Délibération n° 2021-61 du 17 mars 2021 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion de l'annuaire professionnel et particulier » présenté par Monaco Telecom S.A.M..
Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu le Contrat de Concession du Service Public des communications électroniques sur le territoire de la Principauté de Monaco du 26 septembre 2011 ;
Vu le Cahier des Charges relatif à la Concession du Service Public des communications électroniques sur le territoire de la Principauté de Monaco signé le 26 septembre 2011 annexé à l'Ordonnance Souveraine n° 3.560 du 6 décembre 2011 ;
Vu le Cahier des Charges de l'avenant à la Concession du Service Public des communications électroniques et ses annexes annexés à l'Ordonnance Souveraine n° 6.186 du 12 décembre 2016 ;
Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d'informations nominatives ;
Vu les déclarations ordinaires présentées par Monaco Telecom SAM relatives à la mise en œuvre des traitements automatisés d'informations nominatives ayant des finalités relatives aux annuaires papiers, web, minitel et à leurs listes d'opposition, et dont les récépissés de mises en œuvre ont été délivrés ;
Vu la demande d'avis reçue le 11 mars 2021 concernant la mise en œuvre par Monaco Telecom Services d'un traitement automatisé ayant pour finalité « Gestion de l'annuaire professionnel et particulier (papier et internet) » ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 17 mars 2021 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
MONACO TELECOM SAM (MT), immatriculée au RCI, est un organisme de droit privé concessionnaire d'un service public. Elle a notamment pour objet « d'assurer dans les relations intérieures et internationales, tous services de télécommunications. À ce titre, elle assure les activités d'opérateur public chargé de l'exploitation du service téléphonique de la Principauté de Monaco […] ».
Ainsi, cette société doit mettre à disposition des personnes intéressées, en application du Cahier des Charges afférent à la Concession de Service Public qui lui est accordée, un annuaire papier et électronique.
Ainsi, le traitement automatisé d'informations nominatives y afférent est soumis à l'avis de la Commission, conformément à l'article 7 de la loi n° 1.165 du 23 décembre 1993.
Celui-ci viendra remplacer les traitements déclarés par Monaco Telecom SAM en 2004 relativement aux annuaires en version papier et web et à leurs listes d'opposition.
I. Sur la finalité et les fonctionnalités du traitement
Ce traitement a pour finalité « Gestion de l'annuaire professionnel et particulier (papier et internet) ».
Les personnes concernées sont les clients particuliers et entreprises de Monaco Telecom. Sont également concernés les salariés de Monaco Telecom et Monaco Telecom Services en charge de la gestion des annuaires.
Enfin, s'il est indiqué par le responsable de traitement que « toutes les personnes consultant les annuaires » sont concernées, faisant vraisemblablement référence à la consultation du site Internet de l'annuaire, la Commission estime que la gestion dudit site n'entre pas dans le périmètre de la présente demande d'avis, et devra être régularisé dans les meilleurs délais.
Les fonctionnalités sont :
- Établissement de la « base annuaire » constituée par les données personnelles des clients acceptant de figurer au sein de l'Annuaire Monaco Telecom ;
- Gestion des oppositions des clients à figurer dans la « base annuaire », mise à jour de la base annuaire ;
- Communication des informations à l'imprimeur et au partenaire en charge de la gestion du site de l'annuaire monégasque ;
- Création d'une base distribution afin de déterminer les personnes éligibles à la communication d'un annuaire ;
- Création de coupons de retrait en partenariat avec la Poste.
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.
II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le traitement est justifié par le consentement de la personne concernée et le respect d'une obligation légale à laquelle il est soumis.
À cet égard, il précise que le Cahier des Charges de l'avenant à la Concession du Service Public des communications électroniques et ses annexes annexés à l'Ordonnance Souveraine n° 6.186 du 12 décembre 2016, dispose en son article 8 « services publics de communications électroniques spécifiques » au point a) que Monaco Telecom doit la « Fourniture d'un service de renseignements et d'un annuaire d'abonnés sous forme électronique », et en son article 17 « annuaire des abonnées sous forme imprimée » que « Le Concessionnaire assure la publication et la diffusion annuelle d'une ou de plusieurs listes, sous forme imprimée, des Usagers du Service de Téléphonie qui devront correspondre aux indications portées sur le contrat d'abonnement ».
En outre, ce même article 17 dispose que l'abonné « peut, s'il le désire et gratuitement, ne pas être inscrit sur lesdites listes. Cependant, tout abonnement téléphonique souscrit en raison de l'exercice d'un commerce ou d'une activité quelconque est inscrit obligatoirement à l'annuaire ».
La Commission constate à cet effet que « Monaco Telecom recueille l'accord de ses clients lors de la souscription à ses services », étant de plus précisé que « Les Clients qui souhaitent ne plus y figurer peuvent également à tout moment en faire part à Monaco Telecom qui les désinscrira ».
La Commission considère que le traitement est conforme et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993\.
