icon-summary icon-grid list icon-caret-left icon-caret-right icon-preview icon-tooltip icon-download icon-view icon-arrow_left icon-arrow_right icon-cancel icon-search icon-file logo-JDM--large image-logo-gppm icon-categories icon-date icon-order icon-themes icon-cog icon-print icon-journal icon-list-thumbnails icon-thumbnails

Délibération n° 2012-55 du 16 avril 2012 de la Commission de Contrôle des Informations Nominatives portant autorisation sur la demande présentée par le Ministre d’Etat, relative au transfert d’informations nominatives de la Direction du Tourisme et des Congrès de la Principauté de Monaco vers le bureau de représentation de celle-ci à Dubaï, ayant pour finalité «Gestion des demandes relatives à des manifestations ou évènements concernant le tourisme d’affaire ou de loisirs»

  • N° journal 8068
  • Date de publication 11/05/2012
  • Qualité 97.92%
  • N° de page 936
Vu la Constitution ;

Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;

Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;

Vu l’ordonnance souveraine n° 3.880 du 12 octobre 1967 instituant un Service du Tourisme ;

Vu l’ordonnance souveraine n° 4.251 du 17 février 1969 rattachant le Service du Tourisme et le Service des Congrès au Département des Finances et de l’Economie ;

Vu l’ordonnance souveraine n° 4.809 du 9 novembre 1971 portant création d’une Direction du Tourisme et des Congrès ;

Vu l’ordonnance souveraine n° 16.605 du 10 janvier 2005 portant organisation des Départements Ministériels ;

Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;

Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;

Vu la délibération n° 2012-54 du 16 avril 2012 portant avis favorable relativement au traitement automatisé d’informations nominatives ayant pour finalité «Promotion et valorisation de la destination Monaco», dénommé «CRM (Customer Relationship Management)» de la Direction du Tourisme et des Congrès ;

Vu la demande d’autorisation, déposée le 14 février 2012 par le Ministre d’Etat, concernant le transfert d’informations nominatives vers le bureau de représentation de la Direction du Tourisme et des Congrès de la Principauté de Monaco à Dubaï, ayant pour finalité «Gestion et centralisation des demandes relatives à des manifestations ou évènements concernant le tourisme d’affaire ou de loisirs» ;

Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 16 avril 2012 portant analyse de ladite demande de transfert d’informations nominatives ;

La Commission de Contrôle des Informations Nominatives

Préambule

Le 14 février 2012, le Ministre d’Etat a saisi la Commission d’une demande d’avis ayant pour finalité «Promotion et valorisation de la destination Monaco», dénommé «CRM (Customer Relationship Management)», de la Direction du Tourisme et des Congrès (DTC).

La Commission a émis un avis favorable à la mise en œuvre de ce traitement par délibération n° 2012-54 du 16 avril 2012.

Concomitamment, le Ministre d’Etat a saisi la Commission d’une demande d’autorisation de transfert d’informations nominatives se rapportant audit traitement vers le bureau de représentation de la Direction du Tourisme et des Congrès de la Principauté de Monaco localisé à Dubaï.

Ce pays ne disposant pas d’un niveau de protection adéquat au sens de la législation monégasque, la présente demande de transfert d’informations nominatives est soumise à l’autorisation de la Commission, conformément à l’article 20-1 alinéa 2 de la loi n° 1.165, modifiée.

I. Finalité et fonctionnalités du transfert

Le présent traitement a pour finalité la « Gestion et centralisation des demandes relatives à des manifestations ou évènements concernant le tourisme d’affaires ou de loisir ».

Les personnes concernées sont les personnes physiques ou représentants de personnes morales localisées dans les Emirats Arabes Unis intéressées par la destination touristique Monaco, ou disposant d’une activité liée au tourisme en Principauté.

Selon la demande d’avis, ces transferts «permettent un lien entre les clients et les partenaires (agences, hôtel, Grimaldi Forum, autocariste)».

La Commission relève que les transferts s’opèrent par échanges de courriers électroniques et que le bureau de représentation à Dubaï ne dispose pas d’accès au CRM. En conséquence, les informations sont centralisées en Principauté et non à Dubaï.

Par ailleurs, les informations transférées dans le pays se rapportent aux contacts de professionnels de la Principauté de Monaco susceptibles de pouvoir répondre aux projets de manifestations ou d’évènements en Principauté envisagés par un organisme, une société ou une personne ayant pris contact avec le bureau de représentation à Dubaï, ou de permettre à la Direction du Tourisme et des Congrès d’y organiser des manifestations.

