Délibération n° 2024‑154 du 26 juillet 2024 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre de la modification du traitement automatisé d'informations nominatives ayant pour finalité « Gestion du Registre Spécial des Sociétés Civiles », dénommé « RSSC », exploitée par la Direction du Développement Économique (DDE) présentée par le Ministre d'État.
Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu la loi n° 797 du 18 février 1966 relative aux sociétés civiles ;
Vu la loi n° 1.362 du 3 août 2009 relative à la lutte contre le blanchiment de capitaux, le financement du terrorisme et de la prolifération des armes de destruction massive et la corruption, modifiée ;
Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l’Ordonnance Souveraine n° 3.573 du 11 mai 1966 portant application de la loi n° 797 du 18 février 1966 relative aux sociétés civiles ;
Vu l’Ordonnance Souveraine n° 9.827 du 15 mars 2023 instituant une Direction du Développement Économique ;
Vu la délibération n° 2011‑82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés d’informations nominatives ;
Vu la délibération n° 2016‑9 du 20 janvier 2016 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité « Gestion et suivi des sociétés civiles de droit monégasque par la Direction de l’Expansion Économique, la Direction des Services Fiscaux et l’IMSEE » présenté par le Ministre d’État ;
Vu la délibération n° 2019‑70 du 15 mai 2019 de la Commission de Contrôle des Informations Nominatives portant avis défavorable à la mise en œuvre de la modification du traitement automatisé d’informations nominatives ayant pour finalité « Gestion et suivi des sociétés civiles de droit monégasque par la Direction de l’Expansion Économique, la Direction des Services Fiscaux et l’IMSEE » présentée par le Ministre d’État ;
Vu la demande d’avis déposée par le Ministre d’État, le 2 mai 2024, concernant la mise en œuvre de la modification d’un traitement automatisé ayant pour finalité la « Gestion du Registre Spécial des Sociétés Civiles » ;
Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 1er juillet 2024, conformément à l’article 19 de l’Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 26 juillet 2024 portant examen du traitement automatisé susvisé.
La Commission de Contrôle des Informations Nominatives,
Préambule
Par délibération n° 2016‑9 du 20 janvier 2016, la Commission a émis un avis favorable au traitement ayant pour finalité « Gestion et suivi des sociétés civiles de droit monégasque par la Direction de l’Expansion Économique, la Direction des Services Fiscaux et l’IMSEE », afin de permettre « notamment la tenue du Registre Spécial des Sociétés Civiles par la section du Répertoire du Commerce et de l’Industrie de la Direction de l’Expansion Économique, la gestion des dossiers des sociétés civiles par le Service de l’enregistrement de la Direction des Services Fiscaux et l’attribution du numéro d’identification statistique par l’Institut Monégasque de la Statistique et des Études Économiques ».
Le nom de la Direction de l’Expansion Économique ayant changé, la gestion dudit répertoire est opérée aujourd’hui par la Direction du Développement Économique, qui doit mettre en œuvre les évolutions liées à la fois à la technique et à l’environnement juridique, comme l’adoption des lois n° 1.550 du 10 août 2023 et n° 1.559 du 29 février 2024 renforçant le dispositif en matière de lutte contre le blanchiment de capitaux, le financement du terrorisme et de la prolifération des armes de destruction.
Aussi, conformément aux dispositions de l’article 9 de la loi n° 1.165 du 23 décembre 1993 modifiée, le Ministre d’État soumet à l’avis de la Commission la modification du traitement ayant pour finalité « Gestion du Registre Spécial des Sociétés Civiles ».
I. Sur la finalité et les fonctionnalités du traitement
Le responsable de traitement souhaite faire évoluer la finalité initiale, « Gestion et suivi des sociétés civiles de droit monégasque par la Direction de l’Expansion Économique, la Direction des Services Fiscaux et l’IMSEE », en « Gestion du Registre Spécial des Sociétés Civiles ».
Il concerne désormais les assujettis à l’inscription au RSSC (personnes ayant qualité pour administrer les sociétés), le mandataire de la société civile réalisant les démarches pour le compte de la société civile, les personnes détenant des parts au sein des sociétés, les personnes faisant une demande de renseignement relative à une société civile, les agents des entités ayant accès au RSSC, et les agents de la DDE.
