Délibération n° 2016-76 du 15 juin 2016 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en oeuvre du traitement automatisé d’informations nominatives ayant pour finalité « Enquêtes mensuelles de conjoncture par secteur d’activité en Principauté » présenté par l’Institut Monégasque de la Statistique et des Etudes Economiques
Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 419 du 7 juin 1945 relative aux mesures d’ordre statistique ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l’ordonnance souveraine n° 3.095 du 24 janvier 2011 portant création de l’Institut Monégasque de la Statistique et des Etudes Economiques et du Conseil Scientifique de la Statistique et des Etudes Economiques, modifiée ;
Vu l’ordonnance souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l’Administration et l’administré, modifiée ;
Vu l’arrêté ministériel n° 66-055 du 9 mars 1966 portant attribution d’un numéro d’identification aux établissements industriels, artisanaux, commerciaux et autres et rendant obligatoire l’utilisation de ce numéro d’identification pour les classifications et les statistiques officielles, modifié ;
Vu l’arrêté ministériel n° 2013-234 du 22 avril 2013 créant le Répertoire du Numéro d’Identification statistique (N.I.S.) ;
Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;
Vu la délibération n° 2013-55 du 28 mai 2013 de la Commission de Contrôle des Informations Nominatives portant avis favorable sur la demande modificative présentée par le Ministre d’Etat relative au traitement automatisé d’informations nominatives ayant pour finalité « Fichier d’identification statistique » de la Direction de l’Expansion Economique afin d’en transférer la compétence à l’Institut Monégasque de la Statistique et des Etudes Economiques sous la finalité « Gestion du Répertoire NIS » ;
Vu la délibération n° 2015-26 du 18 février 2015 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre de la modification du traitement automatisé ayant pour finalité « La Taxe sur la Valeur Ajoutée » de la Direction des Services Fiscaux présentée par le Ministre d’Etat ;
Vu la demande d’avis déposée par l’Institut Monégasque de la Statistique et des Etudes Economiques le 7 mars 2016 concernant la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité « Enquêtes mensuelles de conjoncture par secteur d’activité en Principauté » ;
Vu la prorogation du délai d’examen de la présente demande d’autorisation notifiée au responsable de traitement le 6 mai 2016, conformément à l’article 19 de l’ordonnance souveraine n° 2.230 du
19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 15 juin 2016 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Le chiffre 5 de l’article 2 de l’ordonnance souveraine n° 3.095 du
24 janvier 2011, modifiée, susvisée, dispose que « L’I.M.S.E.E. est en charge d’assurer (…) les missions suivantes : (…) observer et étudier l’évolution de la situation économique sur le territoire de la Principauté, ses mouvements conjoncturels et structurels, et calculer les agrégats économiques mesurables ».
Aussi, afin d’accomplir sa mission légalement dévolue et conformément aux dispositions de l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, il soumet le traitement ayant pour finalité « Enquêtes mensuelles de conjoncture par secteur d’activité en Principauté » à l’avis de la Commission.
I. Sur la finalité et les fonctionnalités du traitement
Le traitement a pour finalité « Enquêtes mensuelles de conjoncture par secteur d’activité en Principauté ».
Sont concernés les agents économiques de la Principauté, tels que définis aux articles premier et 4 de l’arrêté ministériel n° 66-055 du 9 mars 1966.
Les fonctionnalités du traitement sont les suivantes :
• créer un fichier dont la finalité est de permettre l’établissement d’enquêtes conjoncturelles mensuelles dites « baromètre en Principauté de Monaco », et qui seraient établies à partir de réponses reçues dans le cadre de celles-ci ;
- établir sous forme d’indicateurs synthétiques le climat des affaires des secteurs d’activité économique ;
- adresser des correspondances, avec questionnaires, par tous moyens de communications, aux personnes concernées ;
- réceptionner et enregistrer les informations communiquées par tous moyens ;
- effectuer les opérations de recollement et calculer les agrégats sur la base de procédures et méthodes fixées par l’IMSEE ;
- rendre public, sous forme d’une publication à vocation mensuelle non nominative, le résultat de ces enquêtes conjoncturelles ;
- conserver les informations à des fins statistiques, permettant de suivre l’évolution des secteurs d’activité dans le temps et d’analyser leur évolution.
