Délibération n° 2012-100 du 25 juin 2012 de la Commission de Contrôle des Informations Nominatives portant avis favorable sur la demande présentée par la Commune de Monaco relative à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Gestion de l’attribution du prix du public lors du concours international des feux d’artifice pyromélodiques de Monaco »
Vu la Constitution ;
Vu la Convention de sauvegarde des droits de l’homme et des libertés fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 959 du 24 juillet 1974 sur l’organisation communale ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables au traitements automatisés ou non automatisés d’informations nominatives ;
Vu la demande d’avis déposée par le Maire de Monaco, le 6 juin 2012, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité « concours international des feux d’artifice pyromélodiques de Monaco» ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 25 juin 2012 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Depuis 1966, au cours de l’été, la Commune organise un concours international de feux d’artifice pyromélodiques. Afin de permettre aux spectateurs de participer à l’attribution du prix du public, la Commune souhaite mettre en place un traitement automatisé d’informations nominatives.
La Commune soumet donc le présent traitement à l’avis de la Commission, conformément aux dispositions de l’article 7 de la loi n° 1.165, susvisée.
I. Sur la finalité et les fonctionnalités du traitement
Ce traitement a pour finalité « Concours international des feux d’artifice pyromélodiques de Monaco ».
Les personnes concernées sont définies comme « les visiteurs du site web » dédié au « concours international des feux d’artifice pyromélodiques de Monaco ».
La fonctionnalité du traitement est de permettre au public d’attribuer des notes aux candidats, soit aux artificiers participant au concours, pour la délivrance du prix du public.
La Commission rappelle que les informations nominatives doivent être collectées et traitées pour une finalité déterminée, explicite et légitime.
Aussi, elle considère, au regard de la fonctionnalité unique exposée et de la finalité du traitement mentionné dans les conditions générales du site, que la finalité du traitement doit être modifiée par « gestion de l’attribution du prix du public lors du concours international des feux d’artifice pyromélodiques de Monaco ».
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
Aux termes du chiffre 7 de l’article 25 de la loi n° 959 du 24 juillet 1974, modifiée, sur l’organisation communale, « le conseil communal règle par ses délibérations les affaires de la commune ; ces délibérations portent notamment sur (…) l’organisation des manifestations municipales et l’animation de la ville ».
L’organisation de ce concours international s’inscrit ainsi dans les missions de la Commune.
En conséquence, la Commission constate que ce traitement est licite, conformément aux exigences légales de l’article 10-1 de la loi n° 1.165, modifiée.
• Sur la justification du traitement
La Commission relève que le traitement est justifié par la réalisation d’un intérêt légitime poursuivi par le responsable de traitement qui ne méconnaît ni l’intérêt, ni les droits fondamentaux des personnes concernées.
En effet, le responsable de traitement indique que ce traitement a pour objet de participer « à la mise en valeur du concours ». La participation du public permet de rendre le concours plus attractif.
Au vu des éléments qui précèdent, la Commission considère que ce traitement est justifié, conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées et leurs origines
Les informations traitées sont les suivantes :
- donnée d’identification électronique : adresse électronique (cryptée) ;
- vote : note de 0 à 10 attribuée aux candidats.
Après analyse du dossier, la Commission relève que l’organisation de ce concours implique, aux termes de son règlement, le respect d’une procédure d’inscription susceptible d’être effectuée par des moyens automatisés. En outre, le site Internet permettrait, selon les « conditions générales d’utilisation » diffusées sur le site de recueillir des informations sur les visiteurs à l’aide de formulaires en ligne ou d’une rubrique «contact ». Enfin, ce site permet la diffusion d’informations nominatives concernant les artificiers participant au concours de l’année en cours ou ayant participé au concours depuis 1971.
Afin que ces procédures soient réalisées conformément à la loi n° 1.165, la Commission rappelle qu’une demande d’avis portant sur l’organisation et le suivi du concours international de feux d’artifice pyromélodiques de Monaco devra lui être soumise.
Les informations objets du traitement ont pour origine le visiteur-internaute qui souhaite exprimer un vote sur les feux d’artifices.
