Délibération n° 2014-70 du 7 avril 2014 de la Commission de Contrôle des Informations Nominatives portant autorisation à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Vidéosurveillance du Musée - Villa Paloma - 56, boulevard du Jardin Exotique » présenté par le Musée National (« Nouveau Musée National de Monaco »)
Vu la Constitution ;
Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la loi n° 1.264 du 23 décembre 2002 relative aux activités privées de protection des personnes et des biens ;
Vu la loi n° 918 du 27 décembre 1971 sur les établissements publics ;
Vu la loi n° 922 du 29 mai 1972 créant un établissement public dit « Musée National » ;
Vu l’ordonnance souveraine n° 5.055 du 8 décembre 1972 sur les conditions d’administration et de gestion administrative et comptable des établissements publics ;
Vu l’ordonnance souveraine n° 642 du 10 août 2006 sur l’organisation et le fonctionnement de l’établissement public dit « Musée National » ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu la délibération n° 2010-13 de la Commission du 3 mai 2010 portant recommandation sur les dispositifs de vidéosurveillance mis en œuvre par les personnes physiques ou morales de droit privé ;
Vu la demande d’autorisation déposée par le Directeur du Musée National le 27 février 2014 concernant la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Vidéosurveillance du Musée - Villa Paloma - 56, boulevard du Jardin Exotique » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 7 avril 2014 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives
Préambule
Le Musée National, appelé Nouveau Musée National de Monaco, est un établissement public « ayant pour mission de recueillir, de conserver et d’exposer au public des œuvres d’art ou des objets présentant un intérêt pour l’art, l’érudition ou l’histoire ».
Afin d’assurer la sécurité des biens et des personnes, ce dernier souhaite mettre en œuvre un système de vidéosurveillance.
Par conséquent, conformément à l’article 11-1 de la loi n° 1.165 du 23 décembre 1993, le Directeur du Musée National, responsable de traitement en tant que titulaire des pouvoirs relatifs à la gestion administrative de l’établissement public au sens de l’article 8 de la loi n° 918 précitée, soumet la présente demande d’autorisation relative à la mise en œuvre du traitement ayant pour finalité « Vidéosurveillance du Musée - Villa Paloma - 56, boulevard du Jardin Exotique ».
I. Sur la finalité et les fonctionnalités du traitement
Le traitement a pour finalité « Vidéosurveillance du Musée - Villa Paloma - 56, boulevard du Jardin Exotique ».
Les personnes concernées sont « les visiteurs, les personnels interne et externe et toute personne entrant dans l’établissement ».
Les fonctionnalités du traitement sont :
- assurer la sécurité des biens (œuvres d’art exposées) ;
- assurer la sécurité des personnes ;
- permettre la constitution de preuves en cas d’infractions.
Au vu de ces éléments, la Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
La Commission relève que l’article 5 de l’ordonnance souveraine n° 642 du 10 août 2006, précitée, dispose que la gestion administrative est assurée par le Directeur du Musée National.
Elle observe par ailleurs que la décision d’avoir recours à un tel traitement relatif à la vidéosurveillance des locaux du Musée, relève de la compétence du Directeur dans le cadre, notamment, de ses attributions.
Elle rappelle toutefois qu’il appartient au responsable de traitement de veiller à la licéité des activités privées de protection des personnes et des biens mises en place au sein du Musée et d’avoir obtenu, compte tenu de la nature des lieux, les autorisations administratives nécessaires, conformément aux dispositions de la loi n° 1.264 du 23 décembre 2002, précitée.
Sous cette condition, la Commission considère que le traitement est licite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
• Sur la justification
Le traitement est justifié par la réalisation d’un intérêt légitime poursuivi par le responsable du traitement, sans que ne soient méconnus ni l’intérêt, ni les droits et libertés fondamentaux de la personne concernée.
A cet égard, la Commission observe que l’article 2 de l’ordonnance souveraine n° 642, précitée, dispose que « le Musée National a pour mission la conservation, […] la protection et la présentation au public des œuvres dont il a la garde ».
