Délibération n° 2022-6 du 19 janvier 2022 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Souscrire par le biais d'un site Internet dédié, à un accès internet FTTH pour les bateaux à quai au port Hercule » présenté par Monaco Telecom S.A.M..

Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu le Contrat de Concession du Service Public des communications électroniques sur le territoire de la Principauté de Monaco du 26 septembre 2011 ;
Vu le Cahier des Charges relatif à la Concession du Service Public des communications électroniques sur le territoire de la Principauté de Monaco signé le 26 septembre 2011 annexé à l'Ordonnance Souveraine n° 3.560 du 6 décembre 2011 ;
Vu le Cahier des Charges de l'Avenant à la Concession du Service Public des communications électroniques et ses annexes annexés à l'Ordonnance Souveraine n° 6.186 du 12 décembre 2016 ;
Vu le Cahier des Charges de l'Avenant n° 3 à la Convention de Concession du Service Public des Communications électroniques et ses annexes annexés à l'Ordonnance Souveraine n° 8.654 du 10 mai 2021 ;
Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d'informations nominatives ;
Vu la demande d'avis reçue le 4 octobre 2021 concernant la mise en œuvre par Monaco Telecom S.A.M. d'un traitement automatisé ayant pour finalité « Gestion d'un accès internet FTTH pour les bateaux à quai au port Hercule » ;
Vu la prorogation du délai d'examen de la présente demande d'avis notifiée au responsable de traitement le 2 décembre 2021, conformément à l'article 19 de l'Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 19 janvier 2022 portant examen du traitement automatisé, susvisé ;

La Commission de Contrôle des Informations Nominatives,

Préambule

Monaco Telecom S.A.M. (MT), immatriculée au RCI, est un organisme de droit privé concessionnaire d'un service public. Elle a notamment pour objet « d'assurer dans les relations intérieures et internationales, tous services de télécommunications. À ce titre, elle assure les activités d'opérateur public chargé de l'exploitation du service téléphonique de la Principauté de Monaco […] ».
Cette société propose « en coopération avec la Société d'Exploitation des Ports de Monaco (SEPM) une offre d'accès à Internet très haut débit pour les clients disposant d'un bateau à quai au port Hercule (…) ».
Ainsi, le traitement automatisé d'informations nominatives y afférent est soumis à l'avis de la Commission, conformément à l'article 7 de la loi n° 1.165 du 23 décembre 1993.

I. Sur la finalité et les fonctionnalités du traitement

Ce traitement a pour finalité « Gestion d'un accès internet FTTH pour les bateaux à quai au port Hercule ».
Les personnes concernées sont les clients de Monaco Telecom éligibles et de manière incidente les personnels habilités de la SEPM et de Monaco Telecom.
Les fonctionnalités sont :
- identification du client, authentification et accès au compte client sur un site Internet dédié ;
- souscription et gestion de l'offre ;
- facturation et paiement en ligne de l'offre souscrite par le biais d'un prestataire de paiement sécurisé.
La Commission rappelle que tout traitement d'informations nominatives doit avoir une finalité « déterminée, explicite et légitime » aux termes de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.
En l'espèce, la finalité du présent traitement doit être plus explicite c'est-à-dire être claire et précise pour les personnes concernées en indiquant notamment que le responsable de traitement exploite un site Internet permettant la souscription de l'offre.
Par conséquent, elle modifie la finalité comme suit : « Souscrire par le biais d'un site Internet dédié, à un accès internet FTTH pour les bateaux à quai au port Hercule ».

II. Sur la licéité et la justification du traitement

Le responsable de traitement indique que le traitement est justifié par l'ensemble des fondements juridiques de la loi n° 1.165, modifiée, à l'exception du motif d'intérêt public.
À l'analyse des explications portées au dossier, la Commission relève que le traitement est fondé par l'exécution d'un contrat avec la personne concernée.
La Commission considère que le traitement est justifié, conformément à l'article 10-2 de la loi n° 1.165 du 23 décembre 1993.

III. Sur les informations nominatives traitées

Les informations collectées sont :
- identité : nom, prénom, nom du bateau, pays ;
- adresse et coordonnées : numéros de téléphone (facultatif) ;
- caractéristiques financières : traces de paiement et transactions ;
- données d'identification électronique : identifiant et mot de passe d'accès au service, adresse email de l'utilisateur ;
- informations temporelles : données de connexion de l'utilisateur, données de connexion des administrateurs MT, données de connexion des administrateurs SEPM.
Les informations relatives à l'identité, aux adresses et coordonnées et aux données d'identification électronique ont pour origine le client.
Les caractéristiques financières sont collectées par le prestataire de confiance en charge de la plateforme de paiement.
Enfin, les informations temporelles sont issues des données techniques et réseau.
La Commission constate qu'aucun cookie autre que technique n'est indiqué comme étant exploité sur le site Internet de souscription de l'offre.
Elle considère que les informations traitées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165.