Au vu de ces éléments, la Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.
II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le traitement est justifié par le consentement de la personne concernée, le respect d’une obligation légale, un motif d’intérêt public, et la réalisation d’un intérêt légitime qui ne méconnaît ni l’intérêt, ni les droits et libertés fondamentaux de la personne concernée.
A cet égard, la Commission relève que l’article 2 de l’ordonnance souveraine n° 3.095 du 24 janvier 2011, dispose que :
« L’I.M.S.E.E. est chargé d’assurer, pour le compte des personnes, Autorités et organismes mentionnés à l’article 7 de la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée, les missions suivantes :
1. mettre en place un système d’information statistique sur la structure et l’activité de la Principauté ;
2. réaliser des enquêtes statistiques, dont la liste est fixée chaque année par arrêté ministériel sur avis du Conseil Scientifique de la Statistique et des Etudes Economiques ;
3. exploiter, rapprocher et produire, dans le sens de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, à des fins statistiques des renseignements collectés auprès des services de l’État, de la Mairie, des personnes morales de droit public et de droit privé disposant d’informations utiles à l’accomplissement de ses missions, en vue de l’établissement de statistiques publiques lesquelles regroupent l’ensemble des productions issues des enquêtes et de l’exploitation, à des fins d’information générale, de données détenues par les personnes et organismes susmentionnés. […]
5. observer et étudier l’évolution de la situation économique sur le territoire de la Principauté, ses mouvements conjoncturels et structurels, et calculer les agrégats économiques mesurables ;
6. entreprendre toutes recherches, analyses, ou études démographiques, économiques et sociales. […]
8. diffuser ou publier s’il y a lieu des résultats de ses travaux ; […] ».
Aussi, elle constate que le traitement dont s’agit s’inscrit dans les missions légalement conférées à l’I.M.S.E.E.
En outre, l’utilisation du numéro N.I.S. est justifiée par l’article 8 de l’arrêté ministériel n° 66-055 du 9 mars 1966 qui dispose que « L’utilisation du numéro d’identification statistique est obligatoire pour toute classification et pour toutes les statistiques officielles, aussi bien au regard des administrations publiques de l’Etat, de la Commune que des établissements ».
Enfin, le responsable de traitement précise que « ce traitement a pour finalité de mettre en œuvre un agrégat comparable avec les instituts producteurs de statistiques européennes puisqu’il tend à se conformer au système européen harmonisé des enquêtes de conjonctures, fixant des méthodes harmonisées tant au niveau des questionnaires (formulation des questions posées), que de la périodicité, du champ sectoriel de l’enquête ou encore du mode de traitement ».
La Commission considère donc que le traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993.
III. Sur les informations traitées
Les informations objets du traitement sont les suivantes :
- identité : personne physique : nom, nom d’usage, objet social, forme juridique, n° RCI, n° NIS ; personne morale : raisons/dénominations sociales, objet social, enseigne, type d’établissement, n° RCI, forme juridique, n° NIS ;
- adresses et coordonnées : adresse de l’établissement, adresse usuelle, adresse d’expédition, adresse électronique, numéro(s) de téléphone (fixe et portable) ;
- caractéristiques financières : chiffre d’affaires TTC, détail par l’employeur : regroupements de salariés selon des critères cumulatifs d’âge, de sexe, de lieu de résidence et de nationalité, et pour chaque regroupement, les informations relatives aux heures déclarées et aux salaires bruts ;
- correspondant : nom, prénom, fonction, numéro de téléphone, adresse électronique.
Les informations collectées par le bais des questionnaires ont pour origine les personnes concernées elles-mêmes. L’origine des autres informations est indiquée au point VI relatif aux interconnexions.
Par ailleurs, la Commission relève que l’IMSEE attribue, pour des raisons d’efficacité du suivi dans le temps du panel, un statut de répondant absolu, non répondant absolu ou non répondant partiel aux agents économiques concernés par le questionnaire.
