Délibération n° 2024‑136 du 12 juin 2024 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre d'un traitement automatisé d'informations nominatives ayant pour finalité « Gestion du traitement des réquisitions judiciaires et administratives » présenté par Monaco Telecom.

Vu la Constitution ;

Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;

Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;

Vu la loi n° 1.430 du 13 juillet 2016 portant diverses mesures relatives à la préservation de la sécurité nationale ;

Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;

Vu l’Arrêté Directorial du Secrétaire d’État à la Justice, Directeur des Services Judiciaires n° 2023‑24 du 6 juillet 2023 relatif aux interceptions d’appels, à la localisation en temps réel et à la fourniture des données portant sur l’identification des personnes bénéficiaires ou utilisatrices des services fournis par l’opérateur de communications électroniques délégataire de service public, sur les caractéristiques techniques des communications assurées par ce dernier et sur la localisation des équipements terminaux ;

Vu l’arrêté ministériel n° 2017‑579 du 19 juillet 2017 portant application de l’article 10 de la loi n° 1.430 du 13 juillet 2016 portant diverses mesures relatives à la préservation de la sécurité nationale ;

Vu le Contrat de Concession du Service Public des communications électroniques sur le territoire de la Principauté de Monaco du 26 septembre 2011 ;

Vu le Cahier des Charges relatif à la Concession du Service Public des communications électroniques sur le territoire de la Principauté de Monaco, signé le 26 septembre 2011, annexé à l’Ordonnance Souveraine n° 3.560 du 6 décembre 2011 ;

Vu le Cahier des Charges de l’avenant à la Concession du Service Public des communications électroniques et ses annexes attachées à l’Ordonnance Souveraine n° 6.186 du 12 décembre 2016 ;

Vu le Cahier des Charges de l’Avenant n° 3 à la Convention de Concession du Service Public des Communications électroniques et ses annexes annexés à l’Ordonnance Souveraine n° 8.654 du 10 mai 2021 ;

Vu le Code pénal ;

Vu le Code de procédure pénale ;

Vu la délibération n° 2011‑82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;

Vu la demande d’avis reçue de Monaco Telecom, le 7 mars 2024, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité « Gestion du traitement des réquisitions judiciaires et administratives » ;

Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement, le 24 avril 2024, conformément à l’article 19 de l’Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;

Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 12 juin 2024 portant examen du traitement automatisé susvisé ;

La Commission de Contrôle des Informations Nominatives,

Préambule

Monaco Telecom SAM (MT) est une société concessionnaire d’un service public, immatriculée au RCI, sous le numéro 97 S 03277. Elle a notamment pour objet « d’assurer dans les relations intérieures et internationales, tous services de télécommunication. À ce titre, elle assure les activités d’opérateur public chargé de l’exploitation du service téléphonique de la Principauté de Monaco […] ».

Cette société indique que « Ce traitement est mis en œuvre par Monaco Telecom afin de répondre et traiter les réquisitions judiciaires et administratives émises à son attention par les organismes compétents de la Principauté conformément au cadre légal de la Principauté de Monaco ».

Ainsi, Monaco Telecom SAM soumet à l’avis de la Commission le traitement automatisé d’informations nominatives ayant pour finalité la « Gestion du traitement des réquisitions judiciaires et administratives », conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993.

I.   Sur la finalité et les fonctionnalités du traitement

Ce traitement a pour finalité « Gestion des réquisitions judiciaires et administratives ».

Il concerne les clients de Monaco Telecom et les abonnés d’opérateurs étrangers en itinérance à Monaco. La Commission relève que sont également concernés les Officiers de Police Judiciaire ou représentants des Autorités administratives habilitées.

Les fonctionnalités sont :

-    réception des réquisitions ;

-    transmission sécurisée des éléments demandés aux Autorités concernées ;

-    référencement au sein d’un registre des réquisitions reçues, contenant l’identifiant de la réquisition/demande, l’Officier de Police Judiciaire ou le personnel de l’Autorité administrative habilité, conservé dans un espace sécurisé. Il est précisé que les contenus de la réquisition, l’identification des personnes concernées par la réquisition, et la réponse fournie n’apparaissent pas dans ce registre.

La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10‑1 de la loi n° 1.165 du 23 décembre 1993.

II. Sur la licéité et la justification du traitement

Le responsable de traitement indique que le présent traitement est justifié par le respect d’une obligation légale à laquelle il est soumis.

