Délibération n° 2013-55 du 28 mai 2013 de la Commission de Contrôle des Informations Nominatives portant avis favorable sur la demande modificative présentée par le ministre d’etat relative au traitement automatisé d’informations nominatives ayant pour finalité «Fichier d’identification statistique» de la Direction de l’Expansion Economique afin d’en transférer la compétence à l’institut monégasque de la statistique et des etudes economiques sous la finalité «Gestion du repertoire du nis».
Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la Recommandation du Conseil de l’Europe R(97)18 du 30 septembre 1997 concernant la protection des données à caractère personnel collectées et traitées à des fins statistiques ;
Vu la loi n° 419 du 7 juin 1945 relative aux mesures d’ordre statistique ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu l’ordonnance souveraine n° 3.095 du 24 janvier 2011 portant création de l’Institut Monégasque de la Statistique et des Etudes Economiques et du Conseil Scientifique et des Etudes Economiques, modifiée ;
Vu l’arrêté ministériel n° 66-055 du 9 mars 1966 portant attribution d’un numéro d’identification aux établissements industriels, artisanaux, commerciaux et autres et rendant obligatoire l’utilisation de ce numéro d’identification pour les classifications et les statistiques officielles, modifié ;
Vu l’arrêté ministériel n° 2013-234 du 22 avril 2013 créant le Répertoire du Numéro d’Identification Statistique (NIS) ;
Vu l’arrêté ministériel n° 2013-155 du 19 mars 2013 fixant une mesure d’ordre statistique en application de la loi n° 419 du 7 juin 1945 relative aux mesures d’ordre statistique ;
Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;
Vu la délibération n° 2012-167 du 17 décembre 2012 de la Commission de Contrôle des Informations Nominatives portant avis sur la consultation du Ministre d’Etat relative au projet d’ordonnance souveraine modifiant l’ordonnance souveraine n° 3.095 du 24 janvier 2011 portant création de l’Institut Monégasque de la Statistique et des Etudes Economiques et du Conseil Scientifique de la Statistique et des Etudes Economiques, au projet d’arrêté ministériel fixant une mesure d’ordre statistique en application de la loi n° 419 du 7 juin 1945 relative aux mesures d’ordre statistique, et au projet d’arrêté ministériel modifiant l’arrêté ministériel n° 66-055 du 9 mars 1966 portant attribution d’un numéro d’identification aux établissements industriels, artisanaux, commerciaux et autres et rendant obligatoire l’utilisation de ce numéro d’identification pour les classifications et les statistiques officielles ;
Vu la délibération n° 2013-37 du 6 mars 2013 portant avis sur la consultation du Ministre d’Etat relative au projet d’arrêté ministériel créant le Répertoire du Numéro d’Identification Statistique (NIS) ;
Vu la délibération n° 2006-04 du 12 juin 2006 portant avis favorable sur la demande présentée par le Ministre d’Etat relative au traitement automatisé ayant pour finalité «Fichier d’identification statistique» de la Direction de l’Expansion Economique ;
Vu la demande d’avis modificative du traitement susvisé, déposée par le Ministre d’Etat, le 20 mars 2013, afin d’en transférer la compétence à l’Institut Monégasque de la Statistique et des Etudes Economiques sous la finalité «Gestion du Répertoire du NIS» ;
Vu la prorogation du délai d’examen de la présente demande d’autorisation notifiée au responsable de traitement le 14 mai 2013, conformément à l’article 19 de l’ordonnance souveraine n° 2.230, susmentionnée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 28 mai 2013 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Depuis le 28 juin 2006, la Direction de l’Expansion Economique (DEE) exploite un traitement automatisé d’informations nominatives ayant pour finalité «Fichier d’identification Statistique», légalement mis en œuvre.
Ce traitement portait sur l’attribution du Numéro DSSE par la Division des Statistiques et des Etudes Economiques relevant de la DEE. La présente modification a pour objet de formaliser, au regard de la loi n° 1.165, susvisée, le changement de dénomination du numéro statistique de DSSE en NIS (Numéro d’Identification Statistique) et le transfert de compétences de la DEE vers l’Institut Monégasque de la Statistique et des Etudes Economiques (IMSEE).
Le NIS a pour objet d’identifier les agents économiques au regard de leur activité en référence, notamment, à la Nomenclature d’Activités Françaises, appelée NAF.
Ce «numéro d’identification statistique est obligatoire pour toute classification et pour toutes les statistiques officielles, aussi bien au regard des administrations publiques de l’Etat, de la Commune que des établissements».
La mise en place du Répertoire du NIS a eu pour conséquence la modification des textes susvisés, et l’élaboration d’un arrêté ministériel portant création dudit Répertoire. La Commission a été saisie desdits textes, conformément à l’article 2 alinéa 2 de la loi n° 1.165, sur lesquelles elle a émis des avis par délibérations n° 2012-167 et n° 2013-37, susvisées.
Conformément aux dispositions de l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives, le Ministre d’Etat soumet ce traitement à l’avis de la Commission.
I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité «Gestion du Répertoire NIS».