Sont également concernés les responsables des informations élémentaires et les liquidateurs, le cas échéant.
Les fonctionnalités sont :
- enregistrer, modifier, radier une société civile ;
- enregistrer les déclarations annuelles des sociétés civiles ;
- tenir le registre spécial des sociétés civiles ;
- consulter l’historique des dossiers ;
- émettre des extraits du registre spécial et des certificats de radiation ;
- émettre des documents à destination de tiers en cas de saisie officielle ;
- analyser les données ;
- réaliser des contrôles des informations élémentaires ;
- échanger des correspondances avec les usagers ;
- disposer d’une liste des personnes désignées comme responsables des informations élémentaires des sociétés civiles.
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10‑1 de la loi n° 1.165 du 23 décembre 1993.
II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le présent traitement est justifié par un motif d’intérêt public et par une obligation légale à laquelle il est soumis.
À titre liminaire, la Commission constate que l’obligation légale soulevée en l’espèce correspond aux textes imposant à la DDE ses missions. Elle estime donc que l’obligation légale s’analyse en l’espèce comme un motif d’intérêt public.
À cet égard sont concernés les textes suivants :
- la loi n° 797 du 18 février 1966 relative aux sociétés civiles ;
- l’Ordonnance Souveraine n° 3.573 du 11 mai 1966 portant application de la loi n° 797 du 18 février 1966 relative aux sociétés civiles.
À cet égard, l’article 5 de la loi n° 797 dispose que « Sauf disposition législative contraire, toute société doit, dans le mois suivant la réalisation des formalités d’enregistrement prévues à l’article 2, faire procéder à son inscription sur un registre spécial tenu par le service du répertoire du commerce et de l’industrie. Lorsque la création de la société est soumise à la délivrance du récépissé de la déclaration d’activité ou à l’obtention d’une autorisation administrative, le délai d’inscription est d’un mois à compter de l’obtention dudit récépissé ou de ladite autorisation.
À défaut, l’inscription au registre est refusée. En outre, la déclaration d’activité ou l’autorisation administrative devient caduque et le dossier est classé sans suite s’agissant des sociétés civiles soumises à la délivrance du récépissé de la déclaration d’activité ou à l’obtention d’une telle autorisation.
Les délais visés à l’alinéa premier peuvent être prorogés par le Directeur du Développement Économique pour un délai qu’il détermine, sur demande, pour un motif légitime et dûment justifié. ».
L’article 5‑1 de ladite loi dispose quant à lui que « La demande d’inscription doit être adressée à la Direction du Développement Économique. La forme que doit revêtir la demande, son mode de transmission à la Direction du Développement Économique, ainsi que la liste des informations élémentaires relatives à la société qui doivent y être jointes sont déterminés par ordonnance souveraine.
À peine d’irrecevabilité, elle comporte, outre les informations élémentaires relatives à la société, les pièces justificatives propres à en établir l’exactitude suivantes :
I- Pièces justificatives relatives à la société
1°) un exemplaire original des statuts constitutifs enregistré auprès de la Direction des Services Fiscaux et signé par tous les associés et le cas échéant, par la ou les personnes ayant la qualité pour administrer, diriger, gérer ou engager la société ; lorsqu’il s’agit d’une société anonyme monégasque, une expédition des statuts enregistrés et de l’ampliation de l’arrêté ministériel, une expédition du dépôt du procès-verbal de l’assemblée générale constitutive, un exemplaire du procès-verbal de la délibération du Conseil d’administration et une copie de la déclaration de souscription et de versement du capital social ;
2°) lorsque la ou les personnes ayant qualité à agir pour le compte de la société n’est pas nommée dans les statuts, un exemplaire original de l’acte le ou les désignant.
Lorsqu’il s’agit d’une personne morale, l’acte doit mentionner les informations relatives aux personnes ayant la qualité pour administrer, diriger, gérer ou engager la société et la durée de leur mandat ou de chaque associé ou actionnaire de la société ;
3°) lorsque le siège n’est pas établi au domicile d’un associé ou actionnaire ou à l’adresse de la personne ayant la qualité pour administrer, diriger, gérer ou engager la société, tout document justifiant de l’établissement du siège social de la société et lorsqu’il est établi dans des locaux exploités par une entité exerçant l’activité de domiciliation, une copie du contrat de domiciliation signé.