La Commission considère que les informations traitées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi
n° 1.165 du 23 décembre 1993.
IV. Sur les droits des personnes concernées
• Sur l’information des personnes concernées
Le responsable de traitement indique que l’information préalable des personnes concernées est effectuée :
- par un document spécifique ;
- par une rubrique propre à la protection des données accessible en ligne ;
- par un courrier remis à l’intéressé.
A la lecture de la mention d’information portée sur les courriers, les mails et le site de l’IMSEE relativement au présent traitement, la Commission relève que l’information des personnes concernées est valablement effectuée.
• Sur l’exercice du droit d’accès
La Commission observe que le droit d’accès est exercé par voie postale, par courrier électronique ou sur place auprès de l’IMSEE.
Les droits de modification et de mise à jour des données sont exercés selon les mêmes modalités.
Le délai de réponse est de 30 jours.
La Commission constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993.
V. Sur les personnes ayant accès au traitement
Les personnes habilitées à avoir accès au traitement sont :
- le personnel de l’IMSEE amené à gérer l’enquête « Baromètre du Commerce de détail » : création, consultation, mise à jour, modification ;
- tout le personnel de l’IMSEE dans le cadre des missions dévolues à l’Institut, en consultation ;
- les personnels administratifs de la Direction Informatique ou tiers intervenant pour son compte : tout accès dans le cadre des missions de maintenance, développement des applicatifs nécessaires au fonctionnement du site et de sécurité du site et du système d’information de l’Etat ;
- les personnels de la Direction de l’Administration Electronique et de l’Information aux Usagers ou tiers intervenant pour son compte ayant un rôle d’assistance à maîtrise d’ouvrage sur la procédure.
En ce qui concerne les prestataires, la Commission rappelle que conformément aux dispositions de l’article 17 de la loi n° 1.165 du
23 décembre 1993 les droits d’accès doivent être limités à ce qui est strictement nécessaire à l’exécution de leur contrat de prestation de service. De plus, lesdits prestataires sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
La Commission considère que les accès au traitement sont conformes aux dispositions légales.
VI. Sur les rapprochements et interconnexions
Le responsable de traitement indique que le présent traitement est interconnecté ou rapproché avec les traitements suivants :
- « Gestion du répertoire du NIS », légalement mis en œuvre par l’IMSEE ;
- « Etablissement de statistiques concernant les assurés de la Caisse de Compensation des Services Sociaux », légalement mis en œuvre, et exploité par la Caisse de Compensation des Services Sociaux ;
- « La Taxe sur la Valeur Ajoutée », légalement mis en œuvre, et exploité par la Direction des Services Fiscaux ;
- « Gestion des techniques de communication du Service Informatique de l’Etat », légalement mis en œuvre, et exploité par la Direction Informatique.
Le Répertoire NIS permet au responsable de traitement de recueillir les données nécessaires à l’enquête de conjoncture. A cet égard, la Commission relève qu’elle a donné avis favorable au traitement relatif à la Gestion du répertoire du NIS par délibération n° 2013-55 du 28 mai 2013 qui prévoyait comme fonctionnalité de « disposer des éléments d’identification nécessaires à l’envoi de mailings ciblés et à la réalisation d’études, de recherches et de statistiques par l’IMSEE ».
En ce qui concerne les autres rapprochements, il s’agit de communications d’informations par les entités exploitant les traitements listés ci-dessus fondées sur l’article 2 de l’ordonnance souveraine
n° 3.095 du 24 janvier 2011 qui dispose qu’ « Aux fins d’assurer l’accomplissement des missions définies à l’article 2, l’I.M.S.E.E. peut recevoir, par tout moyen de communication, d’une personne physique ou morale de droit privé ou de droit public, des informations nécessaires à des fins exclusives d’établissement de statistiques ».
