Arrêté Ministériel n° 2010-191 du 7 avril 2010 relatif aux modalités de déclaration simplifiée de conformité des traitements automatisés d’informations nominatives portant sur la gestion des fichiers de clients et de prospects
Nous, Ministre d’Etat de la Principauté,
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l’arrêté ministériel n° 2000-579 du 6 décembre 2000 relatif aux modalités de déclaration simplifiée des traitements automatisés d’informations nominatives portant sur la gestion des fichiers clients, des fichiers fournisseurs et des fichiers de paie des personnels ;
Vu la délibération n° 09-12 du 23 novembre 2009 de la Commission de Contrôle des Informations Nominatives portant proposition d’élaboration d’une norme permettant la déclaration simplifiée de conformité des traitements automatisés d’informations nominatives relatifs à la gestion fichiers de clients et de prospects et d’abrogation de l’arrêté ministériel n° 2000-579 du 6 décembre 2000 ;
Vu la délibération du Conseil de Gouvernement en date du 24 mars 2010 ;
Arrêtons :
Article Premier.
La procédure de déclaration simplifiée de conformité prévue au deuxième alinéa de l’article 6 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, est applicable aux traitements automatisés d’informations nominatives relatifs à la gestion fichiers de clients et de prospects dès lors :
- qu’ils concernent uniquement ceux exploités par les responsables de traitements, personnes physiques ou morales de droit privé, visées à l’article 6 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
- qu’ils ne portent que sur des données objectives facilement contrôlables par les personnes intéressées dans le cadre de l’exercice du droit d’accès ;
- qu’ils n’appliquent que des logiciels dont les résultats peuvent être facilement contrôlés ;
- qu’ils n’intéressent que des données contenues dans des fichiers appartenant au responsable de traitement ;
- qu’ils ne donnent pas lieu à d’autres interconnexions que celles nécessaires à l’accomplissement des fonctionnalités énoncées à l’article 2 ;
- qu’ils ne font l’objet d’aucun hébergement auprès d’une personne physique ou morale établie dans un pays ne disposant pas d’un niveau de protection adéquat au sens de l’article 20 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, ni d’aucun transfert d’information vers une telle personne ;
- qu’ils comportent des mesures techniques et organisationnelles propres à assurer un niveau de sécurité adéquat au regard des risques présentés par le traitement et la nature des données et à répondre aux exigences légales prescrites en cas de recours à un prestataire de services pour la réalisation du traitement, telles que visées à l’article 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
- qu’ils font l’objet d’une information claire et individuelle de la personne concernée conformément aux dispositions de l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, et notamment des modalités d’exercice de son droit d’accès, de rectification et d’opposition.
Art. 2.
Les traitements relevant de cette catégorie ne doivent pas avoir pour autres fonctionnalités que d’effectuer les opérations administratives liées :
- aux contrats, aux commandes, aux livraisons ;
- aux factures et à leur transmission par voie électronique ;
- à la comptabilité et notamment la gestion des comptes clients ;
- à l’établissement de statistiques commerciales ;
- à la réalisation d’actions de prospection et de promotion se rattachant à ces fonctionnalités ;
- à la gestion d’un programme de fidélité à l’exclusion des programmes communs à plusieurs sociétés.
Art. 3.
Les informations traitées dans le cadre de ces fichiers doivent uniquement relever des catégories suivantes :
- identité : nom, nom marital, prénoms, date de naissance, raison sociale, adresse ou siège social, téléphone (fixe ou mobile), numéro de télécopie, adresse de courrier électronique, code interne d’identification du client, n° TVA intra-communautaire ;
- situation familiale, économique et financière : nombre et âge du ou des enfant(s), profession, domaine d’activité, catégorie socio-professionnelle ;
- les informations relatives aux moyens de paiement : relevé d’identité postal ou bancaire, numéro de la transaction, numéro de chèque, numéro de carte bancaire ;
- données d’identification électronique : les éléments d’informations se rapportant à la signature électronique des factures transmises par voie télématique ;
- les informations relatives à la relation commerciale : demande(s) de documentation, demande(s) d’essai, produit(s) acheté(s), service(s) ou abonnement(s) souscrit(s), quantité, montant, périodicité, adresse de livraison, historique des achats, retour des produits, origine de la vente ou de la commande, correspondance avec le client et service après vente ;
- les informations relatives aux règlements des factures : modalités de règlements, remises consenties, informations relatives aux crédits (montant et durée, nom de l’organisme prêteur), reçus, impayés, relances, soldes.
