Délibération n° 2019-204 du 18 décembre 2019 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion du service de télévision sur IP » présenté par Monaco Telecom S.A.M..
Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu le Contrat de Concession du Service Public des communications électroniques sur le territoire de la Principauté de Monaco du 26 septembre 2011 ;
Vu le Cahier des Charges relatif à la Concession du Service Public des communications électroniques sur le territoire de la Principauté de Monaco signé le 26 septembre 2011 annexé à l'Ordonnance Souveraine n° 3.560 du 6 décembre 2011 ;
Vu le Cahier des Charges de l'avenant à la Concession du Service Public des communications électroniques et ses annexes annexés à l'Ordonnance Souveraine n° 6.186 du 12 décembre 2016 ;
Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d'informations nominatives ;
Vu la demande d'avis reçue le 7 octobre 2019 concernant la mise en œuvre par Monaco Telecom d'un traitement automatisé ayant pour finalité « Gestion du service de télévision sur IP »;
Vu la prorogation du délai d'examen de la présente demande d'avis notifiée au responsable de traitement le 5 décembre 2019, conformément à l'article 19 de l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 18 décembre 2019 portant examen du traitement automatisé susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
MONACO TELECOM SAM, immatriculée au RCI, est un organisme de droit privé concessionnaire d'un service public. Elle a notamment pour objet « d'assurer dans les relations intérieures et internationales, tous services de télécommunications. À ce titre, elle assure les activités d'opérateur public chargé de l'exploitation du service téléphonique de la Principauté de Monaco […] ».
Cette société souhaite proposer à ses clients en Principauté ayant un abonnement internet résidentiel un service de télévision par IP permettant de visualiser des chaînes de télévisions sur leurs différents terminaux (Apple TV, mobiles, tablettes, ordinateur, appareil lecteur de flux multimédia de la plateforme du prestataire).
Ainsi, le traitement automatisé d'informations nominatives y afférent est soumis à l'avis de la commission, conformément à l'article 7 de la loi n° 1.165 du 23 décembre 1993.
I. Sur la finalité et les fonctionnalités du traitement
Ce traitement a pour finalité « Gestion du service de télévision sur IP ».
Les personnes concernées sont « tous les utilisateurs du service TV sur IP (abonné internet Monaco Telecom) » ainsi que les collaborateurs de Monaco Telecom et de son prestataire.
Les fonctionnalités sont les suivantes :
- Permettre la souscription au service et fournir un identifiant au client ;
- Génération d'un mot de passe via MyMT ;
- Mise à disposition d'une application MonacoTelecomTV sur les stores mobiles pour se connecter au service ;
- Mise à disposition de l'application sur l'appleTV ;
- Permettre la visualisation de programmes sur un nombre limité de terminaux mobiles ;
- Regarder les chaînes télévisées en télévision de rattrapage sur une durée limitée ;
- Enregistrer des contenus audiovisuels diffusés ;
- Consulter des services en déplacement en dehors de Monaco sur certaines zones à l'étranger, via un suivi de localisation pays.
La Commission estime que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.
II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le traitement est justifié par le consentement de la personne concernée, l'exécution d'un contrat ou de mesures pré-contractuelles avec la personne concernée, ainsi que la réalisation d'un intérêt légitime, sans que ne soient méconnus ni l'intérêt, ni les droits et libertés fondamentaux des personnes concernées.
La Commission relève que la démarche d'abonnement est volontaire de la part du client qui souscrit alors à un contrat dont l'exécution requiert les informations collectées par le responsable de traitement. Elle note également les précisions indiquant que « ce service est fourni par Monaco Telecom en tant que concessionnaire d'une délégation de service public, (avenant n° 2 au contrat de concession du service public des communications électroniques sur le territoire de la Principauté de Monaco (5 août 2016)) ». À cet égard, il convient de relever que l'article 3 dudit avenant délègue à Monaco Telecom « La distribution sur les Réseaux de Service Public d'offres de contenus audiovisuels du Service de Télévision Universelle ainsi que les offres pouvant être souscrites de façon complémentaire au Service de Télévision Universelle. Le Concessionnaire peut, avec l'accord préalable du Concédant, utiliser de nouvelles technologies de transmission sur le Réseau Câblé ou sur tout autre Réseau de Service Public pour acheminer ces signaux audiovisuels ».
La Commission considère que le traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993\.
III. Sur les informations nominatives traitées
Les informations nominatives traitées sont :
- Données d'identification électronique : identifiant, mot de passe d'accès au service, Mac adresse/UID, numéro de série du terminal, adresse IP, token Monaco TV ;
- Informations temporelles : date/heure de la connexion au service client et collaborateur Monaco Telecom (pour support), adresse IP du client.
Les données d'identification électronique sont générées lors de la souscription du client via son parcours sur les offres composites et le site MyMt, qui peut alors générer son mot de passe à travers son espace client. Les informations temporelles sont quant à elles générées par le système.