A cet égard, les informations issues du traitement exploité par la Caisse de Compensation des Services Sociaux permettent à l’IMSEE de pondérer le panel en donnant un poids différent aux valeurs qu’il utilise. Aussi, l’IMSEE souhaite recevoir mensuellement un tableau descriptif faisant apparaître le détail nominatif des employeurs avec, pour chacun d’entre eux, les regroupements de ses salariés selon des critères cumulatifs d’âge, de sexe, de lieu de résidence et de nationalité, et les informations relatives aux heures déclarées et aux salaires bruts, sans qu’il n’apparaisse le nom des salariés concernés.
Par ailleurs, l’IMSEE souhaite également utiliser le traitement relatif à la TVA comme deuxième élément de pondération, permettant notamment de prendre en considération le poids d’un acteur dans la donnée statistique en fonction du chiffre d’affaires qu’il génère.
La Commission relève que par délibération n° 2015-26 du 18 février 2015 portant avis favorable à la mise en œuvre de la modification du traitement automatisé ayant pour finalité « La Taxe sur la Valeur Ajoutée » de la Direction des Services Fiscaux présentée par le Ministre d’Etat, elle a jugé compatible avec la finalité du traitement l’utilisation ultérieure par l’IMSEE des informations traitées dans le cadre du traitement ayant pour finalité « La Taxe sur la Valeur Ajoutée ».
Enfin le rapprochement avec la « Gestion des techniques de communication du Service Informatique de l’Etat » est nécessaire aux fins de l’utilisation de la messagerie électronique.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation particulière.
Toutefois, la Commission relève que l’IMSEE collecte l’adresse mail des personnes concernées afin de leur envoyer le questionnaire, pour que celles-ci le leur retourne rempli par courrier électronique.
A cet égard, elle relève que l’IMSEE initie ainsi une communication qui lui permettra de recevoir le questionnaire par un message non sécurisé.
Aussi, elle demande à ce que la transmission du questionnaire dument complété de l’agent économique vers l’IMSEE soit protégée, par exemple en offrant la possibilité à une personne concernée de déposer son questionnaire en ligne sur une page sécurisée, ou par le chiffrement du questionnaire avec un mot de passe unique convenu entre l’IMSEE et chacun des agents économiques concernés.
Par ailleurs, l’architecture technique du système repose sur des équipements de raccordements (switchs, pare-feux) de serveurs et périphériques qui doivent être protégés par un login et un mot de passe réputé fort et les ports non utilisés doivent être désactivés.
La Commission rappelle enfin que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité de celui-ci au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VIII. Sur la durée de conservation
Les informations traitées seront conservées informatiquement de manière illimitée. Le responsable de traitement précise néanmoins que les dossiers papier seront détruits après saisie.
La Commission considère donc que la durée de conservation des informations objets du traitement est conforme aux obligations légales, et notamment aux dispositions de l’article 2-3 de l’ordonnance souveraine n° 3.095 du 24 janvier 2011 qui dispose que « Les études et enquêtes statistiques effectuées conformément aux dispositions de la présente ordonnance constituent des archives publiques au sens de Notre ordonnance n° 3.413 du 29 août 2011, modifiée, susvisée.
En application du deuxième alinéa de l’article 33 de l’ordonnance souveraine mentionnée au précédent alinéa, l’I.M.S.E.E. demeure le détenteur de tous documents administratifs liés à ses missions visées à l’article 2 de Notre présente ordonnance, notamment ceux destinés à être conservés de manière illimitée, en raison de la nature confidentielle des données collectées. ».
Après en avoir délibéré,
Constate qu’il est attribué aux personnes concernées un statut de répondant absolu, non répondant absolu, non répondant partiel, à des fins de suivi de qualité du panel ;
Rappelle que l’architecture technique du système repose sur des équipements de raccordements (switchs, pare-feux) de serveurs et périphériques qui doivent être protégés par un login et un mot de passe réputé fort et que les ports non utilisés doivent être désactivés ;
Demande à ce que la réception du questionnaire par mail soit sécurisée, par exemple en offrant la possibilité à une personne concernée de déposer son questionnaire en ligne sur une page sécurisée, ou par le chiffrement du questionnaire avec un mot de passe unique convenu entre l’IMSEE et chacun des agents économiques concernés.
