Délibération n° 2023-61 du 19 avril 2023 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre d'un traitement automatisé d'informations nominatives ayant pour finalité « Gestion des titres de propriété industrielle », exploité par la Direction de l'Expansion Économique devenue la Direction du Développement Économique, présenté par le Ministre d'État.

Vu la Constitution ;

Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;

Vu la loi n° 606 du 20 juin 1955 sur les brevets d’invention, modifiée ;

Vu la loi n° 607 du 20 juin 1955 sur les dessins et modèles, modifiée ;

Vu la loi n° 1.058 du 10 juin 1983 sur les marques de fabrique, de commerce ou de service ;

Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;

Vu l’Ordonnance Souveraine n° 1.476 du 30 janvier 1957 relative aux modalités d’application des dispositions de la loi n° 606 du 20 juin 1955 modifiée par la loi n° 625 du 5 novembre 1956 sur les brevets d’invention ;

Vu l’Ordonnance Souveraine n° 1.477 du 30 janvier 1957 relative aux modalités d’application des dispositions de la loi n° 607 du 20 juin 1955 modifiée par la loi n° 623 du 5 novembre 1956 sur les dessins et modèles ;

Vu l’Ordonnance Souveraine n° 10.382 du 27 novembre 1991 rendant exécutoire la Convention sur la délivrance des brevets européens ;

Vu l’Ordonnance Souveraine n° 10.427 du 9 janvier 1992 concernant le brevet européen, modifiée ;

Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;

Vu l’Ordonnance Souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l’Administration et l’administré, modifiée ;

Vu l’Ordonnance Souveraine n° 9.827 du 15 mars 2023 instituant une Direction du Développement Économique ;

Vu l’arrêté ministériel n° 93-553 du 21 octobre 1993 concernant les modalités de délivrance du brevet européen, modifié ;

Vu l’arrêté ministériel n° 2015-90 du 5 février 2015 fixant les modalités d’application de la loi n° 1.058 du 10 juin 1983 sur les marques de fabrique, de commerce ou de service, modifié ;

Vu la délibération n° 2000-19 du 14 décembre 2000 de la Commission de Contrôle des Informations Nominatives portant avis sur la mise en œuvre par la Direction de l’Expansion Économique d’un traitement relatif à la gestion des marques et personnes y associées ;

Vu la délibération n° 2000-20 du 14 décembre 2000 de la Commission de Contrôle des Informations Nominatives portant avis sur la mise en œuvre par la Direction de l’Expansion Économique d’un traitement automatisé relatif à « La gestion des brevets et personnes y associées » ;

Vu la délibération n° 2002-15 du 29 juillet 2002 de la Commission de Contrôle des Informations Nominatives portant avis sur la modification souscrite par le Ministre d’État d’un traitement automatisé concernant la « Gestion des marques et personnes y associées » souscrite par la Direction de l’Expansion Économique ;

Vu la délibération n° 2002-16 du 29 juillet 2002 de la Commission de Contrôle des Informations Nominatives portant avis sur la modification souscrite par le Ministre d’État d’un traitement automatisé concernant la « Gestion des brevets et personnes y associées » souscrite par la Direction de l’Expansion Économique ;

Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;

   Vu la demande d’avis déposée par le Ministre d’État, le 20 décembre 2022 concernant la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité « Gestion des titres de propriété industrielle » ;

Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 2 mars 2023, conformément à l’article 19 de l’Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;

Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 19 avril 2023 portant examen du traitement automatisé, susvisé ;

La Commission de Contrôle des Informations Nominatives,

Préambule

Le Pôle Propriété Intellectuelle (« PPI ») de la Direction de l’Expansion Économique laquelle est devenue, à l’effet d’une Ordonnance Souveraine n° 9.827 du 15 mars 2023, la Direction du Développement Économique (« DDE ») a notamment pour objet de délivrer et d’enregistrer, à Monaco, les titres de propriété industrielle (brevets d’invention, marques de fabrique, de commerce, dessins et modèles).

