté par le Ministre d'État.

Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la loi n° 1.446 du 12 juin 2017 relative à la préservation du patrimoine national ;
Vu l'Ordonnance Souveraine n° 1.463 du 7 janvier 2008 portant création d'une Direction de la Prospective, de l'Urbanisme et de la Mobilité, modifiée ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l'Ordonnance Souveraine n° 4.482 du 13 septembre 2013 portant délimitation et règlement d'urbanisme du secteur des quartiers ordonnancés, modifiée ;
Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d'informations nominatives ;
Vu la demande d'avis déposée par le Ministre d'État le 28 octobre 2019 concernant la mise en œuvre d'un traitement automatisé d'informations nominatives ayant pour finalité « Gestion des fiches descriptives des éléments de bâtis remarquables » ;
Vu la prorogation du délai d'examen de ladite demande d'avis notifiée au responsable de traitement le 26 décembre 2019, conformément à l'article 19 de l'Ordonnance Souveraine n° 2.230 du 19 juin 2009, modifiée, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 19 février 2020 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,

Préambule
L'Ordonnance Souveraine n° 1.463 du 7 janvier 2008 a créé la Direction de la Prospective, de l'Urbanisme et de la Mobilité (DPUM), qui a notamment la charge d'initier et suivre différents projets, programmes d'investissement, et études.
Le présent traitement a pour objectif de permettre à la DPUM de mieux appréhender les travaux qui pourraient être autorisés sur les bâtiments définis comme éléments de bâtis remarquables.
Aussi, conformément aux dispositions de l'article 7 de la loi n° 1.165 du 23 décembre1993, le Ministre d'État soumet le traitement ayant pour finalité « Gestion des fiches descriptives des éléments de bâtis remarquables » à l'avis de la Commission.

I. Sur la finalité et les fonctionnalités du traitement
Ce traitement a pour finalité « Gestion des fiches descriptives des éléments de bâtis remarquables ».
Les personnes concernées sont les architectes et les propriétaires.
Enfin, les fonctionnalités sont les suivantes :
- identifier et décrire l'élément de bâti remarquable ;
- fournir des éléments d'historique ;
- proposer une valeur patrimoniale ;
- documenter le bâti à l'aide de photographies.
La Commission constate ainsi que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.

II. Sur la licéité et la justification du traitement
Le traitement est justifié par la réalisation d'un intérêt légitime poursuivi par le responsable du traitement, sans que ne soient méconnus ni l'intérêt, ni les droits et libertés fondamentaux de la personne concernée.
La Commission constate ainsi que l'Ordonnance Souveraine n° 4.482 du 13 septembre 2013, modifiée, définit certains bâtiments comme éléments de bâtis remarquables et que le plan paysager annexé à cette Ordonnance repère les bâtiments concernés et fixe en ses articles 21, 22 et 23 les règles qui leur sont applicables.
À cet égard, le responsable de traitement précise qu'afin « de mieux appréhender les travaux qui pourraient être autorisés sur ces bâtiments qui ont une valeur patrimoniale, il est apparu nécessaire de les décrire et d'évaluer la qualité de chacun au travers d'un certain nombre de critères ».
Il indique également qu'« Outre le nom de l'immeuble, son adresse, son ID BAT,…la partie historique présente également un intérêt particulier avec parfois la mention du nom du Commanditaire (permissionnaire) et de l'Architecte s'il s'agit de personnages importants dans l'histoire de la Principauté et de l'immeuble » et que des «  photographies viennent également documenter ces fiches ».
La Commission considère donc que ce traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993.

III. Sur les informations nominatives traitées
Les informations nominatives traitées sont :
- identité : noms du commanditaire et de l'architecte si connus, photo du bâtiment ;
- adresses et coordonnées (non nominatives) : nom du bâtiment, adresse, numéro d'identifiant bâtiment ;
- données d'identification électronique : logs de connexion administrateurs et utilisateurs.
Les informations relatives à l'identité sont des données historiques issues des archives du Nouveau Musée National de Monaco et des études et documents remis dans le cadre du marché d'étude numéro 393-2017-003 du 20 décembre 2017 « Assistance à l'établissement de fiches sur les éléments de bâtis remarquables de la Principauté ».
Les adresses et coordonnées sont extraites du Système d'Informations Géographiques.
Enfin, les données d'identification électronique ont pour origine le système.
La Commission considère donc que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.

IV. Sur les droits des personnes concernées

• Sur l'information préalable des personnes concernées

L'information préalable des personnes concernées est effectuée par le biais d'une mention sur le portail du Gouvernement Princier « afin de signifier l'existence de cette base de données » et d'un courrier envoyé à l'Ordre des Architectes.
Ces documents n'ayant pas été joints au dossier, la Commission rappelle que ceux-ci doivent impérativement comporter l'ensemble des dispositions de l'article 14 de la loi n° 1.165 du 23 décembre 1993.

• Sur l'exercice du droit d'accès, de modification et de mise à jour

Le responsable de traitement indique que le droit d'accès s'exerce par voie postale et par courrier électronique.
S'agissant de l'exercice du droit d'accès par voie électronique, la Commission considère qu'une procédure devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations. À ce titre, elle précise que si une copie d'un document d'identité était demandée, la transmission et le traitement de ce document devront faire l'objet de mesures de protection particulières comme rappelé dans sa délibération n° 2015-116 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d'identité officiels.
Sous ces conditions, la Commission constate que les modalités d'exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993.

V. Sur les personnes ayant accès au traitement et les destinataires
Les personnes habilitées à avoir accès au traitement sont :
- les administrateurs (DAN et DPUM) : tout accès ;
- le personnel habilité de la DPUM : accès uniquement en consultation ;
- le personnel habilité de l'Institut du Patrimoine : accès uniquement en consultation ;
- le prestataire (DRSI) : tout droit dans le cadre de la maintenance.
Considérant les attributions de chacune de ces personnes, et eu égard à la finalité du traitement, les accès susvisés sont justifiés.
En outre la Commission considère qu'en application de la loi n° 1.446 relative à la préservation du patrimoine national, susvisée, le Conseil du patrimoine est légalement habilité à recevoir communication des informations objet du présent traitement.

VI. Sur les rapprochements et interconnexions
Le responsable de traitement indique que le présent traitement fait l'objet d'un rapprochement avec deux traitements relatifs aux messageries professionnelles, ainsi qu'une interconnexion avec un traitement de gestion des habilitations, tous trois légalement mis en œuvre.

VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation particulière.
La Commission rappelle néanmoins que les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
Elle rappelle également que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.

VIII. Sur la durée de conservation
Le responsable de traitement indique que les informations relatives à l'identité ainsi qu'aux adresses et coordonnées sont conservées le temps de vie du bâtiment.
Les données d'identification électronique sont conservées 1 an.
La Commission considère que ces durées sont conformes aux exigences légales.

Après en avoir délibéré, la Commission :
Considère :
- qu'une procédure relative au droit d'accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations ;
- que le Conseil du patrimoine est légalement habilité à recevoir communication des informations objet du présent traitement.

Rappelle que :
- les documents d'information doivent impérativement comporter l'ensemble des mentions prévues à l'article 14 de la loi n° 1.165 du 23 décembre 1993 ;
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort.
Sous la réserve de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par le Ministre d'État du traitement automatisé d'informations nominatives ayant pour finalité « Gestion des fiches descriptives des éléments de bâtis remarquables ».

Le Président de la Commission de Contrôle des Informations Nominatives.