Délibération n° 2021-41 du 17 février 2021 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion des titres restaurant sur carte à puce des salariés MT, MTI et MTS » présenté par Monaco Telecom S.A.M..

No. Journal 8530
Date of publication 19/03/2021
Quality 100%
Page no.

Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu le Contrat de Concession du Service Public des communications électroniques sur le territoire de la Principauté de Monaco du 26 septembre 2011 ;
Vu le Cahier des Charges relatif à la Concession du Service Public des communications électroniques sur le territoire de la Principauté de Monaco signé le 26 septembre 2011 annexé à l'Ordonnance Souveraine n° 3.560 du 6 décembre 2011 ;
Vu le Cahier des Charges de l'avenant à la Concession du Service Public des communications électroniques et ses annexes annexés à l'Ordonnance Souveraine n° 6.186 du 12 décembre 2016 ;
Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d'informations nominatives ;
Vu la demande d'avis reçue le 26 octobre 2020 concernant la mise en œuvre par Monaco Telecom Services d'un traitement automatisé ayant pour finalité « Gestion des titres restaurant sur carte à puce des salariés MT, MTI et MTS » ;
Vu la demande d'autorisation concernant le transfert d'informations nominatives vers les États-Unis d'Amérique présentée par Monaco Telecom S.A.M. le 26 octobre 2020 ayant pour finalité « Paramétrage par SWILE des espaces bénéficiaires (utilisateurs) et clients » ;
Vu la prorogation du délai d'examen de la présente demande d'avis notifiée au responsable de traitement le 23 décembre 2020, conformément à l'article 19 de l'Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 17 février 2021 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,

Préambule
MONACO TELECOM S.A.M. (MT), immatriculée au RCI, est un organisme de droit privé concessionnaire d'un service public. Elle a notamment pour objet « d'assurer dans les relations intérieures et internationales, tous services de télécommunications. À ce titre, elle assure les activités d'opérateur public chargé de l'exploitation du service téléphonique de la Principauté de Monaco […] ».
Cette société souhaite que MONACO TELECOM (MT), MONACO TELECOM INTERNATIONAL (MTI) et MONACO TELECOM SERVICES (MTS) délivre les tickets restaurants des salariés sur support carte à puce.
Ainsi, le traitement automatisé d'informations nominatives y afférent est soumis à l'avis de la Commission, conformément à l'article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.

I. Sur la finalité et les fonctionnalités du traitement

Ce traitement a pour finalité « Gestion des titres restaurant sur carte à puce des salariés MT, MTI et MTS ».
Les personnes concernées sont les salariés de MT, MTI, MTS.
Les fonctionnalités sont :
- Collecte initiale des données nominatives des salariés souhaitant recevoir des titres restaurant ;
- Commande des titres restaurant sur carte à puce auprès du fournisseur via la plateforme ;
- Transfert de données en vue de remises de titres à la paye ;
- Émission et paramétrage de la carte à puce ;
- Réalisation d'opérations de débit/crédit relatives à l'utilisation des cartes sur la partie « titre restaurant » ;
- Remboursement et échange de titres restaurant ;
- Gestion des demandes d'exercice de droits des bénéficiaires ;
- Paramétrage de l'espace bénéficiaire sur la plateforme du prestataire ;
- Activation du compte bénéficiaire sur la plateforme du prestataire ;
- Gestion de la liste des bénéficiaires ;
- Accompagnement au paramétrage des comptes ;
- Fourniture des métriques sur le suivi des consommations et du solde ;
- Livraison de la carte SWILE ;
- Mise à disposition d'un dispositif de messagerie professionnelle ;
- Remontées de signalement suite à la modération de contenus.
Il est indiqué que chaque salarié pourra consulter son espace personnel sur l'application mobile SWILE s'il désire la télécharger et adosser sa carte de crédit à son compte s'il souhaite en faire un moyen de paiement.
Par ailleurs, l'offre sociale de l'application SWILE permet de créer et gérer des événements, à l'initiative des salariés ou des RH (anniversaires, cagnottes, etc.).
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.

II. Sur la licéité et la justification du traitement

Le responsable de traitement indique que le traitement est justifié par le consentement de la personne concernée et la réalisation d'un intérêt légitime, sans que ne soient méconnu ni l'intérêt, ni les droits et libertés fondamentaux de celle-ci.
À cet égard, il précise qu'il appartient aux personnes concernées de solliciter l'attribution de titres restaurant sur carte à puce auprès de la DRH. En outre, MT indique que la solution choisie, qui permet de gérer de manière globale les titres alloués, répond « au besoin de modernisation des avantages proposés à ses salariés ».
La Commission considère que le traitement est justifié, conformément à l'article 10-2 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.