Par délibérations n° 2000-19 et n° 2000-20 du 14 décembre 2000, la Commission de Contrôle des Informations Nominatives (CCIN) a émis des avis favorables à l’exploitation, par le PPI, de deux traitements automatisés ayant respectivement pour finalité la gestion des marques et personnes y associées ainsi que la gestion des brevets et personnes y associées. Ces traitements ont été modifiés par délibération n° 2002-15 du 29 juillet 2002 et par délibération n° 2002-16 du 29 juillet 2002.

Le responsable de traitement entend désormais faire évoluer le traitement relatif à la gestion des titres susvisés.

Ainsi, le présent traitement est soumis à l’avis de la Commission, conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993.

I. Sur la finalité et les fonctionnalités du traitement

Le présent traitement a pour finalité « Gestion des titres de propriété industrielle ».

La Commission constate qu’il a pour effet de se substituer aux traitements susvisés ayant obtenu son avis favorable.

Il concerne les déposants d’une demande de titre de propriété industrielle (« PI »), les licenciés, les titulaires de titres de PI, les créanciers, les payeurs, les inventeurs et créateurs ainsi que les mandataires.

La Commission relève et prend acte que sont également susceptibles d’être concernés par le présent traitement les collaborateurs du PPI.

Les fonctionnalités associées au présent traitement sont :

-  inscription de la délivrance/ enregistrement des titres PI et de tous les actes modifiant leurs champs de protection ;

-  publication des actes conformément à la règlementation en vigueur ;

-  gestion du maintien en vigueur des titres PI ;

-  gestion des brevets européens délivrés et désignant Monaco ;

-  gestion des marques internationales désignant Monaco ;

-  identification des intervenants dans les procédures de gestion des titres de PI (déposants, titulaires, inventeurs, créateurs, licenciés, créanciers, payeurs, mandataires) ;

-  intégration des données nécessaires à la publicité des titres de PI et à la consultation publique des données au travers des registres internationaux (Registre fédéré de l’Office Européen des Brevets ; Base de données technologiques de documents de brevets de l’OMPI, Registre des marques de l’Union européenne ; Base de données mondiale sur les marques de l’OMPI ; Registres des dessins et modèles de l’Union européenne ; Base de données mondiale sur les dessins et modèles de l’OMPI) ;

-  stockage de documents de priorité dans le Service d’accès Numérique de l’OMPI sur demande du déposant ;

-  gestion de la comptabilité des titres de propriété industrielle ;

-  établissement de statistiques non nominatives.

La Commission relève en outre que le responsable de traitement procède également à la mise à disposition de documents en tant qu’office de premier dépôt.

Elle constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.

II. Sur la licéité et la justification du traitement

Le responsable de traitement indique que le présent traitement est justifié par le respect d’une obligation légale à laquelle il est soumis ainsi que par la réalisation d’un intérêt légitime qu’il poursuit et qui ne méconnaît ni l’intérêt, ni les droits et libertés fondamentaux des personnes concernées.

Il précise à cet égard que ce traitement s’inscrit dans le cadre des missions dévolues au Pôle Propriété Intellectuelle rattaché à la DDE notamment pour la gestion des registres spéciaux des brevets d’invention, des marques de fabrique, de commerce ou de service et des dessins et modèles, respectivement définies par la loi n° 106 du 20 juin 1955 sur les brevets d’invention, modifiée et ses textes d’application, par la loi n° 607 du 20 juin 1955 sur les dessins et modèles modifiés et ses textes d’application ainsi que par la loi n° 1.058 du 10 juin 1983 sur les marques de fabrique, de commerce ou de service et ses textes d’application.

De surcroît, en vertu de l’Ordonnance Souveraine n° 10.427 du 9 janvier 1992, modifiée, susvisée, le PPI est chargé de la gestion des demandes de brevets européens désignant Monaco.

La Commission considère que le présent traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993.

