Délibération n° 2012-52 du 16 avril 2012 de la commission de contrôle des informations nominatives portant avis favorable sur la demande modificative présentée par la sociéte monégasque de l’Electricite et du gaz (SMEG) relative à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité «Archives des donnees clients» dénommé sesame
Vu la Constitution ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu l’ordonnance souveraine n° 2.578 du 13 janvier 2010 approuvant le traité de concession de la SMEG, ainsi que ses annexes et cahiers des charges ;
Vu l’arrêté ministériel n° 2009-382 du 31 juillet 2009 portant application de l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée ;
Vu le traité de concession du service public de la distribution de l’électricité et du gaz conclu entre la SMEG et la Principauté de Monaco, et entré en vigueur le 1er janvier 2009, accompagné de ses annexes et cahiers des charges ;
Vu la délibération n° 2011-11 du 17 janvier 2011 de la Commission portant avis favorable sur la demande déposée par la Société Monégasque de l’Electricité et du Gaz (SMEG) relative à la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité «Gestion de la relation clientèle» ;
Vu la délibération n° 2011-42 du 18 avril 2011 de la Commission portant avis favorable à la modification par la SMEG du traitement ayant pour finalité «Gestion de la relation clientèle» ;
Vu la délibération n° 2012-04 du 16 janvier 2012 de la Commission portant avis favorable à la modification par la SMEG du traitement ayant pour finalité «Gestion de la relation clientèle» ;
Vu la demande d’avis déposée par la SMEG le 17 février 2012 relative à une troisième modification du traitement automatisé ayant pour finalité «Gestion de la relation clientèle» ;
La Commission de Contrôle des Informations Nominatives
Préambule
La Société Monégasque de l’Electricité et du Gaz (SMEG) est une société anonyme en charge de l’exploitation du service public de la distribution de l’électricité et du gaz, en application du traité de concession, entré en vigueur le 1er janvier 2009, entre la SMEG et la Principauté de Monaco.
Ainsi, conformément aux dispositions de l’article 7 de la loi n° 1.165, modifiée, du 23 décembre 1993, et à l’arrêté ministériel n° 2009-382 du 31 juillet 2009 portant application dudit article, la SMEG a précédemment soumis à l’avis de la Commission un traitement automatisé d’informations nominatives ayant pour finalité «Gestion de la relation clientèle» (SESAME).
Par délibération n° 2011-11 du 17 janvier 2011, la Commission a émis un avis favorable à la mise en œuvre d’un tel traitement, assorti d’un certain nombre de réserves.
Puis, par délibération n° 2011-42 du 18 avril 2011, la Commission a émis un avis favorable à la modification de ce traitement, qui venait prendre en compte les remarques ainsi émises par la Commission, et compléter le traitement d’une fonctionnalité supplémentaire, à savoir la gestion des diagnostics «énergétique» et «sécurité».
Enfin, par délibération n° 2012-04 du 16 janvier 2012, la Commission a émis un avis favorable à une seconde modification de ce traitement, afférente à la mise en place du système européen de prélèvement bancaire unifié SEPA («Single Euro Payment Area»).
Toutefois aujourd’hui, la SMEG souhaite procéder à la migration des données de sa base «SESAME» vers un nouveau traitement intitulé «E-Fluid», objet d’une demande d’avis concomitante. A ce titre, SESAME a vocation à devenir une base d’archives qui ne sera donc plus enrichie de nouvelles données. C’est l’objet de la présente demande d’avis modificative.
I. Sur la finalité et les fonctionnalités du traitement
Le responsable de traitement indique que la nouvelle finalité du traitement est «consultation».
Toutefois, la Commission rappelle que l’article 10-1 de la loi n° 1.165, modifiée, requiert que la finalité d’un traitement soit déterminée et explicite, c’est-à-dire qu’elle soit immédiatement intelligible à la seule lecture de son intitulé.
Ainsi, vu les éléments ci-dessus rappelés, relatifs à la mutation du traitement «SESAME», la Commission propose la finalité suivante : «Archives des données clients».
Par ailleurs, elle relève que les fonctionnalités du traitement consistent en l’archivage des données et à la consultation desdites données par les personnes habilitées. Ces fonctionnalités sont conformes à la finalité du traitement telle que la Commission la propose.