A la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par l’Institut Monégasque de la Statistique et des Etudes Economiques, du traitement automatisé d’informations nominatives ayant pour finalité « Enquêtes mensuelles de conjoncture par secteur d’activité en Principauté ».
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 419 du 7 juin 1945 relative aux mesures d’ordre statistique ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l’ordonnance souveraine n° 3.095 du 24 janvier 2011 portant création de l’Institut Monégasque de la Statistique et des Etudes Economiques et du Conseil Scientifique de la Statistique et des Etudes Economiques, modifiée ;
Vu l’ordonnance souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l’Administration et l’administré, modifiée ;
Vu l’arrêté ministériel n° 66-055 du 9 mars 1966 portant attribution d’un numéro d’identification aux établissements industriels, artisanaux, commerciaux et autres et rendant obligatoire l’utilisation de ce numéro d’identification pour les classifications et les statistiques officielles, modifié ;
Vu l’arrêté ministériel n° 2013-234 du 22 avril 2013 créant le Répertoire du Numéro d’Identification statistique (N.I.S.) ;
Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;
Vu la délibération n° 2013-55 du 28 mai 2013 de la Commission de Contrôle des Informations Nominatives portant avis favorable sur la demande modificative présentée par le Ministre d’Etat relative au traitement automatisé d’informations nominatives ayant pour finalité « Fichier d’identification statistique » de la Direction de l’Expansion Economique afin d’en transférer la compétence à l’Institut Monégasque de la Statistique et des Etudes Economiques sous la finalité « Gestion du Répertoire NIS » ;
Vu la délibération n° 2015-26 du 18 février 2015 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre de la modification du traitement automatisé ayant pour finalité « La Taxe sur la Valeur Ajoutée » de la Direction des Services Fiscaux présentée par le Ministre d’Etat ;
Vu la demande d’avis déposée par l’Institut Monégasque de la Statistique et des Etudes Economiques le 7 mars 2016 concernant la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité « Enquêtes mensuelles de conjoncture par secteur d’activité en Principauté » ;
Vu la prorogation du délai d’examen de la présente demande d’autorisation notifiée au responsable de traitement le 6 mai 2016, conformément à l’article 19 de l’ordonnance souveraine n° 2.230 du
19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 15 juin 2016 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Le chiffre 5 de l’article 2 de l’ordonnance souveraine n° 3.095 du
24 janvier 2011, modifiée, susvisée, dispose que « L’I.M.S.E.E. est en charge d’assurer (…) les missions suivantes : (…) observer et étudier l’évolution de la situation économique sur le territoire de la Principauté, ses mouvements conjoncturels et structurels, et calculer les agrégats économiques mesurables ».
Aussi, afin d’accomplir sa mission légalement dévolue et conformément aux dispositions de l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, il soumet le traitement ayant pour finalité « Enquêtes mensuelles de conjoncture par secteur d’activité en Principauté » à l’avis de la Commission.
I. Sur la finalité et les fonctionnalités du traitement
Le traitement a pour finalité « Enquêtes mensuelles de conjoncture par secteur d’activité en Principauté ».
Sont concernés les agents économiques de la Principauté, tels que définis aux articles premier et 4 de l’arrêté ministériel n° 66-055 du 9 mars 1966.
Les fonctionnalités du traitement sont les suivantes :
• créer un fichier dont la finalité est de permettre l’établissement d’enquêtes conjoncturelles mensuelles dites « baromètre en Principauté de Monaco », et qui seraient établies à partir de réponses reçues dans le cadre de celles-ci ;
- établir sous forme d’indicateurs synthétiques le climat des affaires des secteurs d’activité économique ;
- adresser des correspondances, avec questionnaires, par tous moyens de communications, aux personnes concernées ;
- réceptionner et enregistrer les informations communiquées par tous moyens ;
- effectuer les opérations de recollement et calculer les agrégats sur la base de procédures et méthodes fixées par l’IMSEE ;
- rendre public, sous forme d’une publication à vocation mensuelle non nominative, le résultat de ces enquêtes conjoncturelles ;
- conserver les informations à des fins statistiques, permettant de suivre l’évolution des secteurs d’activité dans le temps et d’analyser leur évolution.