À cet égard, il expose que « Les réquisitions judiciaires sont encadrées en particulier par l’Arrêté Directorial du Secrétaire d’État à la Justice Directeur des Services Judiciaires du 6 juillet 2023. L’opérateur Monaco Telecom se doit par ailleurs d’intervenir dans le cadre de l’Avenant n° 3 au Contrat de Concession du Service Public des Communications Électroniques sur le Territoire de la Principauté de Monaco en date du 7 mai 2021. Plusieurs dispositions du Code Pénal et Code de Procédure Pénale monégasque concernent également les réquisitions judiciaires.

Les réquisitions administratives sont encadrées par la loi n° 1.430 du 13 juillet 2016 instituant diverses mesures relatives à la préservation de la sécurité nationale ainsi que l’arrêté ministériel n° 2017‑579 du 19 juillet 2017.

L’article 9 de la loi n° 1.430 précise l’autorisation exceptionnelle d’interceptions des correspondances par le Ministre d’État selon des finalités spécifiques. Celles-ci peuvent avoir lieu pour prévenir du terrorisme, défendre les intérêts stratégiques de la politique extérieure de la Principauté et sauvegarder les intérêts fondamentaux de la Principauté ».

La Commission relève que le traitement concerne exclusivement des Autorités publiques demandant la communication d’informations en application de dispositions légales les habilitant à le faire. Le responsable de traitement ne pourra ainsi communiquer les informations que si la demande est fondée sur une telle disposition, et dans la limite des prérogatives des Autorités dont s’agit, s’agissant notamment de la nature et du quantum des informations communicables (principe de proportionnalité) et de l’opposabilité ou non du secret professionnel. En outre, l’existence de canaux sécurisés prédéfinis limite le risque de communication à des personnes non autorisées.

Elle estime en outre que la tenue du « registre des réquisitions » relève de l’intérêt légitime du responsable de traitement, permettant la preuve de la transmission, sa qualité (respect des délais), et le traitement de la facturation, avec suppression de l’historique.

La Commission considère que le traitement est licite et justifié, conformément aux dispositions des articles 10‑1 et 10‑2 de la loi n° 1.165 du 23 décembre 1993.

III.   Sur les informations nominatives traitées

Les informations nominatives traitées sont :

-    identité : noms et prénoms des personnes à l’origine des réquisitions (OPJ ou représentant des autorités administratives ;

-    informations temporelles : dates des demandes et des réponses aux réquisitions ;

-    informations présentes sur le registre tenu par Monaco Telecom : numéro de référence de la réquisition.

Par complément d’informations, il est indiqué que seul le contenu des réquisitions d’une Autorité administrative est conservé au sein du registre. Les autres réponses ne sont pas conservées, hors conservation sur le canal sécurisé pour un délai de trois mois.

La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10‑1 de la loi n° 1.165 du 23 décembre 1993.

IV.   Sur les droits des personnes concernées

Le responsable de traitement indique que l’information préalable des personnes concernées s’effectue par le biais d’une mention particulière intégrée dans un document d’ordre général et que le droit d’accès s’exerce sur place ou par courrier électronique auprès du Délégué à la Protection des Données.

La Commission relève qu’est joint au dossier un extrait des modalités de droit d’accès ouvertes sur le site Internet de Monaco Telecom, dont la totalité des mentions des menus déroulants y relatifs n’a pas été portée au dossier. Si la Commission relève que l’information portée sur le site Internet de Monaco Telecom est sans lien avec l’information des personnes concernées par le présent traitement, elle estime surtout que la question des droits des personnes concernées, et de leur exercice, se pose eu égard à la nature particulière du traitement dont s’agit.

Ainsi, il convient d’évoquer à titre liminaire que l’article 4 du RGPD définit le destinataire comme étant « la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui reçoit communication de données à caractère personnel, qu’il s’agisse ou non d’un tiers. Toutefois, les autorités publiques qui sont susceptibles de recevoir communication de données à caractère personnel dans le cadre d’une mission d’enquête particulière conformément au droit de l’Union ou au droit d’un État membre ne sont pas considérées comme des destinataires ; le traitement de ces données par les autorités publiques en question est conforme aux règles applicables en matière de protection des données en fonction des finalités du traitement ».

Ainsi, pour le droit européen, répondre à des réquisitions ne s’analyse pas en une communication d’informations à un destinataire. Dès lors, ne pas avoir cette qualité de « destinataire », mais, au sens français, de « tiers autorisé » par la loi, a pour conséquence que le responsable de traitement n’a pas à informer les personnes concernées de telles communications.

