Délibération n° 2019-117 du 17 juillet 2019 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion des services Monaco Care Safety et Monaco Care Password » présenté par Monaco Telecom S.A.M..

No. Journal 8446
Date of publication 09/08/2019
Quality 100%
Page no.

Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu le Contrat de Concession du Service Public des communications électroniques sur le territoire de la Principauté de Monaco du 26 septembre 2011 ;
Vu le Cahier des Charges relatif à la Concession du Service Public des communications électroniques sur le territoire de la Principauté de Monaco signé le 26 septembre 2011 annexé à l'Ordonnance Souveraine n° 3.560 du 6 décembre 2011 ;
Vu le Cahier des Charges de l'avenant à la Concession du Service Public des communications électroniques et ses annexes annexés à l'Ordonnance Souveraine n° 6.186 du 12 décembre 2016 ;
Vu la délibération n° 2019-84 du 15 mai 2019 de la Commission de Contrôle des Informations Nominatives portant recommandation sur la sécurité devant entourer les cartes de paiement en matière de vente de biens ou de fourniture de services à distance ainsi que les sites web ;
Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d'informations nominatives ;
Vu la demande d'avis reçue le 17 avril 2019 concernant la mise en œuvre par Monaco Telecom Services d'un traitement automatisé ayant pour finalité « Gestion des services Monaco Care Safety et Monaco Care Password » ;
Vu la prorogation du délai d'examen de la présente demande d'avis notifiée au responsable de traitement le 14 juin 2019, conformément à l'article 19 de l'Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 17 juillet 2019 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Monaco Télécom SAM est un organisme de droit privé concessionnaire d'un service public. Elle a notamment pour objet « d'assurer dans les relations intérieures et internationales, tous services de télécommunications. À ce titre, elle assure les activités d'opérateur public chargé de l'exploitation du service téléphonique de la Principauté de Monaco […] ».
Cette société souhaite proposer à ses clients les services « Monaco Care Safety », qui est une protection multi-équipements contre les menaces de l'Internet, et « Monaco Care Password », permettant la gestion de mots de passe multi-équipements. L'offre peut donc bénéficier à des personnes qui ne sont pas directement clientes de Monaco Telecom.
Ainsi, le traitement automatisé d'informations nominatives y afférent est soumis à l'avis de la commission, conformément à l'article 7 de la loi n° 1.165 du 23 décembre 1993.

I. Sur la finalité et les fonctionnalités du traitement
Ce traitement a pour finalité « Gestion des services Monaco Care Safety et Monaco Care Password ».
Le responsable de traitement indique que les personnes concernées sont tous les utilisateurs desdits services, à savoir les personnes désignées par le client pour utiliser le service, et tous les clients Monaco Telecom ayant souscrit au service.
Au vu des éléments transmis dans le dossier, la Commission constate que les salariés de Monaco Telecom SAM sont également concernés par le traitement.
Enfin, les fonctionnalités sont les suivantes :
- Création et gestion de compte/profil utilisateur ;
- Souscription, gestion, suspension et résiliation du service ;
- Identification, authentification et accès au compte client ;
- Paiement de l'offre souscrite quand celle-ci est payante.
Plus précisément, les paramétrages des fonctionnalités listées ci-dessous sont désactivés et l'utilisateur peut choisir d'activer :
- En ce qui concerne Monaco Care Safety :
o Version Android :
• Anti-virus => lancer un scan, planifier un scan
• Géolocalisation => localiser l'appareil, déclencher l'alarme sur l'appareil, écran de verrouillage, réinitialiser l'appareil
• Accompagnement parental => après authentification, choix du profil enfant à paramétrer (blocage de contenu oui/non + périmètre ; heures de connexion quotidiennes en semaine oui/non + périmètre ; heures de connexion quotidiennes en fin de semaine oui/non + périmètre)
• Navigation sécurisée : activation du navigateur par défaut
• Protection bancaire sécurisée : activation par défaut via le navigateur sécurisé
o Version iOS :
• Anti-virus => non disponible
• Géolocalisation => partager mon emplacement (par sms ou mail), rechercher mon appareil à distance
• Accompagnement parental => après authentification, choix du profil enfant à paramétrer
• Navigation sécurisée - activée par défaut : mode bureau, navigation privée (historique, cookies, fichiers tempo ne sont pas stockés), code de sécurité (pour naviguer sur internet)
• Protection bancaire sécurisée : activation par défaut via le navigateur sécurisé
o Versions ordinateurs : suivent à peu près la même approche
- En ce qui concerne Monaco Care Password :
o Version Android :
• Synchronisation : génération d'un code unique à saisir dans l'appareil à interconnecter, puis connecter
• Créer un code de récupération (format QR Code)
• Récupérer le mode de passe principal (si oubli) : il est demandé d'insérer le code de récupération (importer l'image ou scanner le QR code)
• Modification du mot de passe principal
• Verrouillage automatique après : x minutes.
• Saisie automatique
• Favoris : définir les 8 mots de passe favoris à mettre en page d'accueil de MCP
o Version iOS :
• Iso Android
o Versions ordinateurs : suivent la même approche
La Commission estime que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.