II- Pièces justificatives relatives aux personnes ayant la qualité pour administrer, diriger, gérer ou engager la société et la durée de leur mandat ou de chaque associé ou actionnaire de la société
1°) Pour les personnes physiques :
a) une notice de renseignements individuels complétée accessible en ligne sur le site Internet du Gouvernement Princier ou disponible auprès de la Direction du Développement Économique ;
b) une copie de la carte nationale d’identité ou du passeport pour les personnes de nationalité monégasque, une copie de la carte de séjour pour les résidents à Monaco ou une copie de la carte d’identité ou du passeport pour les non-résidents ;
c) un justificatif de domicile daté de moins de trois mois ;
d) uniquement pour les personnes ayant la qualité pour administrer, diriger, gérer ou engager la société, et lorsqu’elles sont domiciliées à l’étranger, une attestation sur l’honneur de non-condamnation signée ou un extrait du casier judiciaire daté de moins de trois mois, délivré par les autorités judiciaires ou administratives du pays où le demandeur a établi son domicile.
2°) Pour les personnes morales :
a) un extrait original de l’immatriculation sur un registre public, daté de moins de trois mois et une copie de ses statuts en vigueur certifiée conforme par la personne ayant qualité à agir pour son compte ;
b) une copie de l’acte constatant l’accord des associés à la souscription du capital social de la société et/ou à la représentation de la société ;
c) une notice de renseignements individuels concernant la ou les personnes ayant qualité à agir pour le compte de la personne morale, complétée, accessible en ligne sur le site Internet du Gouvernement Princier ou disponible auprès de la Direction du Développement Économique ;
d) une copie de la carte de séjour ou une copie de la carte d’identité ou du passeport de la ou les personnes ayant qualité à agir pour le compte de la personne morale ;
e) un extrait de l’acte de naissance ou de l’acte de mariage de la ou les personnes ayant qualité à agir pour le compte de la personne morale ;
f) un justificatif de domicile daté de moins de trois mois de la ou les personnes ayant qualité à agir pour le compte de la personne morale. ».
En outre, son article 5‑2 dispose que « Toute personne morale demandant son inscription au registre spécial doit communiquer au service du Répertoire du Commerce et de l’Industrie, la notification prévue au II de l’article 22‑1 de la loi n° 1.362 du 3 août 2009, modifiée, de l’identité de la ou des personnes désignées comme responsables des informations élémentaires de la personne morale et, si elle est différente, celle de la ou des personnes responsables des informations sur les bénéficiaires effectifs.
S’agissant des informations élémentaires de la personne morale, cette ou ces personnes désignées sont responsables :
a) de la conservation des informations adéquates, exactes et actuelles visées à l’article 5‑1 dans un lieu situé à Monaco communiqué au service du Répertoire du Commerce et de l’Industrie ;
b) de la communication à la Direction du Développement Économique desdites informations et de leur mise à jour, en vue de leur enregistrement au registre spécial ;
c) de la communication aux agents habilités de la Direction du Développement Économique et des autorités compétentes visées à l’article 7‑1, sur demande et dans le délai imparti, des informations visées à l’article 5‑1, et de fournir toute autre forme d’assistance à ces autorités ;
d) de la conservation des informations et des pièces visées à l’article 5‑1 pendant dix ans après la date de la dissolution ou de la liquidation de la société dans un lieu situé à Monaco communiqué au service du Répertoire du Commerce et de l’Industrie.
L’identité de la personne responsable des informations élémentaires de la personne morale doit être communiquée dans le mois de l’inscription au registre de la société. À défaut, il est procédé comme il est dit à l’article 6‑7. Toute modification relative à la ou aux personnes désignées doit être communiquée au service du Répertoire du Commerce et de l’Industrie dans le mois suivant cette modification.
Les délais d’un mois visés à l’alinéa précédent peuvent être prolongés pour un délai qu’il détermine, sur demande, pour un motif légitime et dûment justifié par le Directeur du Développement Économique. ».
De plus, la Section II de la loi encadre l’inscription « Des mentions et de la radiation d’office », tandis que la Section III s’intéresse à ce qu’il advient « de l’accès aux informations élémentaires. ».
