Délibération n° 2012-35 du 19 mars 2012 de la commission de contrôle des informations nominatives portant avis favorable sur la demande présentée par la sociéte monégasque de l’Electricite et du gaz relative à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité «Vidéosurveillance»
Vu la Constitution ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu l’ordonnance souveraine n° 2.578 du 13 janvier 2010 approuvant le traité de concession de la SMEG, ainsi que ses annexes et cahiers des charges ;
Vu l’arrêté ministériel n° 2009-382 du 31 juillet 2009 portant application de l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée ;
Vu le traité de concession du service public de la distribution de l’électricité et du gaz conclu entre la SMEG et la Principauté de Monaco, et entré en vigueur le 1er janvier 2009, accompagné de ses annexes et cahiers des charges ;
Vu la délibération n° 2010-13 de la Commission du 3 mai 2010 portant recommandation sur les dispositifs de vidéosurveillance mis en œuvre par les personnes physiques ou morales de droit privé ;
Vu la demande d’autorisation déposée par la Société Monégasque de l’Electricité et du Gaz le 10 janvier 2012 concernant la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité «Vidéosurveillance» ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 19 mars 2012 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives
Préambule
La Société Monégasque de l’Electricité et du Gaz (SMEG) est un organisme de droit privé concessionnaire d’un service public en charge de la distribution électrique et gazière en Principauté.
Afin de garantir la sécurité des biens et des personnes se trouvant dans les lieux et permettre la constitution de preuves en cas d’infraction, la SMEG souhaite procéder à l’installation d’un système de vidéosurveillance au sein de son établissement monégasque.
A ce titre, en application de l’article 11-1 de la loi n° 1.165, modifiée, du 23 décembre 1993, concernant la mise en œuvre de traitements automatisés d’informations nominatives à des fins de surveillance, la SMEG soumet la présente demande d’autorisation relative au traitement ayant pour finalité «Vidéosurveillance».
I. Sur la finalité et les fonctionnalités du traitement
Le traitement a pour finalité «Vidéosurveillance».
Les personnes concernées sont «les employés et les prestataires».
Enfin, les fonctionnalités du traitement sont les suivantes :
- assurer la sécurité des biens et des personnes ;
- permettre la constitution de preuve en cas d’infraction.
Au vu de ces éléments, la Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
Dans le cadre de sa recommandation du 3 mai 2010 «sur les dispositifs de vidéosurveillance mis en œuvre par les personnes physiques ou morales de droit privé», la Commission pose les conditions de licéité d’un traitement de vidéosurveillance, au sens de l’article 10-1 de la loi n° 1.165, modifiée.
A ce titre, elle considère que la licéité d’un tel traitement est attestée par l’obtention de l’autorisation du Ministre d’Etat, conformément aux dispositions des articles 5 et 6 de la loi n° 1.264 du 23 décembre 2002 relative aux activités privées de protection des personnes et des biens.
En l’espèce, cette pièce délivrée le 23 février 2011 est jointe au dossier de demande d’autorisation.
Par conséquent, elle considère que le traitement est licite au sens de l’article 10-1 de la loi n° 1.165, modifiée.
• Sur la justification
Le responsable de traitement indique que le traitement est justifié par la réalisation d’un intérêt légitime, sans que soient méconnus les libertés et droits fondamentaux des personnes concernées.
A cet égard, il précise que :
«Ce traitement est mis en œuvre à des fins de surveillance uniquement afin de pouvoir déclencher une alarme en cas d’intrusion frauduleuse dans certaines zones du bâtiment SMEG. Il est en effet primordial de pouvoir sécuriser l’accès aux locaux afin de ne pas déclencher une dégénérescence dans le système de fourniture d’énergie qui pourrait être source de faiblesse des systèmes de surveillance de l’ensemble de la Principauté.
Ce système de vidéosurveillance est nécessaire pour deux types de situation. Tout d’abord en cas de présence licite dans le bâtiment mais en dehors des plages horaires de la SMEG. Enfin, le cas d’une pénétration par effraction avec ou sans alarme générée par le système de contrôle d’accès en dehors des heures ouvrables, dans cette situation l’enregistrement vidéo se déclenche sur événement correspondant à une présence dans une zone délimitée des parties communes à savoir les paliers d’étage ainsi que dans le volume magasin qui contient des éléments techniques de réparation de la distribution d’énergie.