Il concerne les agents économiques de la Principauté, tels que définis aux articles 1 et 4 de l’arrêté ministériel n° 66.055 du 9 mars 1966, modifié, susvisé.
Il a pour objet de permettre l’attribution d’un NIS et d’assurer la tenue du répertoire associé créé par arrêté ministériel. Le Répertoire du NIS n’est pas un «registre» isolé. Il est intégré dans les applications exploitées par la DEE sous la dénomination «data base commerce».
Les fonctionnalités du traitement sont les suivantes :
- attribuer un Numéro d’Identification Statistique, dénommé NIS ;
- maintenir et tenir à jour le Répertoire du NIS ;
- assurer l’établissement et le suivi des correspondances avec les établissements et personnes inscrits ou les demandeurs ;
- établir des statistiques non identifiantes à partir du Répertoire du NIS ;
- disposer des éléments d’identification nécessaires à l’envoi de mailings ciblés et à la réalisation d’études, de recherches et de statistiques par l’IMSEE.
Le responsable de traitement précise que cette dernière fonctionnalité fera l’objet de formalités spécifiques auprès de la Commission.
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
II. Sur la licéité et la justification du traitement
• Sur la licéité
Le traitement repose sur les missions de l’IMSEE, telles que définies à l’article 2 de l’ordonnance souveraine n° 3.095 du 24 janvier 2011, modifiée, et sur les textes permettant d’encadrer une mesure d’ordre statistique nécessaire à la connaissance du tissu économique monégasque : l’attribution du NIS.
La Commission considère que le présent traitement est licite conformément à l’article 10-1 de la loi n° 1.165, modifiée.
• Sur la justification du traitement
Le traitement est justifié par :
- le respect d’une obligation légale à laquelle est soumis le responsable de traitement. A cet égard, la Commission relève que l’IMSEE a pour mission de «mettre en place un système d’information statistique sur la structure et l’activité de la principauté» et de «coordonner des méthodes, des moyens et des nomenclatures statistiques utilisés à Monaco» ;
- un motif d’intérêt général fondé sur la nécessité et l’intérêt de la Principauté de connaître le tissu économique monégasque, son histoire et son évolution ;
- la réalisation d’un intérêt légitime poursuivi par le responsable de traitement qui ne méconnaît ni l’intérêt, ni les droits et libertés fondamentaux des personnes concernées, en encadrant l’attribution du NIS et ses modalités d’utilisation, notamment, dans le respect de la loi n° 1.165.
La Commission considère donc que ce traitement est justifié conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
• Sur le détail des informations nominatives traitées
Les informations nominatives traitées sont les suivantes :
Pour les personnes physiques :
- identité : nom, nom d’usage, prénom, date et lieu de naissance, nationalité ;
- situation de famille : régime matrimonial ;
- vie professionnelle : fonction au sein de l’entité ;
- activité économique : objet social, forme juridique, capital social, descriptif de l’activité générant la classification statistique ;
- adresses et coordonnées : adresse postale personnelle, adresse de l’établissement, adresse usuelle, adresse d’expédition des correspondances si différente.
Pour les personnes morales de droit public ou de droit privé :
- identité : raison ou dénomination sociale, objet social, enseigne, type d’établissement, numéro RCI ;
- activité économique : forme juridique, capital social, date de création, date de cessation, descriptif de l’activité générant la classification statistique ;
- adresses et coordonnées : adresse du ou des établissements, adresse usuelle, adresse d’expédition des correspondances si différente.
Pour toutes les personnes inscrites au Répertoire :
- Numéro d’Identification Statistique : NIS ;
- historique du NIS : date de création de l’activité économique, date d’attribution du NIS, date de cessation d’activité.
Les informations nominatives nécessaires à la tenue du Répertoire du NIS ont été fixées par arrêté ministériel.
La Commission prend acte de la collecte du capital social des entités au Répertoire NIS alors que l’arrêté ministériel ne le prévoit pas.
Par ailleurs, elle relève que le responsable de traitement ne prévoit pas la collecte d’informations relatives aux «administrateurs». Or, cette catégorie de personne est expressément mentionnée dans l’arrêté précité. En conséquence, elle rappelle que si des informations les concernant devaient être traitées, le présent traitement devra être modifié.
Enfin, elle observe que le formulaire de collecte des informations par le biais d’un document dénommé «déclaration de modification ou de radiation au «Répertoire du NIS»» comporte, en complément des informations nominatives précitées, les informations suivantes :
- concernant l’identification : les prénoms, et non un seul comme mentionné dans l’arrêté ministériel n° 2013-234 susvisé, et le pseudonyme pour les personnes physiques ;
- concernant les coordonnées : le numéro de téléphone, le numéro de fax et l’adresse électronique ;
- concernant le mandataire ayant procuration : le nom, prénom/dénomination et adresse.
La Commission rappelle donc que si ces informations étaient traitées de manière automatisée, une demande d’avis modificative devra être déposée auprès de ses services afin d’en assurer un traitement conforme à la loi n° 1.165.