La Commission relève également qu'est exploitée en flux continu, sans conservation, la localisation pays du terminal afin d'opérer les restrictions de service exigées par les réglementations concernées lors de l'utilisation du service.
La Commission considère que les informations traitées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165.
IV. Sur les droits des personnes concernées
- Sur l'information préalable des personnes concernées
L'information préalable des personnes concernées est effectuée par le biais :
- d'un document spécifique ;
- d'une mention ou clause particulière intégrée dans un document remis à l'intéressé ;
- d'une rubrique propre à la protection des données accessible en ligne ;
- d'une mention particulière intégrée dans un document d'ordre général accessible en ligne.
La Commission relève qu'est jointe la « Charte de Monaco Telecom relative à la Protection des données personnelles et de vie privée ». Elle constate que celle-ci informe valablement les personnes concernées de leurs droits au sens de la loi n° 1.165 du 23 décembre 1993, et en propose certaines issues du RGPD.
La Commission rappelle toutefois qu'une information spécifique à la finalité du traitement et à ses destinataires doit être effectuée.
Elle rappelle également que les salariés doivent également être informés de leurs droits, ces derniers étant des personnes concernées par le traitement.
- Sur l'exercice du droit d'accès, de modification et de mise à jour
Les droits des clients peuvent être exercés par voie postale ou par courrier électronique auprès du Service DPO (Data Protection Officer).
En outre, la Commission rappelle que la réponse à ce droit d'accès doit intervenir dans le mois suivant la réception de la demande.
Par ailleurs, s'agissant de l'exercice du droit d'accès par voie électronique, la Commission considère qu'une procédure devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations. À ce titre, elle précise que si une copie d'un document d'identité était demandée, la transmission et le traitement de ce document devront faire l'objet de mesures de protection particulières comme rappelé dans sa délibération n° 2015-116 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d'identité officiels.
V. Sur les personnes ayant accès au traitement
- Sur les personnes ayant accès au traitement
Les personnes habilitées à avoir accès au traitement sont :
- En consultation, le Service Client :
- En consultation /investigation, la Direction Réseaux et Systèmes ;
- En consultation, le Service Marketing.
La Commission rappelle que si des prestataires ont accès au traitement, leurs accès doivent être limités à ce qui est strictement nécessaire à l'exécution de leur contrat de prestation de service, conformément à l'article 17 de la loi n° 1.165\. De plus ils sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement.
VI. Sur les rapprochements et interconnexions
Le responsable de traitement indique que le présent traitement est interconnecté avec le traitement ayant pour finalité « Gestion des offres composites de Monaco Telecom et le traitement « Mise à disposition d'outils de gestion des comptes en abonnement par le biais du portail client MyMT ».
Ces interconnexions permettent au responsable de traitement, d'une part en ce qui concerne le premier d'initier le service et de bénéficier des informations que le client lui a déjà fournies en s'abonnant, et d'autre part en ce qui concerne le second à créer en ligne, une fois connecté à MyMT, son mot de passe lui permettant de se connecter à l'application MonacoTelecomTV.
La Commission relève que ces interconnexions sont conformes aux dispositions légales et permettent au service client de répondre aux sollicitations des appelants.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation particulière.
Cependant, les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort.
La Commission rappelle également que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.
VIII. Sur la durée de conservation
La Commission relève que les informations relatives à l'identité, aux adresses et coordonnées sont conservées 5 ans à compter du terme du contrat. Les informations de géolocalisation ne sont pas conservées (seule peut être demandée par l'utilisateur la position de son terminal à un instant donné).
Concernant les informations conservées 5 ans, qui s'analysent en des données clientèles, la Commission fixe la durée de conservation à 2 ans à compter du terme contractuel conformément à l'article 2048 du Code civil en base active + 3 ans en archive intermédiaire (soit un total de 5 ans), à l'exception de celles expressément nécessaires à l'établissement du livre-journal prévu à l'article 13 du Code de commerce, qui pourront encore être conservées 10 ans.
Par ailleurs, les informations temporelles sont conservées 1 an par Monaco Telecom.
Après en avoir délibéré, la Commission :
Considère qu'une procédure relative au droit d'accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations.
Rappelle que :
- que les collaborateurs doivent être informés de leurs droits ;
- que les personnes concernées doivent être informées de la finalité du traitement et des destinataires des informations ;
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare feux) ainsi que les comptes utilisateurs et administrateurs doivent être protégés nominativement par un identifiant et un mot de passe réputé fort.
Fixe la durée de conservation de 5 ans à compter du terme contractuel demandée par le responsable de traitement à 2 ans à compter du terme contractuel en base active + 3 ans en archive intermédiaire.
À la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion du service de télévision sur IP » par Monaco Telecom S.A.M..
Le Président de la Commission de Contrôle des Informations Nominatives.