Délibération n° 2020-48 du 19 février 2020 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Contrôle de l'effectivité et de la validité de l'adresse d'un travailleur indépendant », exploité par la Direction de l'Expansion Économique présenté par le Ministre d'État.

Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.144 du 26 juillet 1991 concernant l'exercice de certaines activités économiques et juridiques ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l'Ordonnance Souveraine n° 11.986 du 2 juillet 1996 portant création de la Direction de l'Expansion Économique ;
Vu l'arrêté ministériel n° 2014-264 du 21 mai 2014 fixant la liste des pièces justificatives à produire à l'appui des déclarations et demandes d'autorisation d'exercice présentées sur le fondement de la loi n° 1.144 du 26 juillet 1991 concernant l'exercice de certaines activités économiques et juridiques, modifiée, ainsi que des demandes d'autorisation de constitution de sociétés anonymes et en commandite par actions ;
Vu l'arrêté ministériel n° 2018-905 du 25 septembre 2018 habilitant la Direction de l'Expansion Économique, la CARTI et la CAMTI à échanger les informations nominatives utiles à la gestion des autorisations d'exercer une activité indépendante en Principauté et des procédures d'affiliation auprès des organismes sociaux des travailleurs indépendants
Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés d'informations nominatives ;
Vu la demande d'avis déposée par le Ministre d'État, le 19 novembre 2019, concernant la mise en œuvre d'un traitement automatisé ayant pour finalité le « Contrôle de l'effectivité de l'activité et de la validité de l'adresse d'un travailleur indépendant » ;
Vu la prorogation du délai d'examen de la présente demande d'avis notifiée au responsable de traitement le 10 janvier 2020, conformément à l'article 19 de l'Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 19 février 2020 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,

Préambule
Les échanges d'informations entre les services de la Direction de l'Expansion Économique et la CAMTI/CARTI ont notamment pour objectif le maintien d'une autorisation d'exercer une activité professionnelle non salariée à Monaco, l'adhésion à la CAMTI/CARTI étant entre autre conditionnée par l'effectivité de l'activité du travailleur indépendant en Principauté de Monaco ainsi que par la validité de son adresse professionnelle. Par délibération n° 2019-35, la Commission avait à cet égard émis un avis favorable à la communication par la CAMTI/CARTI d'informations des travailleurs indépendants vers la Direction de l'Expansion Économique, afin que cette dernière puisse effectuer les contrôles relevant de ses missions. Cet avis avait rappelé que le traitement de la Direction de l'Expansion Économique relatif au « Contrôle de l'effectivité et de la validité de l'adresse d'un travailleur indépendant » devait lui être soumis, conformément à l'article 7 de la loi n° 1.165 du 23 décembre 1993.

I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité « Contrôle de l'effectivité de l'activité et de la validité de l'adresse d'un travailleur indépendant ».
Il concerne les personnes exerçant une activité professionnelle non salariée en Principauté de Monaco et les personnels de la Direction de l'Expansion Économique intervenant dans la procédure.
Les fonctionnalités du traitement sont :
- Le contrôle de l'effectivité de l'activité des personnes ayant déclaré une activité professionnelle non salariée ;
- L'établissement d'indicateurs pertinents permettant d'identifier les travailleurs pour lesquels des investigations s'imposent aux fins de vérifier l'adéquation entre le local et l'activité, ou encore l'effectivité de la poursuite de l'activité exercée ;
- Le contrôle de la domiciliation professionnelle ;
- La communication des informations adéquates sur l'effectivité de l'activité et/ou l'adresse professionnelle à l'entité demanderesse légalement habilitée à le demander (CAMTI – CARTI) ;
- L'établissement de statistiques ;
- La mise en œuvre de la procédure de suspension ou de retrait de l'autorisation d'exercer instituée par la loi n° 1.144 du 26 juillet 1991 concernant l'exercice de certaines activités économiques et juridiques, dans l'hypothèse d'une absence de local adapté à l'exercice de l'activité ou encore d'absence d'exercice de l'activité pendant plus de 6 mois sans motif légitime ;
- La communication par la DEE des éléments permettant la prise en charge des cotisations CAMTI/CARTI des travailleurs indépendants monégasques et conjoints éligibles au dispositif d'aide à l'installation professionnelles, par lesdites Caisses, sur appels de cotisation des Caisses Sociales.
La Commission relève des fonctionnalités du traitement et des informations qui en sont l'objet qu'il ne s'agit pas d'un traitement relevant d'un contrôle effectif des locaux des personnes exerçant une activité professionnelle non salariée, mais d'un contrôle sur pièce des éléments permettant de déterminer l'adéquation d'un local eu égard à l'activité concernée. Elle prend note également que le présent traitement ne concerne pas les procédures légales et règlementaires que peut initier la DEE, telle que la procédure de retrait d'autorisation d'exercer.
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.