En ce qui concerne l’Ordonnance Souveraine n° 3.573 du 11 mai 1966, susvisée, son article 1er dispose que « Le registre spécial visé à l’article 5 de la loi n° 797 du 18 février 1966, modifiée, susvisée, géré sur support électronique, comporte :
a) un registre d’arrivée qui mentionne, dans l’ordre chronologique, toutes les demandes d’inscription déposées ;
b) les dossiers individuels constitués par la demande d’inscription complétée par les déclarations subséquentes et les mentions portées au registre ;
c) un dossier annexe où figurent les actes et pièces justificatives tels que notamment les statuts de la société, l’autorisation administrative ou l’agrément, qui doivent être déposés au registre spécial en vertu des dispositions de la présente ordonnance.
La traçabilité des opérations de création, de consultation, de modification et de suppression des informations contenues dans le registre spécial fait l’objet d’un enregistrement comportant la conservation de la date et de l’heure de chaque connexion, les éléments d’identification des utilisateurs et les éléments relatifs aux actions des utilisateurs ainsi que l’identification de l’auteur. Ces informations sont conservées pendant deux ans.
Le registre spécial peut faire l’objet d’une mise en relation avec d’autres traitements automatisés d’informations nominatives exploités par la Direction du Développement Économique dans le cadre des missions qui lui sont légalement confiées. ».
Enfin, l’Ordonnance Souveraine n° 9.827 du 15 mars 2023 instituant une Direction du Développement Économique charge ladite Direction de la tenue du RSSC.
La Commission considère donc que le traitement est licite et justifié, conformément aux dispositions des articles 10‑1 et 10‑2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
Le responsable de traitement indique que les informations nominatives traitées sur les personnes physiques ayant la qualité pour administrer, diriger, gérer ou engager la société, associé ou actionnaire de la société sont :
- identité : nom, nom d’usage, surnom ou pseudonyme, prénoms, date et lieu de naissance, nationalité(s), date de décès ;
- numéro d’identification : Id référentiel ;
- coordonnées : adresse personnelle ;
- situation de famille : statut (célibataire, marié, veuf, divorcé), le cas échéant date et lieu du mariage et régime matrimonial ;
- vie professionnelle : le cas échéant, date de fin de mandat.
Le responsable de traitement indique qu’en ce qui concerne les personnes morales ayant qualité pour administrer, diriger, gérer ou engager la société, associé ou actionnaire de la société, les informations collectées sont :
- identité de la personne morale : raison ou dénomination sociale, forme juridique, numéro et lieu d’immatriculation dans un registre public ;
- adresse : adresse du siège social ;
- identité et coordonnées des personnes ayant le pouvoir d’administration, de direction, de gestion ou d’engager ou pour engager à titre habituel l’entité à l’égard des tiers ou leurs équivalents en droit étranger : nom, nom d’usage, surnom ou pseudonyme, prénoms, date et lieu de naissance, nationalité(s), adresse personnelle ;
- identité et coordonnées du représentant permanent, lorsque sa désignation est prévue par un texte législatif ou règlementaire : nom, nom d’usage, surnom ou pseudonyme, prénoms, date et lieu de naissance, nationalité(s), adresse personnelle.
De plus, en ce qui concerne les entités légales figurant au RCCS, les informations collectées sont :
- informations administratives : numéro de dossier, numéro d’inscription de la société au registre spécial, CNCI (numéro permettant de faire le lien avec la signature électronique de l’entité) ;
- description de la personne morale : raison ou dénomination sociale, forme juridique, objet social de la société, sigle, le cas échéant, numéro et lieu d’immatriculation dans un registre public ;
- adresse : adresse postale du siège social, le cas échéant l’adresse de son établissement secondaire ou des locaux annexes à Monaco ;
- caractéristiques financières : montant du capital social, nombre d’actions ou de parts sociales, valeur nominale de la part, date de clôture de l’exercice social ;
- état de l’entité : statut, date d’inscription, date de commencement de la société, date de début de la société, contrôle en cours ;
- information en lien avec l’activité : dates de constitution, durée de la société, prorogation, date de dissolution, actes de la société (nature de l’opération, nature de l’acte, date de l’acte, type d’acte, validité de l’acte, date d’enregistrement), informations de classement ;
- en cas de radiation : date de radiation, date de cessation d’activité, motif de la radiation, lieu de conservation des informations élémentaires ;
- informations en lien avec l’IMSEE : date d’immatriculation, date d’attribution du NIS, date de radiation du répertoire du NIS, NIS ;
- document de suivi de la DDE : état du dossier, date de dépôt aux greffes pour les SA, date de publication des statuts pour les SA, date de dépôt de la demande, numéro d’arrivée de la demande, observations, historisation des observations sur le dossier, suivi des actions réalisées sur une entité et dates, documents intégrés dans le dossier de l’entité ;
- mentions inscrites d’office : mentions figurant à l’article 6‑5 et 12 de la loi n° 797.
