Délibération n° 2013-57 du 28 mai 2013 de la Commission de Contrôle des Informations Nominatives portant avis favorable sur la demande présentée par le Ministre d’Etat, relative à la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité «Répondre à l’enquête annuelle obligatoire permettant le calcul du PIB et RNB de la Principauté par téléservice» de l’Institut Monégasque de la Statistique et des Etudes Economiques
Vu la Constitution ;
Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la Recommandation du Conseil de l’Europe R(97)18 du 30 septembre 1997 concernant la protection des données à caractère personnel collectées et traitées à des fins statistiques ;
Vu la loi n° 419 du 7 juin 1945 relative aux mesures d’ordre statistique ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu l’ordonnance souveraine n° 3.095 du 24 janvier 2011 portant création de l’Institut Monégasque de la Statistique et des Etudes Economiques et du Conseil Scientifique et des Etudes Economiques, modifiée ;
Vu l’ordonnance souveraine n° 3.121 du 11 février 2011 portant création de la Direction de l’Administration Electronique et de l’Information aux Usagers ;
Vu l’ordonnance souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l’Administration et l’administré ;
Vu l’arrêté ministériel n° 2006-220 du 28 avril 2006 relatif à la détermination d’un Produit Intérieur Brut (PIB) et un Revenu National Brut (RNB), modifié par l’arrêté ministériel n° 2013-235 du 22 avril 2013 ;
Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;
Vu délibération n° 2011-104 du 15 novembre 2011 portant avis favorable sur la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité «Gestion du compte permettant aux usagers d’entreprendre des démarches par téléservices» de la Direction de l’Administration électronique et de l’Information aux Usagers ;
Vu la délibération n° 2013-36 du 6 mars 2013 de la Commission de Contrôle des Informations Nominatives portant avis sur la consultation du Ministre d’Etat relative au projet d’arrêté ministériel modifiant l’arrêté ministériel n° 2006-220 du 28 avril 2006 relatif à la détermination d’un Produit Intérieur Brut (PIB) et un Revenu National Brut (RNB) ;
Vu la délibération n° 2013-55 du 28 mai 2013 de la Commission de Contrôle des Informations Nominatives portant avis favorable sur la demande présentée par le Ministre d’Etat concernant le traitement automatisé ayant pour finalité «Fichier d’identification statistique» de la Direction de l’Expansion Economique afin d’en transférer la compétence à l’Institut Monégasque de la Statistique et des Etudes Economiques sous la finalité «Gestion du Répertoire du NIS» ;
Vu la délibération n° 2013-56 du 28 mai 2013 de la Commission de Contrôle des Informations Nominatives portant avis favorable sur la demande présentée par le Ministre d’Etat concernant la modification du traitement automatisé ayant pour finalité «Mise en place d’un PIB en Principauté de Monaco» de la Direction de l’Expansion Economique afin d’en transférer la compétence à l’Institut Monégasque de la Statistique et des Etudes Economiques sous la finalité «Détermination du PIB et du RNB en Principauté de Monaco» ;
Vu la demande d’avis, déposée par le Ministre d’Etat, le 20 mars 2013, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité «Effectuer une déclaration de PIB et RNB» de l’Institut Monégasque de la Statistique et des Etudes Economiques ;
Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 14 mai 2013, conformément à l’article 19 de l’ordonnance souveraine n° 2.230, susmentionnée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 28 mai 2013 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
L’enquête annuelle permettant de calculer le PIB et le RNB de la Principauté de Monaco a été instaurée par le Gouvernement Princier en 2006.
Le présent traitement s’inscrit dans un processus de dématérialisation des déclarations souhaité par l’IMSEE chargé de réaliser ladite enquête aux termes de l’article 2 de l’ordonnance souveraine n° 3.095, susvisée, et de l’article 1er de l’arrêté ministériel relatif à la détermination d’un Produit Intérieur Brut (PIB) et d’un Revenu National Brut (RNB), susvisé.
Le téléservice induit nécessitant l’instauration d’opérations automatisées, la mise en œuvre du traitement automatisé d’informations nominatives inhérent est soumise à l’avis préalable de la Commission de Contrôle des Informations Nominatives, conformément à l’article 7 de la loi n° 1.165 susvisée.
I. Sur la finalité et les fonctionnalités du traitement
Le traitement a pour finalité «Effectuer une déclaration de PIB et RNB».
Il concerne les personnes ciblées par l’enquête PIB et RNB, telles que visées à l’article 2 de l’arrêté ministériel relatif à la détermination d’un Produit Intérieur Brut (PIB) et un Revenu National Brut (RNB), susvisé.
Ses fonctionnalités sont les suivantes :
- la gestion du téléservice comportant la création des accès et la gestion des procédures d’authentification par l’IMSEE, notamment la gestion des procédures de validation des comptes d’accès au téléservice et la gestion des fonctionnalités de «modérateurs» des comptes de téléservices ;
- la gestion des questionnaires d’enquête PIB - RNB par les agents économiques en leur permettant :
• de répondre aux questionnaires PIB - RNB, et le cas échéant, de modifier les informations pendant la durée de l’enquête ;
• de disposer d’un suivi de leurs réponses sur 3 années ;
• de mettre à jour les données personnelles, et le cas échéant, de modifier les codes d’accès personnels délivrés par l’IMSEE ;
• de conserver une trace des réponses apportées au travers d’accusé de réception électronique pour chaque questionnaire abouti ou modifié ;
- la gestion des réponses aux questionnaires par les agents de l’IMSEE en leur permettant :
• de disposer des questionnaires PIB - RNB remplis par les assujettis en ligne ;
• de saisir les questionnaires des personnes ayant choisi de répondre à l’enquête en support papier ;
• d’effectuer les opérations de vérification et de suivi permettant d’informer les agents économiques d’anomalie(s) dans leurs réponses ;
- l’échange de courriers et de correspondances entre les agents économiques et l’IMSEE ;
• la réalisation de sondages anonymes sur l’utilisation du téléservice ;
• l’organisation des informations techniques permettant la gestion de la navigation sur le site dédié.