Art. 4.
Les informations nominatives relatives aux clients ne peuvent être conservées au-delà de la durée strictement nécessaire à la gestion de la relation commerciale.
Les informations visées aux articles 10 et 11 du Code de commerce sont conservées 10 ans et les informations relatives aux factures transmises par voie télématique sont conservées conformément aux dispositions du Code des taxes sur le chiffre d’affaires.
Les informations relatives aux prospects ne peuvent être conservées que pour la durée pendant laquelle elles sont nécessaires à la réalisation des opérations de prospection, soit un an maximum après le dernier contact ou lorsqu’ils n’ont pas répondu à deux sollicitations successives.
Art. 5.
Peuvent exclusivement être destinataires des informations dans les limites de leurs attributions respectives :
- les personnels chargés des services commerciaux, logistiques et administratifs et leurs supérieurs hiérarchiques ;
- les services chargés des contrôles internes et externes à l’entreprise ;
- les entreprises extérieures liées contractuellement pour l’exécution de leur contrat ;
- les organismes publics, exclusivement pour répondre aux obligations légales ;
- les auxiliaires de justice et officiers ministériels dans le cadre de leur mission de recouvrement de créances ;
- les organismes financiers et les professionnels teneurs de comptes.
Art. 6.
Les traitements automatisés d’informations nominatives relatifs à la gestion de fichiers de clients relevant des secteurs d’activité ci-dessous énoncés ne peuvent bénéficier de la procédure de déclaration simplifiée de conformité :
- secteur bancaire et assimilé ;
- secteur des assurances ;
- secteur de la vente par correspondance ;
- secteur de la santé et de l’éducation.
Art. 7.
L’arrêté ministériel n° 2000-579 du 6 décembre 2000, susvisé, relatif aux modalités de déclaration simplifiée des traitements automatisés d’informations nominatives portant sur la gestion des fichiers clients, des fichiers de fournisseurs et des fichiers de paies des personnels est abrogé.
Les traitements déclarés sur la base de l’arrêté ministériel n° 2000-579 du 6 décembre 2000, susvisé, sont réputés satisfaire aux dispositions du présent arrêté.
Art. 8.
Le Secrétaire Général du Ministère d’Etat est chargé de l’exécution du présent arrêté.
Fait à Monaco, en l’Hôtel du Gouvernement le sept avril deux mille dix.
Le Ministre d’Etat,
M. Roger.
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l’arrêté ministériel n° 2000-579 du 6 décembre 2000 relatif aux modalités de déclaration simplifiée des traitements automatisés d’informations nominatives portant sur la gestion des fichiers clients, des fichiers fournisseurs et des fichiers de paie des personnels ;
Vu la délibération n° 09-12 du 23 novembre 2009 de la Commission de Contrôle des Informations Nominatives portant proposition d’élaboration d’une norme permettant la déclaration simplifiée de conformité des traitements automatisés d’informations nominatives relatifs à la gestion fichiers de clients et de prospects et d’abrogation de l’arrêté ministériel n° 2000-579 du 6 décembre 2000 ;
Vu la délibération du Conseil de Gouvernement en date du 24 mars 2010 ;
Arrêtons :
Article Premier.
La procédure de déclaration simplifiée de conformité prévue au deuxième alinéa de l’article 6 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, est applicable aux traitements automatisés d’informations nominatives relatifs à la gestion fichiers de clients et de prospects dès lors :
- qu’ils concernent uniquement ceux exploités par les responsables de traitements, personnes physiques ou morales de droit privé, visées à l’article 6 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
- qu’ils ne portent que sur des données objectives facilement contrôlables par les personnes intéressées dans le cadre de l’exercice du droit d’accès ;
- qu’ils n’appliquent que des logiciels dont les résultats peuvent être facilement contrôlés ;
- qu’ils n’intéressent que des données contenues dans des fichiers appartenant au responsable de traitement ;
- qu’ils ne donnent pas lieu à d’autres interconnexions que celles nécessaires à l’accomplissement des fonctionnalités énoncées à l’article 2 ;
- qu’ils ne font l’objet d’aucun hébergement auprès d’une personne physique ou morale établie dans un pays ne disposant pas d’un niveau de protection adéquat au sens de l’article 20 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, ni d’aucun transfert d’information vers une telle personne ;
- qu’ils comportent des mesures techniques et organisationnelles propres à assurer un niveau de sécurité adéquat au regard des risques présentés par le traitement et la nature des données et à répondre aux exigences légales prescrites en cas de recours à un prestataire de services pour la réalisation du traitement, telles que visées à l’article 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
- qu’ils font l’objet d’une information claire et individuelle de la personne concernée conformément aux dispositions de l’article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, et notamment des modalités d’exercice de son droit d’accès, de rectification et d’opposition.
