Délibération n° 2011-42 du 18 juin 2011 portant avis favorable sur la demande présentée par par la Société Monégasque de l’Electricité et du Gaz (smeg) relative à la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité «Gestion de la relation clientèle»
Vu la Constitution ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu l’ordonnance souveraine n° 2.578 du 13 janvier 2010 approuvant le traité de concession de la SMEG, ainsi que ses annexes et cahiers des charges ;
Vu l’arrêté ministériel n° 2009-382 du 31 juillet 2009 portant application de l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée ;
Vu le traité de concession du service public de la distribution de l’électricité et du gaz conclu entre la SMEG et la Principauté de Monaco, et entré en vigueur le 1er janvier 2009, accompagné de ses annexes et cahiers des charges ;
Vu la délibération n° 2011-11 du 17 janvier 2011 de la Commission portant avis favorable sur la demande déposée par la Société Monégasque de l’Electricité et du Gaz (SMEG) relative à la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité «Gestion de la relation clientèle» ;
Vu la demande d’avis modificative déposée par la Société Monégasque de l’Electricité et du Gaz (SMEG) le 8 mars 2011 concernant la mise en œuvre du traitement automatisé ayant pour finalité «Gestion de la relation clientèle» ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 18 avril 2011 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives
Préambule
La Société Monégasque de l’Electricité et du Gaz (SMEG) est une société anonyme en charge de l’exploitation du service public de la distribution de l’électricité et du gaz, en application du traité de concession, entré en vigueur le 1er janvier 2009, entre la SMEG et la Principauté de Monaco.
Ainsi, conformément aux dispositions de l’article 7 de la loi n° 1.165, modifiée, du 23 décembre 1993, et à l’arrêté ministériel n° 2009-382 du 31 juillet 2009 portant application dudit article, la SMEG a précédemment soumis à l’avis de la Commission un traitement automatisé d’informations nominatives ayant pour finalité «Gestion de la relation clientèle».
Par délibération n° 2011-11 du 17 janvier 2011, la Commission a émis un avis favorable à la mise en œuvre d’un tel traitement, assorti d’un certain nombre de réserves.
A ce titre, la SMEG soumet la présente demande d’avis modificative, venant prendre en compte les remarques ainsi émises par la Commission, et compléter le traitement d’une fonctionnalité supplémentaire issue de son interconnexion avec le traitement ayant pour finalité «analyse des consommations énergétiques et des usages», objet d’une demande d’autorisation concomitante.
I. Sur la finalité et les fonctionnalités du traitement
La finalité du traitement est «Gestion de la relation clientèle». La dénomination du traitement est SESAME.
Par ailleurs, outre les fonctionnalités déjà décrites dans le cadre de la demande d’avis originale, la Commission relève que la SMEG souhaite ajouter au traitement susvisé la fonctionnalité suivante : gestion des diagnostics «énergétique» et «sécurité» réalisés soit par la SMEG soit par des prestataires sous-traitants.
Enfin, afin de prendre en compte les demandes de la Commission dans le cadre de sa délibération n° 2011-11 susvisée, la SMEG vient ajouter aux personnes concernées les catégories suivantes : mandataires et tiers payeurs.
Au vu de ces éléments, la Commission constate que la finalité est conforme aux dispositions de la loi n°1.165, modifiée.
II. Sur la licéité du traitement
La licéité du traitement a été analysée dans le cadre de l’examen de la demande d’avis originale.
A ce titre, la Commission a estimé que le traitement était licite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
III. Sur la justification du traitement
Afin de justifier l’ajout de la nouvelle fonctionnalité précitée, la Commission relève que le traitement est justifié par :
- le consentement des personnes concernées ;
- le respect d’une obligation légale à laquelle est soumis le responsable de traitement ;
- la réalisation d’un intérêt légitime poursuivi par le responsable de traitement, sans que soient méconnus les libertés et droits fondamentaux des individus.
En ce qui concerne le recueil du consentement des personnes concernées, la Commission prend acte des déclarations de la SMEG selon lesquelles «préalablement à tout diagnostic, la SMEG demande le consentement écrit de ses clients».