• Sur l’origine des informations
Les informations relatives à l’identité, la situation de famille, la vie professionnelle, l’activité économique, les adresses et coordonnées ont pour origine, selon les cas exposés aux articles 4, 5 et 7 de l’arrêté ministériel n° 66-055 du 9 mars 1966, l’intéressé, la Direction de l’Expansion Economique, ou l’IMSEE.
L’arrêté ministériel n° 66-055 vise 5 registres ou répertoires à l’origine des informations. La Commission observe que seuls 3 d’entre eux ont été soumis à son avis : le Répertoire du Commerce et de l’Industrie, le Registre des Artisans et des Professions, ainsi que le Registre des Mutuelles d’Assurances.
Elle relève, que malgré ses observations dans la délibération n° 2006-04 susmentionnée, le quatrième registre, dénommé «registre spécial d’inscription des agents commerciaux», n’a pas été soumis à son avis.
En outre, le cinquième registre, qui correspondrait au traitement ayant pour finalité «Tenue du répertoire des sociétés civiles» qui a fait l’objet d’un avis favorable avec réserves de la Commission par délibération n° 2007-35 du 3 septembre 2007, n’a pas été légalement mis en œuvre par l’autorité compétente.
Par ailleurs, le responsable de traitement précise que s’agissant des personnes disposant d’une «activité occasionnelle effectuée sur le territoire de la Principauté», la Direction des Services Fiscaux (DSF) peut également être à l’origine des informations. La Commission observe que l’arrêté ministériel n° 66-055 et l’arrêté ministériel portant création du Répertoire du NIS n’envisagent pas cette hypothèse, et que le traitement automatisé de la DSF à l’origine de ces données n’a pas été identifié.
Les informations relatives aux NIS et à son historique ont pour origine l’IMSEE.
La Commission considère que les informations collectées sont «adéquates, pertinentes et non excessives» au regard de la finalité du traitement.
Elle relève toutefois que l’absence de conformité des trois traitements précités avec les dispositions de la loi n° 1.165 imposent que ceux-ci soient mis en œuvre dans le respect des dispositions de la loi n° 1.165 préalablement à toute opération portant sur lesdites informations nominatives par l’IMSEE.
Elle rappelle, par ailleurs, que si les informations précédemment citées devaient être intégrées dans le présent traitement, une demande d’avis modificative devrait lui être soumise conformément à l’article 9 de la loi n° 1.165.
IV. Sur les droits des personnes concernées
• Sur l’information préalable des personnes concernées
L’information préalable des personnes concernées est effectuée par le biais de dispositions intégrées dans l’arrêté ministériel portant création du Répertoire du NIS, d’une mention sur le document de collecte, et d’une rubrique spécifique dédiée aux traitements mis en œuvre par l’IMSEE diffusée sur le site Internet de l’institut.
L’information des personnes concernées qui «sera intégrée sur le site Internet de l’IMSEE» met en évidence que les personnes disposent d’un «droit de s’opposer à l’utilisation des données à titre prospectif». Cependant, la Commission considère que les présentes données ne peuvent être utilisées à des fins de prospection. Aussi, elle demande à ce que cette mention soit supprimée.
• Sur l’exercice du droit d’accès, de modification et de mise à jour
Le traitement est mis en œuvre par un service administratif, dans le cadre de ses missions d’intérêt général, qui relève de l’autorité d’un responsable de traitement visé à l’article 7 de la loi n° 1.165. Aussi, conformément à l’article 13 de la loi n° 1.165, modifié, les personnes concernées ne disposent pas d’un droit d’opposition à ce que les informations nominatives les concernant fassent l’objet d’un traitement.
Le droit d’accès est exercé auprès du Directeur de l’IMSEE par voie postale, par courrier électronique ou sur place. Le délai de réponse est de 30 jours.
Les droits de modification et de mise à jour des données sont exercés selon les mêmes modalités, dans le respect de la procédure établie à l’arrêté ministériel portant création du Répertoire du NIS.
La Commission constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 la loi n° 1.165, modifiée.
V. Sur les destinataires et les personnes ayant accès au traitement
• Sur les personnes ayant accès au traitement
Les personnes ayant accès au traitement sont :
- le personnel de l’IMSEE habilité à gérer l’attribution du NIS : en inscription, modification, mise à jour et consultation ;
- tout personnel de l’IMSEE dans le cadre des missions qui leur sont dévolues au sein de l’institut : en consultation ;
- le personnel de la Direction Informatique, ou tiers intervenant pour son compte : tout accès dans le cadre des missions de maintenance, développement des applicatifs nécessaires au fonctionnement et à la sécurité du traitement et du système d’information.
Considérant les attributions de ces entités, et eu égard à la finalité du traitement, la Commission considère que ces accès sont justifiés.
• Sur les personnes destinataires des informations
A titre liminaire, la Commission précise que le Répertoire NIS est un répertoire officiel. Conformément aux dispositions de l’arrêté ministériel n° 66-055 et 2013-234 susvisés, seul le Numéro d’Identification Statistique est communicable par l’IMSEE.
