Délibération n° 2019-118 du 17 juillet 2019 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Exploitation du parc de bornes de recharge de véhicules électriques déployé dans le cadre de l'offre evZen » présenté par la Société Monégasque de l'Électricité et du Gaz (SMEG).

Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d'informations nominatives ;
Vu l'Ordonnance Souveraine n° 2.578 du 13 janvier 2010 approuvant le traité de concession de la SMEG, ainsi que ses annexes et cahiers des charges ;
Vu l'arrêté ministériel n° 2010-638 du 31 juillet 2009 portant application de l'article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu le traité de concession de service public de l'électricité et du gaz conclu entre la Principauté de Monaco et la SMEG, et entré en vigueur le 1er janvier 2009, accompagné de ses annexes et cahiers des charges ;
Vu la demande d'avis déposée par la SMEG, le 17 avril 2019, concernant la mise en œuvre d'un traitement automatisé ayant pour finalité « Exploitation du parc de bornes de recharge de véhicules électriques déployé dans le cadre de l'offre evZen » ;
Vu la prorogation du délai d'examen de la présente demande d'autorisation notifiée au responsable de traitement le 14 juin 2019, conformément à l'article 19 de l'Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 17 juillet 2019 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
La Société Monégasque de l'Électricité et du Gaz (SMEG) est une société anonyme en charge de l'exploitation du service public de la distribution de l'électricité et du gaz, en application du traité de concession conclu entre la SMEG et la Principauté de Monaco, et entré en vigueur le 1er janvier 2009.
Comme indiqué par cette société, « à travers le service evZen, la SMEG entend mettre à disposition de ses clients une ou des bornes de recharges qui leur sont réservées. Pour cela, la SMEG délivrera aux souscripteurs d'un contrat evZen un ou des badges d'identification RFID qui permettront d'activer les bornes de recharges ».
Ce service comportant l'utilisation d'informations nominatives, et conformément à l'article 7 de la loi n° 1.165 du 23 décembre 1993, la mise en œuvre du traitement y afférent est soumise à l'avis préalable de la Commission de Contrôle des Informations Nominatives.

I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité « Exploitation du parc de bornes de recharge de véhicules électriques déployé dans le cadre de l'offre evZen ».
Il concerne les clients de la SMEG.
Les fonctionnalités sont :
- Contrôler l'accès aux bornes de recharges par le biais d'une identification RFID ;
- Assurer le suivi des recharges et de l'énergie consommée via un portail dédié, à des fins de supervision technique, de dépannage et de facturation (sur ce dernier point, un profil de facturation sera créé dans E-fluid) ;
- Réaliser des statistiques ;
- Gérer le service après-vente (via E-fluid).
Par ailleurs, il est précisé que « l'inscription du client sera réalisée via un rapprochement avec son numéro de client E-fluid ».
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.

II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le présent traitement est justifié par la réalisation d'un intérêt légitime qui ne méconnait ni l'intérêt, ni les droits et libertés fondamentaux des personnes concernées.
À cet égard, le responsable de traitement indique que « le développement de l'électromobilité est sans conteste l'un des leviers majeurs de la Transition énergétique. (…) Afin de favoriser le développement de cette mobilité propre, la SMEG a mis en place une offre dédiée aux parkings collectifs, incluant la conception, la réalisation, et l'exploitation d'une infrastructure collective de recharge de véhicules électriques permettant à chaque emplacement de stationnement d'être équipé, le cas échéant, d'une borne de recharge individuelle ».
La Commission considère que ce traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993.

III. Sur les informations traitées
Les informations nominatives traitées sont :
- données d'identification électronique : numéro de badge ;
- informations temporelles : horodatages, etc. : sessions de recharge : date et heure de branchement et de débranchement (pas de temps de charge stricto sensu), quantité d'énergie délivrée.
Les données d'identité (nom, prénom, téléphone, adresse, référence client E-fluid), de facturation et de service après-vente en lien avec l'offre evZen sont traitées dans E-fluid selon les modalités du traitement légalement mis en œuvre.
Les informations temporelles ont pour origine les bornes de recharges. En ce qui concerne le badge, les numéros sont délivrés par le fournisseur de badges et la corrélation badge/identité est effectuée dans l'applicatif dédié à l'offre evZen.
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.