En outre, les informations nominatives des agents de la DDE ou de la Direction des Services Fiscaux (DSF) en charge des dossiers sont :
- identité : nom, prénom, matricule ;
- vie professionnelle : fonction, profil utilisateur ;
- données d’identification électronique : login, mot de passe ;
- log de connexion à l’application : données de connexion, données d’horodatage et actions effectuées.
Les informations nominatives collectées sur « les personnes disposant d’un accès autres que les agents de la DDE » sont :
- identité : nom, prénom, matricule, courriel ;
- vie professionnelle : organisme de rattachement, fonction, numéro de poste de travail ;
- fondement de l’accès : texte ou cadre de l’autorisation d’accès ;
- type d’accès : droit(s) ouvert(s), rôle(s) attribués ;
- log de connexion : données d’horodatage, log des requêtes.
Enfin, les informations nominatives collectées sur « les personnes responsables des informations élémentaires sur la personne morale » sont :
- identité : nom, prénom, raison sociale le cas échéant ;
- coordonnées : adresse.
La Commission renvoie au point V de la présente délibération relativement aux accès de la DSF.
En ce qui concerne les observations, le responsable de traitement indique qu’elles ne concernent pas les personnes physiques. La Commission en prend acte et rappelle qu’il appartient à ce dernier de s’assurer de l’effectivité du dispositif.
L’origine des informations n’appelle pas d’observation.
Sous la réserve liée aux accès de la DSF, la Commission considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10‑1 de la loi n° 1.165 du 23 décembre 1993.
IV. Sur les droits des personnes concernées
> Sur l’information préalable des personnes concernées
Les personnes concernées sont informées de leurs droits par le biais d’une mention sur le document de collecte, d’un document spécifique à l’intention des agents ainsi que par le biais d’un e-mail adressé aux personnes habilitées à avoir accès au registre.
Ainsi, « Pour les assujettis, l’information des personnes concernées est délivrée par une mention figurant sur les documents de collecte, soit sur les formulaires (inscription, modification, radiations, déclarations annuelles) et sur le formulaire de désignation d’un responsable des informations élémentaires ».
Les agents de la DDE et les personnes tierces autorisées sont informés par une note de service adressée par e-mail. Pour les agents de la DDE, cette note est affichée dans un espace commun.
Les personnes tierces à la DDE sont en outre informées spécifiquement par e-mail de la traçabilité de leurs actions
Cette dernière, jointe au dossier, est conforme à l’article 14 de la loi n° 1.165 du 23 décembre 1993.
Les mentions d’informations précitées sont conformes aux exigences légales.
> Sur l’exercice du droit d’accès, de modification et de mise à jour
Le droit d’accès est exercé par voie postale auprès de la Direction du Développement Économique
La Commission constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165, modifiée.
V. Sur les destinataires et les personnes ayant accès au traitement
> Sur les destinataires
Le responsable de traitement indique que sont destinataires :
- toute personne qui en fait la demande en application de l’article 7 de la loi n° 797, susvisée, et des articles 10 et 11 de l’Ordonnance Souveraine n° 3.573 ;
- les Autorités compétentes prévues par les textes, via un accès direct.