Par ailleurs, la SMEG déclare également que le traitement est justifié par le respect d’une obligation légale à laquelle elle est soumise.
A ce titre, la Commission observe qu’il est fait référence :
- à l’article 6.4 de l’Annexe 1 du traité de concession qui lie la SMEG à l’autorité concédante, aux termes duquel la SMEG est tenue d’effectuer des diagnostics «énergie» et «sécurité» ;
- aux articles 13.2 et 17.3 des cahiers des charges électricité et gaz, complétés par l’arrêté ministériel n° 2010-530 du 22 octobre 2010 obligeant les clients de la SMEG à prouver que leurs installations sont conformes aux normes en vigueur. Pour ce faire, ils sont tenus de fournir, en annexe de leur demande de fourniture d’énergie, le diagnostic réalisé par un bureau de contrôle précisant que lesdites installations sont aux normes.
Enfin, la Commission constate que le traitement est justifié par la réalisation d’un intérêt légitime poursuivi par le responsable de traitement.
En effet, aux termes de l’article 6.4 de l’Annexe 1 susvisée, elle relève que les offres de diagnostics énergie et sécurité proposées par la SMEG ont pour objectifs d’«améliorer la sécurité des installations intérieures, donc des personnes et des biens», d’ «améliorer la performance énergétique du bâti (ancien et neuf)», et de «favoriser la production d’électricité à partir de sources d’énergie renouvelable».
Au vu de ces éléments, la Commission considère que le traitement est justifié, conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
IV. Sur les informations traitées
Outre les informations déjà déclarées dans le cadre de la demande d’avis originale, la Commission constate que la SMEG collecte les informations complémentaires suivantes :
- Informations relatives au diagnostic : diagnostic énergie/ sécurité gaz ou électricité réalisé : date du diagnostic, nom du prestataire sous-traitant, commentaires ;
- Informations relatives aux professionnels ayant réalisé l’immeuble : nom et coordonnées.
Elle relève que ces informations ont pour origine la SMEG.
Ainsi, la Commission estime que les informations collectées sont «adéquates, pertinentes et non excessives» au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
V. Sur les droits des personnes concernées
• Sur l’exercice du droit d’accès
La Commission constate que le droit d’accès est exercé par voie postale ou courrier électronique. Le délai de réponse est de vingt jours.
Les droits de modification, mise à jour et suppression des données sont exercés selon les mêmes modalités.
Par ailleurs, en matière de prospection, la Commission observe que les personnes concernées s’expriment par l’opt out. Cette prospection est uniquement réalisée par la SMEG. En effet, les informations ne font l’objet d’aucune cession à des tiers, notamment à des fins commerciales.
De plus, la SMEG explique que « les clients auront la possibilité d’accepter que la SMEG sous-traite ces diagnostics auprès de leur prestataire. En cas d’accord écrit de leur part, la SMEG leur adressera un contrat permettant la réalisation de ces diagnostics. Les clients qui refusent auront la possibilité de choisir eux-mêmes leur prestataire.
Ledit contrat mentionnera d’une part les conditions générales de ces diagnostics, et d’autre part, leurs droits d’accès, de rectification et d’opposition… ».
A ce titre, la Commission rappelle que :
- les prestataires devront soumettre à la Commission les traitements automatisés afférents à la réalisation par leur soin des diagnostics susvisés ;
- la mention d’information préalable doit être conforme aux dispositions de l’article 14, précité.
La Commission constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions de la loi n° 1.165, modifiée. Elle appelle toutefois l’attention de la SMEG sur les obligations légales auxquelles sont soumis les prestataires auxquels elle a recourt pour la réalisation des diagnostics.
• Sur l’information des personnes concernées
La Commission relève que l’information des personnes concernées est effectuée par un courrier adressé à l’intéressé.
A ce titre, elle prend acte des déclarations de la SMEG aux termes desquelles «les articles 13.3 du cahier des charges de la concession de service public de la distribution d’énergie électrique et 17.3 du cahier des charges de la concession de service public de la distribution du gaz naturel, combinés à l’arrêté ministériel n° 2010-530 du 22 octobre 2010 [précité] obligent les clients de la SMEG à prouver que leurs installations sont conformes.