II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le traitement de données a pour objectif notamment d'améliorer en permanence les services de sécurité et de fournir aux utilisateurs finaux le niveau d'assistance et de résolution technique adéquat.
Il précise que le traitement est justifié par le consentement de la personne concernée, l'exécution d'un contrat ou de mesures pré-contractuelles avec la personne concernée, la réalisation d'un intérêt légitime, sans que ne soient méconnus ni l'intérêt, ni les droits et libertés fondamentaux des personnes concernées.
En outre, la Commission constate l'existence d'un accord entre Monaco Telecom et la Principauté pour mettre à disposition le service Monaco Care Safety aux clients d'offres résidentielles (LaBox, Labox mini, UHD GP).
À cet égard, la Commission constate qu'aucune création de compte sécurité F-secure ne peut être faite sans le recueil du consentement du client, même quand la solution fait partie de l'offre souscrite par le client et rendue gratuite en raison de l'accord entre Monaco télécom et la Principauté. Le responsable indique que « sans cet accord, Monaco Telecom ne lancera aucune action auprès de son partenaire. Le client sera informé par Monaco Telecom de l'enrichissement de son offre et de la nécessité de collecter son accord pour la création de son compte client ».
Enfin, elle relève qu'il est de l'intérêt légitime de Monaco Telecom et de la Principauté de vouloir améliorer le niveau de protection des terminaux des clients.
La Commission considère que le traitement est justifié, conformément à l'article 10-2 de la loi n° 1.165 du 23 décembre 1993\.

III. Sur les informations nominatives traitées
Les informations nominatives traitées sont :
- identité : nom, prénom, pseudo du client et/ou utilisateur du service ;
- adresses et coordonnées : Données client : (1) adresse email du client, (2) adresse email et/ou numéro de téléphone du client ou utilisateur, numéro de compte client ; Données salariés MT : adresse email ;
- données d'identification électronique : customer ID MT identifiant le client ;
- consommation de biens et services, habitudes de vie : profil des utilisateurs (paramétrage du contrôle parental, …) ;
- informations temporelles : horodatage, etc. : données de connexion, journalisation des connexions ;
- données informatiques (accès et connexions) : identifiant utilisateur, adresse Ip, MAC adresse, numéro de série de l'équipement, IMEI, type d'équipement ;
- localisation de l'équipement : données de géolocalisation de l'équipement.
Les informations proviennent :
- d'une saisie manuelle issue des traitements clientèle de MT en ce qui concerne les informations relatives à l'identité, aux adresses et coordonnées (1), aux données d'identification électronique ;
- d'une saisie manuelle dans l'interface web opérateur en ce qui concerne l'identité, les adresses et coordonnées (2), les données d'identification électronique ;
- du système ou des équipements des clients et utilisateurs pour les autres informations.
La Commission relève que sont également collectées les informations relatives notamment aux adresses IP de tiers et de manière plus générale toutes les informations en relation avec des tentatives de connexion des personnes tierces captées par les outils sécurité. Si ces informations sont indirectement nominatives, elle considère qu'il s'agit en l'espèce d'un traitement opéré par le prestataire cocontractant proposant la solution antivirus, et non dans le présent traitement exploité par Monaco Telecom.
Aussi, la Commission considère que les informations traitées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165.

IV. Sur les droits des personnes concernées

Sur l'information préalable des personnes concernées

L'information préalable des personnes clients appelants est effectuée par le biais d'une mention ou clause particulière intégrée dans un document remis à l'intéressé et d'une rubrique propre à la protection des données accessible en ligne.
Ces documents n'étant pas joints au dossier, la Commission rappelle que les mentions d'informations doivent être conformes aux dispositions de l'article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée.
Elle rappelle également que les salariés doivent également être informés de leurs droits, ces derniers étant des personnes concernées par le traitement.