Conformément aux dispositions des articles 5 et 7 alinéa 5 de l’arrêté ministériel n° 66-055 modifié, l’IMSEE communique les informations relatives à l’identité et au NIS à :
- la Direction de l’Expansion Economique ;
- la Direction du Travail ;
- la Direction des Services Fiscaux ;
- la Direction Générale de la Caisse de Compensation des Services Sociaux ;
- toute personne, physique ou morale, intéressée qui en fait la demande.
Concernant la communication du NIS sur demande, la Commission rappelle qu’il appartient au demandeur d’identifier l’entité ou la personne physique pour laquelle elle souhaite disposer du NIS.
En outre, il appartient à l’IMSEE de tenir compte des dispositions légales ou réglementaires spécifiques relatives aux conditions de communication d’informations pouvant encadrer certaines activités ou formes juridiques d’entité, comme celles visées à l’article 7 de la loi n° 797 du 18 février 1966, modifiée, relative aux sociétés civiles.
Concernant les possibles réutilisations du NIS par les destinataires, le responsable de traitement indique que ce numéro est une information publique. La Commission relève que le principe de la communication d’informations n’implique pas une liberté d’utilisation des informations obtenues par le destinataire.
En conséquence, afin que les informations ne soient pas réutilisées par le destinataire à d’autres fins que celle qui a justifiée la collecte des informations nominatives sur les personnes ainsi identifiées, ou hors du cadre juridique ayant justifié leur communication par l’IMSEE, la Commission demande qu’une information spécifique soit rédigée par l’IMSEE à l’attention du destinataire du NIS.
Parallèlement la Commission précise qu’en cas de réutilisation des informations de manière automatisée par les destinataires, le traitement associé devra être préalablement soumis à son avis.
Concernant les traitements automatisés impactés par la création du NIS, le transfert de compétence quant à l’attribution dudit numéro implique une modification substantielle de traitements d’informations nominatives d’entités administratives, tels que ceux exploités par la Direction de l’Expansion Economique et la Direction des Services Fiscaux, notamment au titre de l’origine des informations traitées ou des destinataires des informations.
La Commission rappelle donc que les traitements automatisés concernés devront être modifiés, conformément à l’article 9 de la loi n° 1.165, modifiée.
Enfin, elle demande à être rendue destinataire d’une présentation formalisée de la plate-forme « data base commerce » mettant clairement en évidence ses modalités de fonctionnement.
VI. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
Par ailleurs, tenant compte des rapprochements, mises en relation et interconnexions de ce traitement avec ceux de la Direction de l’Expansion Economique, la Commission appelle l’IMSEE à la plus grande maîtrise des accès dévolus au présent traitement.
VII. Sur la durée de conservation
Les informations nominatives collectées seront conservées 30 ans à compter de la date de radiation de l’entité. Considérant le délai de prescription de droit commun, la Commission relève que la durée de conservation est conforme aux exigences légales.
Après en avoir délibéré,
Considère que :
- le Répertoire du NIS est un registre officiel, et que seul le NIS revêt le caractère d’une information publique ;
- le NIS est une donnée identifiante et que son utilisation ou sa réutilisation par des tiers doit respecter le cadre juridique qui l’encadre ;
Rappelle que :
- une demande d’avis modificative, fondée sur des textes garantissant la sécurité juridique du traitement des données, devra lui être soumise si le traitement devait comporter des informations relatives aux «administrateurs» des personnes morales, les informations demandées sur le document de collecte et non mentionnées dans la présente demande d’avis et dans l’arrêté ministériel créant le Répertoire du NIS ;
- les traitements automatisés d’informations nominatives impactés par le présent traitement devront faire l’objet d’un examen afin de veiller à la cohérence des procédures et à la conformité des opérations automatisées réalisées avec les dispositions de la loi n° 1.165, susvisée ;
- les traitements automatisés de la Direction de l’Expansion Economique dénommés «registre spécial d’inscription des agents commerciaux» et «registre des sociétés civiles» devront être légalement mis en œuvre, conformément à la loi n° 1.165, préalablement à toute communication d’informations à l’IMSEE ;
- le traitement automatisé de la Direction des Services Fiscaux relatif aux agents économiques ayant une «activité occasionnelle sur le territoire de la Principauté» devra être identifié, ou à défaut, être légalement mis en œuvre, conformément à la loi n° 1.165, préalablement à toute communication d’informations à l’IMSEE ;
- la mise en conformité des trois traitements précités avec les dispositions de la loi n° 1.165 devra être effective préalablement à toute opération portant sur les informations nominatives issues desdits traitements par l’IMSEE ;
Demande :
- à être rendue destinataire d’une présentation formalisée de la plate-forme «data base commerce» mettant clairement en évidence ses modalités de fonctionnement ;
- que la communication du NIS «à toute personne, physique ou morale, intéressée qui en ferait la demande» fasse l’objet d’une information systématique auprès du ou des destinataires quant au cadre d’utilisation(s) ultérieure(s) dudit numéro et des informations associées ;
A la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d’Etat, du traitement automatisé d’informations nominatives modifié ayant pour finalité «Gestion du Répertoire du NIS» par l’Institut Monégasque de la Statistique et des Etudes Economiques.