Au vu de l’ensemble de ces éléments, la Commission estime que l’information collectée est « adéquate, pertinente et non excessive» au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
• Sur l’information des personnes concernées
L’information des personnes concernées est réalisée par une mention particulière intégrée dans une rubrique intitulée «conditions d’utilisation du site Internet», accessible en ligne.
La Commission observe que « les conditions générales du site » seront modifiées afin de prendre en considération le traitement en objet.
Elle constate que la mention visée à l’article 14 de la loi n° 1.165, modifiée, est conforme aux exigences légales. Elle suggère, toutefois, que la notion de «groupe» soit supprimée.
• Sur l’exercice du droit d’accès
Selon le responsable de traitement, le droit d’accès est exercé par voie postale, auprès de la salle du Canton ou de la Mairie de Monaco, ou directement sur le site - l’internaute saisissant lui-même les données.
Le responsable de traitement précise que l’exercice des droits de modification et de mise à jour ne peut être exercé concernant ce traitement au regard des modalités de fonctionnement du vote basées sur la saisine d’une adresse électronique cryptée. Aussi, le responsable de traitement ne peut remonter à une personne aux fins de modifier les informations.
L’internaute pourra toutefois demander la suppression de ses informations selon une procédure en ligne permettant de s’assurer de la qualité de l’intéressé.
La Commission constate ainsi que les modalités d’exercice des droits d’accès des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.
V. Sur les personnes ayant accès au traitement
La Commission observe que seuls les personnels du prestataire de service en charge de la conception et de la maintenance du site ont accès aux informations du présent traitement.
La Commission considère que ces accès sont conformes aux exigences légales.
VI. Sur les destinataires des informations
Le responsable de traitement indique que les informations nominatives ne font l’objet d’aucune communication à des tiers.
Or, à l’analyse du dossier, la Commission observe que des statistiques sont effectuées par le biais du service Google Analytics.
A cet égard, elle rappelle que ce service permet d’effectuer des statistiques très détaillées portant, notamment, sur le comportement de l’internaute, de collecter bien plus d’informations nominatives que celles déclarées par le responsable de traitement, comme par exemple, l’adresse IP.
Par ailleurs, la Commission relève que ce service est susceptible de transférer des données personnelles vers des pays ne disposant de la protection adéquate, tels que les Etats-Unis. Dans ce cas, le transfert de données est soumis à son autorisation, conformément à l’article 20-1 de la loi n° 1.165, modifiée.
Ainsi, en l’absence d’informations sur les modalités de communication et d’exploitation ultérieures des données par ce prestataire de service et dans l’attente d’éléments complémentaires sur ce point, la Commission demande à ce que l’établissement de statistiques soit effectué au moyen d’autres outils conformes aux principes de protection des données personnelles.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations n’appellent pas d’observation.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
Elle rappelle également qu’aux termes de l’article 17 alinéa 3, «lorsque le responsable de traitement a recours aux services d’un ou plusieurs prestataires, il doit s’assurer que ces derniers sont en mesure de satisfaire aux obligations prescrites » en matière de sécurité et de confidentialité du traitement.
VIII. Sur la durée de conservation
La Commission relève que les informations objet du traitement sont conservées pendant un maximum de 2 mois à compter du « premier jour du premier tir de feux d’artifice ». Elles sont supprimées « le jour de l’attribution du prix du public qui interviendra une semaine après le dernier tir du concours ».
La Commission considère que la durée de conservation indiquée est conforme aux exigences légales.
Après en avoir délibéré,
Rappelle qu’afin de permettre à l’ensemble des opérations automatisées mis en place pour organiser le concours en objet conformément à la loi n° 1.165, une demande d’avis portant sur l’organisation et le suivi du concours international de feux d’artifice pyromélodiques de Monaco devrait lui être soumise ;
Demande que :
- l’établissement de statistiques ne soit pas effectué par le biais du service Google Analytics;
A la condition de la prise en compte de ce qui précède,
La Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par la Commune de Monaco du traitement automatisé d’informations nominatives ayant pour finalité «Gestion de l’attribution du prix du public lors du concours international des feux d’artifice pyromélodiques de Monaco ».
