Délibération n° 2011-72 du 26 septembre 2011 de la Commission de Contrôle des Informations Nominatives portant avis favorable sur la demande présentée par la Socété Monégasque des Eaux (SMEaux) relative à la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité «Gestion des abonnés eau et facturation»
Vu la Constitution ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu l’arrêté ministériel n° 2009-383 du 31 juillet 2009 portant application de l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée ;
Vu le traité de concession du service public de la distribution d’eau potable enregistré le 24 septembre 1996 entre la SMEAUX et la Principauté de Monaco, accompagné de son cahier des charges de la même date ;
Vu la demande d’avis déposée par la Société Monégasque des Eaux (SMEaux) le 22 juillet 2011, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité la «Gestion des abonnés Eau et facturation» ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 26 septembre 2011 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives
Préambule
Le responsable de traitement, à savoir la Société Monégasque des Eaux (SMEaux), est une personne morale de droit privé concessionnaire d’un service public, en vertu du traité de concession du 24 septembre 1996, conclu entre cette dernière et la Principauté de Monaco.
Ainsi, le traitement automatisé d’informations nominatives, objet de la présente délibération est soumis à l’avis de la Commission, conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives et à l’arrêté ministériel n° 2009-382 du 31 juillet 2009 portant application dudit article.
I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité «Gestion des abonnés Eau et facturation».
Les fonctionnalités sont les suivantes :
- ouverture de compte ;
- gestion et suivi des consommations ;
- facturation ;
- envoi de courriers aux abonnés (avis d’augmentation de consommation, 1er rappel, 2ème rappel en RAR, etc.).
Enfin, les personnes concernées par ce traitement sont l’ensemble des abonnés de la SMEaux ainsi que les tiers payeurs.
Au vu de ces éléments, la Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
La Commission observe que la SMEaux est une société privée concessionnaire d’un service public au sens de l’article 7 de la loi n° 1.165, modifiée.
En effet, elle relève que ladite concession de service public ressort des textes suivants :
- le traité de concession, enregistré le 24 septembre 1996 entre la SMEaux et la Principauté de Monaco, réglementant la distribution d’eau potable sur le territoire monégasque jusqu’au 31 décembre 2014 ;
- le cahier des charges de la même date.
En conséquence, la Commission constate que l’activité de distribution d’eau potable sur le territoire monégasque par la SMEaux dispose d’un fondement juridique jusqu’en 2014, et que le traitement objet de la présente délibération est donc licite.
• Sur la justification du traitement
Les textes susvisés permettent également à la Commission de constater que le traitement est justifié tant par le respect des obligations conventionnelles de la SMEaux, que par un motif d’intérêt public.
Par ailleurs, la Commission relève que le traitement est justifié par l’exécution des contrats de fourniture d’eau conclus avec les abonnés de la SMEaux.
Au vu de ces éléments, la Commission considère que le traitement est justifié, conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
Les informations nominatives objets du présent traitement sont :
- identité : nom et prénom de l’abonné et de l’éventuel tiers payeur, raison sociale ;
- situation de famille : civilité ;
- adresses et coordonnées : adresse du domicile, téléphone fixe, téléphone mobile, email ;
- caractéristiques financières : RIB ;
- consommation de biens et services : consommation, montant, date du contrat ;
- zone «commentaires» : demandes diverses de l’abonné ;
- numéros d’identifiant : numéro de compteur, numéro de l’abonné.
Ces informations ont pour origine les abonnés et, le cas échéant, les tiers payeurs. Les éléments relatifs à la consommation proviennent des relevés des compteurs. Quant aux numéros d’identifiant, ils sont générés automatiquement par la SMEaux.