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la Recommandation du Conseil de l’Europe R(97)18 du 30 septembre 1997 concernant la protection des données à caractère personnel collectées et traitées à des fins statistiques ;
Vu la loi n° 419 du 7 juin 1945 relative aux mesures d’ordre statistique ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu l’ordonnance souveraine n° 3.095 du 24 janvier 2011 portant création de l’Institut Monégasque de la Statistique et des Etudes Economiques et du Conseil Scientifique et des Etudes Economiques, modifiée ;
Vu l’arrêté ministériel n° 66-055 du 9 mars 1966 portant attribution d’un numéro d’identification aux établissements industriels, artisanaux, commerciaux et autres et rendant obligatoire l’utilisation de ce numéro d’identification pour les classifications et les statistiques officielles, modifié ;
Vu l’arrêté ministériel n° 2013-234 du 22 avril 2013 créant le Répertoire du Numéro d’Identification Statistique (NIS) ;
Vu l’arrêté ministériel n° 2013-155 du 19 mars 2013 fixant une mesure d’ordre statistique en application de la loi n° 419 du 7 juin 1945 relative aux mesures d’ordre statistique ;
Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;
Vu la délibération n° 2012-167 du 17 décembre 2012 de la Commission de Contrôle des Informations Nominatives portant avis sur la consultation du Ministre d’Etat relative au projet d’ordonnance souveraine modifiant l’ordonnance souveraine n° 3.095 du 24 janvier 2011 portant création de l’Institut Monégasque de la Statistique et des Etudes Economiques et du Conseil Scientifique de la Statistique et des Etudes Economiques, au projet d’arrêté ministériel fixant une mesure d’ordre statistique en application de la loi n° 419 du 7 juin 1945 relative aux mesures d’ordre statistique, et au projet d’arrêté ministériel modifiant l’arrêté ministériel n° 66-055 du 9 mars 1966 portant attribution d’un numéro d’identification aux établissements industriels, artisanaux, commerciaux et autres et rendant obligatoire l’utilisation de ce numéro d’identification pour les classifications et les statistiques officielles ;
Vu la délibération n° 2013-37 du 6 mars 2013 portant avis sur la consultation du Ministre d’Etat relative au projet d’arrêté ministériel créant le Répertoire du Numéro d’Identification Statistique (NIS) ;
Vu la délibération n° 2006-04 du 12 juin 2006 portant avis favorable sur la demande présentée par le Ministre d’Etat relative au traitement automatisé ayant pour finalité «Fichier d’identification statistique» de la Direction de l’Expansion Economique ;
Vu la demande d’avis modificative du traitement susvisé, déposée par le Ministre d’Etat, le 20 mars 2013, afin d’en transférer la compétence à l’Institut Monégasque de la Statistique et des Etudes Economiques sous la finalité «Gestion du Répertoire du NIS» ;
Vu la prorogation du délai d’examen de la présente demande d’autorisation notifiée au responsable de traitement le 14 mai 2013, conformément à l’article 19 de l’ordonnance souveraine n° 2.230, susmentionnée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 28 mai 2013 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Depuis le 28 juin 2006, la Direction de l’Expansion Economique (DEE) exploite un traitement automatisé d’informations nominatives ayant pour finalité «Fichier d’identification Statistique», légalement mis en œuvre.
Ce traitement portait sur l’attribution du Numéro DSSE par la Division des Statistiques et des Etudes Economiques relevant de la DEE. La présente modification a pour objet de formaliser, au regard de la loi n° 1.165, susvisée, le changement de dénomination du numéro statistique de DSSE en NIS (Numéro d’Identification Statistique) et le transfert de compétences de la DEE vers l’Institut Monégasque de la Statistique et des Etudes Economiques (IMSEE).
Le NIS a pour objet d’identifier les agents économiques au regard de leur activité en référence, notamment, à la Nomenclature d’Activités Françaises, appelée NAF.
Ce «numéro d’identification statistique est obligatoire pour toute classification et pour toutes les statistiques officielles, aussi bien au regard des administrations publiques de l’Etat, de la Commune que des établissements».
La mise en place du Répertoire du NIS a eu pour conséquence la modification des textes susvisés, et l’élaboration d’un arrêté ministériel portant création dudit Répertoire. La Commission a été saisie desdits textes, conformément à l’article 2 alinéa 2 de la loi n° 1.165, sur lesquelles elle a émis des avis par délibérations n° 2012-167 et n° 2013-37, susvisées.
Conformément aux dispositions de l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives, le Ministre d’Etat soumet ce traitement à l’avis de la Commission.
I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité «Gestion du Répertoire NIS».
Il concerne les agents économiques de la Principauté, tels que définis aux articles 1 et 4 de l’arrêté ministériel n° 66.055 du 9 mars 1966, modifié, susvisé.