L’enregistrement des images ne sera actif qu’en dehors des heures de présence du public selon l’amplitude de travail des cadres de l’entreprise».
La Commission prend acte du fait que le responsable de traitement indique que «le système de vidéosurveillance ne sera pas utilisé dans le but de contrôler le travail ou le temps de travail d’un salarié, raison pour laquelle les enregistrements des caméras positionnées seront inhibés pendant les heures ouvrables pour les paliers».
La Commission relève que l’installation de ce système de vidéosurveillance a pour but de renforcer la protection des biens et des personnes ainsi que la constitution de preuve en cas d’infraction au sein des locaux de la SMEG, et que les caméras ont été implantées de manière à minimiser les risques d’atteintes à la vie privée.
Elle considère donc que le traitement est justifié, conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
Aux termes de la demande d’autorisation, les informations objets du traitement sont les suivantes :
- identité : de la silhouette au visage suivant le positionnement de la personne filmée ;
- données de l’identification électronique : logs de connexion des personnes habilitées à avoir accès aux images.
En l’absence de précisions particulières, la Commission estime que ces informations ne peuvent provenir que du dispositif de vidéosurveillance lui-même.
Ainsi, elle considère que les informations traitées sont «adéquates, pertinentes et non excessives» au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
• Sur l’information des personnes concernées
Le responsable de traitement indique que l’information préalable des personnes concernées est effectuée par le biais d’une mention ou clause particulière intégrée dans un document remis à l’intéressé, ainsi que par une procédure interne accessible en intranet.
Toutefois, ces pièces n’ayant pas été communiquées à la Commission, elle rappelle qu’en application de sa délibération n° 2010-13 du 3 mai 2010, précitée, un affichage devra comporter, a minima, un pictogramme représentant une caméra, ainsi que le nom de la personne ou du service auprès de qui s’exerce le droit d’accès.
Sous cette condition, la Commission considère que les modalités d’information préalable sont conformes aux dispositions de l’article 14 de la loi n° 1.165, modifiée.
• Sur l’exercice du droit d’accès
La Commission observe que le droit d’accès est exercé sur place et par courrier électronique auprès de la Direction Générale de la SMEG. Les droits de modification, mise à jour ou suppression des données sont exercés selon les mêmes modalités.
Par ailleurs, elle constate que le délai de réponse est de 20 jours.
La Commission considère donc que les modalités d’exercice du droit d’accès ou de suppression sont conformes aux dispositions des articles 15 et suivants de la loi n° 1.165, modifiée.
V. Sur les destinataires et les personnes ayant accès au traitement
• Sur les destinataires
Aux termes de la demande d’autorisation, le responsable de traitement indique que les informations sont susceptibles d’être communiquées à la Sûreté Publique.
La Commission estime que cette communication peut être justifiée par les besoins d’une enquête judiciaire. A cet égard, elle rappelle que dans le cadre d’une telle transmission les agents ne pourront avoir accès aux informations objet du traitement, que dans le strict cadre de leurs missions légalement conférées. Par ailleurs, la copie ou l’extraction d’une séquence vidéo doit être chiffrée sur son support de réception, conformément à la recommandation n° 2010-13 du 3 mai 2010.
Dans ces conditions, la Commission estime qu’une telle transmission est conforme aux dispositions de l’article 17-1 de la loi n° 1.165, modifiée.
• Sur les personnes ayant accès au traitement
Les personnes habilitées à avoir accès au traitement sont :
- l’intendant : consultation ;
- le Service Juridique SMEG : accès à la base pour son exploitation ;
- le sous-traitant et les prestataires informatiques : accès à la base pour la maintenance.
Considérant les attributions de chacun de ces services, et eu égard à la finalité du traitement, les accès susvisés sont justifiés.
En ce qui concerne le prestataire, la Commission rappelle toutefois que conformément aux dispositions de l’article 17 de la loi n° 1.165, modifiée, ses droits d’accès doivent être limités à ce qui est strictement nécessaire à l’exécution de son contrat de prestation de service. De plus, celui-ci est soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de l’article 17, susvisé.