III. Sur les informations nominatives traitées

Les informations collectées sont :
- identité : nom, prénoms, civilité, date de naissance ;
- adresse et coordonnées : adresse de l'entreprise cliente, adresse email professionnelle des salariés ;
- consommation de biens et services : données relatives à l'utilisation de la carte du fournisseur, en ce compris les données communiquées au fournisseur pour le paramétrage de la carte (nombre de jours à créditer, valeur faciale par jour du titre-restaurant).
Les informations relatives à l'identité proviennent des rapprochements avec les traitements ayant pour finalités « Gestion des ressources humaines hors paie » et « Gestion de la paie », les adresses et coordonnées sont fournies par MT, tandis que les éléments de paramétrage de la carte sont renseignés par la DRH.
Aussi, la Commission considère que les informations traitées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.

IV.Sur les droits des personnes concernées

Sur l'information préalable des personnes concernées
L'information préalable des personnes concernées est effectuée par le biais d'une note spécifique de la Direction des Ressources Humaines.
Le document étant joint au dossier, la Commission constate que les mentions sont conformes aux dispositions de l'article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, en ce qui concerne la partie des informations exploitées par SWILE pour laquelle MONACO TELECOM intervient.
Toutefois, la Commission constate également que les personnes concernées peuvent choisir d'étendre les services de la carte et du compte SWILE, en ajoutant des fonctionnalités ou en téléchargeant l'application. Elle demande donc que Monaco Telecom, qui initie l'intégration des bénéficiaires de tickets restaurant auprès de cette société, informe également ses salariés de la possibilité d'étendre leurs droits auprès du prestataire et des conséquences en termes de protection des informations nominatives.
Sur l'exercice du droit d'accès, de modification et de mise à jour
Les personnes concernées peuvent exercer leurs droits par courrier électronique ou par voie postale auprès de la Direction des Ressources Humaines de MONACO TELECOM.
En outre, la Commission rappelle que la réponse à ce droit d'accès doit intervenir dans le mois suivant la réception de la demande.
Par ailleurs, s'agissant de l'exercice du droit d'accès par voie électronique, la Commission considère qu'une procédure devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations. À ce titre, elle précise que si une copie d'un document d'identité était demandée, la transmission et le traitement de ce document devront faire l'objet de mesures de protection particulières comme rappelé dans sa délibération n° 2015-116 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d'identité officiels.

V.Sur les personnes ayant accès au traitement

Sur les personnes ayant accès au traitement
Les personnes habilitées à avoir accès au traitement sont :
- la Direction des Ressources Humaines de MT inscription, modification et consultation ;
- le fournisseur, en consultation.
La Commission constate également que les salariés disposent d'un accès à leurs comptes.
La Commission considère que ces accès sont justifiés.

VI. Sur les rapprochements et interconnexions
Le responsable de traitement indique que le présent traitement est rapproché avec le traitement ayant pour finalité « Gestion des ressources humaines hors paie », légalement mis en œuvre, pour établir la liste des personnes pouvant bénéficier des tickets restaurant et de connaitre le nombre de jours éligibles à leur délivrance chaque mois, ainsi qu'avec le traitement ayant pour finalité « Gestion de la paie » afin de prélever aux salariés chaque mois la quote-part à leur charge, également légalement mis en œuvre.
La Commission relève que ces rapprochements sont conformes aux dispositions légales.
À l'analyse du dossier, il appert également un rapprochement avec le traitement de la messagerie électronique. La Commission en prend acte.

VII.Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation particulière.
Cependant, les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort.
La Commission rappelle également que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.

VIII. Sur la durée de conservation
La Commission relève que les informations sont conservées le temps de la relation contractuelle avec le salarié.
La Commission constate que ces durées sont conformes aux exigences légales.
Après en avoir délibéré, la Commission :
Considère qu'une procédure relative au droit d'accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations.
Demande que MONACO TELECOM SAM, qui initie l'intégration des bénéficiaires de tickets restaurant auprès de cette société, informe également ses salariés de la possibilité d'étendre leurs droits auprès du prestataire et des conséquences en termes de protection des informations nominatives.
Rappelle que les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort.
À la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion des titres restaurant sur carte à puce des salariés MT, MTI et MTS » par MONACO TELECOM S.A.M..