Délibération n° 2014-21 du 4 février 2014 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la demande modificative du traitement automatisé d’informations nominatives ayant pour finalité «Gestion des abonnements» «service de téléphonie mobile» présentée par Monaco Télécom SAM
Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu le contrat de concession du service public des communications électroniques sur le territoire de la Principauté de Monaco du 26 septembre 2011 ;
Vu le cahier des charges relatif à la concession du service public des communications électroniques sur le territoire de la Principauté de Monaco signé le 26 septembre 2011 et annexé à l’ordonnance souveraine n° 3.560 du 6 décembre 2011 ;
Vu l’arrêté ministériel n° 2010-638 du 23 décembre 2010 portant application de l’article 7 de la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;
Vu la délibération n° 2010-05 du 26 février 2010 de la Commission portant avis favorable sur la demande déposée par Monaco Télécom SAM relative à la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité «Gestion des abonnements «service de téléphonie mobile»», dénommé «Infranet Téléphonie Mobile» ;
Vu la demande d’avis déposée par Monaco Télécom SAM le 6 décembre 2013 relative à la modification du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Conformément aux dispositions de l’article 9 de la loi n° 1.165 du 23 décembre 1993, modifiée, Monaco Télécom SAM soumet à la Commission une demande d’avis modificative relative au traitement ayant pour finalité «Gestion des abonnements «service de téléphonie mobile»».
I. Sur la finalité et les fonctionnalités du traitement
La Commission prend acte que la finalité du traitement demeure inchangée.
Cependant, elle constate que les fonctionnalités ont été modifiées par la suppression de certaines d’entre elles et par l’adjonction de nouvelles fonctionnalités.
A l’examen de ces modifications, la Commission considère que les fonctionnalités du traitement modifié dont s’agit sont désormais :
- la souscription d’abonnements ;
- la facturation et recouvrement de créances clients ;
- la gestion des profils payeurs des clients ;
- la gestion des relances ;
- le suivi de consommation clients (facturation détaillée) et l’établissement de statistiques commerciales ;
- la réalisation d’opérations administratives et commerciales liées à la gestion du compte client (Emission de factures et transmission au client par voie électronique) ;
- l’attribution de numéro de téléphone et ouverture de ligne ;
- la gestion des cartes SIM ;
- la vérification de chèques irréguliers ;
- l’établissement d’annuaires (annuaires internet et papiers) ;
- l’établissement de listes d’opposition à inscription sur annuaires (pour les annuaires internet et papiers) ;
- l’alimentation d’autres fichiers qui seront soumis à la Commission préalablement à leur mise en œuvre.
La Commission considère que les fonctionnalités présentées sont compatibles avec la finalité du traitement.
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
La Commission constate qu’ont été approuvés par ordonnance souveraine n° 3.560 du 6 décembre 2011, la convention, les cahiers des charges et annexes de la concession du service public des communications électroniques sur le territoire de la Principauté de Monaco.
A cet égard, elle relève que le Titre 2 - Missions et Obligations du Concessionnaire du cahier des charges relatif à la concession du service public des communications électroniques sur le territoire de la Principauté de Monaco dispose à l’article 2.1 que «le Concessionnaire bénéficie sur le Territoire de la Principauté de Monaco du monopole des Accès, l’autorisant à installer et exploiter à titre exclusif les équipements, infrastructures et réseaux de Communications Electroniques, permettant la fourniture des services mentionnés ci-après :
- Voix fixe ;
- Voix mobile ;
- Internet fixe et mobile ;
- Données fixe et mobile ;
- Télévision fixe et mobile (…)».
La Commission considère donc que ledit traitement est licite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
• Sur la justification
La Commission prend acte que la justification du traitement demeure inchangée.