Il a pour objet de permettre l’attribution d’un NIS et d’assurer la tenue du répertoire associé créé par arrêté ministériel. Le Répertoire du NIS n’est pas un «registre» isolé. Il est intégré dans les applications exploitées par la DEE sous la dénomination «data base commerce».
Les fonctionnalités du traitement sont les suivantes :
- attribuer un Numéro d’Identification Statistique, dénommé NIS ;
- maintenir et tenir à jour le Répertoire du NIS ;
- assurer l’établissement et le suivi des correspondances avec les établissements et personnes inscrits ou les demandeurs ;
- établir des statistiques non identifiantes à partir du Répertoire du NIS ;
- disposer des éléments d’identification nécessaires à l’envoi de mailings ciblés et à la réalisation d’études, de recherches et de statistiques par l’IMSEE.
Le responsable de traitement précise que cette dernière fonctionnalité fera l’objet de formalités spécifiques auprès de la Commission.
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
II. Sur la licéité et la justification du traitement
• Sur la licéité
Le traitement repose sur les missions de l’IMSEE, telles que définies à l’article 2 de l’ordonnance souveraine n° 3.095 du 24 janvier 2011, modifiée, et sur les textes permettant d’encadrer une mesure d’ordre statistique nécessaire à la connaissance du tissu économique monégasque : l’attribution du NIS.
La Commission considère que le présent traitement est licite conformément à l’article 10-1 de la loi n° 1.165, modifiée.
• Sur la justification du traitement
Le traitement est justifié par :
- le respect d’une obligation légale à laquelle est soumis le responsable de traitement. A cet égard, la Commission relève que l’IMSEE a pour mission de «mettre en place un système d’information statistique sur la structure et l’activité de la principauté» et de «coordonner des méthodes, des moyens et des nomenclatures statistiques utilisés à Monaco» ;
- un motif d’intérêt général fondé sur la nécessité et l’intérêt de la Principauté de connaître le tissu économique monégasque, son histoire et son évolution ;
- la réalisation d’un intérêt légitime poursuivi par le responsable de traitement qui ne méconnaît ni l’intérêt, ni les droits et libertés fondamentaux des personnes concernées, en encadrant l’attribution du NIS et ses modalités d’utilisation, notamment, dans le respect de la loi n° 1.165.
La Commission considère donc que ce traitement est justifié conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
• Sur le détail des informations nominatives traitées
Les informations nominatives traitées sont les suivantes :
Pour les personnes physiques :
- identité : nom, nom d’usage, prénom, date et lieu de naissance, nationalité ;
- situation de famille : régime matrimonial ;
- vie professionnelle : fonction au sein de l’entité ;
- activité économique : objet social, forme juridique, capital social, descriptif de l’activité générant la classification statistique ;
- adresses et coordonnées : adresse postale personnelle, adresse de l’établissement, adresse usuelle, adresse d’expédition des correspondances si différente.
Pour les personnes morales de droit public ou de droit privé :
- identité : raison ou dénomination sociale, objet social, enseigne, type d’établissement, numéro RCI ;
- activité économique : forme juridique, capital social, date de création, date de cessation, descriptif de l’activité générant la classification statistique ;
- adresses et coordonnées : adresse du ou des établissements, adresse usuelle, adresse d’expédition des correspondances si différente.
Pour toutes les personnes inscrites au Répertoire :
- Numéro d’Identification Statistique : NIS ;
- historique du NIS : date de création de l’activité économique, date d’attribution du NIS, date de cessation d’activité.
Les informations nominatives nécessaires à la tenue du Répertoire du NIS ont été fixées par arrêté ministériel.
La Commission prend acte de la collecte du capital social des entités au Répertoire NIS alors que l’arrêté ministériel ne le prévoit pas.
Par ailleurs, elle relève que le responsable de traitement ne prévoit pas la collecte d’informations relatives aux «administrateurs». Or, cette catégorie de personne est expressément mentionnée dans l’arrêté précité. En conséquence, elle rappelle que si des informations les concernant devaient être traitées, le présent traitement devra être modifié.
Enfin, elle observe que le formulaire de collecte des informations par le biais d’un document dénommé «déclaration de modification ou de radiation au «Répertoire du NIS»» comporte, en complément des informations nominatives précitées, les informations suivantes :
- concernant l’identification : les prénoms, et non un seul comme mentionné dans l’arrêté ministériel n° 2013-234 susvisé, et le pseudonyme pour les personnes physiques ;
- concernant les coordonnées : le numéro de téléphone, le numéro de fax et l’adresse électronique ;
- concernant le mandataire ayant procuration : le nom, prénom/dénomination et adresse.
La Commission rappelle donc que si ces informations étaient traitées de manière automatisée, une demande d’avis modificative devra être déposée auprès de ses services afin d’en assurer un traitement conforme à la loi n° 1.165.
• Sur l’origine des informations
Les informations relatives à l’identité, la situation de famille, la vie professionnelle, l’activité économique, les adresses et coordonnées ont pour origine, selon les cas exposés aux articles 4, 5 et 7 de l’arrêté ministériel n° 66-055 du 9 mars 1966, l’intéressé, la Direction de l’Expansion Economique, ou l’IMSEE.