La loi n° 1.165, précitée, ne connaît pas de cette subtilité. Il en résulte que les Autorités concernées par des pouvoirs légaux de communication des données s’analyse à Monaco comme des destinataires des informations, avec les obligations d’information y associées.

La Commission rappelle toutefois que les dispositions spéciales dérogeant aux dispositions générales, les demandes effectuées par les Autorités judiciaires et administratives relèvent de règles procédurales propres et peuvent être couvertes par différents secrets, tels que les secrets de l’instruction et de sécurité nationale.

Aussi, en cas d’un éventuel droit d’accès qui serait exercé à l’endroit d’informations objets du présent traitement, la Commission estime qu’il peut être dérogé aux dispositions de la loi n° 1.165 quand un texte spécial le permet.

La Commission relève cependant que les dispositions contenues au sein du projet de loi n° 1.054 ayant pour vocation de remplacer la loi n° 1.165 sont plus protectrice en adoptant l’approche européenne en la matière, afin de ne pas placer le responsable de traitement dans une situation ambigüe dans les cas résiduels où la requête d’une Autorité Publique ne serait pas protégée par un texte particulier.

Enfin, elle estime que les personnels et OPJ habilités peuvent exercer leurs droits sur leurs seules informations.

V. Sur les destinataires et les personnes ayant accès au traitement

Le responsable de traitement indique que les personnes habilitées à avoir accès au traitement sont :

-    les responsables réquisitions habilités à recevoir et traiter les réquisitions judiciaires et administratives en inscription, consultation, modification ;

-    la Direction Technique de Monaco Telecom et la Direction Commerciale, selon les informations nécessaires, en consultation et transmission, étant précisé que « ces personnes n’ont pas connaissance des réquisitions émises ». 

La Commission considère que ces accès sont justifiés.

VI.   Sur les rapprochements et interconnexions

Le responsable de traitement indique que le présent traitement fait l’objet de rapprochements avec les traitements légalement mis en œuvre suivants, aux fins de collecter les informations demandées dans les réquisitions :

-    « Gestion des Offres Composites » ;

-    « Gestion d’un service d’accès Internet via des réseaux WIFI à usage libre » ;

-    « Gestion de la messagerie voix des clients fixe et mobile de Monaco Telecom » ;

-    « Gestion des services mobiles data, voix et SMS/MMS des abonnés MT en itinérance » ;

-    « Gestion des services mobiles Data, Voix et SMS/MMS des abonnés des opérateurs roaming Partners en itinérance à Monaco ».

VII. Sur la sécurité du traitement et des informations

Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation particulière.

Cependant, les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.

En outre, il convient de préciser que la copie ou l’extraction d’informations issues de ce traitement doit être chiffrée sur son support de réception.

La Commission rappelle en outre que, conformément à l’article 17 de la loi n° 1.165 modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement, au regard des risques présentés par ce traitement et de la nature des données à protéger, devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.

VIII. Sur la durée de conservation

Le responsable de traitement indique que les informations sont conservées 1 an maximum sur le registre et trois mois maximum sur le canal sécurisé.

La Commission considère que ces durées sont conformes aux exigences légales.

Après en avoir délibéré, la Commission :

Constate que les Officiers de Police Judiciaire et les personnes habilitées des Autorités administratives sont des personnes concernées.

Considère que les droits des personnes concernées peuvent être adaptés quand des dispositions spécifiques dérogent aux dispositions de la loi n° 1.165, modifiée.

Rappelle que :

-    le responsable de traitement ne pourra communiquer les informations que si la demande est fondée sur des dispositions légales, dans la limite des prérogatives des Autorités à l’origine d’une demande, s’agissant notamment de la nature et du quantum des informations communicables (principe de proportionnalité) et de l’opposabilité ou non du secret professionnel ;

-    les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switch, routeurs, pares-feux), ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé ;

-    la copie ou l’extraction d’informations issues de ce traitement doit être chiffrée sur son support de réception.

Sous le bénéfice de la prise en compte de ce qui précède,

la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par Monaco Telecom, du traitement automatisé d’informations nominatives ayant pour finalité « Gestion du traitement des réquisitions judiciaires et administratives ».

Le Président de la Commission

de Contrôle des Informations Nominatives.