Délibération n° 2024‑137 du 12 juin 2024 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre de la modification du traitement automatisé d'informations nominatives ayant pour finalité « Gestion du Répertoire du Commerce et de l'Industrie », dénommé « RCI », exploité par la Direction du Développement Économique (DDE) présentée par le Ministre d'État.
Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la loi n° 721 du 27 décembre 1961 abrogeant et remplaçant la loi n° 598, du 2 juin 1955 instituant un répertoire du commerce et de l’industrie ;
Vu la loi n° 1.362 du 3 août 2009 relative à la lutte contre le blanchiment de capitaux, le financement du terrorisme et de la prolifération des armes de destruction massive et la corruption, modifiée ;
Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l’Ordonnance Souveraine n° 2.318 du 3 août 2009 fixant les conditions d’application de la loi n° 1.362 du 3 août 2009 relative à la lutte contre le blanchiment de capitaux, le financement du terrorisme et de la prolifération des armes de destruction massive et la corruption, modifiée ;
Vu l’Ordonnance Souveraine n° 3.095 du 24 janvier 2011 portant création de l’Institut Monégasque de la Statistique et des Études Économiques et du Conseil Scientifique de la Statistique et des Études Économiques ;
Vu l’Ordonnance Souveraine n° 2.853 du 22 juin 1962 portant application de la loi n° 721 du 27 décembre 1961 instituant un Répertoire du commerce et de l’industrie ;
Vu l’Ordonnance Souveraine n° 9.827 du 15 mars 2023 instituant une Direction du Développement Économique ;
Vu l’arrêté ministériel n° 66‑55 du 9 mars 1966 portant attribution d’un numéro d’identification aux établissements industriels, artisanaux, commerciaux, et autres et rendant obligatoire l’utilisation de ce numéro d’identification pour les classifications et les statistiques officielles ;
Vu la délibération n° 2011‑82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés d’informations nominatives ;
Vu la délibération n° 01‑49 du 3 décembre 2001 de la commission de Contrôle des Informations nominatives portant avis sur la demande présentée par le Ministre d’État relative au traitement automatisé « Tenue du Répertoire du Commerce et de l’Industrie » de la Direction de l’Expansion Économique ;
Vu la délibération n° 04‑08 du 26 juillet 2004 de la Commission de contrôle des Informations Nominatives portant avis favorable sur la demande modificative présentée par le Ministre d’État ayant pour finalité « Tenue du Répertoire du Commerce et de l’Industrie » (Direction de l’Expansion Économique) ;
Vu la demande d’avis déposée par le Ministre d’État, le 12 mars 2024, concernant la mise en œuvre de la modification d’un traitement automatisé ayant pour finalité la « Gestion du Répertoire du Commerce et de l’Industrie » ;
Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 7 mai 2024, conformément à l’article 19 de l’Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 12 juin 2024 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
L’article 1er de la loi n° 721 du 27 décembre 1961 abrogeant et remplaçant la loi n° 598, du 2 juin 1955 instituant un répertoire du commerce et de l’industrie dispose que « Toute personne physique ou morale, réputée commerçante par la loi et exerçant son activité commerciale sur le territoire de la Principauté, ainsi que les groupements d’intérêt économique, sont tenus de s’inscrire au répertoire du commerce et de l’industrie dans les conditions et sous peine des sanctions prévues ci‑après.(…) ».
Le traitement y relatif a été mis en œuvre en 2001, suite à la délibération de la Commission n° 01‑49 portant avis sur la demande présentée par le Ministre d’État relative au traitement automatisé « Tenue du Répertoire du Commerce et de l’Industrie » de la Direction de l’Expansion Économique, et a été modifié en 2004.
Le nom de Direction de l’Expansion Économique ayant changé, la gestion dudit répertoire est opérée aujourd’hui par la Direction du Développement Économique, qui doit mettre en œuvre les évolutions liées à la fois à la technique et à l’environnement juridique, comme l’adoption des lois modifiant la loi n° 1.362 et renforçant le dispositif en matière de lutte contre le blanchiment de capitaux, le financement du terrorisme et de la prolifération des armes de destruction.