> Sur les accès
Les accès sont définis comme suit :
- les personnels de la Direction du Développement Économique : tous droits dans le cadre de leurs missions pour la section RCI, en lecture pour certaines Sections/divisions/cellules/la Direction, en lecture/modification pour les agents de la Division du contrôle de l’activité des entreprises ;
- les personnels de la Direction des Systèmes d’Information (DSI) ou tiers intervenant pour son compte : dans le cadre des missions de maintenance, développement des applicatifs nécessaires au fonctionnement du site et de sécurité du site et du système d’information de l’État après demande écrite du métier ;
- les personnels de la Direction des Services Numériques (DSN) ou tiers intervenant pour son compte : dans le cadre d’un rôle d’assistance à maîtrise d’ouvrage, des missions de maintenance, de développement des applicatifs nécessaires au fonctionnement du site et de sécurité du site et du système d’information de l’État après demande du métier ;
- les agents autorisés des Autorités ayant besoin d’en connaître.
En ce qui concerne les tiers intervenant pour le compte de la DSI et de la DSN, la Commission rappelle que, conformément aux dispositions de l’article 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, leurs droits d’accès doivent être limités à ce qui est strictement nécessaire à l’exécution de leur contrat de prestation de services. De plus, lesdits prestataires sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
En outre, il est indiqué qu’ont accès en lecture sur les informations élémentaires l’IMSEE et le Département des Finances et de l’Économie.
La Commission constate que ces entités ne sont pas prévues à l’article 7‑1 de la loi n° 797, précitée.
Elle relève toutefois qu’en application de l’article 1er de l’arrêté ministériel n° 66‑055 du 9 mars 1966 portant attribution d’un numéro d’identification aux établissements industriels, artisanaux, commerciaux, et autres et rendant obligatoire l’utilisation de ce numéro d’identification pour les classifications et les statistiques officielles, « Il est attribué un numéro d’identification statistique, dénommé « N.I.S. »., à tous les établissements commerciaux, artisanaux, industriels et autres, définis par l’article 4 ci‑après. Ce numéro est inscrit au Répertoire du N.I.S. (…) », numéro qui, en vertu de l’article 2 du même texte, « (…) est déterminé par l’Institut Monégasque de la Statistique et des Études Économiques, dénommé ci‑après « I.M.S.E.E. (…) ».
En outre, si au titre de l’article 2 point 3 de l’Ordonnance Souveraine n° 3.095 du 24 janvier 2011 portant création de l’Institut Monégasque de la Statistique et des Études Économiques et du Conseil Scientifique de la Statistique et des Études Économiques, l’IMSEE est chargé d’« exploiter, rapprocher et produire, dans le sens de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, à des fins statistiques des renseignements collectés auprès des services de l’État, de la Mairie, des personnes morales de droit public et de droit privé disposant d’informations utiles à l’accomplissement de ses missions, en vue de l’établissement de statistiques publiques lesquelles regroupent l’ensemble des productions issues des enquêtes et de l’exploitation, à des fins d’information générale, de données détenues par les personnes et organismes susmentionnés », la Commission relève que l’article 2‑1 dispose que « Aux fins d’assurer l’accomplissement des missions définies à l’article 2, l’I.M.S.E.E. peut recevoir, par tout moyen de communication, d’une personne physique ou morale de droit privé ou de droit public, des informations nécessaires à des fins exclusives d’établissement de statistiques ». Ainsi, une communication d’information ne s’analyse pas en un accès direct à un traitement de l’Administration.
Il résulte de l’ensemble des éléments précités que si l’accès de l’IMSEE apparaît légitime eu égard à ses missions, l’état des textes ne lui permet pas un accès direct au présent traitement. Elle demande donc à ce qu’il soit apporté des clarifications sur cet accès.
La même analyse s’applique pour les accès du Département des Finances et de l’Économie et du Ministère d’État, dévolus « dans le cadre de missions transversales avec la DDE en lien avec les activités économiques de la place » et « dans le cadre des missions dévolues au Ministre d’État », sans précision sur lesdites missions et leur contexte textuel. À cet égard, la Commission rappelle avoir refusé cet accès par délibération n° 2019‑070 du 15 mai 2019 portant avis défavorable à la mise en œuvre de la modification du traitement automatisé d’informations nominatives ayant pour finalité « Gestion et suivi des sociétés civiles de droit monégasque par la Direction de l’Expansion Économique, la Direction des Services Fiscaux et l’IMSEE ».