Aussi la SMEG adressera un mailing aux clients pour leur proposer la réalisation de ces diagnostics «sécurité» ou «énergie».
Copie dudit mailing n’ayant pas été jointe au dossier, la Commission rappelle que celui-ci devra comprendre l’ensemble des mentions obligatoires prévues à l’article 14 de la loi n° 1.165, modifiée.
VI. Sur les destinataires des données
La Commission constate que les informations collectées font l’objet de transferts vers des sociétés sous-traitantes situées à Monaco, ainsi qu’en France.
En effet, ces sociétés participent avec la SMEG à la réalisation des diagnostics «énergétique» et «sécurité» précités.
Toutefois, la Commission appelle l’attention du responsable de traitement sur le fait que de tels transferts ne sont conformes aux dispositions légales que dans la mesure où la SMEG s’assure que ses prestataires respectent les obligations issues de la loi n° 1.165, modifiée, et notamment de ses articles 17 et 17-1.
A ce titre, elle rappelle les dispositions de l’article 17, aux termes desquelles :
«Lorsque le responsable du traitement ou son représentant a recours aux services d’un ou plusieurs prestataires, il doit s’assurer que ces derniers sont en mesure de satisfaire aux obligations prescrites aux deux précédents alinéas.
La réalisation de traitements par un prestataire doit être régie par un contrat écrit entre le prestataire et le responsable du traitement ou son représentant qui stipule notamment que le prestataire et les membres de son personnel n’agissent que sur la seule instruction du responsable du traitement ou de son représentant et que les obligations visées aux deux premiers alinéas du présent article lui incombent également.
Si le prestataire souhaite avoir recours aux services d’un ou de plusieurs sous-traitants pour l’exécution de tout ou partie des prestations prévues au contrat susvisé, les dispositions de l’alinéa précédent s’appliquent à ces derniers».
Sous cette réserve, la Commission considère que les transferts de données nominatives aux sociétés précitées sont conformes aux exigences légales.
VII. Sur les personnes ayant accès au traitement
La Commission observe que les personnes habilitées à avoir accès au présent traitement sont :
- la Direction commerciale : tous droits ;
- la Direction financière : consultation des données ;
- la Direction technique : consultation des données ;
- le Service informatique : accès à la base pour son exploitation technique.
Considérant les attributions de chacun de ces services, et eu égard à la finalité du présent traitement, la Commission considère que lesdits accès sont justifiés, et donc conformes aux dispositions de la loi n° 1.165, modifiée.
VIII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations n’appellent pas d’observation.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
IX. Sur la durée de conservation
La SMEG indique que les informations nominatives relatives aux diagnostics sont conservées durant six ans après la date de résiliation du contrat.
La Commission observe que cette durée de conservation permet d’assurer un alignement avec la durée de conservation déclarée pour les autres données objets du présent traitement, durée que la Commission a estimée conforme aux exigences légales dans le cadre de sa délibération n° 2011-11 précitée.
Par ailleurs, en ce qui concerne les informations relatives aux professionnels ayant réalisé l’immeuble, la Commission relève qu’il est indiqué que les données sont «anonymes».
En effet, n’est mentionné que le nom des entités personnes morales, et non celui de personnes physiques. Elle considère donc qu’il ne s’agit pas d’informations nominatives au sens de la loi n° 1.165, modifiée.
Après en avoir délibéré, et sans préjudice des réserves émises dans le cadre de la délibération n° 2011-11 précitée :
Rappelle que :
- le mailing employé par la SMEG à des fins d’information préalable des personnes concernées devra comprendre l’ensemble des mentions obligatoires prévues à l’article 14 de la loi n° 1.165, modifiée ;
- la SMEG est tenue de garantir le respect de la confidentialité des informations traitées dans le cadre de ses contrats de prestation, conformément aux dispositions des articles 17 et 17-1 de la loi n° 1.165, modifiée ;
A la condition de la prise en compte de ce qui précède,
La Commission de Contrôle des Informations Nominatives émet un avis favorable à la modification par la Société Monégasque de l’Electricité et du Gaz (SMEG) du traitement automatisé d’informations nominatives ayant pour finalité «Gestion de la relation clientèle».