Aussi, conformément aux dispositions de l’article 9 de la loi n° 1.165 du 23 décembre 1993, modifiée, le Ministre d’État soumet à l’avis de la Commission la modification du traitement ayant pour finalité « Gestion du Répertoire du Commerce et de l’Industrie ».
I. Sur la finalité et les fonctionnalités du traitement
Le responsable de traitement souhaite faire évoluer la finalité initiale, « Tenue du Répertoire du Commerce et de l’Industrie », en « Gestion du Répertoire du Commerce et de l’industrie ».
Il concerne désormais les assujettis à l’inscription au RCI, les agents des entités ayant accès au RCI, les agents de la DDE.
Sont également concernés les professionnels intervenant pour la société dans le cadre de leurs activités (expert-comptable, commissaires aux comptes, liquidateurs) et, le cas échéant, les ayants droit dans le cadre des successions, les bailleurs, les producteurs d’attestations de logement.
Si la Commission relève que la collecte de ces données est légitime, elle s’interroge néanmoins sur les conséquences de l’attrait de ces personnes dans les pièces justificatives eu égard à la durée de conservation. Ce point sera abordé au point dédié de la présente délibération.
Les fonctionnalités sont :
- Gestion des demandes d’inscription, de mention et de radiation au RCI ;
- Enregistrement des personnes responsables des informations communiquées à la DDE ;
- Suivi des correspondances avec les assujettis et les usagers ;
- Tenue du registre du commerce et de l’industrie ;
- Inscription et radiations des nantissements de fonds de commerce et des biens d’équipement ;
- Lien vers le registre des bénéficiaires effectifs annexé au RCI ;
- Délivrance des extraits du RCI et des certificats de radiation ;
- Conservation de la liste des personnes habilitées à avoir accès au RCI ;
- Suivi du cycle de vie des actes de transcription aux greffes ;
- Analyse des données.
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10‑1 de la loi n° 1.165 du 23 décembre 1993.
II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le présent traitement est justifié par un motif d’intérêt public et par une obligation légale à laquelle il est soumis.
À titre liminaire, la Commission constate que l’obligation légale soulevée en l’espèce correspond aux textes imposant à la DDE ses missions. Elle estime donc que l’obligation légale s’analyse en l’espèce comme un motif d’intérêt public.
À cet égard sont concernés les textes suivants :
- la loi n° 721 du 27 décembre 1961 abrogeant et remplaçant la loi n° 598, du 2 juin 1955 instituant un Répertoire du commerce et de l’industrie ;
- l’Ordonnance Souveraine n° 2.853 du 22 juin 1962 portant application de la loi n° 721 du 27 décembre 1961 instituant un Répertoire du commerce et de l’industrie ;
- la loi n° 1.362 du 3 août 2009 relative à la lutte contre le blanchiment de capitaux, le financement du terrorisme et de la prolifération des armes de destruction massive et la corruption, modifiée.
À cet égard, l’article 2 alinéa premier de la loi n° 721 dispose que « Sauf disposition législative contraire, la demande d’inscription doit être adressée par écrit à la Direction du Développement Économique dans le mois suivant la délivrance du récépissé de la déclaration d’activité sur le fondement de la loi n° 1.144 du 26 juillet 1991, modifiée, ou de l’autorisation administrative nécessaire à l’exercice de l’activité sollicitée, ou dans le mois suivant la date de la signature du contrat de groupement d’intérêt économique ».