III. Sur les informations traitées
A l’examen des modifications apportées par le responsable de traitement, la Commission constate que les informations objet du traitement modifié sont désormais :
- identité : civilité, nom prénom, date et lieu de naissance, nationalité, numéro de la pièce probante d’identité fournie ;
- situation de famille : nombre d’enfants, dates de naissance des enfants ;
- adresse et coordonnées : adresse de facture, adresse d’installation, adresse de contact, adresse SLA, siège social, fax, n° de téléphone, n° de VoIP, pièce justificative fournie (l’adresse étant composée de : nom + code d’immeuble, numéro, qualifiant, type et nom de rue, code postal, ville, pays) ;
- vie professionnelle : tiers payeur : fonction et rôle dans l’entreprise ;
- caractéristiques financières :
a) fournies par le client : mode de paiement, IBAN/BIC, nom de la banque, info du certificat d’exemption ;
b) calculées par le système : statut de recouvrement, images factures, exemption de taxes, solde dû ;
- consommation de biens et services :
a) fournies par le client : terminaux choisis, forfaits, services et options souscrites, seuil d’alerte conso, nom de domaine souscrit ;
b) calculées par le système : suivi de consommation, facture détaillée, nb de points premium, date de création de compte ;
c) fournies via interconnexions : appels : date et heure de début, numéro appelé, code réseau, durée, volume (en seconde, en data, nb sms), prix HT, type d’appel (national, international roaming, data voix, vers messagerie vocale) ;
- habitudes de vie et comportement : langue et canal de communication préférés, heure et lieu de rendez-vous pour les installations ;
- données d’identification électronique :
a) fournies par le client : adresse électronique MT ou hors MT ;
b) fournies par le système : adresse IP, logo, numéro de licences protection pc et contrôle parental, numéro de commande, numéro de compte client ;
- complément d’adresse :
fourni par le client : bloc, étage et logo de l’appartement, numéro de téléphone fixe, numéro de téléphone mobile souscrit ou hors MT, logo, bâtiment, entrée, étage ;
- caractéristiques marketing et commerciales :
pour le contractant, les utilisateurs : vérification et évaluation de la valeur d’usage du client et de ses spécificités marchés, scoring financier, segment client ;
- classification professionnelle : clients : typage de clients, secteurs d’activité, nom et codification ;
- identifiants : clients, utilisateurs : numéro de CPE, numéro de compte, carte SIM (identification de l’appelant ou du titulaire de la ligne permettant de reconnaître les appels), numéro IMSI (International Mobile Subscriber Identity), numéro IMEI du terminal (International Mobile Equipement Identity), code PUK (code permettant de bloquer le mobile en cas de perte ou de vol), numéro de dossier DISE, type de switch sur lequel est connecté le client).
Les informations relatives à l’identité ont pour origine le client, le mandataire ou le tiers payeur. Celles se rapportant aux adresses et coordonnées, à la vie professionnelle, aux habitudes de vie et comportement, aux compléments d’adresse et à la classification professionnelle ont toutes pour origine le client. Les caractéristiques financières et les données d’identification électroniques proviennent du client et du système. Les informations relatives à la situation de famille sont issues du client et des utilisateurs. Les caractéristiques marketings et commerciales sont calculées par le système. Celles relatives aux identifiants sont fournies par MT lors de la souscription et de la livraison du matériel. Enfin, les informations de consommation de biens et de services sont issues du client, du système ou d’interconnexions.
Par ailleurs, la Commission observe qu’à l’exception du numéro de téléphone mobile souscrit auprès de MT, les informations relatives à la catégorie «complément d’adresse» ne sont pas adéquates, pertinentes, et non excessives au regard de la finalité du traitement conformément à l’article 10-1 de la loi n° 1.165, précitée.
En conséquence, elle demande que ces informations soient exclues du présent traitement.
IV. Sur les personnes ayant accès au traitement
Le responsable de traitement indique que disposent d’un accès tous droits :
- via l’outil de gestion client (OGC) : les équipes marketing et commerciales, les équipes de support commercial et technique et les équipes techniques DSIH ;
- via le système de facturation (Billing and Revenue Management - BRM) : les équipes marketing et commerciales, les équipes de facturation et recouvrement, les équipes du contrôle interne, les équipes de support commercial et technique et les équipes DSIH.