Sur l'exercice du droit d'accès, de modification et de mise à jour

Les droits des clients peuvent être exercés sur place, par courrier électronique ou par voie postale auprès du Service Client de Monaco Télécom.
En outre, la Commission rappelle que la réponse à ce droit d'accès doit intervenir dans le mois suivant la réception de la demande.
En ce qui concerne les collaborateurs de MT, elle rappelle également qu'ils doivent pouvoir exercer leurs droits.
Aussi la Commission demande que les collaborateurs de MT soient informés du service auprès duquel s'exerce le droit d'accès et que les modalités pour exercer ce droit soient spécifiées.
Par ailleurs, s'agissant de l'exercice du droit d'accès par voie électronique, la Commission considère qu'une procédure devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations. À ce titre, elle précise que si une copie d'un document d'identité était demandée, la transmission et le traitement de ce document devront faire l'objet de mesures de protection particulières comme rappelé dans sa délibération n° 2015-116 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d'identité officiels.

V. Sur les personnes ayant accès au traitement
Les personnes habilitées à avoir accès au traitement sont :
- en inscription, modification, mise à jour et consultation : Direction Marketing et Commerciale, Service Client Monaco Telecom, Direction des Réseaux et Systèmes d'Information, prestataire informatique ;
- en consultation uniquement : Direction Administrative et Financière.
La Commission rappelle qu'en ce qui concerne les prestataires, leurs accès doivent être limités à ce qui est strictement nécessaire à l'exécution de leur contrat de prestation de service, conformément à l'article 17 de la loi n° 1.165\. De plus ils sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement.

VI. Sur les rapprochements et interconnexions
Le responsable de traitement indique que le présent traitement est rapproché avec le traitement ayant pour finalité « Gestion des offres composites de Monaco Telecom », aux fins de permettre l'inscription des coordonnées dans l'offre des seuls clients MT.
Il appert également un rapprochement avec le système de communication électronique de MT.
La Commission relève que ce rapprochement est conforme aux dispositions légales et permet au service client de répondre aux sollicitations des appelants.

VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation particulière.
Cependant, les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort.
La Commission rappelle également que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.

VIII. Sur la durée de conservation
La Commission relève que les informations relatives à l'identité, aux adresses et coordonnées sont conservées 5 ans à compter du terme du contrat. Les informations de géolocalisation ne sont pas conservées (seule peut être demandée par l'utilisateur la position de son terminal au moment où il en fait la demande sur son compte, et s'il a au préalable activé l'option y afférente).
Concernant les informations conservées 5 ans, qui s'analysent en des données clientèles, la Commission rappelle que par délibération n° 2015-18 du 28 janvier 2015 portant avis favorable au traitement de gestion des offres composites de Monaco Telecom, elle a fixé les durées à 2 ans à compter du terme contractuel conformément à l'article 2048 du Code civil, à l'exception de celles expressément nécessaires à l'établissement du livre-journal prévu à l'article 13 du Code de commerce, qui pourront encore être conservées 10 ans.
Elle estime qu'en l'espèce, ces durées doivent être appliquées.
Par ailleurs, les informations temporelles et de données informatiques (accès et connexions) sont conservées 1 an par Monaco Telecom.
Enfin, il est précisé que les informations d'identité, d'adresses et coordonnées, de consommation de biens et services/habitudes de vie et de données d'identification électronique communiquées au prestataire sont effacées par ce dernier une heure après la résiliation du service.
Après en avoir délibéré, la Commission :
Constate que les salariés de Monaco Telecom sont des personnes concernées par le traitement.
Considère qu'une procédure relative au droit d'accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations.
Rappelle que :
- toutes les personnes concernées doivent être informées conformément à l'article 14 de la loi n° 1.165 ;
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort.
Demande que les collaborateurs de MT soient informés du service auprès duquel s'exerce le droit d'accès et que les modalités pour exercer ce droit soient spécifiées.
Fixe les durées de conservation des informations relatives à l'identité, aux adresses et coordonnées et aux statistiques à 2 ans à compter du terme contractuel conformément à l'article 2048 du Code civil, à l'exception de celles expressément nécessaires à l'établissement du livre-journal prévu à l'article 13 du Code de commerce, qui pourront encore être conservées 10 ans.
À la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion des services Monaco Care Safety et Monaco Care Password » par Monaco Telecom S.A.M..