En outre, la Commission relève que la Direction des Services Fiscaux dispose d’accès étendus en inscription et modifications, notamment pour « inscrire les actions inhérentes à la création des entités légales » qui ne se limitent pas à la mission exposée à l’article 7‑1 de la loi n° 797, précitée, limitée « aux besoins de l’accomplissement de leurs missions dans le cadre de la lutte contre le blanchiment de capitaux, le financement du terrorisme et de la prolifération des armes de destruction massive et la corruption, y compris pour la mise en œuvre des procédures de gel des fonds et des ressources économiques ».
Cette exploitation partagée entre la DDE et la DSF n’est pas prévue par les textes régissant le RSSC. L’article 5‑1 de la loi n° 797 dispose en effet que la DDE exploite le présent traitement, se fasse communiquer lors d’une demande d’inscription « un exemplaire original des statuts constitutifs enregistrés auprès de la Direction des Services Fiscaux et signé par tous les associés et le cas échéant, par la ou les personnes ayant la qualité pour administrer, diriger, gérer ou engager la société ; lorsqu’il s’agit d’une société anonyme monégasque, une expédition des statuts enregistrés et de l’ampliation de l’arrêté ministériel, une expédition du dépôt du procès-verbal de l’assemblée générale constitutive, un exemplaire du procès-verbal de la délibération du conseil d’administration et une copie de la déclaration de souscription et de versement du capital social ». De manière général, le Chapitre III - « De l’inscription au registre spécial » n’érige que la DDE comme responsable du registre.
L’article 1er dernier alinéa de l’Ordonnance Souveraine n° 3.573, précitée, dispose en outre que « Le registre spécial peut faire l’objet d’une mise en relation avec d’autres traitements automatisés d’informations nominatives exploités par la Direction du Développement Économique dans le cadre des missions qui lui sont légalement confiées ». Il s’en infère aussi que le présent traitement ne peut être rapproché ou interconnecté, hors sécurité, qu’entre des traitements relevant de la DDE.
De plus, l’article 17 de ladite ordonnance souveraine encadre uniquement les accès tiers visés à l’article 7‑1 de la loi n° 797, en disposant que « Les informations contenues dans le répertoire sont accessibles dans les conditions prévues par l’article 7‑1 de la loi n° 797 du 18 février 1966, modifiée, susvisée, aux personnels habilités et spécifiquement désignés par les autorités compétentes.
À cette fin, les autorités compétentes visées à l’article 7‑1 de la loi n° 797 du 18 février 1966, modifiée, susvisée, établissent une liste des personnes habilitées et de leurs fonctions occupées, spécifiquement désignées en leur sein. Cette liste doit être communiquée de manière sécurisée à la Direction du Développement Économique, en la personne de son Directeur.
Les droits d’accès desdites personnes sont créés par la Direction du Développement Économique en considération de la liste des personnes désignées.
La gestion des accès au registre est réalisée conformément aux procédures de la Direction des Systèmes d’Information. ».
La Commission demande donc que le responsable de traitement lui revienne relativement à ces accès afin de pouvoir en apprécier l’opportunité, qui sortent du cadre prévu par les dispositions légales et règlementaires.
Sous ces réserves, la Commission considère que ces accès sont justifiés au regard du traitement.
VI. Sur les rapprochements et les interconnexions avec d’autres traitements
Le responsable de traitement indique que le présent traitement fait l’objet d’interconnexions avec les traitements légalement mis en œuvre ayant pour finalités :
- « Gestion des habilitations et des accès au Système d’Information », afin de gérer les accès selon les profils accordés aux utilisateurs et « veiller à la qualité des accès à la solution » ;
- « Gestion et analyse des évènements du Système d’Information » à des fins de traçabilité et de sécurité ;
- « Gestion des accès dédiés au Système d’Information du Gouvernement », afin d’assurer la sécurité des accès au SI par les administrateurs système ;
- « Permettre la consultation d’informations et l’achat d’extraits du Répertoire du Commerce et de l’Industrie et du Registre Spécial des Sociétés Civiles par voie dématérialisée », pour permettre la diffusion des informations élémentaires du RCI en ligne, et la procédure de demande d’un extrait de RSSC en ligne.
