Délibération n° 2023-182 du 15 novembre 2023 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Déclaration de mise à disposition pour les VTC, TPRP et Taxis étrangers par voie dématérialisée » exploité par la Direction de la Sûreté Publique présenté par le Ministre d'État.

Vu la Constitution ;

Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;

Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;

Vu l’Ordonnance du 23 juin 1902 établissant une Direction de la Sûreté Publique, modifiée ;

Vu l’Ordonnance Souveraine n° 1.720 du 4 juillet 2008 relative à la règlementation des taxis, des véhicules de remise, des véhicules de service de ville et des motos à la demande ;

Vu l’Ordonnance Souveraine n° 765 du 13 novembre 2006 relative à l’organisation et au fonctionnement de la Direction de la Sûreté Publique, modifiée ;

Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;

Vu l’Ordonnance Souveraine n° 3.413 du 29 aout 2011 portant diverses mesures relatives à la relation entre l’Administration et l’administré ;

Vu l’Ordonnance Souveraine n° 7.995 du 12 mars 2020 portant création de la Direction des Services Numériques ;

Vu l’arrêté ministériel n° 2019‑790 du 16 septembre 2019 fixant les montants des droits de délivrance des vignettes pour l’exploitation de véhicules de location avec chauffeurs étrangers ;

Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés d’informations nominatives ;

Vu la demande d’avis déposée par le Ministre d’État, le 16 août 2023, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité « Déclaration de mise à disposition pour les VTC, TPRP et Taxis étrangers par voie dématérialisée » ;

Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 13 octobre 2023, conformément à l’article 19 de l’Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;

Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 15 novembre 2023 portant examen du traitement automatisé, susvisé ;

La Commission de Contrôle des Informations Nominatives,

Préambule

La Direction de la Sûreté Publique (DSP) souhaite permettre « aux chauffeurs de VTC, TPRP ou Taxis étrangers de faire une déclaration de mise à disposition » par le biais d’un téléservice, après création d’un compte personnel sécurisé.

Il est indiqué sur le téléservice que « Cette démarche s’adresse aux VTC (véhicule de tourisme avec chauffeur), TPRP (transport public routier de personnes) et Taxis étrangers, dépourvus ou dotés d’une vignette, qui déposent et embarquent leur clientèle à Monaco et dont la prise en charge a eu lieu en dehors du territoire monégasque ».

Conformément aux dispositions de l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, le Ministre d’État soumet ainsi, à l’avis de la Commission, le traitement ayant pour finalité « Déclaration de mise à disposition pour les VTC, TPRP et Taxis étrangers par voie dématérialisée ».

I.  Sur la finalité et les fonctionnalités du traitement

Le présent traitement a pour finalité « Déclaration de mise à disposition pour les VTC, TPRP et Taxis étrangers par voie dématérialisée ».

Il concerne les usagers, à savoir les chauffeurs de VTC, TPRP ou Taxis étrangers, ainsi que les agents de la DSP qui traitent les déclarations.

Les fonctionnalités de la démarche en ligne sont :

-   saisie des informations sur la société ;

-   saisie des informations sur le chauffeur ;

-   saisie des informations sur le véhicule ;

-   saisie des informations sur la course ;

-   import de pièces justificatives ;

-   mettre sa demande en brouillon pour finaliser sa complétion plus tard ;

-   compléter les informations manquantes ;

-   annulation d’une demande par l’usager ou par un agent ;

-   envoi d’un courriel de confirmation d’enregistrement de la déclaration ;

-   envoi d’un courriel de confirmation d’annulation de la déclaration ;

-   envoi d’un courriel de confirmation de désinscription à la démarche en ligne ;

-   export d’un fichier Excel qui comprend toutes les demandes et leurs informations anonymisées par les agents ayant les droits nécessaires pour effectuer cette action.

Par ailleurs, elle relève que le téléservice propose un lien vers un questionnaire de satisfaction anonyme dont les résultats sont traités par la Direction des Services Numériques. Elle en prend acte.

La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10‑1 de la loi n° 1.165 du 23 décembre 1993.

II. Sur la licéité et la justification du traitement

Le responsable de traitement indique que le présent traitement est justifié par le consentement des personnes concernées, par un motif d’intérêt public et par la réalisation d’un intérêt légitime qu’il poursuit et qui ne méconnaît ni l’intérêt, ni les droits et libertés fondamentaux des personnes concernées.