Art. 2.
Les traitements relevant de cette catégorie ne doivent pas avoir pour autres fonctionnalités que d’effectuer les opérations administratives liées :
- aux contrats, aux commandes, aux livraisons ;
- aux factures et à leur transmission par voie électronique ;
- à la comptabilité et notamment la gestion des comptes clients ;
- à l’établissement de statistiques commerciales ;
- à la réalisation d’actions de prospection et de promotion se rattachant à ces fonctionnalités ;
- à la gestion d’un programme de fidélité à l’exclusion des programmes communs à plusieurs sociétés.
Art. 3.
Les informations traitées dans le cadre de ces fichiers doivent uniquement relever des catégories suivantes :
- identité : nom, nom marital, prénoms, date de naissance, raison sociale, adresse ou siège social, téléphone (fixe ou mobile), numéro de télécopie, adresse de courrier électronique, code interne d’identification du client, n° TVA intra-communautaire ;
- situation familiale, économique et financière : nombre et âge du ou des enfant(s), profession, domaine d’activité, catégorie socio-professionnelle ;
- les informations relatives aux moyens de paiement : relevé d’identité postal ou bancaire, numéro de la transaction, numéro de chèque, numéro de carte bancaire ;
- données d’identification électronique : les éléments d’informations se rapportant à la signature électronique des factures transmises par voie télématique ;
- les informations relatives à la relation commerciale : demande(s) de documentation, demande(s) d’essai, produit(s) acheté(s), service(s) ou abonnement(s) souscrit(s), quantité, montant, périodicité, adresse de livraison, historique des achats, retour des produits, origine de la vente ou de la commande, correspondance avec le client et service après vente ;
- les informations relatives aux règlements des factures : modalités de règlements, remises consenties, informations relatives aux crédits (montant et durée, nom de l’organisme prêteur), reçus, impayés, relances, soldes.
Art. 4.
Les informations nominatives relatives aux clients ne peuvent être conservées au-delà de la durée strictement nécessaire à la gestion de la relation commerciale.
Les informations visées aux articles 10 et 11 du Code de commerce sont conservées 10 ans et les informations relatives aux factures transmises par voie télématique sont conservées conformément aux dispositions du Code des taxes sur le chiffre d’affaires.
Les informations relatives aux prospects ne peuvent être conservées que pour la durée pendant laquelle elles sont nécessaires à la réalisation des opérations de prospection, soit un an maximum après le dernier contact ou lorsqu’ils n’ont pas répondu à deux sollicitations successives.
Art. 5.
Peuvent exclusivement être destinataires des informations dans les limites de leurs attributions respectives :
- les personnels chargés des services commerciaux, logistiques et administratifs et leurs supérieurs hiérarchiques ;
- les services chargés des contrôles internes et externes à l’entreprise ;
- les entreprises extérieures liées contractuellement pour l’exécution de leur contrat ;
- les organismes publics, exclusivement pour répondre aux obligations légales ;
- les auxiliaires de justice et officiers ministériels dans le cadre de leur mission de recouvrement de créances ;
- les organismes financiers et les professionnels teneurs de comptes.
Art. 6.
Les traitements automatisés d’informations nominatives relatifs à la gestion de fichiers de clients relevant des secteurs d’activité ci-dessous énoncés ne peuvent bénéficier de la procédure de déclaration simplifiée de conformité :
- secteur bancaire et assimilé ;
- secteur des assurances ;
- secteur de la vente par correspondance ;
- secteur de la santé et de l’éducation.
Art. 7.
L’arrêté ministériel n° 2000-579 du 6 décembre 2000, susvisé, relatif aux modalités de déclaration simplifiée des traitements automatisés d’informations nominatives portant sur la gestion des fichiers clients, des fichiers de fournisseurs et des fichiers de paies des personnels est abrogé.
Les traitements déclarés sur la base de l’arrêté ministériel n° 2000-579 du 6 décembre 2000, susvisé, sont réputés satisfaire aux dispositions du présent arrêté.
Art. 8.
Le Secrétaire Général du Ministère d’Etat est chargé de l’exécution du présent arrêté.
Fait à Monaco, en l’Hôtel du Gouvernement le sept avril deux mille dix.
Le Ministre d’Etat,
M. Roger.