Par ailleurs, il précise que les sociétés Cap Gemini, Sopra, Oracle et Atos disposent d’un accès en inscription, consultation, mise à jour et suppression des environnements de tests, à des fins de développement ou de maintenance.
A cet égard, il expose que «ces environnements peuvent être accédés par les équipes de sociétés sous-traitantes (…) dans le cadre de développements externalisés ou dans le cadre de diagnostics de dysfonctionnements de production reproduits sur les environnements de test. L’ensemble de ces sociétés sont soumises à des engagements de confidentialité et accèdent [aux] systèmes par le biais de VPN sécurisés».
Considérant les attributions de ces personnes, et eu égard à la finalité du traitement, la Commission considère que ces accès sont justifiés.
V. Sur les rapprochements avec d’autres traitements
Le responsable de traitement indique, sans plus de précision, un rapprochement ou une interconnexion avec le traitement ayant pour finalité «Gestion de la collecte des usages» permettant de «récupérer les informations relatives aux consommations des clients» et qui n’a pas été légalement été mis en œuvre.
Elle demande donc qu’il soit soumis à son avis et que dans l’attente tout rapprochement ou interconnexion avec ce traitement soient interrompus.
VI. Sur la durée de conservation
La Commission prend acte que le délai de conservation de «10 ans à compter du terme contractuel» reste inchangé.
Après en avoir délibéré,
Demande que :
- soit assurée l’information préalable de l’ensemble des personnes concernées et que les mentions d’information soient mises en conformité avec les dispositions de l’article 14 de la loi n° 1.165, modifiée, précitée ;
- lui soit soumis le traitement ayant pour finalité «Gestion de la collecte des usages» ;
- soit exclu les informations relatives à la catégorie «complément d’adresse», à l’exception du numéro de téléphone mobile souscrit auprès de MT.
A la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la modification, par Monaco Telecom SAM, du traitement automatisé d’informations nominatives ayant pour finalité «Gestion des abonnements «service de téléphonie mobile»».
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu le contrat de concession du service public des communications électroniques sur le territoire de la Principauté de Monaco du 26 septembre 2011 ;
Vu le cahier des charges relatif à la concession du service public des communications électroniques sur le territoire de la Principauté de Monaco signé le 26 septembre 2011 et annexé à l’ordonnance souveraine n° 3.560 du 6 décembre 2011 ;
Vu l’arrêté ministériel n° 2010-638 du 23 décembre 2010 portant application de l’article 7 de la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;
Vu la délibération n° 2010-05 du 26 février 2010 de la Commission portant avis favorable sur la demande déposée par Monaco Télécom SAM relative à la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité «Gestion des abonnements «service de téléphonie mobile»», dénommé «Infranet Téléphonie Mobile» ;
Vu la demande d’avis déposée par Monaco Télécom SAM le 6 décembre 2013 relative à la modification du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Conformément aux dispositions de l’article 9 de la loi n° 1.165 du 23 décembre 1993, modifiée, Monaco Télécom SAM soumet à la Commission une demande d’avis modificative relative au traitement ayant pour finalité «Gestion des abonnements «service de téléphonie mobile»».
I. Sur la finalité et les fonctionnalités du traitement
La Commission prend acte que la finalité du traitement demeure inchangée.
Cependant, elle constate que les fonctionnalités ont été modifiées par la suppression de certaines d’entre elles et par l’adjonction de nouvelles fonctionnalités.
A l’examen de ces modifications, la Commission considère que les fonctionnalités du traitement modifié dont s’agit sont désormais :
- la souscription d’abonnements ;
- la facturation et recouvrement de créances clients ;
- la gestion des profils payeurs des clients ;
- la gestion des relances ;
- le suivi de consommation clients (facturation détaillée) et l’établissement de statistiques commerciales ;
- la réalisation d’opérations administratives et commerciales liées à la gestion du compte client (Emission de factures et transmission au client par voie électronique) ;
- l’attribution de numéro de téléphone et ouverture de ligne ;
- la gestion des cartes SIM ;
- la vérification de chèques irréguliers ;
- l’établissement d’annuaires (annuaires internet et papiers) ;
- l’établissement de listes d’opposition à inscription sur annuaires (pour les annuaires internet et papiers) ;
- l’alimentation d’autres fichiers qui seront soumis à la Commission préalablement à leur mise en œuvre.