Ainsi, elle considère que les accès au traitement sont conformes aux dispositions légales.
Elle rappelle en outre que la liste nominative des personnes ayant ainsi accès au traitement, et visée à l’article 17-1 de la loi n° 1.165, modifiée, devra être tenue à jour afin de lui être communiquée à première réquisition.
VI. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation particulière.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VII. Sur la durée de conservation
La Commission relève que les informations nominatives collectées par le système de vidéosurveillance sont conservées pour une durée de 30 jours pour les images, et un an pour les logs de connexion.
La Commission rappelle que, conformément à sa délibération portant recommandation n° 2010-13 du 3 mai 2010, la durée de conservation des logs ne peut être supérieure à un mois, sauf justification du responsable de traitement.
En l’absence de justification complémentaire, la Commission fixe la durée de conservation des logs à 30 jours.
La Commission demande donc que la durée de conservation des logs de connexion n’excède pas 30 jours.
Après en avoir délibéré,
Demande que l’information relative à l’exploitation d’un système de vidéosurveillance soit dispensée, par le biais d’un panneau d’affichage conformément à sa recommandation n° 2010-13 du 3 mai 2010 ;
Fixe la durée de conservation des logs de connexion à 30 jours ;
Rappelle :
- que la liste nominative des personnes ayant accès au traitement, visée à l’article 17-1 de la loi n° 1.165, modifiée, doit être tenue à jour, et doit pouvoir être communiquée à la Commission à première réquisition ;
- qu’en cas de transmission éventuelle à la Direction de la Sûreté Publique pour enquête, les agents ne pourront avoir accès aux informations objet du traitement, que dans le strict cadre de leurs missions légalement conférées et que la copie ou l’extraction d’une séquence vidéo soit chiffrée sur son support de réception ;
A la condition de la prise en compte de ce qui précède,
La Commission de Contrôle des Informations Nominatives autorise la mise en œuvre, par la Société Monégasque de l’Electricité et du Gaz, du traitement automatisé d’informations nominatives ayant pour finalité «Vidéosurveillance».
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu l’ordonnance souveraine n° 2.578 du 13 janvier 2010 approuvant le traité de concession de la SMEG, ainsi que ses annexes et cahiers des charges ;
Vu l’arrêté ministériel n° 2009-382 du 31 juillet 2009 portant application de l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée ;
Vu le traité de concession du service public de la distribution de l’électricité et du gaz conclu entre la SMEG et la Principauté de Monaco, et entré en vigueur le 1er janvier 2009, accompagné de ses annexes et cahiers des charges ;
Vu la délibération n° 2010-13 de la Commission du 3 mai 2010 portant recommandation sur les dispositifs de vidéosurveillance mis en œuvre par les personnes physiques ou morales de droit privé ;
Vu la demande d’autorisation déposée par la Société Monégasque de l’Electricité et du Gaz le 10 janvier 2012 concernant la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité «Vidéosurveillance» ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 19 mars 2012 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives
Préambule
La Société Monégasque de l’Electricité et du Gaz (SMEG) est un organisme de droit privé concessionnaire d’un service public en charge de la distribution électrique et gazière en Principauté.
Afin de garantir la sécurité des biens et des personnes se trouvant dans les lieux et permettre la constitution de preuves en cas d’infraction, la SMEG souhaite procéder à l’installation d’un système de vidéosurveillance au sein de son établissement monégasque.
A ce titre, en application de l’article 11-1 de la loi n° 1.165, modifiée, du 23 décembre 1993, concernant la mise en œuvre de traitements automatisés d’informations nominatives à des fins de surveillance, la SMEG soumet la présente demande d’autorisation relative au traitement ayant pour finalité «Vidéosurveillance».
I. Sur la finalité et les fonctionnalités du traitement
Le traitement a pour finalité «Vidéosurveillance».
Les personnes concernées sont «les employés et les prestataires».
Enfin, les fonctionnalités du traitement sont les suivantes :
- assurer la sécurité des biens et des personnes ;
- permettre la constitution de preuve en cas d’infraction.
