Délibération n° 2021-56 du 17 mars 2021 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre d'un traitement automatisé d'informations nominatives ayant pour finalité « Gestion numérique des visites et de la réception des colis à l'accueil de Monaco Telecom » présenté par Monaco Telecom.

Vu la Constitution ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu le Contrat de Concession du Service Public des communications électroniques sur le territoire de la Principauté de Monaco du 26 septembre 2011 ;
Vu le Cahier des Charges relatif à la Concession du Service Public des communications électroniques sur le territoire de la Principauté de Monaco, signé le 26 septembre 2011, annexé à l'Ordonnance Souveraine n° 3.560 du 6 décembre 2011 ;
Vu le Cahier des Charges de l'avenant à la Concession du Service Public des communications électroniques et ses annexes attachées à l'Ordonnance Souveraine n° 6.186 du 12 décembre 2016 ;
Vu la Délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d'informations nominatives ;
Vu la prorogation du délai d'examen de la présente demande d'avis notifiée au responsable de traitement le 21 janvier 2021, conformément à l'article 19 de l'Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 17 mars 2021 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,

Préambule
MONACO TELECOM SAM (MT), est une société immatriculée au RCI sous le numéro 97S03277, concessionnaire d'un service public qui a notamment pour objet « d'assurer dans les relations intérieures et internationales, tous services de télécommunications. À ce titre, elle assure les activités d'opérateur public chargé de l'exploitation du service téléphonique de la Principauté de Monaco […] ».
Cette société souhaite moderniser la gestion de l'accueil de ses visiteurs et la réception des colis professionnels par le biais de l'utilisation de deux applications disponibles sur une tablette tactile.
Ainsi, le traitement automatisé d'informations nominatives y afférent est soumis à l'avis de la Commission, conformément à l'article 7 de la loi n° 1.165 du 23 décembre 1993.

I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité « Gestion numérique des visites et de la réception des colis à l'accueil de Monaco Telecom ».
Les personnes concernées sont les visiteurs et les collaborateurs, étant précisé que le traitement aura pour fonctionnalités :
- Application rendez-vous : le responsable de traitement indique que les noms et prénoms des visiteurs sont saisis dans l'application rendez-vous gérée par l'opératrice d'accueil Monaco Telecom.
Un e-mail et un SMS sont envoyés automatiquement sur les outils de communication professionnels du collaborateur pour le prévenir de l'arrivée du visiteur.
- Application réception des colis : enregistrement du fournisseur, du numéro de colis et du destinataire par l'opératrice d'accueil Monaco Telecom. Un email est alors envoyé automatiquement pour prévenir le collaborateur sur sa messagerie professionnelle.
Le responsable de traitement précise que l'application permettant de gérer la réception des colis ne concernera que les colis reçus dans le cadre de l'activité professionnelle.
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.

II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le présent traitement est justifié par le consentement des personnes concernées ainsi que par la réalisation d'un intérêt légitime qui ne méconnaît ni leur intérêt, ni leurs droits et libertés fondamentaux.
Il précise à cet effet que « le traitement est justifié par l'accord donné par le visiteur ». « Ce dernier peut décider d'utiliser la tablette tactile afin de s'identifier » étant précisé, qu' « à défaut, il [le visiteur] s'identifie à l'opératrice d'accueil qui prévient le collaborateur visité ».
En outre, « les informations recueillies lors de la réception du colis sont limitées à celles présentes sur le bordereau de livraison. L'opératrice d'accueil Monaco Telecom retranscrit les informations dans la tablette afin d'alerter automatiquement le collaborateur concerné au même titre qu'elle le ferait manuellement dans un processus classique ».
La Commission considère que le traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165, modifiée.

III. Sur les informations traitées
Les informations nominatives traitées sont :
- Identité, situation de famille : nom, prénom du visiteur et, le cas échéant de la société ; nom, prénom du collaborateur visité et de l'opératrice ; nom de l'expéditeur (réception de colis) ; nom de la société ;
- Adresses et coordonnées : messagerie professionnelle, numéro de téléphone professionnel du collaborateur visité ;
- Données d'identification électronique : numéro de suivi du colis ;
- Informations temporelles : date de récupération du colis par le collaborateur, logs de connexion de l'opératrice, logs de connexion de la DSI.
Les informations concernant l'identité du visiteur et du collaborateur visité, ainsi que le nom de l'expéditeur ont pour origine, selon le cas, le visiteur ou l'expéditeur (mention sur le bordereau du colis) et celles relatives à l'opératrice d'accueil Monaco Telecom, le système.
Les données de messagerie professionnelle ainsi que le numéro de téléphone professionnel du collaborateur ont, quant à eux, pour origine le traitement de « Gestion des ressources humaines hors paie », légalement mis en œuvre et avec lequel le présent traitement est interconnecté.
En outre, le nom de la société et le numéro de suivi du colis ont pour origine le fournisseur par le biais de la mention renseignée dans le bordereau de livraison.
Enfin, le responsable de traitement indique que les informations temporelles (date de récupération du colis par le collaborateur ; logs de connexion de l'opératrice et de la DSI) ont pour origine l'opératrice Monaco Telecom. À cet égard, la Commission constate que les logs de connexion ont pour origine le système.
La Commission considère que les informations ainsi collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément à l'article 10-1 de la loi n° 1.165 du 23 décembre 1993, modifiée.