La Commission considère que les fonctionnalités présentées sont compatibles avec la finalité du traitement.
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
La Commission constate qu’ont été approuvés par ordonnance souveraine n° 3.560 du 6 décembre 2011, la convention, les cahiers des charges et annexes de la concession du service public des communications électroniques sur le territoire de la Principauté de Monaco.
A cet égard, elle relève que le Titre 2 - Missions et Obligations du Concessionnaire du cahier des charges relatif à la concession du service public des communications électroniques sur le territoire de la Principauté de Monaco dispose à l’article 2.1 que «le Concessionnaire bénéficie sur le Territoire de la Principauté de Monaco du monopole des Accès, l’autorisant à installer et exploiter à titre exclusif les équipements, infrastructures et réseaux de Communications Electroniques, permettant la fourniture des services mentionnés ci-après :
- Voix fixe ;
- Voix mobile ;
- Internet fixe et mobile ;
- Données fixe et mobile ;
- Télévision fixe et mobile (…)».
La Commission considère donc que ledit traitement est licite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
• Sur la justification
La Commission prend acte que la justification du traitement demeure inchangée.
III. Sur les informations traitées
A l’examen des modifications apportées par le responsable de traitement, la Commission constate que les informations objet du traitement modifié sont désormais :
- identité : civilité, nom prénom, date et lieu de naissance, nationalité, numéro de la pièce probante d’identité fournie ;
- situation de famille : nombre d’enfants, dates de naissance des enfants ;
- adresse et coordonnées : adresse de facture, adresse d’installation, adresse de contact, adresse SLA, siège social, fax, n° de téléphone, n° de VoIP, pièce justificative fournie (l’adresse étant composée de : nom + code d’immeuble, numéro, qualifiant, type et nom de rue, code postal, ville, pays) ;
- vie professionnelle : tiers payeur : fonction et rôle dans l’entreprise ;
- caractéristiques financières :
a) fournies par le client : mode de paiement, IBAN/BIC, nom de la banque, info du certificat d’exemption ;
b) calculées par le système : statut de recouvrement, images factures, exemption de taxes, solde dû ;
- consommation de biens et services :
a) fournies par le client : terminaux choisis, forfaits, services et options souscrites, seuil d’alerte conso, nom de domaine souscrit ;
b) calculées par le système : suivi de consommation, facture détaillée, nb de points premium, date de création de compte ;
c) fournies via interconnexions : appels : date et heure de début, numéro appelé, code réseau, durée, volume (en seconde, en data, nb sms), prix HT, type d’appel (national, international roaming, data voix, vers messagerie vocale) ;
- habitudes de vie et comportement : langue et canal de communication préférés, heure et lieu de rendez-vous pour les installations ;
- données d’identification électronique :
a) fournies par le client : adresse électronique MT ou hors MT ;
b) fournies par le système : adresse IP, logo, numéro de licences protection pc et contrôle parental, numéro de commande, numéro de compte client ;
- complément d’adresse :
fourni par le client : bloc, étage et logo de l’appartement, numéro de téléphone fixe, numéro de téléphone mobile souscrit ou hors MT, logo, bâtiment, entrée, étage ;
- caractéristiques marketing et commerciales :
pour le contractant, les utilisateurs : vérification et évaluation de la valeur d’usage du client et de ses spécificités marchés, scoring financier, segment client ;
- classification professionnelle : clients : typage de clients, secteurs d’activité, nom et codification ;
- identifiants : clients, utilisateurs : numéro de CPE, numéro de compte, carte SIM (identification de l’appelant ou du titulaire de la ligne permettant de reconnaître les appels), numéro IMSI (International Mobile Subscriber Identity), numéro IMEI du terminal (International Mobile Equipement Identity), code PUK (code permettant de bloquer le mobile en cas de perte ou de vol), numéro de dossier DISE, type de switch sur lequel est connecté le client).