Elle constate ainsi que ce traitement contribue notamment à la réalisation de sa mission de protection des œuvres.
La Commission rappelle néanmoins que ce dispositif de vidéosurveillance ne doit pas permettre de contrôler le temps de travail d’un salarié, conduire à un contrôle permanent et inopportun des personnes concernées ou filmer le domaine public.
Sous cette condition, elle considère que le traitement est justifié, conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
Les informations objets du traitement sont les suivantes :
- identité : image des personnes passant dans le champ des caméras ;
- informations temporelles et horodatage : lieu, date et heure de la prise de vue et identification de la caméra ;
- logs de connexion des personnes habilitées à avoir accès aux images : identifiant.
Ces informations ont pour origine le système de vidéosurveillance.
La Commission considère que les informations traitées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
• Sur l’information des personnes concernées
L’information préalable des personnes concernées est effectuée par le biais d’un affichage.
A l’analyse de ce dernier, il appert qu’il ne comporte pas l’ensemble des mentions obligatoires prévues par l’article 14 de la loi n° 1.165, précitée.
La Commission demande par conséquent qu’il soit impérativement complété en ce sens.
Sous cette condition, la Commission constate que les modalités d’information des personnes concernées sont conformes aux exigences légales.
• Sur l’exercice du droit d’accès
Le droit d’accès est exercé par voie postale et sur place auprès de la Direction du Nouveau Musée National de Monaco.
Le délai de réponse est de 2 semaines.
La Commission constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.
V. Sur les destinataires et les personnes ayant accès au traitement
• Sur les destinataires
Les informations sont susceptibles d’être communiquées à la Direction de la Sûreté Publique.
La Commission estime que la communication à la Direction de la Sûreté Publique peut être justifiée par les besoins d’une enquête judiciaire. A cet égard, elle rappelle qu’en cas de transmission, les services de police ne pourront avoir accès aux informations objets du traitement, que dans le strict cadre de leurs missions légalement conférées.
Elle considère que de telles transmissions sont conformes aux exigences légales.
• Sur les personnes ayant accès au traitement
Les personnes habilitées à avoir accès au traitement sont :
- le personnel de l’accueil (visualisation en direct de l’écran de contrôle) ;
- la Direction du NMNM : Directeur, Responsable Administratif et Financier, Régisseur (visualisation des données enregistrées).
Un prestataire a également accès au traitement pour la maintenance de l’équipement.
Considérant les attributions de chacune de ces personnes, et eu égard à la finalité du traitement, la Commission constate que les accès susvisés sont justifiés.
En ce qui concerne le prestataire, elle rappelle toutefois que conformément aux dispositions de l’article 17 de la loi n° 1.165, modifiée, ses droits d’accès doivent être limités à ce qui est strictement nécessaire à l’exécution de son contrat de prestation de service. De plus, celui-ci est soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de l’article 17, susvisé.
Elle rappelle enfin qu’en application de l’article 17-1 de la loi n° 1.165, modifiée, la liste nominative des personnes ayant accès au traitement doit être tenue à jour, et doit pouvoir lui être communiquée à première réquisition.
VI. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation particulière de la part de la Commission.
La Commission rappelle que la copie ou l’extraction d’informations issues de ce traitement devra être chiffrée sur son support de réception, conformément à la délibération n° 2010-13 précitée.
Elle rappelle également que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VII. Sur la durée de conservation
Les informations sont conservées 30 jours.
La Commission considère que cette durée est conforme aux exigences légales.
Après en avoir délibéré,
Rappelle qu’il appartient au responsable de traitement de veiller à l’obtention des autorisations administratives nécessaires au recours à cette mesure de protection des personnes et des biens au sein de ses locaux ;
Demande que l’affichage soit complété de manière à comporter l’ensemble des mentions obligatoires prévues à l’article 14 de la loi n° 1.165.