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu l’ordonnance souveraine n° 2.578 du 13 janvier 2010 approuvant le traité de concession de la SMEG, ainsi que ses annexes et cahiers des charges ;
Vu l’arrêté ministériel n° 2009-382 du 31 juillet 2009 portant application de l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée ;
Vu le traité de concession du service public de la distribution de l’électricité et du gaz conclu entre la SMEG et la Principauté de Monaco, et entré en vigueur le 1er janvier 2009, accompagné de ses annexes et cahiers des charges ;
Vu la délibération n° 2011-11 du 17 janvier 2011 de la Commission portant avis favorable sur la demande déposée par la Société Monégasque de l’Electricité et du Gaz (SMEG) relative à la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité «Gestion de la relation clientèle» ;
Vu la demande d’avis modificative déposée par la Société Monégasque de l’Electricité et du Gaz (SMEG) le 8 mars 2011 concernant la mise en œuvre du traitement automatisé ayant pour finalité «Gestion de la relation clientèle» ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 18 avril 2011 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives
Préambule
La Société Monégasque de l’Electricité et du Gaz (SMEG) est une société anonyme en charge de l’exploitation du service public de la distribution de l’électricité et du gaz, en application du traité de concession, entré en vigueur le 1er janvier 2009, entre la SMEG et la Principauté de Monaco.
Ainsi, conformément aux dispositions de l’article 7 de la loi n° 1.165, modifiée, du 23 décembre 1993, et à l’arrêté ministériel n° 2009-382 du 31 juillet 2009 portant application dudit article, la SMEG a précédemment soumis à l’avis de la Commission un traitement automatisé d’informations nominatives ayant pour finalité «Gestion de la relation clientèle».
Par délibération n° 2011-11 du 17 janvier 2011, la Commission a émis un avis favorable à la mise en œuvre d’un tel traitement, assorti d’un certain nombre de réserves.
A ce titre, la SMEG soumet la présente demande d’avis modificative, venant prendre en compte les remarques ainsi émises par la Commission, et compléter le traitement d’une fonctionnalité supplémentaire issue de son interconnexion avec le traitement ayant pour finalité «analyse des consommations énergétiques et des usages», objet d’une demande d’autorisation concomitante.
I. Sur la finalité et les fonctionnalités du traitement
La finalité du traitement est «Gestion de la relation clientèle». La dénomination du traitement est SESAME.
Par ailleurs, outre les fonctionnalités déjà décrites dans le cadre de la demande d’avis originale, la Commission relève que la SMEG souhaite ajouter au traitement susvisé la fonctionnalité suivante : gestion des diagnostics «énergétique» et «sécurité» réalisés soit par la SMEG soit par des prestataires sous-traitants.
Enfin, afin de prendre en compte les demandes de la Commission dans le cadre de sa délibération n° 2011-11 susvisée, la SMEG vient ajouter aux personnes concernées les catégories suivantes : mandataires et tiers payeurs.
Au vu de ces éléments, la Commission constate que la finalité est conforme aux dispositions de la loi n°1.165, modifiée.
II. Sur la licéité du traitement
La licéité du traitement a été analysée dans le cadre de l’examen de la demande d’avis originale.
A ce titre, la Commission a estimé que le traitement était licite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
III. Sur la justification du traitement
Afin de justifier l’ajout de la nouvelle fonctionnalité précitée, la Commission relève que le traitement est justifié par :
- le consentement des personnes concernées ;
- le respect d’une obligation légale à laquelle est soumis le responsable de traitement ;
- la réalisation d’un intérêt légitime poursuivi par le responsable de traitement, sans que soient méconnus les libertés et droits fondamentaux des individus.
En ce qui concerne le recueil du consentement des personnes concernées, la Commission prend acte des déclarations de la SMEG selon lesquelles «préalablement à tout diagnostic, la SMEG demande le consentement écrit de ses clients».
Par ailleurs, la SMEG déclare également que le traitement est justifié par le respect d’une obligation légale à laquelle elle est soumise.