L’article 1er alinéa premier de l’Ordonnance Souveraine n° 2.853, susvisée, dispose quant à lui que « Le répertoire du commerce et de l’industrie visé à l’article premier de la loi n° 721 du 27 décembre 1961, modifiée, susvisée, géré sur support électronique, comporte :
a) un registre d’arrivée qui mentionne, dans l’ordre chronologique, toutes les demandes d’inscription déposées ;
b) les dossiers individuels constitués par la demande d’inscription complétée par les déclarations subséquentes et les mentions portées au registre ;
c) un dossier annexe où figurent les actes et pièces justificatives tels que notamment les statuts, la déclaration ou l’autorisation d’exercer, l’autorisation de constitution ou l’agrément, qui doivent être déposés au répertoire en vertu des dispositions de la présente ordonnance ».
En outre, ses articles 5 et 5 bis prévoient ce que doit contenir une demande d’inscription et les pièces justificatives y afférentes.
De plus, « la loi n° 1.362 du 3 aout 2009 relative à la lutte contre le blanchiment de capitaux, le financement du terrorisme et de la prolifération des armes de destruction massive et la corruption et son article 22 sont également à mettre en évidence s’agissant du Registre des bénéficiaires effectifs, annexé au RCI ».
Enfin, l’Ordonnance Souveraine n° 9.827 du 15 mars 2023 instituant une Direction du Développement Économique charge ladite Direction de la tenue du RCI.
La Commission considère donc que le traitement est licite et justifié, conformément aux dispositions des articles 10‑1 et 10‑2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
Le responsable de traitement indique que les informations nominatives traitées sur les personnes physiques figurant au RCI sont :
- identité : civilité, nom de naissance, le cas échéant nom d’usage, pseudonyme, prénoms, titre, date et lieu de naissance, pays de naissance, décès (si cette mention doit être indiquée conformément à la réglementation), nationalités ;
- numéro d’identification : Id référentiel ;
- coordonnées : adresse personnelle ;
- vie professionnelle : fonction occupée, le cas échéant date de fin de mandat, état (ex. en activité), destinataire ou non des courriers de l’entité légale ;
- inscription liée à la fiche de la personne : date de création, date de radiation ;
- observation : observation sur le suivi de dossier.
Le responsable de traitement indique qu’en ce qui concerne les entités légales figurant au RCI, les informations collectées sont :
- description de la personne morale : raison ou dénomination sociale, le cas échéant l’enseigne(s), le cas échéant le signe, objet social, forme juridique, durée de l’entité, capital social, CNCI (numéro permettant de faire le lien avec la signature électronique de l’entité) ;
- numéro de RCI ;
- informations IMSEE : NIS, code NAF, date de création, catégorie juridique ;
- état de l’entité : Statut (actif, radié, en cours, en dissolution, en liquidation, révocation/privation), date d’immatriculation, date de début d’exploitation, date de début de la société, date de renouvellement quinquennal, date de radiation, contrôle en cours ;
- information en lien avec l’activité : activité exercée, loi encadrant l’activité, groupe d’entreprise, famille d’entreprise, liste des établissements (adresse, description et contrats associés) ;
- caractéristiques économiques et financières : documents annuels liés à l’activité de l’entité : bilan, chiffre d’affaires, compte de perte de profit, rapport du commissaire au compte, nom de l’expert-comptable ou des commissaires au compte, date de clôture de l’exercice social ;
- inscription liée à la vie de l’activité : informations décrivant le ou les nantissement(s) ;
- suivi administratif : état du dossier, date de dépôt aux greffes, date de publication des statuts, date de dépôt de la demande, numéro d’arrivée de la demande, observation, historisation des observations sur le dossier ; suivi des actions réalisées sur une entité et dates, documents intégrés dans le dossier de l’entité ;
- société de domiciliation : nom, adresse ou coordonnées de domiciliation.
En outre, les informations nominatives des agents de la DDE en charge des dossiers sont :
- identité : nom, prénom, matricule ;
- vie professionnelle : fonction, profil utilisateur ;
- données d’identification électronique : login, mot de passe ;
- log de connexion à l’application : données de connexion, données d’horodatage et actions effectuées.