À cet égard, il précise que le consentement des personnes concernées est formalisé par un acte positif clair matérialisé par le biais d’une case à cocher mentionnant « J’accepte que mes données personnelles soient traitées dans le cadre du téléservice « Déclaration de mise à disposition pour les VTC, TPRP et Taxis étrangers par voie dématérialisée » », ainsi que par l’acceptation préalable des conditions générales d’utilisation du téléservice, indispensable pour la création du compte sécurisé et pour l’accès à la démarche en ligne.

En outre, la Commission relève que le téléservice permet aux chauffeurs de déclarer leurs mises à disposition de manière simplifiée et conforme aux dispositions de l’article 46 de l’Ordonnance Souveraine n° 1.720 du 4 juillet 2008 relative à la règlementation des taxis, des véhicules de remise, des véhicules de service de ville et des motos à la demande, modifiée, qui dispose que :

« Un véhicule avec chauffeur étranger, un excursionniste étranger, ou un taxi étranger, qu’il soit détenteur de la vignette ou non, peut transporter à Monaco des personnes et leurs bagages le cas échéant, pris en charge à l’extérieur du territoire national et se tenir à la disposition de ces passagers exclusivement, sans quitter le territoire de la Principauté, sous réserve d’effectuer une déclaration de dépose telle que prévue par arrêté ministériel, et de justifier d’une réservation faisant apparaître le nom du client qui devra être reporté sur ladite déclaration de dépose. Cette mise à disposition peut être sans limitation de durée et le véhicule doit demeurer stationné sur le territoire de la Principauté quand il est en attente de ces passagers.

Un véhicule avec chauffeur étranger, un excursionniste étranger, ou un taxi étranger, ne disposant pas de la vignette, ayant déposé à Monaco des personnes et leurs bagages le cas échéant, peut revenir dans la Principauté aux fins de ramener cette clientèle à l’extérieur, sous réserve d’effectuer une déclaration de dépose telle que prévue par arrêté ministériel, en précisant le nom du client, l’heure prévisionnelle de reprise en charge et le lieu, pour lequel la reprise doit être effectuée dans un délai compris entre 3 heures et 8 heures après la dépose ».

À cet égard, l’arrêté ministériel n° 2019‑790 du 16 septembre 2019 fixant les montants des droits de délivrance des vignettes pour l’exploitation de véhicules de location avec chauffeurs étrangers dispose en son article 4 alinéa 2 que « La déclaration de dépose prévue à l’article 46 de l’Ordonnance Souveraine n° 1.720 du 4 juillet 2008, modifiée, susvisée, doit être effectuée, au plus tard dix minutes après le dépôt sur le territoire de la Principauté de Monaco des personnes et de leurs bagages le cas échéant ».

La Commission constate que cette exigence est portée au sein d’un arrêté ministériel dédié aux délivrances de vignettes alors que l’article 46 de l’Ordonnance Souveraine n° 1.720, susvisée, concerne également des véhicules qui n’ont pas à la solliciter. Elle estime cette situation peu claire pour le justiciable.

De plus, les informations collectées pour le présent téléservice, listées au point III de la présente délibération, sont exactement les mêmes que celles présentes dans le téléservice ayant pour finalité « Déclaration préalable de course pour les VTC et les VLC étrangers ».

Or, si pour les VTC et VLC ayant obtenu une vignette, la collecte d’information est expressément prévue par l’article 45 bis de l’Ordonnance Souveraine n° 1.720, ce n’est a contrario pas le cas en ce qui concerne les véhicules qui en sont dépourvus.

La Commission estime donc que l’environnement juridique encadrant les collectes est peu satisfaisant et estime qu’un arrêté ministériel dédié permettrait de remédier à la situation et de rendre plus claires les obligations qui incombent aux personnes concernées.

Toutefois, elle relève qu’une collecte d’informations nominatives qui irait au‑delà de ce que prévoit l’article 45 bis serait disproportionnée, d’autant plus que la présente déclaration est ouverte aux véhicules qui ne sont pas dotés de vignettes et qui n’ont pas à être soumis à un contrôle accru. La Commission étudiera donc la proportionnalité de la collecte au point III de la présente délibération.