A ce titre, la Commission observe qu’il est fait référence :
- à l’article 6.4 de l’Annexe 1 du traité de concession qui lie la SMEG à l’autorité concédante, aux termes duquel la SMEG est tenue d’effectuer des diagnostics «énergie» et «sécurité» ;
- aux articles 13.2 et 17.3 des cahiers des charges électricité et gaz, complétés par l’arrêté ministériel n° 2010-530 du 22 octobre 2010 obligeant les clients de la SMEG à prouver que leurs installations sont conformes aux normes en vigueur. Pour ce faire, ils sont tenus de fournir, en annexe de leur demande de fourniture d’énergie, le diagnostic réalisé par un bureau de contrôle précisant que lesdites installations sont aux normes.
Enfin, la Commission constate que le traitement est justifié par la réalisation d’un intérêt légitime poursuivi par le responsable de traitement.
En effet, aux termes de l’article 6.4 de l’Annexe 1 susvisée, elle relève que les offres de diagnostics énergie et sécurité proposées par la SMEG ont pour objectifs d’«améliorer la sécurité des installations intérieures, donc des personnes et des biens», d’ «améliorer la performance énergétique du bâti (ancien et neuf)», et de «favoriser la production d’électricité à partir de sources d’énergie renouvelable».
Au vu de ces éléments, la Commission considère que le traitement est justifié, conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
IV. Sur les informations traitées
Outre les informations déjà déclarées dans le cadre de la demande d’avis originale, la Commission constate que la SMEG collecte les informations complémentaires suivantes :
- Informations relatives au diagnostic : diagnostic énergie/ sécurité gaz ou électricité réalisé : date du diagnostic, nom du prestataire sous-traitant, commentaires ;
- Informations relatives aux professionnels ayant réalisé l’immeuble : nom et coordonnées.
Elle relève que ces informations ont pour origine la SMEG.
Ainsi, la Commission estime que les informations collectées sont «adéquates, pertinentes et non excessives» au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
V. Sur les droits des personnes concernées
• Sur l’exercice du droit d’accès
La Commission constate que le droit d’accès est exercé par voie postale ou courrier électronique. Le délai de réponse est de vingt jours.
Les droits de modification, mise à jour et suppression des données sont exercés selon les mêmes modalités.
Par ailleurs, en matière de prospection, la Commission observe que les personnes concernées s’expriment par l’opt out. Cette prospection est uniquement réalisée par la SMEG. En effet, les informations ne font l’objet d’aucune cession à des tiers, notamment à des fins commerciales.
De plus, la SMEG explique que « les clients auront la possibilité d’accepter que la SMEG sous-traite ces diagnostics auprès de leur prestataire. En cas d’accord écrit de leur part, la SMEG leur adressera un contrat permettant la réalisation de ces diagnostics. Les clients qui refusent auront la possibilité de choisir eux-mêmes leur prestataire.
Ledit contrat mentionnera d’une part les conditions générales de ces diagnostics, et d’autre part, leurs droits d’accès, de rectification et d’opposition… ».
A ce titre, la Commission rappelle que :
- les prestataires devront soumettre à la Commission les traitements automatisés afférents à la réalisation par leur soin des diagnostics susvisés ;
- la mention d’information préalable doit être conforme aux dispositions de l’article 14, précité.
La Commission constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions de la loi n° 1.165, modifiée. Elle appelle toutefois l’attention de la SMEG sur les obligations légales auxquelles sont soumis les prestataires auxquels elle a recourt pour la réalisation des diagnostics.
• Sur l’information des personnes concernées
La Commission relève que l’information des personnes concernées est effectuée par un courrier adressé à l’intéressé.
A ce titre, elle prend acte des déclarations de la SMEG aux termes desquelles «les articles 13.3 du cahier des charges de la concession de service public de la distribution d’énergie électrique et 17.3 du cahier des charges de la concession de service public de la distribution du gaz naturel, combinés à l’arrêté ministériel n° 2010-530 du 22 octobre 2010 [précité] obligent les clients de la SMEG à prouver que leurs installations sont conformes.
Aussi la SMEG adressera un mailing aux clients pour leur proposer la réalisation de ces diagnostics «sécurité» ou «énergie».