A la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives autorise la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Vidéosurveillance du Musée - Villa Paloma - 56, boulevard du Jardin Exotique », par le Musée National.
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la loi n° 1.264 du 23 décembre 2002 relative aux activités privées de protection des personnes et des biens ;
Vu la loi n° 918 du 27 décembre 1971 sur les établissements publics ;
Vu la loi n° 922 du 29 mai 1972 créant un établissement public dit « Musée National » ;
Vu l’ordonnance souveraine n° 5.055 du 8 décembre 1972 sur les conditions d’administration et de gestion administrative et comptable des établissements publics ;
Vu l’ordonnance souveraine n° 642 du 10 août 2006 sur l’organisation et le fonctionnement de l’établissement public dit « Musée National » ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu la délibération n° 2010-13 de la Commission du 3 mai 2010 portant recommandation sur les dispositifs de vidéosurveillance mis en œuvre par les personnes physiques ou morales de droit privé ;
Vu la demande d’autorisation déposée par le Directeur du Musée National le 27 février 2014 concernant la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Vidéosurveillance du Musée - Villa Paloma - 56, boulevard du Jardin Exotique » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 7 avril 2014 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives
Préambule
Le Musée National, appelé Nouveau Musée National de Monaco, est un établissement public « ayant pour mission de recueillir, de conserver et d’exposer au public des œuvres d’art ou des objets présentant un intérêt pour l’art, l’érudition ou l’histoire ».
Afin d’assurer la sécurité des biens et des personnes, ce dernier souhaite mettre en œuvre un système de vidéosurveillance.
Par conséquent, conformément à l’article 11-1 de la loi n° 1.165 du 23 décembre 1993, le Directeur du Musée National, responsable de traitement en tant que titulaire des pouvoirs relatifs à la gestion administrative de l’établissement public au sens de l’article 8 de la loi n° 918 précitée, soumet la présente demande d’autorisation relative à la mise en œuvre du traitement ayant pour finalité « Vidéosurveillance du Musée - Villa Paloma - 56, boulevard du Jardin Exotique ».
I. Sur la finalité et les fonctionnalités du traitement
Le traitement a pour finalité « Vidéosurveillance du Musée - Villa Paloma - 56, boulevard du Jardin Exotique ».
Les personnes concernées sont « les visiteurs, les personnels interne et externe et toute personne entrant dans l’établissement ».
Les fonctionnalités du traitement sont :
- assurer la sécurité des biens (œuvres d’art exposées) ;
- assurer la sécurité des personnes ;
- permettre la constitution de preuves en cas d’infractions.
Au vu de ces éléments, la Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
La Commission relève que l’article 5 de l’ordonnance souveraine n° 642 du 10 août 2006, précitée, dispose que la gestion administrative est assurée par le Directeur du Musée National.
Elle observe par ailleurs que la décision d’avoir recours à un tel traitement relatif à la vidéosurveillance des locaux du Musée, relève de la compétence du Directeur dans le cadre, notamment, de ses attributions.
Elle rappelle toutefois qu’il appartient au responsable de traitement de veiller à la licéité des activités privées de protection des personnes et des biens mises en place au sein du Musée et d’avoir obtenu, compte tenu de la nature des lieux, les autorisations administratives nécessaires, conformément aux dispositions de la loi n° 1.264 du 23 décembre 2002, précitée.
Sous cette condition, la Commission considère que le traitement est licite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
• Sur la justification
Le traitement est justifié par la réalisation d’un intérêt légitime poursuivi par le responsable du traitement, sans que ne soient méconnus ni l’intérêt, ni les droits et libertés fondamentaux de la personne concernée.
A cet égard, la Commission observe que l’article 2 de l’ordonnance souveraine n° 642, précitée, dispose que « le Musée National a pour mission la conservation, […] la protection et la présentation au public des œuvres dont il a la garde ».
Elle constate ainsi que ce traitement contribue notamment à la réalisation de sa mission de protection des œuvres.