III. Sur les informations nominatives traitées

Le responsable de traitement indique que les informations nominatives traitées sont :

-  identité : nom, prénom(s) du déposant, titulaire, inventeur, créateur, licencié, créancier, payeur et éventuellement du mandataire ;

-  adresses et coordonnées : adresse du déposant, titulaire, créateur, licencié, créancier, payeur et éventuellement du mandataire ;

   Concernant l’inventeur il est précisé que sont, seules, collectées les informations relatives à la ville, au code postal et au pays.

-  caractéristiques financières : numéro du titre de PI et règlement (montant, type de règlement : virement, chèque, espèces) ; RIB, nom et adresse complète des payeurs, numéro du titre de PI et montant lors d’une restitution ; RIB, nom et adresse complète des payeurs lors d’un remboursement ;

-  données d’identification électronique : courriel, signature électronique ;

-  mesures de sûreté : nom du titulaire et/ou du bénéficiaire de la sûreté ;

-  informations temporelles : horodatage des actions effectuées sur chaque dossier ;

-  identification du titre de propriété industrielle : numéro de dépôt, de délivrance ou d’enregistrement du titre de PI.

Il appert, à l’étude du dossier, une collecte des identifications de connexion et mots de passe des collaborateurs du PPI. La Commission en prend acte.

Elle relève par ailleurs que certains des champs présents sur les différents formulaires de collecte sont facultatifs. Ainsi, le numéro de téléphone des personnes concernées est susceptible d’être collecté.

Les informations relatives à l’identité, aux adresses et coordonnées ainsi qu’à l’identification du titre de propriété industrielle proviennent du déposant, du titulaire, de l’inventeur, du créateur, du licencié, du créancier, du payeur, du mandataire ou de décisions judiciaires sur réquisition du Greffier en Chef et retranscrites par le PPI.

Les caractéristiques financières ont par ailleurs pour origine le payeur et les informations relatives au nom du titulaire et/ou bénéficiaire de la sûreté proviennent de décisions de justice sur réquisition du Greffier en Chef ou par le bénéficiaire de la sûreté.

Enfin, la Commission constate que les informations temporelles et les données d’identification électronique sont générées par le système.

La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.

IV.   Sur les droits des personnes concernées

*   Sur l’information préalable des personnes concernées

L’information préalable des personnes concernées est réalisée par le biais d’une mention sur le document de collecte ainsi que par une rubrique propre à la protection des données accessible en ligne.

Il est notamment précisé que « l’information des personnes concernées est réalisée par l’affichage en rouge d’un message en bas des formulaires de collecte, renvoyant à la page du site internet du PPI ». À l’analyse de la mention présente sur le document de collecte, la Commission constate que les personnes concernées sont informées des traitements, dont font l’objet leurs données personnelles, en cliquant sur un lien dédié.

Elle rappelle, à cet égard d’une part, qu’informer la personne concernée de la tenue à disposition d’une liste de traitements, qui nécessite de sa part une démarche active, n’est pas équivalent au fait de l’avertir, en ce que son abstention ne doit pas la priver d’être dûment informée et, d’autre part, qu’il appartient au responsable de traitement de s’assurer que l’information préalable est délivrée à l’ensemble des personnes concernées.

En conséquence, la Commission demande que soit assurée l’information des personnes concernées et qu’elle soit conforme à l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée.

Par ailleurs, s’agissant de la mention figurant dans la rubrique propre à la protection des données, la Commission considère qu’elle est conforme aux dispositions de l’article 14 de la loi n° 1.165 du 23 décembre 1993.

*  Sur l’exercice du droit d’accès, de modification et de mise à jour

Le droit d’accès est exercé par voie postale, par courrier électronique ou sur place.

Le responsable de traitement précise à cet égard que « les changements de noms, de forme juridique, d’adresse et les rectifications d’erreurs matérielles à la demande du titulaire doivent faire l’objet d’une demande d’inscription déposée à l’Office accompagnée du paiement des droits règlementaires fixés - à l’exception des changements dus à une erreur de la part de l’Office. Ces inscriptions sont portées au registre spécial ».