Au vu de ces éléments, la Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
Dans le cadre de sa recommandation du 3 mai 2010 «sur les dispositifs de vidéosurveillance mis en œuvre par les personnes physiques ou morales de droit privé», la Commission pose les conditions de licéité d’un traitement de vidéosurveillance, au sens de l’article 10-1 de la loi n° 1.165, modifiée.
A ce titre, elle considère que la licéité d’un tel traitement est attestée par l’obtention de l’autorisation du Ministre d’Etat, conformément aux dispositions des articles 5 et 6 de la loi n° 1.264 du 23 décembre 2002 relative aux activités privées de protection des personnes et des biens.
En l’espèce, cette pièce délivrée le 23 février 2011 est jointe au dossier de demande d’autorisation.
Par conséquent, elle considère que le traitement est licite au sens de l’article 10-1 de la loi n° 1.165, modifiée.
• Sur la justification
Le responsable de traitement indique que le traitement est justifié par la réalisation d’un intérêt légitime, sans que soient méconnus les libertés et droits fondamentaux des personnes concernées.
A cet égard, il précise que :
«Ce traitement est mis en œuvre à des fins de surveillance uniquement afin de pouvoir déclencher une alarme en cas d’intrusion frauduleuse dans certaines zones du bâtiment SMEG. Il est en effet primordial de pouvoir sécuriser l’accès aux locaux afin de ne pas déclencher une dégénérescence dans le système de fourniture d’énergie qui pourrait être source de faiblesse des systèmes de surveillance de l’ensemble de la Principauté.
Ce système de vidéosurveillance est nécessaire pour deux types de situation. Tout d’abord en cas de présence licite dans le bâtiment mais en dehors des plages horaires de la SMEG. Enfin, le cas d’une pénétration par effraction avec ou sans alarme générée par le système de contrôle d’accès en dehors des heures ouvrables, dans cette situation l’enregistrement vidéo se déclenche sur événement correspondant à une présence dans une zone délimitée des parties communes à savoir les paliers d’étage ainsi que dans le volume magasin qui contient des éléments techniques de réparation de la distribution d’énergie.
L’enregistrement des images ne sera actif qu’en dehors des heures de présence du public selon l’amplitude de travail des cadres de l’entreprise».
La Commission prend acte du fait que le responsable de traitement indique que «le système de vidéosurveillance ne sera pas utilisé dans le but de contrôler le travail ou le temps de travail d’un salarié, raison pour laquelle les enregistrements des caméras positionnées seront inhibés pendant les heures ouvrables pour les paliers».
La Commission relève que l’installation de ce système de vidéosurveillance a pour but de renforcer la protection des biens et des personnes ainsi que la constitution de preuve en cas d’infraction au sein des locaux de la SMEG, et que les caméras ont été implantées de manière à minimiser les risques d’atteintes à la vie privée.
Elle considère donc que le traitement est justifié, conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
Aux termes de la demande d’autorisation, les informations objets du traitement sont les suivantes :
- identité : de la silhouette au visage suivant le positionnement de la personne filmée ;
- données de l’identification électronique : logs de connexion des personnes habilitées à avoir accès aux images.
En l’absence de précisions particulières, la Commission estime que ces informations ne peuvent provenir que du dispositif de vidéosurveillance lui-même.
Ainsi, elle considère que les informations traitées sont «adéquates, pertinentes et non excessives» au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
• Sur l’information des personnes concernées
Le responsable de traitement indique que l’information préalable des personnes concernées est effectuée par le biais d’une mention ou clause particulière intégrée dans un document remis à l’intéressé, ainsi que par une procédure interne accessible en intranet.
Toutefois, ces pièces n’ayant pas été communiquées à la Commission, elle rappelle qu’en application de sa délibération n° 2010-13 du 3 mai 2010, précitée, un affichage devra comporter, a minima, un pictogramme représentant une caméra, ainsi que le nom de la personne ou du service auprès de qui s’exerce le droit d’accès.
Sous cette condition, la Commission considère que les modalités d’information préalable sont conformes aux dispositions de l’article 14 de la loi n° 1.165, modifiée.