Toutefois, à l’analyse du dossier, la Commission relève que sont également collectées les informations suivantes : qualification de l’abonné (particulier, etc.) ; solde du compte ; activités ; date et heure de la dernier mise à jour de la fiche abonné et nom de l’employé ayant modifié la fiche ; nom et adresse de facturation ; mode de paiement ; numéro de fax ; montant maximum ; jour de règlement ; date du dernier prélèvement ; périodicité de la relève ; périodicité de la facturation ; numéro de tournée ; éléments techniques relatifs aux installations ; historique des relèves, historique des consommations.
Au vu de l’ensemble de ces éléments, la Commission estime que les informations collectées sont «adéquates, pertinentes et non excessives» au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
• Sur l’exercice du droit d’accès
La Commission observe que le droit d’accès est exercé par voie postale, par courrier électronique, ou sur place en se rendant dans les locaux de la SMEaux. Le délai de réponse est de trente jours.
Les droits de modification, mise à jour des données et suppression sont exercés selon les mêmes modalités.
La Commission constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions de la loi n° 1.165, modifiée.
• Sur l’information des personnes concernées
En ce qui concerne l’information préalable des personnes en application de l’article 14 de la loi n° 1.165, modifiée, la Commission relève que celle-ci est effectuée par :
- une mention ou clause particulière intégrée dans un document remis à l’intéressé, à savoir la facture ;
- un affichage, placé au niveau du bureau d l’accueil des abonnés dans les locaux de la SMEaux.
La Commission constate que les mentions d’information susvisées comportent l’ensemble des éléments obligatoires de l’article 14 de la loi n° 1.165, modifiée.
V. Sur les destinataires et les personnes ayant accès au traitement
• Sur les personnes ayant accès au traitement
Le traitement objet de la présente délibération est exploité par le Service Abonnements de la SMEaux.
Les personnes habilitées à avoir accès à ce traitement, dans le cadre de leurs attributions, sont les personnes suivantes :
- le Directeur Général de la SMEaux ;
- le comptable ;
- le responsable administratif ;
- les deux agents de clientèle.
La Commission considère que lesdits accès sont justifiés.
En outre, sont également habilités à accéder au traitement, dans le strict respect de leurs missions, les prestataires informatiques de la SMEaux.
A ce titre, la Commission rappelle que leur sont applicables les dispositions de l’article 17 de la loi n° 1.165, modifiée.
• Sur les destinataires
A titre liminaire, il convient de relever que le traitement, objet de la présente demande d’avis n’implique aucun transfert vers un pays étranger.
La SMEaux indique que certaines informations sont communiquées à un établissement bancaire situé à Monaco aux fins de règlement des factures clients.
La Commission constate que de tels transferts sont nécessaires à l’accomplissement de tâches légitimes de la SMEaux, et que l’établissement bancaire concerné est habilité à recevoir et à traiter les catégories d’informations qui lui sont communiquées dans le cadre de ses missions.
Au vu de ces éléments, la Commission considère donc que les transferts susvisés sont conformes aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
VI. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations n’appellent pas d’observation.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
Par ailleurs, elle relève que les divers textes légaux cités dans l’annexe de la Charte informatique sont des textes de droit français non applicables en l’espèce. Il conviendra donc de modifier ces références au bénéfice des textes appropriés de droit monégasque, et de porter, notamment, mention de la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives.
Enfin, la Commission observe qu’il existe un système de traçabilité des accès aux applications informatiques. Elle demande donc à ce que ce traitement lui soit soumis dans les plus brefs délais.
VII. Sur la durée de conservation
La Commission relève que les informations nominatives collectées sont conservées pour la durée du contrat d’abonnement, plus dix années.
Elle considère que la durée de conservation est conforme aux exigences légales.
Après en avoir délibéré :
Demande que :
- les divers textes légaux cités dans l’annexe de la Charte informatique soient modifiés au bénéfice des textes appropriés de droit monégasque, ce qui inclut, notamment, les dispositions de loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
- le traitement de traçabilité des accès aux applications informatiques lui soit soumis dans les plus brefs délais ;
A la condition de la prise en compte de ce qui précède,
La Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par la Société Monégasque des Eaux (SMEaux) du traitement automatisé d’informations nominatives ayant pour finalité «Gestion des abonnés Eau et facturation».