La Commission rappelle à cet égard qu’aux termes de l’article 16 de la loi n° 1.165, modifiée, « La personne intéressée peut exiger que soient rectifiées, complétées, clarifiées, mises à jour ou supprimées les informations la concernant lorsqu’elles se sont révélées inexactes, incomplètes, équivoques, périmées ou si leur collecte, leur enregistrement, leur communication ou leur conservation est prohibé. Sur sa demande, copie de l’enregistrement de l’information modifiée lui est délivrée sans frais. S’il y a eu communication à des destinataires, l’information modifiée ou sa suppression doit leur être notifiée, sauf dispense accordée par le président de la commission de contrôle des informations nominatives ».

Aussi elle rappelle que le droit de rectification doit demeurer gratuit sauf à ce que les coûts liés à cette demande se limitent aux frais de reproduction ou de publication au registre spécial.

S’agissant de l’exercice du droit d’accès par voie électronique, la Commission rappelle qu’une procédure doit être mise en place afin que le responsable de traitement puisse s’assurer que l’expéditeur du courriel est effectivement la personne concernée par les informations. À ce titre, elle précise que si une copie d’un document d’identité était demandée, la transmission et le traitement de ce document devront faire l’objet de mesures de protection particulières comme rappelé dans sa délibération n° 2015-113 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d’identité officiels.

Sous ces réserves, elle constate que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.

V. Sur les destinataires et les personnes ayant accès au traitement

*  Sur les destinataires

Les informations sont susceptibles d’être communiquées au Journal de Monaco, à l’Office Européen des Brevets, à l’Office de l’Union européenne pour la propriété intellectuelle et enfin à l’Organisation Mondiale de la Propriété Intellectuelle.

Il est également précisé que les brevets sont également publiés sur le site Internet https://mcipo.gouv.mc.

Ainsi, il est indiqué, par le responsable de traitement, que « les données à caractère personnel relatives à l’enregistrement, à la délivrance de titres ou à la modification de celles-ci sont publiées sur :

-  le Journal de Monaco (brevets d’invention, marques de fabrique, de commerce ou de service, dessins et modèles) ;

-  le Bulletin européen des brevets ;

-  le site de l’Office Européen des brevets ;

-  les sites de l’Office de l’Union européenne pour la Propriété Intellectuelle ;

-  le site de l’OMPI ».

La Commission considère que ces transmissions sont conformes aux exigences légales.

*   Sur les personnes habilitées à avoir accès au traitement

Le responsable de traitement indique qu’ont accès au présent traitement :

-  les personnels de la Direction des Systèmes d’Information : dans le cadre de leurs fonctions ;

-  le personnel habilité du Pôle Propriété Intellectuelle : en inscription, modification, maintenance.

Considérant les attributions de chacune de ces personnes et eu égard à la finalité du traitement, les accès susvisés sont justifiés.

Le responsable de traitement indique par ailleurs qu’en cas de recours à un prestataire, ce dernier se connectera à la plateforme par le biais du traitement « Gestion des accès à distance au Système d’information du Gouvernement ».

À cet égard, la Commission rappelle que, conformément aux dispositions de l’article 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, les droits d’accès de ce dernier devront être limités à ce qui est strictement nécessaire à l’exécution de son contrat de prestation de services. De plus, ledit prestataire sera soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article et devra s’assurer d’être en conformité avec les dispositions de la loi n° 1.165, susvisée.

VI.   Sur les rapprochements et les interconnexions avec d’autres traitements

Le responsable de traitement indique que le présent traitement fait l’objet d’un rapprochement avec le traitement légalement mis en œuvre « Assistance aux utilisateurs par le Centre de Service de la DSI ».

Il est, en outre, interconnecté avec les traitements légalement mis en œuvre ayant pour finalité respective :

-  « Gestion des habilitations et des accès au Système d’information » ;

-  « Gestion des accès à distance au Système d’information du Gouvernement » ;

-  « Gestion et analyse des évènements du Système d’information ».