La Commission rappelle néanmoins que ce dispositif de vidéosurveillance ne doit pas permettre de contrôler le temps de travail d’un salarié, conduire à un contrôle permanent et inopportun des personnes concernées ou filmer le domaine public.
Sous cette condition, elle considère que le traitement est justifié, conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
Les informations objets du traitement sont les suivantes :
- identité : image des personnes passant dans le champ des caméras ;
- informations temporelles et horodatage : lieu, date et heure de la prise de vue et identification de la caméra ;
- logs de connexion des personnes habilitées à avoir accès aux images : identifiant.
Ces informations ont pour origine le système de vidéosurveillance.
La Commission considère que les informations traitées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
• Sur l’information des personnes concernées
L’information préalable des personnes concernées est effectuée par le biais d’un affichage.
A l’analyse de ce dernier, il appert qu’il ne comporte pas l’ensemble des mentions obligatoires prévues par l’article 14 de la loi n° 1.165, précitée.
La Commission demande par conséquent qu’il soit impérativement complété en ce sens.
Sous cette condition, la Commission constate que les modalités d’information des personnes concernées sont conformes aux exigences légales.
• Sur l’exercice du droit d’accès
Le droit d’accès est exercé par voie postale et sur place auprès de la Direction du Nouveau Musée National de Monaco.
Le délai de réponse est de 2 semaines.
La Commission constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.
V. Sur les destinataires et les personnes ayant accès au traitement
• Sur les destinataires
Les informations sont susceptibles d’être communiquées à la Direction de la Sûreté Publique.
La Commission estime que la communication à la Direction de la Sûreté Publique peut être justifiée par les besoins d’une enquête judiciaire. A cet égard, elle rappelle qu’en cas de transmission, les services de police ne pourront avoir accès aux informations objets du traitement, que dans le strict cadre de leurs missions légalement conférées.
Elle considère que de telles transmissions sont conformes aux exigences légales.
• Sur les personnes ayant accès au traitement
Les personnes habilitées à avoir accès au traitement sont :
- le personnel de l’accueil (visualisation en direct de l’écran de contrôle) ;
- la Direction du NMNM : Directeur, Responsable Administratif et Financier, Régisseur (visualisation des données enregistrées).
Un prestataire a également accès au traitement pour la maintenance de l’équipement.
Considérant les attributions de chacune de ces personnes, et eu égard à la finalité du traitement, la Commission constate que les accès susvisés sont justifiés.
En ce qui concerne le prestataire, elle rappelle toutefois que conformément aux dispositions de l’article 17 de la loi n° 1.165, modifiée, ses droits d’accès doivent être limités à ce qui est strictement nécessaire à l’exécution de son contrat de prestation de service. De plus, celui-ci est soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de l’article 17, susvisé.
Elle rappelle enfin qu’en application de l’article 17-1 de la loi n° 1.165, modifiée, la liste nominative des personnes ayant accès au traitement doit être tenue à jour, et doit pouvoir lui être communiquée à première réquisition.
VI. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation particulière de la part de la Commission.
La Commission rappelle que la copie ou l’extraction d’informations issues de ce traitement devra être chiffrée sur son support de réception, conformément à la délibération n° 2010-13 précitée.
Elle rappelle également que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VII. Sur la durée de conservation
Les informations sont conservées 30 jours.
La Commission considère que cette durée est conforme aux exigences légales.
Après en avoir délibéré,
Rappelle qu’il appartient au responsable de traitement de veiller à l’obtention des autorisations administratives nécessaires au recours à cette mesure de protection des personnes et des biens au sein de ses locaux ;
Demande que l’affichage soit complété de manière à comporter l’ensemble des mentions obligatoires prévues à l’article 14 de la loi n° 1.165.
A la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives autorise la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Vidéosurveillance du Musée - Villa Paloma - 56, boulevard du Jardin Exotique », par le Musée National.
Le Président de la Commission
de Contrôle des Informations Nominatives.