Il est également rapproché des traitements légalement mis en œuvre suivants :
- « Assistance aux utilisateurs par le Centre de Service de la DSI », afin de permettre de répondre aux demandes des utilisateurs en cas de difficulté dans leur utilisation de la solution, étant précisé que le Centre de Service ne dispose pas d’accès à la solution ;
- « Gestion de la messagerie professionnelle », afin de permettre aux acteurs du traitement de pouvoir échanger, d’afficher et de synchroniser les calendriers, de gérer les contacts si l’utilisateur a paramétré ces options ;
- « Gestion d’un registre des bénéficiaires effectifs des sociétés commerciales, groupements d’intérêt économique et sociétés civiles de droit monégasque », annexé au RCI conformément à l’article 20 de la loi n° 1.362 ;
- « Workflow interne à l’Administration d’instruction des demandes de création d’activités », afin « d’éviter les « re-saisies » de données ».
De plus, il est rapproché avec les traitements de la Mission de Préfiguration des Archives Nationales ayant pour finalité « Gestion du flux de production des archives d’intérêt public et de leur consultation » pour la conservation des données et documents au titres des archives nationales.
Enfin, il est rapproché ou interconnecté avec les traitements « en cours d’élaboration » suivants :
- « Facturation et gestion de la comptabilité de la DDE » pour enregistrer des paiements des droits perçus par la DDE dans le cadre de ses missions notamment pour le RCI ;
- « Gestion des contrôles de la DDE », notamment pour le suivi des contrôles des assujettis, des manquements à la loi, pour répondre aux demandes d’entraide internationale.
La Commission demande à ce que ces deux derniers traitements lui soient soumis dans les meilleurs délais.
Sous cette réserve, elle considère que ces interconnexions et rapprochements sont conformes aux exigences légales.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.
Cependant les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
De plus, il convient de préciser que les communications d’informations doivent être sécurisées en tenant compte de la nature des informations transmises.
La Commission rappelle enfin que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui‑ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VIII. Sur la durée de conservation
Le responsable de traitement indique que les informations sont conservées 10 ans à compter de la date de dissolution ou de liquidation de la société excepté :
- en ce qui concerne les agents de la DDE en charge des dossiers, « tant que la personne est habilitée à gérer les dossiers + 2 ans » « en lien avec la durée de conservation des traces fixée par l’article 1er de l’Ordonnance Souveraine n° 3.573 du 11 mai 1966 » pour l’identité et la vie professionnelle ; « tant que la personne est habilitée à avoir accès + 3 mois » en ce qui concerne leurs données d’identification électronique ; 24 mois glissant pour les logs de connexion « en lien avec la durée de conservation des traces fixée par l’article 1er de l’Ordonnance Souveraine n° 3.573 du 11 mai 1966 » ;
- en ce qui concerne les personnes disposant d’un accès autre que les agents de la DDE, 2 ans après la fin des droits.
La Commission relève également que mécaniquement, les informations des liquidateurs sont conservées 10 ans.
En outre, concernant le cas plus spécifique des personnes en charge des informations élémentaires, la Commission constate qu’elles ne sont pas visées comme faisant partie du Registre au sein de la loi n° 797, précitée, et ne sont pas listées à l’article 10 de l’Ordonnance Souveraine n° 3.573 comme informations élémentaires.
En conséquence elle fixe la durée de conservation des informations relatives aux personnes responsables des informations élémentaires à 5 ans en archive intermédiaire à compter de la perte de cette qualité, avant suppression définitive.
Sous cette réserve, la Commission considère que ces durées de conservation sont conformes aux exigences légales.
Après en avoir délibéré, la Commission :
Demande que :
- les traitements ayant pour finalités respectives « Facturation et gestion de la comptabilité de la DDE » et « Gestion des contrôles de la DDE » lui soient soumis dans les meilleurs délais ;
- le responsable de traitement lui revienne relativement aux accès de la DSF, de l’IMSEE, du Département des Finances et de l’Économie et du Ministre d’État.
Rappelle que :
- les communications d’informations doivent être sécurisées en tenant compte de la nature des informations transmises ;
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
Fixe la durée de conservation des informations relatives aux personnes responsables des informations élémentaires à 5 ans en archive intermédiaire à compter de la perte de cette qualité, avant suppression définitive.
Sous le bénéfice de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d’État, de la modification du traitement automatisé d’informations nominatives ayant pour finalité « Gestion du Registre Spécial des Sociétés Civiles ».
Le Président de la Commission
de Contrôle des Informations Nominatives.