IV. Sur les droits des personnes concernées

• Sur l'information préalable des personnes concernées

L'information préalable des personnes concernées est réalisée par le biais d'un affichage et par une mention particulière intégrée dans un document d'ordre général accessible en ligne.
À la lecture de l'extrait du document d'ordre général accessible en ligne, la Commission constate que l'information délivrée est conforme aux dispositions de l'article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée.
Par ailleurs, concernant l'information par voie d'affichage, ce document n'ayant pas été joint à la demande d'avis, la Commission rappelle qu'il devra également être conforme aux dispositions de l'article 14 de la loi n° 1.165, susvisée.
Sous ces conditions, elle considère que les modalités d'information préalable des personnes concernées sont conformes aux dispositions de l'article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée.

• Sur l'exercice du droit d'accès

Le droit d'accès est exercé par la personne concernée sur place, par voie postale ou par courrier électronique.
La Commission rappelle que la réponse à ce droit d'accès doit intervenir dans le mois suivant la réception de la demande.
Par ailleurs, s'agissant de l'exercice du droit d'accès par voie électronique, la Commission rappelle que la procédure mise en place afin que le responsable de traitement s'assure que l'expéditeur du courriel est effectivement la personne concernée par les informations doit, si Monaco Telecom estime devoir demander une copie d'un document d'identité, faire l'objet de mesures de protection particulières, comme rappelé dans sa délibération n° 2015-113 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d'identité officiels.
Sous cette réserve, la Commission constate que les modalités d'exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993, modifiée.

V. Sur les destinataires et les personnes ayant accès au traitement
Les personnes habilitées à avoir accès au présent traitement sont :
- L'opératrice d'accueil Monaco Telecom (membre de l'équipe RH) laquelle détient des droits de consultation, de modification et de traitement des données.
- À titre exceptionnel et ponctuel, en cas de maintenance, l'équipe DSI (Infrastructure et DSI Dev) peut avoir un accès identique aux informations.
La Commission relève que les collaborateurs visités ou destinataires d'un colis recevront un email et, le cas échéant, un SMS.
Elle considère que ces accès sont justifiés.

VI. Sur les rapprochements et interconnexions
Le responsable de traitement indique que le présent traitement fait l'objet d'une interconnexion avec les traitements « Gestion des ressources humaines hors paie », « Gestion de la messagerie professionnelle de Monaco Telecom et de Monaco International » et « Gestion des offres composites », légalement mis en œuvre.
Le responsable de traitement indique qu'« une interconnexion est réalisée aux fins d'aller rechercher les informations de communications professionnelles du collaborateur avec qui le visiteur a rendez-vous. Les adresses e-mails professionnelles (pour envois de mails) et numéros de téléphones professionnels (pour envois de SMS) étant stockés dans la base de gestion des ressources humaines ».
À l'analyse du dossier, il appert que le présent traitement est également interconnecté avec le traitement ayant pour finalité « Gestion des habilitations au système d'information », légalement mis en œuvre.
La Commission relève que ces interconnexions sont conformes aux exigences légales.

VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation particulière.
Cependant, les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
La Commission rappelle en outre que, conformément à l'article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement, au regard des risques présentés par ce traitement et de la nature des données à protéger, devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.

VIII. Sur la durée de conservation
Les informations nominatives sont conservées 3 mois, à l'exception des logs de connexion qui sont conservés 1 an.
La Commission constate que ces durées sont conformes aux exigences légales.

Après en avoir délibéré, la Commission :
- Considère que la procédure mise en place afin que le responsable de traitement s'assure que l'expéditeur du courriel est effectivement la personne concernée par les informations doit, si Monaco Telecom estime devoir demander une copie d'un document d'identité, faire l'objet de mesures de protection particulières, comme rappelé dans sa délibération n° 2015-113 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d'identité officiels.

Rappelle que :
- les personnes concernées doivent être informées de manière conforme aux dispositions de l'article 14 de la loi n° 1.165 du 23 décembre 1993 ;
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switch, routeurs, pares-feux), ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
À la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par Monaco Telecom, du traitement automatisé d'informations nominatives ayant pour finalité « Gestion numérique des visites et de la réception des colis à l'accueil de Monaco Telecom ».
Le Président de la Commission de Contrôle des Informations Nominatives.