De surcroît, il appert des captures d’écran du téléservice jointes au dossier que le responsable de traitement s’octroie la possibilité de contraindre les horaires et la durée de mise à disposition pour respecter les règles/contraintes de déclaration imposées dans les textes y relatifs.

La Commission relève que l’article 46 de l’Ordonnance Souveraine n° 1.720, ainsi que l’arrêté ministériel n° 2019‑790, susvisés, prévoient que la déclaration peut intervenir 10 minutes après la mise à disposition qui elle, peut s’effectuer sans limitation de durée. Il n’existe dès lors aucune disposition légale qui permet au responsable de traitement d’imposer des contraintes. Elle rappelle donc que le téléservice ne peut conduire à outrepasser lesdites dispositions.

En outre, l’intérêt légitime trouve son fondement dans la volonté de l’Administration de simplifier les démarches administratives des administrés en leur permettant de déposer leur déclaration sans se déplacer et sans autre démarche, ce qui s’inscrit dans le cadre de l’Ordonnance Souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l’Administration et l’administré.

La Commission rappelle que conformément aux dispositions de l’article 43 de l’Ordonnance Souveraine susvisée « (…) la création d’un téléservice ne saurait toutefois avoir pour effet de supprimer la possibilité pour l’usager, d’accomplir les démarches, formalités ou paiements qui en sont l’objet par des voies autres qu’électroniques ».

Elle relève que ce principe est rappelé par le responsable de traitement aux personnes concernées dans les Conditions Générales d’Utilisation du téléservice.

Sous la réserve sus-évoquée, la Commission considère que le traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165, modifiée.

III.   Sur les informations traitées

Le responsable de traitement indique que les informations nominatives traitées sont :

-   identité : demandeur : nom, prénom, raison sociale ; société : nom de la société, type d’activité (VTC, Taxi, TPRP), et le cas échéant numéro E-V.T.C., numéro de licence T.P.R.P., numéro de licence, lieu d’exercice ; chauffeur : nom, prénom ;

-   adresses et coordonnées : demandeur : email du contact ;

-   données d’identification électronique : identifiant technique de l’usager ;

-   informations temporelles : horodatages, etc. : données d’horodatage ;

-   données de connexion : log de connexion de l’usager, données de messagerie de l’usager ;

-   informations relatives à la demande : demande : qualité de chauffeur du déclarant, ou non ; informations relatives à la course : marque, type, couleur du véhicule, numéro d’immatriculation, date et heure de prise en charge, adresse de prise en charge, date et heure prévue d’entrée à Monaco, durée prévue de mise à disposition, donneur d’ordre, qualité de donneur d’ordre ou non du passager, nombre d passagers, nom(s) du (des) passager(s) ;

-   pièces justificatives : bon de réservation, label qualité français « Voiture de Transport avec Chauffeur - Limousine », carte grise, carte professionnelle.

Les informations relatives à l’identité, aux adresses et coordonnées, aux informations relatives à la demande et aux pièces justificatives sont renseignées par l’usager déclarant, qui est ou non le demandeur.

Enfin, les autres données sont générées par le système.

Comme indiqué au point II de la présente délibération, la Commission estime que toute collecte de données supplémentaires à ce qu’autorise l’article 45 bis est disproportionnée. Aussi, elle demande à ce que les pièces justificatives soient retirées du téléservice. Les personnes concernées peuvent toutefois être informées qu’il pourra leur être demandé en cas de contrôle de présenter lesdits documents, sans qu’aucune collecte ne soit opérée.

En outre, la Commission relève qu’est collecté le nom du/des passagers. Par délibération n° 2021‑18 du 20 janvier 2021 relative aux déclarations préalables de course, elle avait demandé, en l’absence de justification, que le nom des passagers ne fasse l’objet d’aucun traitement.

Le responsable de traitement souhaite désormais justifier la collecte du nom du/des passagers au motif suivant :

« (…) cette collecte apparaît indispensable à des fins de vérification de l’exactitude des informations renseignées dans les démarches en ligne, à savoir :

-   Correspondance de l’identité des passagers présents dans l’habitacle avec celle mentionnée sur le téléservice (éviter les fausses déclarations, ex : une seule déclaration pour plusieurs courses réalisées avec une clientèle différente …) ;

-   Vérifications ultérieures (dénonciations des professionnels monégasques - taxi - grandes remises, signalements de nos autorités de tutelles …) ;

-   Éviter la réitération des télédéclarations fallacieuses (lieux de prises en charge et/ou de dépose fantaisistes - récurrences importantes - références de clientèle identiques pour des courses différentes …) ».