A cet égard, la Commission rappelle que la finalité d’un traitement automatisé doit être «déterminée, explicite et légitime», conformément à l’article 10-1 de la loi n° 1.165.

Considérant les fonctionnalités précitées, elle estime que la finalité du transfert doit être modifiée comme suit : «Gestion des demandes relatives à des manifestations ou évènements concernant le tourisme d’affaires ou de loisir».

II. Les informations nominatives concernées par le transfert

Les informations transférées au bureau de représentation de la Direction du Tourisme et des Congrès à Dubaï sont :

- identité du prospect ou du client : raison sociale, nom, prénom ;
- adresses et coordonnées du prospect ou du client : adresse, numéro de téléphone, adresse électronique ;
- vie professionnelle : fonction ;
- renseignements concernant une opération de promotion à Dubaï : budget et nombre maximum de personnes à inviter, liste des partenaires de la Principauté intéressés par l’opération (raison sociale, activité, nom prénom, coordonnées, fonction des contacts) ;
- renseignements concernant la mise en place d’une opération à Monaco : tarifs d’hébergement, tarifs catering, tarifs transferts (avion, hélicoptères, taxis), coordonnées des partenaires monégasques pour organisation d’incentive (agence, musée…), liste des partenaires monégasques intéressés par l’opération, invitation à prévoir.

Les informations concernant l’identité, les coordonnées, la vie professionnelle des clients et prospects ont pour origine le bureau de représentation de Dubaï, ou la Direction du Tourisme et des Congrès contactée par une personne localisée aux Emirats Arabes Unis.

Les informations concernant la mise en place d’opérations évènementielles ont pour origine la Direction du Tourisme et des Congrès.

Les personnes du bureau de représentation de la Direction du Tourisme et des Congrès à Dubaï sont destinataires de ces informations.

III. La Commission considère que les informations nominatives concernées par le transfert sont «adéquates, pertinentes et non excessives au regard de la finalité du traitement», conformément à l’article 10-1 de la loi n° 1.165, modifiée.

Sur les garanties permettant d’assurer le respect de la protection des libertés et droits des personnes

• Sur la licéité du transfert

La Commission observe qu’aux termes de l’ordonnance souveraine n° 3.880 du 12 octobre 1967, susvisée, la Direction du Tourisme et des Congrès a pour missions :

- d’organiser la propagande touristique à l’étranger et notamment d’arrêter, le cas échéant, par l’entremise d’organismes spécialisés, toutes mesures propres à assurer cette publicité ;
- de veiller à l’accueil des touristes et des personnalités étrangères ;
- d’étudier et proposer toutes mesures tendant à faciliter la venue de touristes dans la Principauté et améliorer les conditions de leur séjour.

La Commission constate que les transferts opérés s’inscrivent dans le cadre des missions précitées.

Par ailleurs, elle relève que ce transfert d’informations nominatives s’inscrit également dans le prolongement du traitement automatisé de cette Direction ayant pour finalité «Promotion et valorisation de la destination Monaco» pour lequel la Commission a émis un avis favorable. A ce titre, elle observe que ce transfert est compatible avec la finalité dudit traitement.

En conséquence, elle considère que le transfert est licite conformément à l’article 10-1 de la loi n° 1.165, modifiée.

• Sur les garanties contractuelles

Afin de veiller au respect des principes de la loi n° 1.165, le responsable de traitement et le destinataire des informations ont signé une lettre d’engagement qui impose, notamment, audit destinataire une exploitation des informations conforme avec la finalité du traitement et une obligation de confidentialité et de non divulgation à des tiers des informations qui lui seront transmises par la DTC.

La Commission relève donc que le responsable de traitement et le destinataire fondent les garanties permettant «d’assurer le respect de la protection des libertés et des droits des personnes», imposées par le deuxième alinéa de l’article 20-1 de la loi n° 1.165, sur des clauses contractuelles formalisées par une lettre d’engagement.

Cette lettre d’engagement lie le Délégué Général du Tourisme et le responsable de la représentation de la Direction du Tourisme et des Congrès, appelé «prestataire». La Commission relève cependant que cette lettre n’est pas datée et qu’elle ne fait pas expressément référence à la protection des informations nominatives.