Copie dudit mailing n’ayant pas été jointe au dossier, la Commission rappelle que celui-ci devra comprendre l’ensemble des mentions obligatoires prévues à l’article 14 de la loi n° 1.165, modifiée.
VI. Sur les destinataires des données
La Commission constate que les informations collectées font l’objet de transferts vers des sociétés sous-traitantes situées à Monaco, ainsi qu’en France.
En effet, ces sociétés participent avec la SMEG à la réalisation des diagnostics «énergétique» et «sécurité» précités.
Toutefois, la Commission appelle l’attention du responsable de traitement sur le fait que de tels transferts ne sont conformes aux dispositions légales que dans la mesure où la SMEG s’assure que ses prestataires respectent les obligations issues de la loi n° 1.165, modifiée, et notamment de ses articles 17 et 17-1.
A ce titre, elle rappelle les dispositions de l’article 17, aux termes desquelles :
«Lorsque le responsable du traitement ou son représentant a recours aux services d’un ou plusieurs prestataires, il doit s’assurer que ces derniers sont en mesure de satisfaire aux obligations prescrites aux deux précédents alinéas.
La réalisation de traitements par un prestataire doit être régie par un contrat écrit entre le prestataire et le responsable du traitement ou son représentant qui stipule notamment que le prestataire et les membres de son personnel n’agissent que sur la seule instruction du responsable du traitement ou de son représentant et que les obligations visées aux deux premiers alinéas du présent article lui incombent également.
Si le prestataire souhaite avoir recours aux services d’un ou de plusieurs sous-traitants pour l’exécution de tout ou partie des prestations prévues au contrat susvisé, les dispositions de l’alinéa précédent s’appliquent à ces derniers».
Sous cette réserve, la Commission considère que les transferts de données nominatives aux sociétés précitées sont conformes aux exigences légales.
VII. Sur les personnes ayant accès au traitement
La Commission observe que les personnes habilitées à avoir accès au présent traitement sont :
- la Direction commerciale : tous droits ;
- la Direction financière : consultation des données ;
- la Direction technique : consultation des données ;
- le Service informatique : accès à la base pour son exploitation technique.
Considérant les attributions de chacun de ces services, et eu égard à la finalité du présent traitement, la Commission considère que lesdits accès sont justifiés, et donc conformes aux dispositions de la loi n° 1.165, modifiée.
VIII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations n’appellent pas d’observation.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
IX. Sur la durée de conservation
La SMEG indique que les informations nominatives relatives aux diagnostics sont conservées durant six ans après la date de résiliation du contrat.
La Commission observe que cette durée de conservation permet d’assurer un alignement avec la durée de conservation déclarée pour les autres données objets du présent traitement, durée que la Commission a estimée conforme aux exigences légales dans le cadre de sa délibération n° 2011-11 précitée.
Par ailleurs, en ce qui concerne les informations relatives aux professionnels ayant réalisé l’immeuble, la Commission relève qu’il est indiqué que les données sont «anonymes».
En effet, n’est mentionné que le nom des entités personnes morales, et non celui de personnes physiques. Elle considère donc qu’il ne s’agit pas d’informations nominatives au sens de la loi n° 1.165, modifiée.
Après en avoir délibéré, et sans préjudice des réserves émises dans le cadre de la délibération n° 2011-11 précitée :
Rappelle que :
- le mailing employé par la SMEG à des fins d’information préalable des personnes concernées devra comprendre l’ensemble des mentions obligatoires prévues à l’article 14 de la loi n° 1.165, modifiée ;
- la SMEG est tenue de garantir le respect de la confidentialité des informations traitées dans le cadre de ses contrats de prestation, conformément aux dispositions des articles 17 et 17-1 de la loi n° 1.165, modifiée ;
A la condition de la prise en compte de ce qui précède,
La Commission de Contrôle des Informations Nominatives émet un avis favorable à la modification par la Société Monégasque de l’Electricité et du Gaz (SMEG) du traitement automatisé d’informations nominatives ayant pour finalité «Gestion de la relation clientèle».
Le Président de la Commission
de Contrôle des Informations Nominatives.