II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le présent traitement est justifié par le respect d'une obligation légale, par un motif d'intérêt public ainsi que par la réalisation d'un intérêt légitime, sans que ne soient méconnus ni l'intérêt, ni les droits et libertés fondamentaux de la personne concernée.
Il est ainsi indiqué que le présent traitement répond aux obligations incombant à la DEE au titre l'Ordonnance Souveraine n° 11.986 du 2 juillet 1996 portant création de la Direction de l'Expansion Économique, de la loi n° 1.144 du 26 juillet 1991 concernant l'exercice de certaines activités économiques et juridiques et de l'arrêté ministériel n° 2014-264 du 21 mai 2014 fixant la liste des pièces justificatives à produire à l'appui des déclarations et demandes d'autorisation d'exercice présentées sur le fondement de la loi n° 1.144 du 26 juillet 1991 concernant l'exercice de certaines activités économiques et juridiques, modifiée, ainsi que des demandes d'autorisation de constitution de sociétés anonymes et en commandite par actions.
La Commission relève à cet égard que l'article 9 de la loi n° 1.144 susvisée dispose que « Par décision du Ministre d'État, la déclaration visée aux articles 2, 3 et 4 peut être privée d'effets ou suspendue en ses effets et l'autorisation mentionnée aux articles 5, 6, 7 et 8 suspendue en ses effets ou révoquée dans les cas suivants :
1. si les activités exercées en fait ne respectent pas les énonciations de la déclaration, si elles sont déployées hors des limites de l'autorisation ou enfreignent les conditions qui y sont mentionnées ou si elles sont effectuées en violation de l'objet d'une des sociétés visées à l'article 4 ;
2. si l'auteur de la déclaration, le titulaire de l'autorisation ou la société ne dispose plus de locaux adaptés à l'exercice de ses activités ;
3. s'il est resté, sans motif légitime, plus de six mois sans exercer ;
4. si, sauf le cas de location-gérance, il s'est substitué d'autres personnes dans l'exercice de ses activités ;
5. s'il advient qu'il ne présente plus toutes les garanties de moralité ;
6. si, sous quelque forme et à quelque titre que ce soit, il a admis que soient exercées ou domiciliées dans ses locaux des activités ou des entreprises non déclarées ou non autorisées ou les a sciemment laissées s'exercer ou y être domiciliées ;
7. si, dans l'exercice de son activité, autorisée ou déclarée, il a méconnu les prescriptions légales ou réglementaires qui lui sont applicables ;
8. s'il ne dispose pas d'une installation ou d'un personnel permettant une activité effective sur le territoire monégasque ».
L'article 18 dispose quant à lui que « Le contrôle de l'application de la présente loi et des mesures prises pour son exécution est exercé par les agents habilités de la Direction de l'Expansion Économique, commissionnés et assermentés à cet effet. Ceux-ci sont soumis à l'obligation de secret professionnel définie à l'article 308 du Code pénal. Dans l'exercice de leur mission, ils sont également soumis aux dispositions de l'article 32 du Code de procédure pénale.
Les agents, munis de leur commission d'emploi faisant état de leur prestation de serment, peuvent, dans les conditions prévues à l'article suivant, accéder à tous locaux ou moyens de transport à usage professionnel, et procéder, sur pièces ou sur place, à toutes opérations de vérification qu'ils jugent nécessaires. Ils peuvent, pour ce faire, demander la communication des livres, factures et tous autres documents professionnels, et en prendre copie s'il échet ainsi que recueillir auprès de toute personne, sur convocation ou sur place, tous renseignements ou justifications utiles.
Les agents ne peuvent emporter l'original d'un document qu'en vertu d'une décision de saisie prise conformément à l'article 11 ».
De plus, l'article 2 de l'Ordonnance Souveraine n° 11.986 dispose que la DEE est chargée « du contrôle de l'activité des entreprises ».
Il est enfin précisé que « les échanges d'informations entre les services de la Direction de l'Expansion Économique et la CAMTI CARTI ont pour objectif le maintien d'une autorisation d'exercer une activité professionnelle non salariée à Monaco, l'adhésion à la CAMTI/CARTI étant notamment conditionnée par l'effectivité de l'activité du travailleur indépendant en Principauté de Monaco ainsi que par la validité de son adresse professionnelle ». Ces échanges sont couverts par l'arrêté ministériel n° 2018-905, susvisé.
La Commission considère que ce traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993.

III. Sur les informations traitées
Le responsable de traitement indique que les informations nominatives traitées sont :
- identité : travailleur indépendant : nom, prénom, dénomination commerciale ; collaborateurs de la DEE et des CSM intervenant : nom prénom, fonction ;
- adresse et coordonnées : collaborateurs de la DEE et des CSM : adresse professionnelle ;
- données d'identification électronique : login et mot de passe du collaborateur lors de l'accès aux ressources ;
- informations temporelles : log de connexion des agents ;
- début et en cours d'activité professionnelle : données relatives à la déclaration ou l'autorisation d'exercer et inscriptions sur les registres tenus par la DEE en cours d'activité ;
- fin d'activité professionnelle : données relatives aux radiations, révocations d'autorisations d'exercer, cessation d'activité et inscriptions.
Les informations relatives à l'identité et aux coordonnées proviennent du répertoire du Commerce et de l'Industrie (RCI).
Celles relatives à l'activité (début, cours, fin), proviennent du RCI ou des registres tenus par la DEE.
Enfin, les autres données sont générées par le système.
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.