L’arrêté ministériel n° 66-055 vise 5 registres ou répertoires à l’origine des informations. La Commission observe que seuls 3 d’entre eux ont été soumis à son avis : le Répertoire du Commerce et de l’Industrie, le Registre des Artisans et des Professions, ainsi que le Registre des Mutuelles d’Assurances.
Elle relève, que malgré ses observations dans la délibération n° 2006-04 susmentionnée, le quatrième registre, dénommé «registre spécial d’inscription des agents commerciaux», n’a pas été soumis à son avis.
En outre, le cinquième registre, qui correspondrait au traitement ayant pour finalité «Tenue du répertoire des sociétés civiles» qui a fait l’objet d’un avis favorable avec réserves de la Commission par délibération n° 2007-35 du 3 septembre 2007, n’a pas été légalement mis en œuvre par l’autorité compétente.
Par ailleurs, le responsable de traitement précise que s’agissant des personnes disposant d’une «activité occasionnelle effectuée sur le territoire de la Principauté», la Direction des Services Fiscaux (DSF) peut également être à l’origine des informations. La Commission observe que l’arrêté ministériel n° 66-055 et l’arrêté ministériel portant création du Répertoire du NIS n’envisagent pas cette hypothèse, et que le traitement automatisé de la DSF à l’origine de ces données n’a pas été identifié.
Les informations relatives aux NIS et à son historique ont pour origine l’IMSEE.
La Commission considère que les informations collectées sont «adéquates, pertinentes et non excessives» au regard de la finalité du traitement.
Elle relève toutefois que l’absence de conformité des trois traitements précités avec les dispositions de la loi n° 1.165 imposent que ceux-ci soient mis en œuvre dans le respect des dispositions de la loi n° 1.165 préalablement à toute opération portant sur lesdites informations nominatives par l’IMSEE.
Elle rappelle, par ailleurs, que si les informations précédemment citées devaient être intégrées dans le présent traitement, une demande d’avis modificative devrait lui être soumise conformément à l’article 9 de la loi n° 1.165.
IV. Sur les droits des personnes concernées
• Sur l’information préalable des personnes concernées
L’information préalable des personnes concernées est effectuée par le biais de dispositions intégrées dans l’arrêté ministériel portant création du Répertoire du NIS, d’une mention sur le document de collecte, et d’une rubrique spécifique dédiée aux traitements mis en œuvre par l’IMSEE diffusée sur le site Internet de l’institut.
L’information des personnes concernées qui «sera intégrée sur le site Internet de l’IMSEE» met en évidence que les personnes disposent d’un «droit de s’opposer à l’utilisation des données à titre prospectif». Cependant, la Commission considère que les présentes données ne peuvent être utilisées à des fins de prospection. Aussi, elle demande à ce que cette mention soit supprimée.
• Sur l’exercice du droit d’accès, de modification et de mise à jour
Le traitement est mis en œuvre par un service administratif, dans le cadre de ses missions d’intérêt général, qui relève de l’autorité d’un responsable de traitement visé à l’article 7 de la loi n° 1.165. Aussi, conformément à l’article 13 de la loi n° 1.165, modifié, les personnes concernées ne disposent pas d’un droit d’opposition à ce que les informations nominatives les concernant fassent l’objet d’un traitement.
Le droit d’accès est exercé auprès du Directeur de l’IMSEE par voie postale, par courrier électronique ou sur place. Le délai de réponse est de 30 jours.
Les droits de modification et de mise à jour des données sont exercés selon les mêmes modalités, dans le respect de la procédure établie à l’arrêté ministériel portant création du Répertoire du NIS.
La Commission constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 la loi n° 1.165, modifiée.
V. Sur les destinataires et les personnes ayant accès au traitement
• Sur les personnes ayant accès au traitement
Les personnes ayant accès au traitement sont :
- le personnel de l’IMSEE habilité à gérer l’attribution du NIS : en inscription, modification, mise à jour et consultation ;
- tout personnel de l’IMSEE dans le cadre des missions qui leur sont dévolues au sein de l’institut : en consultation ;
- le personnel de la Direction Informatique, ou tiers intervenant pour son compte : tout accès dans le cadre des missions de maintenance, développement des applicatifs nécessaires au fonctionnement et à la sécurité du traitement et du système d’information.
Considérant les attributions de ces entités, et eu égard à la finalité du traitement, la Commission considère que ces accès sont justifiés.
• Sur les personnes destinataires des informations
A titre liminaire, la Commission précise que le Répertoire NIS est un répertoire officiel. Conformément aux dispositions de l’arrêté ministériel n° 66-055 et 2013-234 susvisés, seul le Numéro d’Identification Statistique est communicable par l’IMSEE.
Conformément aux dispositions des articles 5 et 7 alinéa 5 de l’arrêté ministériel n° 66-055 modifié, l’IMSEE communique les informations relatives à l’identité et au NIS à :
- la Direction de l’Expansion Economique ;
- la Direction du Travail ;
- la Direction des Services Fiscaux ;
- la Direction Générale de la Caisse de Compensation des Services Sociaux ;
- toute personne, physique ou morale, intéressée qui en fait la demande.