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu l’arrêté ministériel n° 2009-383 du 31 juillet 2009 portant application de l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée ;
Vu le traité de concession du service public de la distribution d’eau potable enregistré le 24 septembre 1996 entre la SMEAUX et la Principauté de Monaco, accompagné de son cahier des charges de la même date ;
Vu la demande d’avis déposée par la Société Monégasque des Eaux (SMEaux) le 22 juillet 2011, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité la «Gestion des abonnés Eau et facturation» ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 26 septembre 2011 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives
Préambule
Le responsable de traitement, à savoir la Société Monégasque des Eaux (SMEaux), est une personne morale de droit privé concessionnaire d’un service public, en vertu du traité de concession du 24 septembre 1996, conclu entre cette dernière et la Principauté de Monaco.
Ainsi, le traitement automatisé d’informations nominatives, objet de la présente délibération est soumis à l’avis de la Commission, conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives et à l’arrêté ministériel n° 2009-382 du 31 juillet 2009 portant application dudit article.
I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité «Gestion des abonnés Eau et facturation».
Les fonctionnalités sont les suivantes :
- ouverture de compte ;
- gestion et suivi des consommations ;
- facturation ;
- envoi de courriers aux abonnés (avis d’augmentation de consommation, 1er rappel, 2ème rappel en RAR, etc.).
Enfin, les personnes concernées par ce traitement sont l’ensemble des abonnés de la SMEaux ainsi que les tiers payeurs.
Au vu de ces éléments, la Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
La Commission observe que la SMEaux est une société privée concessionnaire d’un service public au sens de l’article 7 de la loi n° 1.165, modifiée.
En effet, elle relève que ladite concession de service public ressort des textes suivants :
- le traité de concession, enregistré le 24 septembre 1996 entre la SMEaux et la Principauté de Monaco, réglementant la distribution d’eau potable sur le territoire monégasque jusqu’au 31 décembre 2014 ;
- le cahier des charges de la même date.
En conséquence, la Commission constate que l’activité de distribution d’eau potable sur le territoire monégasque par la SMEaux dispose d’un fondement juridique jusqu’en 2014, et que le traitement objet de la présente délibération est donc licite.
• Sur la justification du traitement
Les textes susvisés permettent également à la Commission de constater que le traitement est justifié tant par le respect des obligations conventionnelles de la SMEaux, que par un motif d’intérêt public.
Par ailleurs, la Commission relève que le traitement est justifié par l’exécution des contrats de fourniture d’eau conclus avec les abonnés de la SMEaux.
Au vu de ces éléments, la Commission considère que le traitement est justifié, conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
Les informations nominatives objets du présent traitement sont :
- identité : nom et prénom de l’abonné et de l’éventuel tiers payeur, raison sociale ;
- situation de famille : civilité ;
- adresses et coordonnées : adresse du domicile, téléphone fixe, téléphone mobile, email ;
- caractéristiques financières : RIB ;
- consommation de biens et services : consommation, montant, date du contrat ;
- zone «commentaires» : demandes diverses de l’abonné ;
- numéros d’identifiant : numéro de compteur, numéro de l’abonné.
Ces informations ont pour origine les abonnés et, le cas échéant, les tiers payeurs. Les éléments relatifs à la consommation proviennent des relevés des compteurs. Quant aux numéros d’identifiant, ils sont générés automatiquement par la SMEaux.
Toutefois, à l’analyse du dossier, la Commission relève que sont également collectées les informations suivantes : qualification de l’abonné (particulier, etc.) ; solde du compte ; activités ; date et heure de la dernier mise à jour de la fiche abonné et nom de l’employé ayant modifié la fiche ; nom et adresse de facturation ; mode de paiement ; numéro de fax ; montant maximum ; jour de règlement ; date du dernier prélèvement ; périodicité de la relève ; périodicité de la facturation ; numéro de tournée ; éléments techniques relatifs aux installations ; historique des relèves, historique des consommations.