• Sur l’exercice du droit d’accès
La Commission observe que le droit d’accès est exercé sur place et par courrier électronique auprès de la Direction Générale de la SMEG. Les droits de modification, mise à jour ou suppression des données sont exercés selon les mêmes modalités.
Par ailleurs, elle constate que le délai de réponse est de 20 jours.
La Commission considère donc que les modalités d’exercice du droit d’accès ou de suppression sont conformes aux dispositions des articles 15 et suivants de la loi n° 1.165, modifiée.
V. Sur les destinataires et les personnes ayant accès au traitement
• Sur les destinataires
Aux termes de la demande d’autorisation, le responsable de traitement indique que les informations sont susceptibles d’être communiquées à la Sûreté Publique.
La Commission estime que cette communication peut être justifiée par les besoins d’une enquête judiciaire. A cet égard, elle rappelle que dans le cadre d’une telle transmission les agents ne pourront avoir accès aux informations objet du traitement, que dans le strict cadre de leurs missions légalement conférées. Par ailleurs, la copie ou l’extraction d’une séquence vidéo doit être chiffrée sur son support de réception, conformément à la recommandation n° 2010-13 du 3 mai 2010.
Dans ces conditions, la Commission estime qu’une telle transmission est conforme aux dispositions de l’article 17-1 de la loi n° 1.165, modifiée.
• Sur les personnes ayant accès au traitement
Les personnes habilitées à avoir accès au traitement sont :
- l’intendant : consultation ;
- le Service Juridique SMEG : accès à la base pour son exploitation ;
- le sous-traitant et les prestataires informatiques : accès à la base pour la maintenance.
Considérant les attributions de chacun de ces services, et eu égard à la finalité du traitement, les accès susvisés sont justifiés.
En ce qui concerne le prestataire, la Commission rappelle toutefois que conformément aux dispositions de l’article 17 de la loi n° 1.165, modifiée, ses droits d’accès doivent être limités à ce qui est strictement nécessaire à l’exécution de son contrat de prestation de service. De plus, celui-ci est soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de l’article 17, susvisé.
Ainsi, elle considère que les accès au traitement sont conformes aux dispositions légales.
Elle rappelle en outre que la liste nominative des personnes ayant ainsi accès au traitement, et visée à l’article 17-1 de la loi n° 1.165, modifiée, devra être tenue à jour afin de lui être communiquée à première réquisition.
VI. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation particulière.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VII. Sur la durée de conservation
La Commission relève que les informations nominatives collectées par le système de vidéosurveillance sont conservées pour une durée de 30 jours pour les images, et un an pour les logs de connexion.
La Commission rappelle que, conformément à sa délibération portant recommandation n° 2010-13 du 3 mai 2010, la durée de conservation des logs ne peut être supérieure à un mois, sauf justification du responsable de traitement.
En l’absence de justification complémentaire, la Commission fixe la durée de conservation des logs à 30 jours.
La Commission demande donc que la durée de conservation des logs de connexion n’excède pas 30 jours.
Après en avoir délibéré,
Demande que l’information relative à l’exploitation d’un système de vidéosurveillance soit dispensée, par le biais d’un panneau d’affichage conformément à sa recommandation n° 2010-13 du 3 mai 2010 ;
Fixe la durée de conservation des logs de connexion à 30 jours ;
Rappelle :
- que la liste nominative des personnes ayant accès au traitement, visée à l’article 17-1 de la loi n° 1.165, modifiée, doit être tenue à jour, et doit pouvoir être communiquée à la Commission à première réquisition ;
- qu’en cas de transmission éventuelle à la Direction de la Sûreté Publique pour enquête, les agents ne pourront avoir accès aux informations objet du traitement, que dans le strict cadre de leurs missions légalement conférées et que la copie ou l’extraction d’une séquence vidéo soit chiffrée sur son support de réception ;
A la condition de la prise en compte de ce qui précède,
La Commission de Contrôle des Informations Nominatives autorise la mise en œuvre, par la Société Monégasque de l’Electricité et du Gaz, du traitement automatisé d’informations nominatives ayant pour finalité «Vidéosurveillance».
Le Président de la Commission
de Contrôle des Informations Nominatives.