Concernant la communication du NIS sur demande, la Commission rappelle qu’il appartient au demandeur d’identifier l’entité ou la personne physique pour laquelle elle souhaite disposer du NIS.
En outre, il appartient à l’IMSEE de tenir compte des dispositions légales ou réglementaires spécifiques relatives aux conditions de communication d’informations pouvant encadrer certaines activités ou formes juridiques d’entité, comme celles visées à l’article 7 de la loi n° 797 du 18 février 1966, modifiée, relative aux sociétés civiles.
Concernant les possibles réutilisations du NIS par les destinataires, le responsable de traitement indique que ce numéro est une information publique. La Commission relève que le principe de la communication d’informations n’implique pas une liberté d’utilisation des informations obtenues par le destinataire.
En conséquence, afin que les informations ne soient pas réutilisées par le destinataire à d’autres fins que celle qui a justifiée la collecte des informations nominatives sur les personnes ainsi identifiées, ou hors du cadre juridique ayant justifié leur communication par l’IMSEE, la Commission demande qu’une information spécifique soit rédigée par l’IMSEE à l’attention du destinataire du NIS.
Parallèlement la Commission précise qu’en cas de réutilisation des informations de manière automatisée par les destinataires, le traitement associé devra être préalablement soumis à son avis.
Concernant les traitements automatisés impactés par la création du NIS, le transfert de compétence quant à l’attribution dudit numéro implique une modification substantielle de traitements d’informations nominatives d’entités administratives, tels que ceux exploités par la Direction de l’Expansion Economique et la Direction des Services Fiscaux, notamment au titre de l’origine des informations traitées ou des destinataires des informations.
La Commission rappelle donc que les traitements automatisés concernés devront être modifiés, conformément à l’article 9 de la loi n° 1.165, modifiée.
Enfin, elle demande à être rendue destinataire d’une présentation formalisée de la plate-forme « data base commerce » mettant clairement en évidence ses modalités de fonctionnement.
VI. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
Par ailleurs, tenant compte des rapprochements, mises en relation et interconnexions de ce traitement avec ceux de la Direction de l’Expansion Economique, la Commission appelle l’IMSEE à la plus grande maîtrise des accès dévolus au présent traitement.
VII. Sur la durée de conservation
Les informations nominatives collectées seront conservées 30 ans à compter de la date de radiation de l’entité. Considérant le délai de prescription de droit commun, la Commission relève que la durée de conservation est conforme aux exigences légales.
Après en avoir délibéré,
Considère que :
- le Répertoire du NIS est un registre officiel, et que seul le NIS revêt le caractère d’une information publique ;
- le NIS est une donnée identifiante et que son utilisation ou sa réutilisation par des tiers doit respecter le cadre juridique qui l’encadre ;
Rappelle que :
- une demande d’avis modificative, fondée sur des textes garantissant la sécurité juridique du traitement des données, devra lui être soumise si le traitement devait comporter des informations relatives aux «administrateurs» des personnes morales, les informations demandées sur le document de collecte et non mentionnées dans la présente demande d’avis et dans l’arrêté ministériel créant le Répertoire du NIS ;
- les traitements automatisés d’informations nominatives impactés par le présent traitement devront faire l’objet d’un examen afin de veiller à la cohérence des procédures et à la conformité des opérations automatisées réalisées avec les dispositions de la loi n° 1.165, susvisée ;
- les traitements automatisés de la Direction de l’Expansion Economique dénommés «registre spécial d’inscription des agents commerciaux» et «registre des sociétés civiles» devront être légalement mis en œuvre, conformément à la loi n° 1.165, préalablement à toute communication d’informations à l’IMSEE ;
- le traitement automatisé de la Direction des Services Fiscaux relatif aux agents économiques ayant une «activité occasionnelle sur le territoire de la Principauté» devra être identifié, ou à défaut, être légalement mis en œuvre, conformément à la loi n° 1.165, préalablement à toute communication d’informations à l’IMSEE ;
- la mise en conformité des trois traitements précités avec les dispositions de la loi n° 1.165 devra être effective préalablement à toute opération portant sur les informations nominatives issues desdits traitements par l’IMSEE ;
Demande :
- à être rendue destinataire d’une présentation formalisée de la plate-forme «data base commerce» mettant clairement en évidence ses modalités de fonctionnement ;
- que la communication du NIS «à toute personne, physique ou morale, intéressée qui en ferait la demande» fasse l’objet d’une information systématique auprès du ou des destinataires quant au cadre d’utilisation(s) ultérieure(s) dudit numéro et des informations associées ;
A la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d’Etat, du traitement automatisé d’informations nominatives modifié ayant pour finalité «Gestion du Répertoire du NIS» par l’Institut Monégasque de la Statistique et des Etudes Economiques.
Le Président de la Commission
de Contrôle des Informations Nominatives.