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la Convention de sauvegarde des droits de l’homme et des libertés fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 959 du 24 juillet 1974 sur l’organisation communale ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables au traitements automatisés ou non automatisés d’informations nominatives ;
Vu la demande d’avis déposée par le Maire de Monaco, le 6 juin 2012, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité « concours international des feux d’artifice pyromélodiques de Monaco» ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 25 juin 2012 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
Depuis 1966, au cours de l’été, la Commune organise un concours international de feux d’artifice pyromélodiques. Afin de permettre aux spectateurs de participer à l’attribution du prix du public, la Commune souhaite mettre en place un traitement automatisé d’informations nominatives.
La Commune soumet donc le présent traitement à l’avis de la Commission, conformément aux dispositions de l’article 7 de la loi n° 1.165, susvisée.
I. Sur la finalité et les fonctionnalités du traitement
Ce traitement a pour finalité « Concours international des feux d’artifice pyromélodiques de Monaco ».
Les personnes concernées sont définies comme « les visiteurs du site web » dédié au « concours international des feux d’artifice pyromélodiques de Monaco ».
La fonctionnalité du traitement est de permettre au public d’attribuer des notes aux candidats, soit aux artificiers participant au concours, pour la délivrance du prix du public.
La Commission rappelle que les informations nominatives doivent être collectées et traitées pour une finalité déterminée, explicite et légitime.
Aussi, elle considère, au regard de la fonctionnalité unique exposée et de la finalité du traitement mentionné dans les conditions générales du site, que la finalité du traitement doit être modifiée par « gestion de l’attribution du prix du public lors du concours international des feux d’artifice pyromélodiques de Monaco ».
II. Sur la licéité et la justification du traitement
• Sur la licéité du traitement
Aux termes du chiffre 7 de l’article 25 de la loi n° 959 du 24 juillet 1974, modifiée, sur l’organisation communale, « le conseil communal règle par ses délibérations les affaires de la commune ; ces délibérations portent notamment sur (…) l’organisation des manifestations municipales et l’animation de la ville ».
L’organisation de ce concours international s’inscrit ainsi dans les missions de la Commune.
En conséquence, la Commission constate que ce traitement est licite, conformément aux exigences légales de l’article 10-1 de la loi n° 1.165, modifiée.
• Sur la justification du traitement
La Commission relève que le traitement est justifié par la réalisation d’un intérêt légitime poursuivi par le responsable de traitement qui ne méconnaît ni l’intérêt, ni les droits fondamentaux des personnes concernées.
En effet, le responsable de traitement indique que ce traitement a pour objet de participer « à la mise en valeur du concours ». La participation du public permet de rendre le concours plus attractif.
Au vu des éléments qui précèdent, la Commission considère que ce traitement est justifié, conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées et leurs origines
Les informations traitées sont les suivantes :
- donnée d’identification électronique : adresse électronique (cryptée) ;
- vote : note de 0 à 10 attribuée aux candidats.
Après analyse du dossier, la Commission relève que l’organisation de ce concours implique, aux termes de son règlement, le respect d’une procédure d’inscription susceptible d’être effectuée par des moyens automatisés. En outre, le site Internet permettrait, selon les « conditions générales d’utilisation » diffusées sur le site de recueillir des informations sur les visiteurs à l’aide de formulaires en ligne ou d’une rubrique «contact ». Enfin, ce site permet la diffusion d’informations nominatives concernant les artificiers participant au concours de l’année en cours ou ayant participé au concours depuis 1971.
Afin que ces procédures soient réalisées conformément à la loi n° 1.165, la Commission rappelle qu’une demande d’avis portant sur l’organisation et le suivi du concours international de feux d’artifice pyromélodiques de Monaco devra lui être soumise.
Les informations objets du traitement ont pour origine le visiteur-internaute qui souhaite exprimer un vote sur les feux d’artifices.