La Commission relève que l’Ordonnance Souveraine et la déclaration de mise à disposition peuvent avoir pour objectif de vérifier la conformité de la course avec le cadre général prévu par l’Ordonnance Souveraine n° 1.720, susvisée, et vérifier notamment la correspondance de l’identité des passagers avec la déclaration effectuée. Elle estime donc que la DSP peut procéder à une telle collecte, et lève la demande d’exclusion de collecte de données de passagers formulées dans sa délibération n° 2021‑18, dès lors que la durée de conservation desdites informations n’excède pas trois mois. La Commission rappelle cependant qu’en application de l’arrêté ministériel n° 2019‑790 du 16 septembre 2019 fixant les montants des droits de délivrance des vignettes pour l’exploitation de véhicules de location avec chauffeurs étrangers, cette déclaration peut être effectuée 10 minutes après l’arrivée en Principauté.

La Commission estime enfin que la réutilisation ultérieure des informations objets des traitements ayant pour finalité respective la déclaration préalable de course et la déclaration de mise à disposition, objet du présent traitement, en lien avec des éventuels signalements ou dénonciations, ainsi que l’étude de la récurrence, n’est pas justifiée par les dispositions légales et apparaît disproportionné.

Sous cette réserve, la Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10‑1 de la loi n° 1.165 du 23 décembre 1993.

IV.   Sur les droits des personnes concernées

    *  Sur l’information préalable des personnes concernées

L’information préalable des personnes concernées est réalisée par le biais d’une mention particulière intégrée dans un document d’ordre général accessible en ligne, à savoir les conditions générales d’utilisation de la démarche en ligne que l’usager doit accepter et peut consulter dès l’accès à la démarche. Il est également indiqué que l’usager doit cocher une deuxième case indiquant « j’accepte que mes données personnelles soient traitées dans le cadre du téléservice ».

À la lecture de la mention d’information précitée, la Commission constate qu’elle est conforme aux exigences légales.

La Commission rappelle néanmoins que les « Agents traitants » doivent être également informés de leurs droits.

Elle attire également l’attention sur la nécessité de sensibiliser les déclarants sur le fait qu’ils doivent informer les personnes qu’ils renseignent dans les formulaires (tels que chauffeurs et les passagers) de la communication de leurs informations vers le présent traitement. En effet, ces derniers ne peuvent être directement informés par la DSP de l’existence de celui‑ci.

    *  Sur l’exercice du droit d’accès, de modification et de mise à jour

Le droit d’accès est exercé sur place, par voie postale, par accès en ligne au dossier, ou par courrier électronique auprès de la Direction de la Sûreté Publique.

S’agissant de l’exercice du droit d’accès par voie électronique, la Commission rappelle qu’une procédure doit être mise en place afin que le responsable de traitement puisse s’assurer, en cas de doute sur l’identité de la personne à l’origine du courriel, qu’il s’agit effectivement de la personne concernée par les informations.

À ce titre, elle précise que si une copie d’un document d’identité était demandée, la transmission et le traitement de ce document devront faire l’objet de mesures de protection particulières, comme rappelé dans sa délibération n° 2015‑113 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d’identité officiels.

Sous ces conditions, elle considère que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.

V.    Sur les destinataires et les personnes ayant accès au traitement

Les accès sont définis comme suit :

-   les personnels de la Direction de la Sûreté Publique : en lecture, en traitement, en paramétrage, en export ;

-  les personnels de la Direction des Services Numériques (DSN), ou tiers intervenant pour son compte : accès configuration dans le cadre d’un rôle d’assistance à maitrise d’ouvrage, des missions de maintenance, développement des applicatifs nécessaires au fonctionnement du site et de sécurité du site et du système d’information de l’État.

Concernant les accès de la DSN, il est indiqué qu’ils sont enlevés un mois après l’ouverture du téléservice (« accès au téléservice avec le rôle d’administrateur fonctionnel et sans accès aux données usagers »), étant précisé que « pour des besoins d’investigations suite au signalement d’un incident », des rôles supplémentaires pourront leur être attribués « sur demande de la DSP ».