Au vu de ces éléments, la Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.
II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le traitement est justifié par le consentement de la personne concernée, le respect d’une obligation légale, un motif d’intérêt public, et la réalisation d’un intérêt légitime qui ne méconnaît ni l’intérêt, ni les droits et libertés fondamentaux de la personne concernée.
A cet égard, la Commission relève que l’article 2 de l’ordonnance souveraine n° 3.095 du 24 janvier 2011, dispose que :
« L’I.M.S.E.E. est chargé d’assurer, pour le compte des personnes, Autorités et organismes mentionnés à l’article 7 de la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée, les missions suivantes :
1. mettre en place un système d’information statistique sur la structure et l’activité de la Principauté ;
2. réaliser des enquêtes statistiques, dont la liste est fixée chaque année par arrêté ministériel sur avis du Conseil Scientifique de la Statistique et des Etudes Economiques ;
3. exploiter, rapprocher et produire, dans le sens de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, à des fins statistiques des renseignements collectés auprès des services de l’État, de la Mairie, des personnes morales de droit public et de droit privé disposant d’informations utiles à l’accomplissement de ses missions, en vue de l’établissement de statistiques publiques lesquelles regroupent l’ensemble des productions issues des enquêtes et de l’exploitation, à des fins d’information générale, de données détenues par les personnes et organismes susmentionnés. […]
5. observer et étudier l’évolution de la situation économique sur le territoire de la Principauté, ses mouvements conjoncturels et structurels, et calculer les agrégats économiques mesurables ;
6. entreprendre toutes recherches, analyses, ou études démographiques, économiques et sociales. […]
8. diffuser ou publier s’il y a lieu des résultats de ses travaux ; […] ».
Aussi, elle constate que le traitement dont s’agit s’inscrit dans les missions légalement conférées à l’I.M.S.E.E.
En outre, l’utilisation du numéro N.I.S. est justifiée par l’article 8 de l’arrêté ministériel n° 66-055 du 9 mars 1966 qui dispose que « L’utilisation du numéro d’identification statistique est obligatoire pour toute classification et pour toutes les statistiques officielles, aussi bien au regard des administrations publiques de l’Etat, de la Commune que des établissements ».
Enfin, le responsable de traitement précise que « ce traitement a pour finalité de mettre en œuvre un agrégat comparable avec les instituts producteurs de statistiques européennes puisqu’il tend à se conformer au système européen harmonisé des enquêtes de conjonctures, fixant des méthodes harmonisées tant au niveau des questionnaires (formulation des questions posées), que de la périodicité, du champ sectoriel de l’enquête ou encore du mode de traitement ».
La Commission considère donc que le traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993.
III. Sur les informations traitées
Les informations objets du traitement sont les suivantes :
- identité : personne physique : nom, nom d’usage, objet social, forme juridique, n° RCI, n° NIS ; personne morale : raisons/dénominations sociales, objet social, enseigne, type d’établissement, n° RCI, forme juridique, n° NIS ;
- adresses et coordonnées : adresse de l’établissement, adresse usuelle, adresse d’expédition, adresse électronique, numéro(s) de téléphone (fixe et portable) ;
- caractéristiques financières : chiffre d’affaires TTC, détail par l’employeur : regroupements de salariés selon des critères cumulatifs d’âge, de sexe, de lieu de résidence et de nationalité, et pour chaque regroupement, les informations relatives aux heures déclarées et aux salaires bruts ;
- correspondant : nom, prénom, fonction, numéro de téléphone, adresse électronique.
Les informations collectées par le bais des questionnaires ont pour origine les personnes concernées elles-mêmes. L’origine des autres informations est indiquée au point VI relatif aux interconnexions.
Par ailleurs, la Commission relève que l’IMSEE attribue, pour des raisons d’efficacité du suivi dans le temps du panel, un statut de répondant absolu, non répondant absolu ou non répondant partiel aux agents économiques concernés par le questionnaire.
La Commission considère que les informations traitées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi
n° 1.165 du 23 décembre 1993.