De plus, les informations nominatives collectées sur « les personnes disposant d’un accès autres que les agents de la DDE » sont :
- identité : nom, prénom, matricule, courriel ;
- vie professionnelle : organisme de rattachement, fonction, numéro de poste de travail ;
- fondement de l’accès : texte ou cadre de l’autorisation d’accès ;
- type d’accès : droit(s) ouvert(s), rôle(s) attribués.
Enfin, les informations nominatives collectées sur « les personnes responsables des informations élémentaires sur la personne morale » sont :
- identité : nom, prénom, raison sociale le cas échéant ;
- coordonnées : adresse.
S’agissant du numéro d’identification, le responsable de traitement indique qu’il s’agit d’un « numéro d’incrémentation automatique créé pour chaque personne physique inscrite au RCI, qui permet de veiller à la qualité des données en mettant à jour les informations d’une personne physique de manière synchronisée ». La Commission en prend acte.
En ce qui concerne les observations, le responsable de traitement indique qu’elles ne concernent pas les personnes physiques. La Commission en prend acte et rappelle qu’il appartient à ce dernier de s’assurer de l’effectivité du dispositif.
Par ailleurs, les informations relatives aux assujettis ont pour origine :
- les formulaires et pièces justificatives communiquées par les assujettis ou leurs mandataires ;
- les décisions et jugements visés aux chiffre 1°, 2°, 6°, 7° et 9° de la loi n° 721 du 27 décembre 1961, modifiée, susvisée, communiquées à la DDE par la Direction des Services Judiciaires, notamment pour les mentions inscrites d’office ou liées au décès d’une personne inscrite au RCI.
Pour les informations relatives aux agents de la DDE, elles proviennent de la Direction des Systèmes d’Information, tandis qu’elles sont communiquées par l’Autorité de rattachement de la personne habilitée pour les autres personnels disposant d’un accès au présent traitement.
La Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10‑1 de la loi n° 1.165 du 23 décembre 1993.
IV. Sur les droits des personnes concernées
> Sur l’information préalable des personnes concernées
Les personnes concernées sont informées de leurs droits par le biais d’une mention sur le document de collecte et d’un document spécifique à l’intention des agents.
Ainsi, « Pour les assujettis, l’information des personnes concernées est délivrée par une mention figurant sur les documents de collecte, soit sur les formulaires RCI (inscription, modification, radiations quinquennales) et sur le formulaire de désignation d’un responsable des informations élémentaires ».
Les agents de la DDE et les personnes tierces autorisées sont informés par une note de service adressée par mail. Pour les agents de la DDE, cette note est affichée dans un espace commun.
Les personnes tierces à la DDE sont en outre informées spécifiquement par mail de la traçabilité de leurs actions.
Cette dernière, jointe au dossier, est conforme à l’article 14 de la loi n° 1.165 du 23 décembre 1993.
Les mentions d’informations précitées sont conformes aux exigences légales.
> Sur l’exercice du droit d’accès, de modification et de mise à jour
Le droit d’accès est exercé par voie postale auprès de la Direction du Développement Économique.
La Commission constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.
V. Sur les destinataires et les personnes ayant accès au traitement
> Sur les destinataires
Le responsable de traitement indique que sont destinataires :
- toute personne qui en fait la demande en application de l’article 19 de la loi n° 721, susvisée, et de l’article 10 de l’Ordonnance Souveraine n° 2.853 sous la forme d’extrait d’inscription, ou en application de l’article 16-II de cette même Ordonnance, sous la forme d’un certificat de radiation ;
- les autorités compétentes prévues par les textes, via un accès direct.