Les informations relatives à l’identité ont pour origine le client, le mandataire ou le tiers payeur. Celles se rapportant aux adresses et coordonnées, à la vie professionnelle, aux habitudes de vie et comportement, aux compléments d’adresse et à la classification professionnelle ont toutes pour origine le client. Les caractéristiques financières et les données d’identification électroniques proviennent du client et du système. Les informations relatives à la situation de famille sont issues du client et des utilisateurs. Les caractéristiques marketings et commerciales sont calculées par le système. Celles relatives aux identifiants sont fournies par MT lors de la souscription et de la livraison du matériel. Enfin, les informations de consommation de biens et de services sont issues du client, du système ou d’interconnexions.
Par ailleurs, la Commission observe qu’à l’exception du numéro de téléphone mobile souscrit auprès de MT, les informations relatives à la catégorie «complément d’adresse» ne sont pas adéquates, pertinentes, et non excessives au regard de la finalité du traitement conformément à l’article 10-1 de la loi n° 1.165, précitée.
En conséquence, elle demande que ces informations soient exclues du présent traitement.
IV. Sur les personnes ayant accès au traitement
Le responsable de traitement indique que disposent d’un accès tous droits :
- via l’outil de gestion client (OGC) : les équipes marketing et commerciales, les équipes de support commercial et technique et les équipes techniques DSIH ;
- via le système de facturation (Billing and Revenue Management - BRM) : les équipes marketing et commerciales, les équipes de facturation et recouvrement, les équipes du contrôle interne, les équipes de support commercial et technique et les équipes DSIH.
Par ailleurs, il précise que les sociétés Cap Gemini, Sopra, Oracle et Atos disposent d’un accès en inscription, consultation, mise à jour et suppression des environnements de tests, à des fins de développement ou de maintenance.
A cet égard, il expose que «ces environnements peuvent être accédés par les équipes de sociétés sous-traitantes (…) dans le cadre de développements externalisés ou dans le cadre de diagnostics de dysfonctionnements de production reproduits sur les environnements de test. L’ensemble de ces sociétés sont soumises à des engagements de confidentialité et accèdent [aux] systèmes par le biais de VPN sécurisés».
Considérant les attributions de ces personnes, et eu égard à la finalité du traitement, la Commission considère que ces accès sont justifiés.
V. Sur les rapprochements avec d’autres traitements
Le responsable de traitement indique, sans plus de précision, un rapprochement ou une interconnexion avec le traitement ayant pour finalité «Gestion de la collecte des usages» permettant de «récupérer les informations relatives aux consommations des clients» et qui n’a pas été légalement été mis en œuvre.
Elle demande donc qu’il soit soumis à son avis et que dans l’attente tout rapprochement ou interconnexion avec ce traitement soient interrompus.
VI. Sur la durée de conservation
La Commission prend acte que le délai de conservation de «10 ans à compter du terme contractuel» reste inchangé.
Après en avoir délibéré,
Demande que :
- soit assurée l’information préalable de l’ensemble des personnes concernées et que les mentions d’information soient mises en conformité avec les dispositions de l’article 14 de la loi n° 1.165, modifiée, précitée ;
- lui soit soumis le traitement ayant pour finalité «Gestion de la collecte des usages» ;
- soit exclu les informations relatives à la catégorie «complément d’adresse», à l’exception du numéro de téléphone mobile souscrit auprès de MT.
A la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la modification, par Monaco Telecom SAM, du traitement automatisé d’informations nominatives ayant pour finalité «Gestion des abonnements «service de téléphonie mobile»».
Le Président de la Commission
de Contrôle des Informations Nominatives.