IV.  Sur les droits des personnes concernées

• Sur l'information préalable des personnes concernées

L'information préalable des personnes concernées est réalisée par le biais d'une mention particulière intégrée dans un document d'ordre général accessible en ligne.
Ce dernier n'étant pas joint au dossier, la Commission rappelle que les personnes concernées doivent être informées de manière conforme aux dispositions de l'article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée.

• Sur l'exercice du droit d'accès, de modification et de mise à jour

Le droit d'accès est exercé par voie postale, par courrier électronique ou sur place auprès du Délégué Administratif et Juridique de la SMEG.
S'agissant de l'exercice du droit d'accès par voie électronique, la Commission considère qu'une procédure devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations. À ce titre, elle précise que si une copie d'un document d'identité était demandée, la transmission et le traitement de ce document devront faire l'objet de mesures de protection particulières comme rappelé dans sa délibération n° 2015-116 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d'identité officiels.
La Commission constate ainsi que les modalités d'exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.

V. Sur les destinataires et les personnes ayant accès au traitement
La Commission constate qu'il n'y a pas de destinataire des informations objet du présent traitement.
Les accès sont définis comme suit :
- les équipes techniques de la SMEG en charge de l'exploitation technique et du dépannage des bornes, soit environ 5 personnes du Service Technico-Commercial (tous droits), les 3 agents de permanence téléphonique (consultation), ainsi que le chargé de mission mobilité et sa hiérarchie (3 personnes, tous droits) ;
- les équipes de G2 Mobility : 2 méta administrateurs en charge de la création des accès utilisateurs au logiciel de supervision des bornes de recharge, de la configuration des bornes de recharge et du support technique (consultation), 1 personne en charge du support technique uniquement (consultation) ainsi que la hiérarchie, soit 2 personnes (consultation).
En ce qui concerne le prestataire, elle rappelle que conformément aux dispositions de l'article 17 de la loi n° 1.165 du 23 décembre 1993 les droits d'accès doivent être limités à ce qui est strictement nécessaire à l'exécution de son contrat de prestation de service. De plus, ledit prestataire est soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
La Commission considère que ces accès sont justifiés.

VI. Sur les interconnexions
Le présent traitement fait l'objet d'un rapprochement avec le traitement ayant pour finalité « Gestion de la relation clientèle », dénommé E-fluid, légalement mis en œuvre.
Ledit rapprochement a pour objectif de rapprocher les identifiants E-fluid et evZen des clients afin de pouvoir effectuer le suivi contractuel (facturation et dépannage) de ces derniers.
La Commission estime que ce rapprochement est conforme aux exigences légales.

VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation.
Il est cependant préconisé de renforcer la sécurité relative au badge utilisateur afin qu'en cas de perte ou de vol celui-ci ne puisse être utilisé par une tierce personne.
La Commission rappelle néanmoins que les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
La Commission rappelle enfin que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.

VIII. Sur la durée de conservation
Les données d'identification électronique sont conservées 5 ans après le terme du contrat et les informations temporelles 5 ans à compter de leur collecte.
La Commission considère ces durées de conservation excessives eu égard à la finalité du traitement.
Aussi, en ce qui concerne les informations temporelles, elle fixe le délai de conservation de manière nominative (permettant l'individualisation de la borne et donc son identification et celle du client) à 2 ans glissants, en application de l'article 2048 du Code civil.
Les durées de conservations des données d'identification électronique sont réduites à 2 ans après le terme du contrat, en application de l'article 2048 du Code civil.
Après en avoir délibéré, la Commission :
Rappelle que :
- les personnes concernées doivent être informées de manière conforme aux dispositions de l'article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée ;
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé ;
Considère qu'une procédure relative au droit d'accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations.
Préconise de renforcer la sécurité relative au badge utilisateur.
Fixe :
- le délai de conservation des informations temporelles à 2 ans glissants de manière nominative (permettant l'individualisation de la borne et donc son identification et celle du client), en application de l'article 2048 du Code civil ;
- le délai de conservation des données d'identification électronique à 2 ans après le terme du contrat, en application de l'article 2048 du Code civil.
Sous le bénéfice de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par la Société de l'Électricité et du Gaz du traitement automatisé d'informations nominatives ayant pour finalité « Exploitation du parc de bornes de recharge de véhicules électriques déployé dans le cadre de l'offre evZen ».

Le Président de la Commission de Contrôle des Informations Nominatives.