> Sur les accès
Les accès sont définis comme suit :
- les personnels de la Direction du Développement Économique : tous droits dans le cadre de leurs missions pour la section RCI, en lecture pour certaines Sections/divisions/cellules/la Direction ;
- les personnels de la Direction des Systèmes d’Information (DSI) ou tiers intervenant pour son compte : dans le cadre des missions de maintenance, développement des applicatifs nécessaires au fonctionnement du site et de sécurité du site et du système d’information de l’État après demande écrite du métier ;
- les personnels de la Direction des Services Numériques (DSN) ou tiers intervenant pour son compte : dans le cadre d’un rôle d’assistance à maîtrise d’ouvrage, des missions de maintenance, de développement des applicatifs nécessaires au fonctionnement du site et de sécurité du site et du système d’information de l’État après demande du métier ;
- les agents autorisés des Autorités ayant besoin d’en connaître.
En ce qui concerne les tiers intervenant pour le compte de la DSI et de la DSN, la Commission rappelle que, conformément aux dispositions de l’article 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, leurs droits d’accès doivent être limités à ce qui est strictement nécessaire à l’exécution de leur contrat de prestation de services. De plus, lesdits prestataires sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
En outre, il est indiqué qu’ont accès en lecture sur les informations élémentaires l’IMSEE, le Département des Finances et de l’Économie et le Ministère d’État.
La Commission constate que ces entités ne sont pas prévues à l’article 20 de la loi n° 721, précitée.
Elle relève toutefois qu’en application de l’article 1 de l’arrêté ministériel n° 66‑55 du 9 mars 1966 portant attribution d’un numéro d’identification aux établissements industriels, artisanaux, commerciaux, et autres et rendant obligatoire l’utilisation de ce numéro d’identification pour les classifications et les statistiques officielles, « Il est attribué un numéro d’identification statistique, dénommé « N.I.S. »., à tous les établissements commerciaux, artisanaux, industriels et autres, définis par l’article 4 ci‑après. Ce numéro est inscrit au Répertoire du N.I.S. (…) », numéro qui, en vertu de l’article 2 du même texte, « (…) est déterminé par l’Institut Monégasque de la Statistique et des Études Économiques, dénommé ci‑après « I.M.S.E.E. (…) ».
En outre, si au titre de l’article 2. point 3. de l’Ordonnance Souveraine n° 3.095 du 24 janvier 2011 portant création de l’Institut Monégasque de la Statistique et des Études Économiques et du Conseil Scientifique de la Statistique et des Études Économiques, l’IMSEE est chargé d’« exploiter, rapprocher et produire, dans le sens de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, à des fins statistiques des renseignements collectés auprès des services de l’État, de la Mairie, des personnes morales de droit public et de droit privé disposant d’informations utiles à l’accomplissement de ses missions, en vue de l’établissement de statistiques publiques lesquelles regroupent l’ensemble des productions issues des enquêtes et de l’exploitation, à des fins d’information générale, de données détenues par les personnes et organismes susmentionnés », la Commission relève que l’article 2‑1 dispose que « Aux fins d’assurer l’accomplissement des missions définies à l’article 2, l’I.M.S.E.E peut recevoir, par tout moyen de communication, d’une personne physique ou morale de droit privé ou de droit public, des informations nécessaires à des fins exclusives d’établissement de statistiques ». Ainsi, une communication d’information ne s’analyse pas en un accès direct à un traitement de l’Administration.
Il résulte de l’ensemble des éléments précités que si l’accès de l’IMSEE apparaît légitime eu égard à ses missions, l’état des textes ne lui permet pas un accès direct au présent traitement. Elle demande donc à ce qu’il soit apporté des clarifications sur cet accès.
La même analyse s’applique pour les accès du Département des Finances et de l’Économie et du Ministère d’État, dévolus « dans le cadre de missions transversales avec la DDE en lien avec les activités économiques de la place » et « dans le cadre des missions dévolues au Ministre d’État », sans précision sur lesdites missions et leur contexte textuel.
La Commission demande donc que le responsable de traitement lui revienne relativement à ces accès afin de pouvoir en apprécier l’opportunité.
Sous ces réserves, la Commission considère que ces accès sont justifiés au regard du traitement.