IV. Sur les droits des personnes concernées
• Sur l’information des personnes concernées
Le responsable de traitement indique que l’information préalable des personnes concernées est effectuée :
- par un document spécifique ;
- par une rubrique propre à la protection des données accessible en ligne ;
- par un courrier remis à l’intéressé.
A la lecture de la mention d’information portée sur les courriers, les mails et le site de l’IMSEE relativement au présent traitement, la Commission relève que l’information des personnes concernées est valablement effectuée.
• Sur l’exercice du droit d’accès
La Commission observe que le droit d’accès est exercé par voie postale, par courrier électronique ou sur place auprès de l’IMSEE.
Les droits de modification et de mise à jour des données sont exercés selon les mêmes modalités.
Le délai de réponse est de 30 jours.
La Commission constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993.
V. Sur les personnes ayant accès au traitement
Les personnes habilitées à avoir accès au traitement sont :
- le personnel de l’IMSEE amené à gérer l’enquête « Baromètre du Commerce de détail » : création, consultation, mise à jour, modification ;
- tout le personnel de l’IMSEE dans le cadre des missions dévolues à l’Institut, en consultation ;
- les personnels administratifs de la Direction Informatique ou tiers intervenant pour son compte : tout accès dans le cadre des missions de maintenance, développement des applicatifs nécessaires au fonctionnement du site et de sécurité du site et du système d’information de l’Etat ;
- les personnels de la Direction de l’Administration Electronique et de l’Information aux Usagers ou tiers intervenant pour son compte ayant un rôle d’assistance à maîtrise d’ouvrage sur la procédure.
En ce qui concerne les prestataires, la Commission rappelle que conformément aux dispositions de l’article 17 de la loi n° 1.165 du
23 décembre 1993 les droits d’accès doivent être limités à ce qui est strictement nécessaire à l’exécution de leur contrat de prestation de service. De plus, lesdits prestataires sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
La Commission considère que les accès au traitement sont conformes aux dispositions légales.
VI. Sur les rapprochements et interconnexions
Le responsable de traitement indique que le présent traitement est interconnecté ou rapproché avec les traitements suivants :
- « Gestion du répertoire du NIS », légalement mis en œuvre par l’IMSEE ;
- « Etablissement de statistiques concernant les assurés de la Caisse de Compensation des Services Sociaux », légalement mis en œuvre, et exploité par la Caisse de Compensation des Services Sociaux ;
- « La Taxe sur la Valeur Ajoutée », légalement mis en œuvre, et exploité par la Direction des Services Fiscaux ;
- « Gestion des techniques de communication du Service Informatique de l’Etat », légalement mis en œuvre, et exploité par la Direction Informatique.
Le Répertoire NIS permet au responsable de traitement de recueillir les données nécessaires à l’enquête de conjoncture. A cet égard, la Commission relève qu’elle a donné avis favorable au traitement relatif à la Gestion du répertoire du NIS par délibération n° 2013-55 du 28 mai 2013 qui prévoyait comme fonctionnalité de « disposer des éléments d’identification nécessaires à l’envoi de mailings ciblés et à la réalisation d’études, de recherches et de statistiques par l’IMSEE ».
En ce qui concerne les autres rapprochements, il s’agit de communications d’informations par les entités exploitant les traitements listés ci-dessus fondées sur l’article 2 de l’ordonnance souveraine
n° 3.095 du 24 janvier 2011 qui dispose qu’ « Aux fins d’assurer l’accomplissement des missions définies à l’article 2, l’I.M.S.E.E. peut recevoir, par tout moyen de communication, d’une personne physique ou morale de droit privé ou de droit public, des informations nécessaires à des fins exclusives d’établissement de statistiques ».
A cet égard, les informations issues du traitement exploité par la Caisse de Compensation des Services Sociaux permettent à l’IMSEE de pondérer le panel en donnant un poids différent aux valeurs qu’il utilise. Aussi, l’IMSEE souhaite recevoir mensuellement un tableau descriptif faisant apparaître le détail nominatif des employeurs avec, pour chacun d’entre eux, les regroupements de ses salariés selon des critères cumulatifs d’âge, de sexe, de lieu de résidence et de nationalité, et les informations relatives aux heures déclarées et aux salaires bruts, sans qu’il n’apparaisse le nom des salariés concernés.