IV. Sur les droits des personnes concernées

• Sur l'information préalable des personnes concernées

L'information préalable des personnes concernées est effectuée par le biais d'une mention particulière intégrée dans un document d'ordre général accessible en ligne, un document spécifique ainsi qu'une rubrique propre à la protection des données accessible en ligne.
Le document n'étant pas joint au dossier, la Commission rappelle que ladite mention doit être conforme aux dispositions de l'article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée.

• Sur l'exercice du droit d'accès, de modification et de mise à jour

Les personnes concernées peuvent exercer leurs droits par courrier électronique, ou par voie postale auprès du Service client de Monaco Telecom.
En outre, la Commission rappelle que la réponse à ce droit d'accès doit intervenir dans le mois suivant la réception de la demande.
Enfin, elle prend acte des précisions du responsable de traitement qui indique disposer d'une procédure relative au droit d'accès par voie électronique permettant de s'assurer que l'expéditeur du courriel est effectivement la personne concernée. La Commission rappelle néanmoins que si une copie d'un document d'identité était demandée, la transmission et le traitement de ce document devront faire l'objet de mesures de protection particulières, comme rappelé dans sa délibération n° 2015-113 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents officiels d'identité.

V. Sur les destinataires et les personnes ayant accès au traitement

La Commission constate qu'il n'y a pas de destinataire des informations objets du présent traitement, le personnel de la SEPM disposant d'un accès en consultation au présent traitement, et pouvant intervenir de manière limitée dans la procédure de réinitialisation de mot de passe.
Les personnes habilitées à avoir accès au traitement sont :
- la Direction Réseaux  et Systèmes d'information de Monaco Telecom en inscription, modification, consultation ;
- la Direction Financière de Monaco Telecom en consultation ;
- le Service Client de Monaco Telecom en consultation.
Si des prestataires ont accès au traitement, la Commission rappelle que conformément aux dispositions de l'article 17 de la loi n° 1.165 du 23 décembre 1993 leurs droits d'accès doivent être limités à ce qui est strictement nécessaire à l'exécution de leur contrat de prestation de service. De plus, ils sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
La Commission considère que ces accès sont justifiés.

VI. Sur les rapprochements et interconnexions

Le responsable de traitement n'indique aucun rapprochement ou aucune interconnexion avec d'autres traitements qu'il exploite.
La Commission relève toutefois une interconnexion avec le système de messagerie de Monaco Telecom, légalement mis en œuvre.

VII. Sur la sécurité du traitement et des informations

Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation particulière.
La Commission rappelle néanmoins que les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
Elle rappelle également que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.

VIII. Sur la durée de conservation

Les informations relatives à l'identité, aux adresses et coordonnées sont conservées 12 mois glissants à compter de la dernière utilisation du service.
Les données d'identification électronique demeurent valides uniquement pendant la durée de l'offre souscrite par l'utilisateur.
Les justificatifs de paiement et transaction sont conservés 5 ans à compter de la souscription.
Il est également indiqué que les informations temporelles sont conservées 1 an à compter de leur collecte.
La Commission constate que ces durées sont conformes aux exigences légales.
Après en avoir délibéré, la Commission :
Modifie la finalité du traitement comme suit « Souscrire par le biais d'un site Internet dédié, à un accès internet FTTH pour les bateaux à quai au port Hercule ».
Constate qu'il n'est pas indiqué l'exploitation de cookies autres que techniques sur le site Internet de souscription de l'offre.
Rappelle que :
- les personnes concernées doivent être informées conformément aux dispositions de l'article 14 de la loi n° 1.165, modifiée ;
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé ;
- concernant le droit d'accès par courrier électronique, si une copie d'un document d'identité était demandée, la transmission et le traitement de ce document devront faire l'objet de mesures de protection particulières, comme rappelé dans sa délibération n° 2015-113 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents officiels d'identité.
Sous le bénéfice de la prise en compte de ce qui précède,

la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Souscrire par le biais d'un site Internet dédié, à un accès internet FTTH pour les bateaux à quai au port Hercule » par Monaco Telecom S.A.M.

Le Président de la Commission de Contrôle des Informations Nominatives.