VI. Sur les rapprochements et les interconnexions avec d’autres traitements
Le responsable de traitement indique que le présent traitement fait l’objet d’interconnexions avec les traitements légalement mis en œuvre ayant pour finalités :
- « Gestion des habilitations et des accès au Système d’information », afin de gérer les accès selon les profils accordés aux utilisateurs et « veiller à la qualité des accès à la solution » ;
- « Gestion et analyse des évènements du système d’information » à des fins de traçabilité et de sécurité ;
- « Gestion des accès dédiés au Système d’Information du Gouvernement », afin d’assurer la sécurité des accès au SI par les administrateurs système ;
- « Consultation en ligne du Répertoire du Commerce et de l’Industrie dans le cadre d’un site Internet », dont une demande de modification a été soumise à la CCIN, pour permettre la diffusion des informations élémentaires du RCI en ligne, et la procédure de demande d’un extrait de RCI en ligne.
Il est également rapproché des traitements légalement mis en œuvre suivants :
- « Assistance aux utilisateurs par le Centre de Service de la DSI », afin de permettre de répondre aux demandes des utilisateurs en cas de difficulté dans leur utilisation de la solution, étant précisé que le Centre de Service ne dispose pas d’accès à la solution ;
- « Gestion de la messagerie professionnelle », afin de permettre aux acteurs du traitement de pouvoir échanger, d’afficher et de synchroniser les calendriers, de gérer les contacts si l’utilisateur a paramétré ces options ;
- « Gestion d’un registre des bénéficiaires effectifs des sociétés commerciales, groupements d’intérêt économique et sociétés civiles de droit monégasque », annexé au RCI conformément à l’article 20 de la loi n° 1.362 ;
- « Workflow interne à l’Administration d’instruction des demandes de création d’activités », afin « d’éviter les « re-saisies » de données ».
Enfin, il est rapproché avec les traitements « en cours d’élaboration » suivants :
- « Facturation et gestion de la comptabilité de la DDE » pour enregistrer des paiements des droits perçus par la DDE dans le cadre de ses missions notamment pour le RCI ;
- « Gestion des contrôles de la DDE », notamment pour le suivi des contrôles des assujettis, des manquements à la loi, pour répondre aux demandes d’entraide internationale.
La Commission demande à ce que ces deux derniers traitements lui soient soumis dans les meilleurs délais.
Sous cette réserve, elle considère que ces interconnexions et rapprochements sont conformes aux exigences légales.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.
Cependant les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
De plus, il convient de préciser que les communications d’informations doivent être sécurisées en tenant compte de la nature des informations transmises, et que la copie ou l’extraction d’informations issues de ce traitement doit être chiffrée sur son support de réception.
La Commission rappelle enfin que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui‑ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VIII. Sur la durée de conservation
Le responsable de traitement indique que les informations sur les personnes physiques, les entités légales et les personnes responsables des informations élémentaires sont conservées 30 ans après la radiation du RCI puis « restriction des accès au responsable de la section RCI et au Directeur de la DDE à des fins historiques, statistiques ou scientifiques en lien avec le SCADA (Service Central des Archives et de la Documentation Administrative) et la MPAN (Mission de préfiguration des Archives Nationales) », précisant que 30 ans est une « Durée de conservation validée par la CCIN, maintenue ».
La Commission relève toutefois que depuis l’adoption de l’Ordonnance Souveraine n° 10.451 du 15 mars 2024 qui modifie l’Ordonnance Souveraine n° 2.853, précitée, cette dernière contient un article 1‑1 qui dispose que « Les informations inscrites au répertoire du commerce et de l’industrie tenu par la Direction du Développement Économique sont conservées pendant une durée de dix ans à compter de la date de la dissolution ou de la liquidation des personnes morales ou des groupements d’intérêts économiques ou de la date de cessation d’activité des personnes physiques ».