III. Sur les informations nominatives traitées
Les informations collectées sont :
- identité : nom, prénoms ;
- adresse et coordonnées : postale, numéros de téléphone, fax, numéro de télex ;
- données d'identification électronique : numéro de compte client (mentionné sur le coupon dans le cadre de la procédure de distribution), code barre individuel nécessaire à la procédure de distribution ;
- informations temporelles : date et lieu de distribution des annuaires papier pour chaque client l'ayant obtenu.
Les informations relatives à l'identité, aux adresses et au numéro de compte client proviennent des clients lors de leurs souscriptions à un abonnement inclus dans le traitement ayant pour finalité la « Gestion des offres composites ».
Les codes barre sont générés automatiquement lors de la création de coupons.
Enfin, les informations temporelles sont générées lors du scan du coupon lorsque le client se rend en boutique, ou à la Poste.
Aussi, la Commission considère que les informations traitées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165.
IV. Sur les droits des personnes concernées
- Sur l'information préalable des personnes concernées
L'information préalable des personnes concernées est effectuée par le biais d'une mention sur le document de collecte, une mention dans un document remis à l'intéressé, par une rubrique propre à la protection des données accessible en ligne, ainsi que par le biais d'une mention particulière dans un document d'ordre général accessible en ligne.
Le document n'étant pas joint au dossier, la Commission rappelle que les mentions d'information doivent être conformes aux dispositions de l'article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée.
- Sur l'exercice du droit d'accès, de modification et de mise à jour
Les personnes concernées peuvent exercer leurs droits sur place, par courrier électronique ou par voie postale auprès du Service Client de MONACO TELECOM.
En outre, la Commission rappelle que la réponse à ce droit d'accès doit intervenir dans le mois suivant la réception de la demande.
Par ailleurs, s'agissant de l'exercice du droit d'accès par voie électronique, la Commission rappelle que la procédure mise en place afin que le responsable de traitement s'assure que l'expéditeur du courriel est effectivement la personne concernée par les informations doit, si Monaco Telecom estime devoir demander une copie d'un document d'identité, faire l'objet de mesures de protection particulières comme rappelé dans sa délibération n° 2015-116 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d'identité officiels.
V. Sur les destinataires et personnes ayant accès au traitement
Les informations sont communiquées à l'imprimeur, à la Poste et au gestionnaire du site Web de l'annuaire.
À cet égard la Commission rappelle que ce site Web doit être préalablement légalement mis en œuvre.
En outre, les personnes habilitées à avoir accès au traitement sont :
- Commercial MT : lors de la souscription (intégration des données dans le CRM par interconnexion avec la déclaration Gestion des offres composites + validation de l'accord du client pour figurer dans l'annuaire) ;
- Service MT Responsable de la gestion de l'Annuaire : consultation, inscription des données dans la base spécifique annuaire (à partir du CRM), modification, suppression des données dans la Base annuaire à la demande du client, transmission de la base annuaire au prestataire en vue de la mise à jour de l'annuaire en ligne ;
- La Direction des Systèmes d'Information de Monaco Telecom : transmission des données à l'imprimeur ;
- Prestataire externe de gestion du site web : consultation en vue d'établissement du site web (annuaire en ligne) ;
- Imprimeur : consultation en vue de procéder à l'impression ;
- La Poste : lors de la procédure de distribution (consultation et modification de la base distribution par scan du coupon).
La Commission considère que ces accès sont justifiés.
VI. Sur les rapprochements et interconnexions
Le responsable de traitement indique que le présent traitement est interconnecté avec le traitement ayant pour finalité « Gestion des offres composites » ayant pour objet de traiter les abonnements clients, aux fins de collecter à cette occasion, pour ceux consentant à figurer dans l'annuaire, les informations nécessaires à la création de ce dernier.
La Commission relève que l'interconnexion avec ce traitement légalement mis en œuvre, et pour une finalité compatible avec la collecte initiale, est conforme aux dispositions légales.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation particulière.
Cependant, les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort.
La Commission rappelle également que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.
VIII. Sur la durée de conservation
La Commission relève que les informations relatives à l'identité et aux adresses sont conservées dans le présent traitement tant que la relation contractuelle entre le client ayant consenti à son inscription dans l'annuaire et Monaco Telecom est en cours, ou que ce dernier manifeste sa volonté de ne plus y figurer.
Les codes-barres et les informations temporelles sont conservés 1 an.
La Commission constate que ces durées sont conformes aux exigences légales.
Après en avoir délibéré, la Commission :
Rappelle que :
- les mentions d'information doivent être conformes aux dispositions de l'article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée ;
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort ;
- la procédure mise en place afin que le responsable de traitement s'assure que l'expéditeur du courriel est effectivement la personne concernée par les informations doit, si Monaco Telecom estime devoir demander une copie d'un document d'identité, faire l'objet de mesures de protection particulières comme rappelé dans sa délibération n° 2015-116 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d'identité officiels ;
- le site Web relatif à l'annuaire doit être préalablement légalement mis en œuvre par son gestionnaire.
À la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion de l'annuaire professionnel et particulier » par Monaco Telecom S.A.M..
Le Président de la Commission de Contrôle des Informations Nominatives.