En ce qui concerne les prestataires, la Commission rappelle que conformément aux dispositions de l’article 17 de la loi n° 1.165 du 23 décembre 1993 les droits d’accès doivent être limités à ce qui est strictement nécessaire à l’exécution de leur contrat de prestation de service. De plus, lesdits prestataires sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.

La Commission relève par ailleurs que les personnes concernées disposent d’un accès à leur propre compte.

Elle considère enfin que ces accès sont justifiés.

VI.   Sur les rapprochements et les interconnexions avec d’autres traitements

Le présent traitement fait l’objet d’interconnexions avec les traitements légalement mis en œuvre suivants :

-   « Gestion du compte permettant aux usagers d’entreprendre des démarches par téléservices », afin de permettre l’accès sécurisé des usagers à la démarche ;

-   « Gérer les habilitations des agents et fonctionnaires de l’État aux téléservices contenus dans le « Guichet Virtuel » », afin de gérer les habilitations des personnels de l’État ;

-   « Gestion des habilitations et des accès au Système d’Information », afin de disposer des éléments permettant de créer un compte aux utilisateurs (agents de la DSP) ;

-   « Gestion et analyse des évènements du Système d’Information », afin de veiller à la traçabilité et à la sécurité des actions effectuées sur le réseau ;

-   « Gestion des accès dédiés au Système d’information du Gouvernement », afin d’assurer la sécurité des accès au SI ;

-   « Gestion de la messagerie professionnelle », afin de permettre aux acteurs du traitement de pouvoir échanger.

Le responsable de traitement indique enfin que le traitement est rapproché avec l’« Assistance aux utilisateurs par le Centre de Service de la DSI », légalement mis en œuvre par l’État, afin notamment de permettre les demandes d’habitations ou le traitement d’incidents.

La Commission considère que ces interconnexions et ces rapprochements sont conformes aux exigences légales.

VII. Sur la sécurité du traitement et des informations

Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.

Cependant, il convient de préciser que la copie ou l’extraction d’informations issues de ce traitement doit être chiffrée sur son support de réception.

En outre les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare‑feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort.

La Commission rappelle enfin que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui‑ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.

VIII. Sur la durée de conservation

Les informations sont conservées sur le téléservice 3 mois à compter de la fin du traitement de la demande et les informations temporelles et les données de connexion sont effacées au bout d’un an glissant.

La Commission considère que ces durées de conservation sont conformes aux exigences légales.

Après en avoir délibéré, la Commission :

Demande que :

-   les usagers soient sensibilisés sur le fait qu’ils doivent informer les personnes à renseigner dans les formulaires de la communication de leurs informations à la DSP ;

-   la collecte d’informations et le formalisme de la déclaration de dépose soient encadrés par un arrêté ministériel d’application dédié, dissipant toute insécurité juridique ;

-   ladite collecte soit limitée aux informations visées à l’article 45 bis de l’Ordonnance Souveraine n° 1.720, susvisée.

Exclut donc la collecte des pièces justificatives renseignées dans la présente demande d’avis.

Considère que :

-   les informations nominatives des passagers peuvent être collectées, en ce qui concerne le présent traitement, mais également celui relatif aux déclarations préalables de course objet de la délibération n° 2021‑18, dès lors que lesdites informations ne soient pas conservées plus de trois mois ;

-   les objectifs justifiant la réutilisation ultérieure des informations objets du présent traitement (dénonciation, signalement, contrôle des récurrences de courses) sont disproportionnés.

Rappelle  :

-   que le responsable de traitement ne saurait créer de contraintes qui ne sont pas prévues par les dispositions légales ou réglementaires, ou qui sont contra legem ;

-   la copie ou l’extraction d’informations issues de ce traitement doit être chiffrée sur son support de réception ;

-   que les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare‑feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé ;

-   qu’une procédure relative au droit d’accès par voie électronique doit être mise en place afin que le responsable de traitement puisse s’assurer, en cas de doute sur l’identité de la personne à l’origine du courriel, qu’il s’agisse effectivement de la personne concernée par les informations ;

-   que les personnels de la DSP doivent également être informés de leurs droits.

Sous le bénéfice de la prise en compte de ce qui précède, la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d’État, du traitement automatisé d’informations nominatives ayant pour finalité « Déclaration de mise à disposition pour les VTC, TPRP et Taxis étrangers par voie dématérialisée ».

Le Président de la Commission

de Contrôle des Informations Nominatives.