Ainsi, nonobstant les règles d’archivage à des fins historiques relevant des prérogatives du SCADA et de la MPAN, la Commission fixe donc la conservation des informations relatives aux personnes physiques et entités légales à la durée prévue à l’article 1‑1 précité, qui apparaît suffisante.
Elle relève toutefois la portée générale de l’article 1‑1, qui fait courir le délai de conservation de toutes les informations inscrites à compter de la date de radiation. La Commission s’interroge sur la pertinence d’un tel délai concernant les personnes physiques qui n’ont plus de lien avec la société.
En outre, concernant le cas plus spécifique des personnes en charge des informations élémentaires, la Commission constate que l’article 3‑1 de la loi n° 721 dispose que « Toute personne morale demandant son inscription au répertoire du commerce et de l’industrie doit, concomitamment [à la communication des informations élémentaires], communiquer au service du répertoire du commerce et de l’industrie l’identité de la ou des personnes désignées comme responsables des informations élémentaires de la personne morale et, si elle est différente, celle de la ou des personnes responsables des informations sur les bénéficiaires effectifs ».
Il s’en infère que les informations nominatives relatives à ces personnes ne doivent pas s’analyser en des informations élémentaires, qu’importe leur adjonction dans la liste des informations listées à l’article 5 de l’Ordonnance Souveraine n° 2.853, précitée.
Ce poste de nature technique n’a pas vocation à être associé à l’identité de l’entité légale au sein du RCI, et est hautement évolutif par nature. La Commission demande donc que les informations nominatives relatives à ces personnes soient archivées pour 5 ans à compter de la perte de leur qualité de responsable des informations élémentaires, avant suppression définitive.
Par ailleurs, les informations relatives aux agents de la DDE et aux autres personnes disposant d’un accès sont conservées le temps de l’habilitation augmenté de 2 ans, en application de l’article 1er de l’Ordonnance Souveraine n° 2.853, excepté en ce qui concerne les données d’identification électronique qui sont supprimées trois mois après la fin de l’habilitation.
Enfin, comme indiqué au point I de la présente délibération, la Commission s’interroge sur la conservation des informations de certaines personnes concernées « périphériques », tels que les bailleurs, les personnes établissant des attestations de logement, les professionnels intervenants pour les assujettis, qui se voient attraits dans les durées de conservation de l’existence de l’assujetti au sein du RCI.
Aussi, la Commission recommande qu’une réflexion soit menée pour prendre en compte la situation particulière de ces personnes concernées.
Sous les réserves susmentionnées, la Commission considère que ces durées de conservation sont conformes aux exigences légales.
Après en avoir délibéré, la Commission :
Demande que :
- le responsable de traitement lui revienne afin de justifier des accès de l’IMSEE, du Département des Finances et de l’Économie et du Ministère d’État, non prévus à l’article 20 de la loi n° 721, pour être en mesure d’en apprécier l’opportunité ;
- les traitements ayant pour formalités provisoires respectives « Facturation et gestion de la comptabilité de la DDE » et « Gestion des contrôles de la DDE » lui soient soumis dans les meilleurs délais ;
- concernant les personnes concernées « périphériques » attraites à la durée de vie de l’assujetti au sein du RCI, une réflexion soit menée afin de prendre en compte leur situation particulière.
Rappelle que :
- les communications d’informations doivent être sécurisées en tenant compte de la nature des informations transmises ;
- la copie ou l’extraction d’informations issues de ce traitement doit être chiffrée sur son support de réception ;
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
Fixe la durée de conservation des informations relatives :
- aux personnes physiques et entités légales à la durée prévue à l’article 1‑1, soit 10 ans à compter de la radiation du RCI ;
- aux personnes responsables des informations élémentaires à 5 ans en archive intermédiaire à compter de la perte de cette qualité, avant suppression définitive.
Sous le bénéfice de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d’État, de la modification du traitement automatisé d’informations nominatives ayant pour finalité « Gestion du Répertoire du Commerce et de l’Industrie ».
Le Président de la Commission
de Contrôle des Informations Nominatives.