IV. Sur les droits des personnes concernées

• Sur l'information préalable des personnes concernées

L'information préalable des personnes concernées est effectuée par une mention ou clause particulière intégrée dans un document remis à l'intéressé et une mention intégrée à la page d'accueil du portail Internet du Gouvernement Princier.
Après analyse, la Commission constate que la mention portée sur les formulaires de la DEE est conforme aux dispositions de l'article 14 de la loi n° 1.165.
Par ailleurs, elle rappelle que les personnels de l'Administration concernés par le présent traitement doivent également être informés de leurs droits.

• Sur l'exercice du droit d'accès, de modification et de mise à jour

Le droit d'accès est exercé sur place, par voie postale ou par courrier électronique auprès du Service du Répertoire du Commerce et de l'Industrie.
À cet égard, la Commission rappelle que la réponse à ce droit d'accès doit s'exercer dans le mois suivant la réception de la demande.
S'agissant de l'exercice du droit d'accès par voie électronique, la Commission considère qu'une procédure devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations. À ce titre, elle précise que si une copie d'un document d'identité était demandée, la transmission et le traitement de ce document devront faire l'objet de mesures de protection particulières comme rappelé dans sa délibération n° 2015-116 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d'identité officiels.
Sous cette réserve, elle constate ainsi que les modalités d'exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.

V. Sur les destinataires et les personnes ayant accès au traitement
Le responsable de traitement indique que les informations seront transmises à la CAMTI/CARTI, dans les conditions prévues à l'arrêté ministériel n° 2018-905 du 25 septembre 2018, susvisé.
Les accès sont en outre définis comme suit :
- Personnel habilité de la Direction de l'Expansion Économique, intervenant dans l'attribution et/ou le suivi des déclarations et autorisations d'exercer et/ou des inscriptions portées au Répertoire du Commerce et de l'Industrie et/ou au Registre spécial des sociétés civiles : accès en inscription, modification, mise à jour, suppression ;
- Agents du Service recouvrement des cotisations des Caisses Sociales de Monaco (C.A.M.T.I.-C.A.R.T.I.) : (en projet par le biais du Workflow/RCI en consultation et inscriptions/observations uniquement s'agissant des données inhérentes au traitement de l'objet) ;
- Personnel habilité de la Direction des Réseaux et Systèmes d'Information (D.R.S.I.) intervenant dans la maintenance informatique et l'extraction de données : accès nécessaire à l'exécution de leurs missions ;
- Personnel habilité de l'Institut Monégasque de la Statistique et des Études Économiques (I.M.S.E.E.) intervenant dans l'établissement de statistiques et la production d'attestations NIS de certaines catégories de travailleurs indépendants : accès en consultation aux données relatives à l'effectivité de l'activité.
La Commission considère que ces accès sont justifiés.

VI. Sur les rapprochements et les interconnexions avec d'autres traitements
Le responsable de traitement indique que le traitement est interconnecté avec les traitements suivants :
- « Gestion des habilitations et des accès au Système d'information », afin de permettre l'accès au SI des utilisateurs ;
- « Gestion de la messagerie professionnelle », afin d'utiliser la messagerie aux fins d'échanges avec les demandeurs ;
- « Gestion des techniques automatisées de communication », afin d'utiliser la messagerie aux fins d'échanges avec les demandeurs.
Par ailleurs, afin de pouvoir effectuer les vérifications contrôles et validations des informations concernant les travailleurs indépendants, il est rapproché avec les traitements suivants :
- « Tenue du Registre des Professions et du Registre des Artisans » ;
- « Workflow interne de l'Administration d'instruction des demandes de création » ;
- « Répertoire du Commerce et de l'Industrie ».
La Commission considère ces interconnexions et rapprochements conformes aux exigences légales, étant tous légalement mis en œuvre.

VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation.
Cependant les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
La Commission rappelle enfin que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.
De plus, les communications électroniques doivent être sécurisées en tenant compte de la nature des informations transmises.

VIII. Sur la durée de conservation
Les informations sont conservées 2 ans, excepté les données d'identification électronique et les informations temporelles qui sont conservées 1 an.
La Commission considère que ces durées de conservation sont conformes aux exigences légales.
Après en avoir délibéré, la Commission :

Rappelle que :
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé ;
- les communications électroniques doivent être sécurisées en tenant compte de la nature des informations transmises.
Demande que les personnels de l'Administration soient également informés de leurs droits.
Considère qu'une procédure relative au droit d'accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations.
Sous le bénéfice de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d'État, du traitement automatisé d'informations nominatives ayant pour finalité « Contrôle de l'effectivité et de la validité de l'adresse d'un travailleur indépendant ».

Le Président de la Commission de Contrôle des Informations Nominatives.