Enfin, le responsable de traitement indique que les personnes concernées sont les clients de la SMEG. Toutefois, étant donné que la migration des données clients de SESAME vers E-Fluid ne concerne que les contrats actifs et les comptes non soldés, la Commission observe que seuls certains clients de la SMEG, voire anciens clients, sont concernés par l’archivage de leurs données. Elle en prend donc acte.
II. Sur la licéité du traitement
La licéité du traitement a été analysée et constatée par la Commission dans le cadre de l’examen de la demande d’avis originale. Les modifications apportées dans le cadre de cette troisième demande d’avis modificative n’ont pas d’incidence sur la licéité du traitement.
III. Sur la justification du traitement
La Commission relève qu’aux termes de la demande d’avis modificative, l’archivage de «SESAME» est justifié par la réalisation d’un intérêt légitime poursuivi par le responsable de traitement, sans que soient méconnus les libertés et droits fondamentaux des individus.
A ce titre, la Commission prend acte des indications de la SMEG aux termes desquelles celle-ci «va procéder à une migration de certaines données de SESAME vers E-Fluid dans l’optique d’exploiter de nouvelles fonctionnalités. Cette migration partielle de l’historique (…) va entraîner un usage différent de SESAME. En effet, (…) SESAME va désormais devenir un traitement utilisé uniquement pour la consultation de données archivées».
Le respect des droits fondamentaux des individus est examiné au point V de la présente délibération.
Ainsi, la Commission considère que le traitement est justifié, conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
IV. Sur les informations traitées
Les informations objets du traitement sont celles mentionnées dans le cadre de la délibération n° 2011-11 du 17 janvier 2011 de la Commission, susvisée.
En conséquence, ne sont pas incluses dans ce traitement les données ajoutées conformément aux deux demandes d’avis modificatives subséquentes à la délibération n° 2011-11, venant adjoindre à «SESAME» des fonctionnalités complémentaires afférentes aux diagnostics «énergétique» et «sécurité», ainsi qu’au règlement SEPA.
En effet, les personnes concernées sont uniquement des anciens clients de la SMEG ainsi que des comptes soldés. Les fonctionnalités précitées ne leur sont donc pas applicables.
Au vu de ces éléments, la Commission constate que les données objets du traitement sont conformes aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
V. Sur les droits des personnes concernées
• Sur l’information préalable des personnes
Le responsable de traitement indique que l’information préalable des personnes concernées est effectuée par une rubrique propre à la protection des données accessible en ligne.
A cet égard, la Commission relève que dans le cadre de la collecte initiale de leurs informations dans le traitement «Gestion de la relation clientèle», l’information des personnes concernées avait déjà été effectuée en application de l’article 14 de la loi n° 1.165, modifiée. Elle observe en outre que puisque «SESAME»ne contient désormais plus que des comptes clients archivés, aucun nouveau client de la SMEG ne sera concerné par ce traitement.
Toutefois, un modèle de la rubrique en ligne précitée n’ayant pas été joint au dossier de demande d’avis, la Commission rappelle que l’information doit aujourd’hui porter sur la nouvelle finalité du traitement, à savoir la mutation de « SESAME » en une base d’archives consultative. A cet égard, les personnes devront également être informées des modalités d’exercice de leurs droits afférentes à cette nouvelle finalité.
Sous cette réserve, la Commission considère que l’information des personnes est conforme aux exigences de l’article 14 de la loi n° 1.165, modifiée.
• Sur l’exercice du droit d’accès, de modification et de suppression
La Commission relève que les modalités d’exercice, par les personnes concernées, de leurs droits d’accès, de modification et de suppression demeurent inchangées.
Elle relève en outre qu’aux termes de la demande d’avis, le droit des personnes s’exprime par l’opt out en matière de prospection.
A cet égard, la Commission demande à ce que le traitement ne soit pas utilisé à des fins de prospection, dans la mesure où il ne concerne que des anciens clients de la SMEG ainsi que des comptes soldés.