Aussi, elle considère que les garanties apportées par la lettre d’engagement devront être complétées par un avenant, daté et signé par les parties, prenant en considération les exigences légales de la loi n° 1.165, modifiée.

Ainsi, tenant compte, notamment des dispositions de l’article 17 de la loi n° 1.165, la Commission rappelle que les clauses devront prévoir que :

- le prestataire s’engage à prendre toutes mesures appropriées pour protéger les documents et informations nominatives, notamment, contre la destruction accidentelle ou illicite, la perte accidentelle, l’altération, la diffusion ou l’accès non autorisés ;
- le prestataire s’engage à respecter, notamment, les obligations suivantes et à les faire respecter par son personnel :

• ne prendre aucune copie des documents et supports d’informations qui lui sont confiés, à l’exception de celles nécessaires à l’exécution de la lettre d’engagement ;
• prendre toutes mesures de sécurité, notamment matérielle, pour assurer la conservation et l’intégrité des documents et informations pendant la durée du contrat ;
• au terme du contrat, à restituer à la Direction du Tourisme et des Congrès les informations et fichiers de toutes natures automatisés ou non automatisés, et à procéder à la destruction de tous fichiers manuels ou informatisés stockant les informations, propriété de la Direction du Tourisme et des Congrès ;

- les obligations de confidentialité sont maintenues lorsque le contrat arrive à son terme ou lorsqu’il est dénoncé par l’une des parties ;
- le prestataire ne peut sous-traiter l’exécution des prestations à un tiers, ni procéder à une cession de marché sans l’accord préalable de la Direction du Tourisme et des Congrès qui se réserve le droit de procéder à toute vérification qui lui paraîtrait utile pour constater le respect des obligations précitées.

• Les garanties techniques

La Commission relève que les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations permettent de répondre aux impératifs de la loi n° 1.165. Elle demande néanmoins que tout envoi d’information à caractère nominatif fasse l’objet d’une procédure de chiffrement. Ainsi, tout document de type Word, Excel, OpenOffice, devra être «Zippé ou Raré» avec un mot de passe réputé fort.

La Commission rappelle en outre que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement devront être maintenues et mises à jour.
• Sur les droits des personnes concernées

Le responsable de traitement précise que chaque courrier électronique envoyé dans le cadre des missions de la DTC comporte l’information suivante, en anglais : «L’information contenue dans ce message peut être privilégiée, confidentielle et protégée de toute divulgation. Ce message est à usage unique de l’adresse contenue. L’information personnelle échangée peut être sujette à un envoi automatique pour répondre à votre demande. Conformément à la loi sur la protection des données personnelles, vous avez un droit d’accès, de rectification et d’opposition à l’adresse dtc@gouv.mc».

La Commission considère que ce message devra être modifié afin d’ôter la référence à «un envoi automatique» qui ne permet pas de déterminer la ou les catégories de destinataires des informations, comme imposé à l’article 14 de la loi n° 1.165. Aussi, ce message pourrait être remplacé par «les informations nominatives contenues dans ce message peuvent faire l’objet d’un traitement automatisé par la Direction du Tourisme et des Congrès ou ses représentations à l’étranger à la seule fin de répondre à votre demande».

Après en avoir délibéré,

Demande que :

- les garanties contractuelles permettant d’assurer le respect de la protection des libertés et droits mentionnés à l’article 1er de la loi n° 1.165 soient modifiées par un avenant à la lettre d’engagement afin de répondre aux exigences de l’article 20-1 alinéa 2 de la loi n° 1.165 susvisée ;

- la lettre d’engagement modifiée lui soit communiquée ;

- l’information des destinataires de courriels soit modifiée afin de respecter les dispositions de l’article 14 de la loi n° 1.165, susvisée ;

- les transferts d’informations à caractère nominatif fassent l’objet d’une procédure de chiffrement ;

A la condition de la prise en compte de ce qui précède,

La Commission de Contrôle des Informations Nominatives autorise le transfert d’informations nominatives, présenté par le Ministre d’Etat, de la Direction du Tourisme et des Congrès de la Principauté vers la représentation de ladite Direction située à Dubaï ayant pour finalité «Gestion des demandes relatives à des manifestations ou évènements concernant le tourisme d’affaire ou de loisirs».



Le Président de la Commission
de Contrôle des Informations Nominatives.
Imprimer l'article
Article précédent Retour au sommaire Article suivant

Tous droits reservés Monaco 2016
Version 2018.11.07.14