Par ailleurs, l’IMSEE souhaite également utiliser le traitement relatif à la TVA comme deuxième élément de pondération, permettant notamment de prendre en considération le poids d’un acteur dans la donnée statistique en fonction du chiffre d’affaires qu’il génère.
La Commission relève que par délibération n° 2015-26 du 18 février 2015 portant avis favorable à la mise en œuvre de la modification du traitement automatisé ayant pour finalité « La Taxe sur la Valeur Ajoutée » de la Direction des Services Fiscaux présentée par le Ministre d’Etat, elle a jugé compatible avec la finalité du traitement l’utilisation ultérieure par l’IMSEE des informations traitées dans le cadre du traitement ayant pour finalité « La Taxe sur la Valeur Ajoutée ».
Enfin le rapprochement avec la « Gestion des techniques de communication du Service Informatique de l’Etat » est nécessaire aux fins de l’utilisation de la messagerie électronique.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation particulière.
Toutefois, la Commission relève que l’IMSEE collecte l’adresse mail des personnes concernées afin de leur envoyer le questionnaire, pour que celles-ci le leur retourne rempli par courrier électronique.
A cet égard, elle relève que l’IMSEE initie ainsi une communication qui lui permettra de recevoir le questionnaire par un message non sécurisé.
Aussi, elle demande à ce que la transmission du questionnaire dument complété de l’agent économique vers l’IMSEE soit protégée, par exemple en offrant la possibilité à une personne concernée de déposer son questionnaire en ligne sur une page sécurisée, ou par le chiffrement du questionnaire avec un mot de passe unique convenu entre l’IMSEE et chacun des agents économiques concernés.
Par ailleurs, l’architecture technique du système repose sur des équipements de raccordements (switchs, pare-feux) de serveurs et périphériques qui doivent être protégés par un login et un mot de passe réputé fort et les ports non utilisés doivent être désactivés.
La Commission rappelle enfin que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité de celui-ci au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VIII. Sur la durée de conservation
Les informations traitées seront conservées informatiquement de manière illimitée. Le responsable de traitement précise néanmoins que les dossiers papier seront détruits après saisie.
La Commission considère donc que la durée de conservation des informations objets du traitement est conforme aux obligations légales, et notamment aux dispositions de l’article 2-3 de l’ordonnance souveraine n° 3.095 du 24 janvier 2011 qui dispose que « Les études et enquêtes statistiques effectuées conformément aux dispositions de la présente ordonnance constituent des archives publiques au sens de Notre ordonnance n° 3.413 du 29 août 2011, modifiée, susvisée.
En application du deuxième alinéa de l’article 33 de l’ordonnance souveraine mentionnée au précédent alinéa, l’I.M.S.E.E. demeure le détenteur de tous documents administratifs liés à ses missions visées à l’article 2 de Notre présente ordonnance, notamment ceux destinés à être conservés de manière illimitée, en raison de la nature confidentielle des données collectées. ».
Après en avoir délibéré,
Constate qu’il est attribué aux personnes concernées un statut de répondant absolu, non répondant absolu, non répondant partiel, à des fins de suivi de qualité du panel ;
Rappelle que l’architecture technique du système repose sur des équipements de raccordements (switchs, pare-feux) de serveurs et périphériques qui doivent être protégés par un login et un mot de passe réputé fort et que les ports non utilisés doivent être désactivés ;
Demande à ce que la réception du questionnaire par mail soit sécurisée, par exemple en offrant la possibilité à une personne concernée de déposer son questionnaire en ligne sur une page sécurisée, ou par le chiffrement du questionnaire avec un mot de passe unique convenu entre l’IMSEE et chacun des agents économiques concernés.
A la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par l’Institut Monégasque de la Statistique et des Etudes Economiques, du traitement automatisé d’informations nominatives ayant pour finalité « Enquêtes mensuelles de conjoncture par secteur d’activité en Principauté ».
Le Président de la Commission
de Contrôle des Informations Nominatives.