VI. Sur les personnes ayant accès au traitement
La Commission observe que les personnes habilitées à avoir accès au traitement, ainsi que les types d’accès audit traitement, ont été restreints.
En effet, la Direction Financière, en charge des prélèvements SEPA, n’a plus accès à ce traitement, puisque les comptes concernés par «SESAME» sont des comptes clos ou soldés.
Par ailleurs, la Direction Commerciale ne dispose plus que d’un accès en consultation des données et ne peut plus générer de nouvelles fiches clients, cette fonctionnalité appartenant désormais au traitement E-Fluid, objet d’une demande d’avis concomitante.
Enfin, le Service Informatique conserve un accès pour la maintenance de la base.
Ainsi, considérant les attributions de chacun de ces services, et eu égard à la finalité du présent traitement, la Commission considère que lesdits accès sont justifiés.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité du traitement, que la Commission a jugées conformes aux exigences légales dans le cadre de ses précédentes délibérations, demeurent inchangées.
VIII. Sur la durée de conservation
La Commission relève que la durée de conservation des données est de six ans après la résiliation du contrat avec la SMEG.
Cette durée de conservation est celle qui avait été prévue dans le cadre de la délibération n° 2011-11, précitée. La Commission considère donc que celle-ci est conforme aux exigences légales.
A cet égard, la Commission prend acte que le traitement objet de la présente délibération a vocation à disparaître, puisqu’il ne contient que des données de clients ayant résilié au moins un contrat avec la SMEG.
Après en avoir délibéré,
Rappelle que l’information des personnes concernées via la rubrique propre à la protection des données accessible en ligne doit porter sur la nouvelle finalité du traitement, à savoir la mutation de «SESAME» en une base d’archives consultative, ainsi que sur les modalités d’exercice de leurs droits ;
Demande que :
- la finalité du traitement soit modifiée dans les termes suivants : «Archives des données clients» ;
- le traitement ne soit pas utilisé à des fins de prospection.
A la condition de la prise en compte de ce qui précède,
La Commission de Contrôle des Informations Nominatives émet un avis favorable à la modification par la SOCIETE MONEGASQUE DE L’ELECTRICITE ET DU GAZ (SMEG) du traitement automatisé d’informations nominatives ayant pour finalité «Archives des données clients».
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu l’ordonnance souveraine n° 2.578 du 13 janvier 2010 approuvant le traité de concession de la SMEG, ainsi que ses annexes et cahiers des charges ;
Vu l’arrêté ministériel n° 2009-382 du 31 juillet 2009 portant application de l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée ;
Vu le traité de concession du service public de la distribution de l’électricité et du gaz conclu entre la SMEG et la Principauté de Monaco, et entré en vigueur le 1er janvier 2009, accompagné de ses annexes et cahiers des charges ;
Vu la délibération n° 2011-11 du 17 janvier 2011 de la Commission portant avis favorable sur la demande déposée par la Société Monégasque de l’Electricité et du Gaz (SMEG) relative à la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité «Gestion de la relation clientèle» ;
Vu la délibération n° 2011-42 du 18 avril 2011 de la Commission portant avis favorable à la modification par la SMEG du traitement ayant pour finalité «Gestion de la relation clientèle» ;
Vu la délibération n° 2012-04 du 16 janvier 2012 de la Commission portant avis favorable à la modification par la SMEG du traitement ayant pour finalité «Gestion de la relation clientèle» ;
Vu la demande d’avis déposée par la SMEG le 17 février 2012 relative à une troisième modification du traitement automatisé ayant pour finalité «Gestion de la relation clientèle» ;
La Commission de Contrôle des Informations Nominatives
Préambule
La Société Monégasque de l’Electricité et du Gaz (SMEG) est une société anonyme en charge de l’exploitation du service public de la distribution de l’électricité et du gaz, en application du traité de concession, entré en vigueur le 1er janvier 2009, entre la SMEG et la Principauté de Monaco.
Ainsi, conformément aux dispositions de l’article 7 de la loi n° 1.165, modifiée, du 23 décembre 1993, et à l’arrêté ministériel n° 2009-382 du 31 juillet 2009 portant application dudit article, la SMEG a précédemment soumis à l’avis de la Commission un traitement automatisé d’informations nominatives ayant pour finalité «Gestion de la relation clientèle» (SESAME).