La Commission considère que ce rapprochement et ces interconnexions sont conformes aux exigences légales.

Il est enfin précisé que le présent traitement est également interconnecté avec le traitement relatif au « site https://mcipo.gouv.mc », lequel devrait être régularisé auprès de la CCIN.

À cet égard, la Commission rappelle qu’un traitement ne peut être légalement mis en œuvre qu’après régularisation auprès de la CCIN. Aussi, elle demande que celui-ci lui soit soumis dans les meilleurs délais.

VII. Sur la sécurité du traitement et des informations

Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.

Cependant les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.

Elle rappelle enfin que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.

VIII. Sur la durée de conservation

Le responsable de traitement indique que les informations relatives à l’identité, aux adresses et coordonnées du déposant, titulaire, inventeur, créateur, licencié, créancier, payeur, mandataire ainsi qu’aux noms du titulaire et/ou du bénéficiaire de la sûreté et l’identification du titre de propriété industrielle sont conservées pour une durée indéterminée.

À cet égard, il précise que « le PPI conserve les données à caractère personnel dont l’inscription au registre est obligatoire pendant une durée indéterminée. Pour les brevets d’invention et les dessins et modèles, la loi exige la désignation de l’inventeur et du créateur (paternité). Une fois publiées, ces inventions et créations constituent une antériorité composant l’état de l’art et opposable aux tiers, et ce, non limitée dans le temps. Pour les marques de fabrique, de commerce ou de service, celles-ci appartiennent à une personne physique ou morale qui aura marqué l’activité commerciale dans un secteur donné. Conséquemment, la conservation de manière illimitée du titulaire présente inévitablement un intérêt statistique, ou à tout le moins historique. En revanche, concernant les autres données à caractère personnel non obligatoires stockées dans la base de données, à savoir le courriel et le numéro de téléphone, elles seront supprimées de cette base à partir de la déchéance du titre de PI ou du rejet de la demande d’enregistrement ».

Cette durée de conservation est par ailleurs justifiée, par le responsable de traitement, notamment en raison du droit moral dont dispose le créateur ou l’inventeur, lequel est inaliénable, perpétuel et imprescriptible et par l’intérêt pour les tiers en termes d’archivage, de statistiques et de sécurité juridique.

En outre, les caractéristiques financières sont conservées 10 ans glissants par année comptable.

En toute fin, les données d’identification électroniques le sont, tant que l’usager dispose d’un compte et les informations temporelles sont supprimées à l’issue d’une période de 12 mois.

La Commission considère que ces délais sont conformes aux exigences légales.

Après en avoir délibéré, la Commission :

Prend acte que le présent traitement se substitue aux traitements légalement mis en œuvre ayant pour finalité respective la gestion des marques et personnes y associées et la gestion des brevets et personnes y associées.

Rappelle que :

-  d’une part, qu’informer la personne concernée de la tenue à disposition d’une liste de traitements, qui nécessite de sa part une démarche active, n’est pas équivalent au fait de l’avertir, en ce que son abstention ne doit pas la priver d’être dûment informée et, d’autre part, qu’il appartient au responsable de traitement de s’assurer que l’information préalable est délivrée à l’ensemble des personnes concernées ;

-  le droit de rectification doit demeurer gratuit sauf à ce que les coûts liés à cette demande se limitent aux frais de reproduction ou de publication au registre spécial ;

-  une procédure relative au droit d’accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s’assurer que l’expéditeur du courriel est effectivement la personne concernée par les informations ;

-  les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.

Demande que :

-  soit assurée l’information préalable des personnes concernées et que cette information soit conforme à l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée ;

-  le traitement relatif au site https://mcipo.gouv.mc lui soit soumis pour avis dans les meilleurs délais.

Sous le bénéfice de la prise en compte de ce qui précède,

la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d’État, du traitement automatisé d’informations nominatives ayant pour finalité « Gestion des titres de propriété industrielle ».

Le Président de la Commission de
Contrôle des Informations Nominatives.