Au vu de l’ensemble de ces éléments, la Commission estime que les informations collectées sont «adéquates, pertinentes et non excessives» au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
• Sur l’exercice du droit d’accès
La Commission observe que le droit d’accès est exercé par voie postale, par courrier électronique, ou sur place en se rendant dans les locaux de la SMEaux. Le délai de réponse est de trente jours.
Les droits de modification, mise à jour des données et suppression sont exercés selon les mêmes modalités.
La Commission constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions de la loi n° 1.165, modifiée.
• Sur l’information des personnes concernées
En ce qui concerne l’information préalable des personnes en application de l’article 14 de la loi n° 1.165, modifiée, la Commission relève que celle-ci est effectuée par :
- une mention ou clause particulière intégrée dans un document remis à l’intéressé, à savoir la facture ;
- un affichage, placé au niveau du bureau d l’accueil des abonnés dans les locaux de la SMEaux.
La Commission constate que les mentions d’information susvisées comportent l’ensemble des éléments obligatoires de l’article 14 de la loi n° 1.165, modifiée.
V. Sur les destinataires et les personnes ayant accès au traitement
• Sur les personnes ayant accès au traitement
Le traitement objet de la présente délibération est exploité par le Service Abonnements de la SMEaux.
Les personnes habilitées à avoir accès à ce traitement, dans le cadre de leurs attributions, sont les personnes suivantes :
- le Directeur Général de la SMEaux ;
- le comptable ;
- le responsable administratif ;
- les deux agents de clientèle.
La Commission considère que lesdits accès sont justifiés.
En outre, sont également habilités à accéder au traitement, dans le strict respect de leurs missions, les prestataires informatiques de la SMEaux.
A ce titre, la Commission rappelle que leur sont applicables les dispositions de l’article 17 de la loi n° 1.165, modifiée.
• Sur les destinataires
A titre liminaire, il convient de relever que le traitement, objet de la présente demande d’avis n’implique aucun transfert vers un pays étranger.
La SMEaux indique que certaines informations sont communiquées à un établissement bancaire situé à Monaco aux fins de règlement des factures clients.
La Commission constate que de tels transferts sont nécessaires à l’accomplissement de tâches légitimes de la SMEaux, et que l’établissement bancaire concerné est habilité à recevoir et à traiter les catégories d’informations qui lui sont communiquées dans le cadre de ses missions.
Au vu de ces éléments, la Commission considère donc que les transferts susvisés sont conformes aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
VI. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations n’appellent pas d’observation.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
Par ailleurs, elle relève que les divers textes légaux cités dans l’annexe de la Charte informatique sont des textes de droit français non applicables en l’espèce. Il conviendra donc de modifier ces références au bénéfice des textes appropriés de droit monégasque, et de porter, notamment, mention de la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives.
Enfin, la Commission observe qu’il existe un système de traçabilité des accès aux applications informatiques. Elle demande donc à ce que ce traitement lui soit soumis dans les plus brefs délais.
VII. Sur la durée de conservation
La Commission relève que les informations nominatives collectées sont conservées pour la durée du contrat d’abonnement, plus dix années.
Elle considère que la durée de conservation est conforme aux exigences légales.
Après en avoir délibéré :
Demande que :
- les divers textes légaux cités dans l’annexe de la Charte informatique soient modifiés au bénéfice des textes appropriés de droit monégasque, ce qui inclut, notamment, les dispositions de loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
- le traitement de traçabilité des accès aux applications informatiques lui soit soumis dans les plus brefs délais ;
A la condition de la prise en compte de ce qui précède,
La Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par la Société Monégasque des Eaux (SMEaux) du traitement automatisé d’informations nominatives ayant pour finalité «Gestion des abonnés Eau et facturation».
Le Président de la Commission
de Contrôle des Informations Nominatives.