Par délibération n° 2011-11 du 17 janvier 2011, la Commission a émis un avis favorable à la mise en œuvre d’un tel traitement, assorti d’un certain nombre de réserves.
Puis, par délibération n° 2011-42 du 18 avril 2011, la Commission a émis un avis favorable à la modification de ce traitement, qui venait prendre en compte les remarques ainsi émises par la Commission, et compléter le traitement d’une fonctionnalité supplémentaire, à savoir la gestion des diagnostics «énergétique» et «sécurité».
Enfin, par délibération n° 2012-04 du 16 janvier 2012, la Commission a émis un avis favorable à une seconde modification de ce traitement, afférente à la mise en place du système européen de prélèvement bancaire unifié SEPA («Single Euro Payment Area»).
Toutefois aujourd’hui, la SMEG souhaite procéder à la migration des données de sa base «SESAME» vers un nouveau traitement intitulé «E-Fluid», objet d’une demande d’avis concomitante. A ce titre, SESAME a vocation à devenir une base d’archives qui ne sera donc plus enrichie de nouvelles données. C’est l’objet de la présente demande d’avis modificative.
I. Sur la finalité et les fonctionnalités du traitement
Le responsable de traitement indique que la nouvelle finalité du traitement est «consultation».
Toutefois, la Commission rappelle que l’article 10-1 de la loi n° 1.165, modifiée, requiert que la finalité d’un traitement soit déterminée et explicite, c’est-à-dire qu’elle soit immédiatement intelligible à la seule lecture de son intitulé.
Ainsi, vu les éléments ci-dessus rappelés, relatifs à la mutation du traitement «SESAME», la Commission propose la finalité suivante : «Archives des données clients».
Par ailleurs, elle relève que les fonctionnalités du traitement consistent en l’archivage des données et à la consultation desdites données par les personnes habilitées. Ces fonctionnalités sont conformes à la finalité du traitement telle que la Commission la propose.
Enfin, le responsable de traitement indique que les personnes concernées sont les clients de la SMEG. Toutefois, étant donné que la migration des données clients de SESAME vers E-Fluid ne concerne que les contrats actifs et les comptes non soldés, la Commission observe que seuls certains clients de la SMEG, voire anciens clients, sont concernés par l’archivage de leurs données. Elle en prend donc acte.
II. Sur la licéité du traitement
La licéité du traitement a été analysée et constatée par la Commission dans le cadre de l’examen de la demande d’avis originale. Les modifications apportées dans le cadre de cette troisième demande d’avis modificative n’ont pas d’incidence sur la licéité du traitement.
III. Sur la justification du traitement
La Commission relève qu’aux termes de la demande d’avis modificative, l’archivage de «SESAME» est justifié par la réalisation d’un intérêt légitime poursuivi par le responsable de traitement, sans que soient méconnus les libertés et droits fondamentaux des individus.
A ce titre, la Commission prend acte des indications de la SMEG aux termes desquelles celle-ci «va procéder à une migration de certaines données de SESAME vers E-Fluid dans l’optique d’exploiter de nouvelles fonctionnalités. Cette migration partielle de l’historique (…) va entraîner un usage différent de SESAME. En effet, (…) SESAME va désormais devenir un traitement utilisé uniquement pour la consultation de données archivées».
Le respect des droits fondamentaux des individus est examiné au point V de la présente délibération.
Ainsi, la Commission considère que le traitement est justifié, conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
IV. Sur les informations traitées
Les informations objets du traitement sont celles mentionnées dans le cadre de la délibération n° 2011-11 du 17 janvier 2011 de la Commission, susvisée.
En conséquence, ne sont pas incluses dans ce traitement les données ajoutées conformément aux deux demandes d’avis modificatives subséquentes à la délibération n° 2011-11, venant adjoindre à «SESAME» des fonctionnalités complémentaires afférentes aux diagnostics «énergétique» et «sécurité», ainsi qu’au règlement SEPA.
En effet, les personnes concernées sont uniquement des anciens clients de la SMEG ainsi que des comptes soldés. Les fonctionnalités précitées ne leur sont donc pas applicables.