Au vu de l’ensemble de ces éléments, la Commission estime que l’information collectée est « adéquate, pertinente et non excessive» au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
• Sur l’information des personnes concernées
L’information des personnes concernées est réalisée par une mention particulière intégrée dans une rubrique intitulée «conditions d’utilisation du site Internet», accessible en ligne.
La Commission observe que « les conditions générales du site » seront modifiées afin de prendre en considération le traitement en objet.
Elle constate que la mention visée à l’article 14 de la loi n° 1.165, modifiée, est conforme aux exigences légales. Elle suggère, toutefois, que la notion de «groupe» soit supprimée.
• Sur l’exercice du droit d’accès
Selon le responsable de traitement, le droit d’accès est exercé par voie postale, auprès de la salle du Canton ou de la Mairie de Monaco, ou directement sur le site - l’internaute saisissant lui-même les données.
Le responsable de traitement précise que l’exercice des droits de modification et de mise à jour ne peut être exercé concernant ce traitement au regard des modalités de fonctionnement du vote basées sur la saisine d’une adresse électronique cryptée. Aussi, le responsable de traitement ne peut remonter à une personne aux fins de modifier les informations.
L’internaute pourra toutefois demander la suppression de ses informations selon une procédure en ligne permettant de s’assurer de la qualité de l’intéressé.
La Commission constate ainsi que les modalités d’exercice des droits d’accès des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.
V. Sur les personnes ayant accès au traitement
La Commission observe que seuls les personnels du prestataire de service en charge de la conception et de la maintenance du site ont accès aux informations du présent traitement.
La Commission considère que ces accès sont conformes aux exigences légales.
VI. Sur les destinataires des informations
Le responsable de traitement indique que les informations nominatives ne font l’objet d’aucune communication à des tiers.
Or, à l’analyse du dossier, la Commission observe que des statistiques sont effectuées par le biais du service Google Analytics.
A cet égard, elle rappelle que ce service permet d’effectuer des statistiques très détaillées portant, notamment, sur le comportement de l’internaute, de collecter bien plus d’informations nominatives que celles déclarées par le responsable de traitement, comme par exemple, l’adresse IP.
Par ailleurs, la Commission relève que ce service est susceptible de transférer des données personnelles vers des pays ne disposant de la protection adéquate, tels que les Etats-Unis. Dans ce cas, le transfert de données est soumis à son autorisation, conformément à l’article 20-1 de la loi n° 1.165, modifiée.
Ainsi, en l’absence d’informations sur les modalités de communication et d’exploitation ultérieures des données par ce prestataire de service et dans l’attente d’éléments complémentaires sur ce point, la Commission demande à ce que l’établissement de statistiques soit effectué au moyen d’autres outils conformes aux principes de protection des données personnelles.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations n’appellent pas d’observation.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
Elle rappelle également qu’aux termes de l’article 17 alinéa 3, «lorsque le responsable de traitement a recours aux services d’un ou plusieurs prestataires, il doit s’assurer que ces derniers sont en mesure de satisfaire aux obligations prescrites » en matière de sécurité et de confidentialité du traitement.
VIII. Sur la durée de conservation
La Commission relève que les informations objet du traitement sont conservées pendant un maximum de 2 mois à compter du « premier jour du premier tir de feux d’artifice ». Elles sont supprimées « le jour de l’attribution du prix du public qui interviendra une semaine après le dernier tir du concours ».
La Commission considère que la durée de conservation indiquée est conforme aux exigences légales.
Après en avoir délibéré,
Rappelle qu’afin de permettre à l’ensemble des opérations automatisées mis en place pour organiser le concours en objet conformément à la loi n° 1.165, une demande d’avis portant sur l’organisation et le suivi du concours international de feux d’artifice pyromélodiques de Monaco devrait lui être soumise ;
Demande que :
- l’établissement de statistiques ne soit pas effectué par le biais du service Google Analytics;
A la condition de la prise en compte de ce qui précède,
La Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par la Commune de Monaco du traitement automatisé d’informations nominatives ayant pour finalité «Gestion de l’attribution du prix du public lors du concours international des feux d’artifice pyromélodiques de Monaco ».
Le Président de la Commission
de Contrôle des Informations Nominatives.