Au vu de ces éléments, la Commission constate que les données objets du traitement sont conformes aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
V. Sur les droits des personnes concernées
• Sur l’information préalable des personnes
Le responsable de traitement indique que l’information préalable des personnes concernées est effectuée par une rubrique propre à la protection des données accessible en ligne.
A cet égard, la Commission relève que dans le cadre de la collecte initiale de leurs informations dans le traitement «Gestion de la relation clientèle», l’information des personnes concernées avait déjà été effectuée en application de l’article 14 de la loi n° 1.165, modifiée. Elle observe en outre que puisque «SESAME»ne contient désormais plus que des comptes clients archivés, aucun nouveau client de la SMEG ne sera concerné par ce traitement.
Toutefois, un modèle de la rubrique en ligne précitée n’ayant pas été joint au dossier de demande d’avis, la Commission rappelle que l’information doit aujourd’hui porter sur la nouvelle finalité du traitement, à savoir la mutation de « SESAME » en une base d’archives consultative. A cet égard, les personnes devront également être informées des modalités d’exercice de leurs droits afférentes à cette nouvelle finalité.
Sous cette réserve, la Commission considère que l’information des personnes est conforme aux exigences de l’article 14 de la loi n° 1.165, modifiée.
• Sur l’exercice du droit d’accès, de modification et de suppression
La Commission relève que les modalités d’exercice, par les personnes concernées, de leurs droits d’accès, de modification et de suppression demeurent inchangées.
Elle relève en outre qu’aux termes de la demande d’avis, le droit des personnes s’exprime par l’opt out en matière de prospection.
A cet égard, la Commission demande à ce que le traitement ne soit pas utilisé à des fins de prospection, dans la mesure où il ne concerne que des anciens clients de la SMEG ainsi que des comptes soldés.
VI. Sur les personnes ayant accès au traitement
La Commission observe que les personnes habilitées à avoir accès au traitement, ainsi que les types d’accès audit traitement, ont été restreints.
En effet, la Direction Financière, en charge des prélèvements SEPA, n’a plus accès à ce traitement, puisque les comptes concernés par «SESAME» sont des comptes clos ou soldés.
Par ailleurs, la Direction Commerciale ne dispose plus que d’un accès en consultation des données et ne peut plus générer de nouvelles fiches clients, cette fonctionnalité appartenant désormais au traitement E-Fluid, objet d’une demande d’avis concomitante.
Enfin, le Service Informatique conserve un accès pour la maintenance de la base.
Ainsi, considérant les attributions de chacun de ces services, et eu égard à la finalité du présent traitement, la Commission considère que lesdits accès sont justifiés.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité du traitement, que la Commission a jugées conformes aux exigences légales dans le cadre de ses précédentes délibérations, demeurent inchangées.
VIII. Sur la durée de conservation
La Commission relève que la durée de conservation des données est de six ans après la résiliation du contrat avec la SMEG.
Cette durée de conservation est celle qui avait été prévue dans le cadre de la délibération n° 2011-11, précitée. La Commission considère donc que celle-ci est conforme aux exigences légales.
A cet égard, la Commission prend acte que le traitement objet de la présente délibération a vocation à disparaître, puisqu’il ne contient que des données de clients ayant résilié au moins un contrat avec la SMEG.
Après en avoir délibéré,
Rappelle que l’information des personnes concernées via la rubrique propre à la protection des données accessible en ligne doit porter sur la nouvelle finalité du traitement, à savoir la mutation de «SESAME» en une base d’archives consultative, ainsi que sur les modalités d’exercice de leurs droits ;
Demande que :
- la finalité du traitement soit modifiée dans les termes suivants : «Archives des données clients» ;
- le traitement ne soit pas utilisé à des fins de prospection.
A la condition de la prise en compte de ce qui précède,
La Commission de Contrôle des Informations Nominatives émet un avis favorable à la modification par la SOCIETE MONEGASQUE DE L’ELECTRICITE ET DU GAZ (SMEG) du traitement automatisé d’informations nominatives ayant pour finalité «Archives des données clients».
Le Président de la Commission
de Contrôle des Informations Nominatives.