Préalablement à tout accès, l’agent économique devra créer un compte personnel sécurisé conformément au traitement automatisé ayant pour finalité «Gestion du compte permettant aux usagers d’entreprendre des démarches par téléservices» de la Direction de l’Administration Electronique et de l’Information aux Usagers (DAEIU), légalement mis en œuvre.
Concernant la fonction de modérateurs, la Commission précise qu’elle avait demandé, dans sa délibération n° 2011-104 susvisée, que soient formalisées leurs missions et les procédures opérationnelles relatives à la gestion des comptes utilisateurs.
Par ailleurs, elle rappelle qu’aux termes de l’article 10-1 de la loi n° 1.165, la finalité d’un traitement doit être déterminée, explicite et légitime. A cet égard, elle relève que la finalité du téléservice mentionnée dans ses conditions générales d’utilisation (CGU) est de «Répondre à l’enquête annuelle obligatoire permettant le calcul du PIB par téléservice».
Aussi, elle considère que la finalité du présent traitement doit être modifiée comme suit : «Répondre à l’enquête annuelle obligatoire permettant le calcul du PIB et du RNB de la Principauté par téléservice».
II. Sur la licéité et la justification du traitement
• Sur la licéité
Aux termes de l’article 1er de l’arrêté ministériel n° 2006-220 modifié, l’IMSEE procède, chaque année, à une enquête statistique permettant de déterminer ces deux agrégats économiques «permettant de mesurer l’activité économique de la Principauté».
En outre, l’article 6 de l’arrêté ministériel dont s’agit prévoit qu’«un téléservice, dédié à ladite enquête statistique peut être proposé aux acteurs économiques, dans le respect des articles 46 à 49 de l’ordonnance souveraine n° 3.416 du 29 août 2011, modifiée, susvisée».
La Commission considère que le traitement est licite conformément à l’article 10-1 de la loi n° 1.165, modifiée.
• Sur la justification
La mise en œuvre du traitement est justifiée par :
- le consentement des intéressés s’agissant de l’utilisation d’un téléservice, formalisé par l’acceptation des CGU du téléservice ;
- un motif d’intérêt général fondé sur la nécessité et l’intérêt de la Principauté de connaître le tissu économique monégasque, son histoire et son évolution, et de simplifier les démarches obligatoires des agents économiques ;
- la réalisation d’un intérêt légitime poursuivi par le responsable de traitement qui ne méconnaît ni l’intérêt, ni les droits et libertés fondamentaux des personnes concernées, en offrant des garanties de respect de la confidentialité des données, notamment, dans le cadre réglementaire de l’enquête en objet.
La Commission considère que ce traitement est justifié, conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
• Sur le détail des informations nominatives traitées
Les informations nominatives traitées sont :
- identité :
• pour les personnes physiques : titre, nom et prénom ;
• pour les personnes morales : nom, raison sociale, enseigne, NIS ;
- adresse et coordonnées : adresse de l’établissement, adresse usuelle, adresse électronique, téléphone ;
- caractéristiques financières : date de clôture de l’exercice social, chiffres d’affaires HT, salaires bruts, total des cotisations sociales, excédent brut d’exploitation, production immobilisée, montant des achats, variation des stocks, consommations de l’exercice, subventions d’exploitation si applicable, impôts - taxes et versements assimilés (hors ISB), effectif de l’organisme au 31 décembre de l’année précédente, surface des locaux ;
- données d’identification électronique : login, code d’activation ;
- données de connexion : données d’horodatage, log de connexion de l’usager, données de messagerie de l’usager ;
- suivi des questionnaires : échanges de courriels et conservation des accusés de réceptions électroniques.
La Commission relève qu’il n’est pas fait mention d’une conservation des adresses IP des machines à partir desquelles les opérations sont réalisées par l’usager.
• Sur l’origine des informations
Les informations relatives à l’identité de la personne physique, son adresse postale et son adresse électronique ont pour origine le traitement ayant pour finalité «Gestion du compte permettant aux usagers d’entreprendre des démarches par téléservices» de la DAEIU.
Les informations relatives à l’identité, aux adresses et coordonnées ont pour origine le Répertoire NIS.
Les informations relatives aux données d’identification électronique ont pour origine l’IMSEE et l’agent économique, celui-ci pouvant modifier son code d’activation.
Les informations relatives aux caractéristiques financières ont pour origine l’agent économique qui répond au questionnaire.
Les données de connexion ont pour origine le module Web du téléservice et les informations permettant le suivi des questionnaires ont pour origine l’IMSEE.
La Commission considère que les informations collectées sont «adéquates, pertinentes et non excessives» au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
• Sur l’information préalable des personnes concernées
Les personnes sont informées de leur droit par une mention figurant sur le document de collecte, par un document spécifique et une mention particulière intégrée dans un document d’ordre général accessible en ligne.
L’information des personnes concernées qui «sera intégrée sur le site Internet de l’IMSEE» met en évidence que les personnes disposent d’un «droit de s’opposer à l’utilisation des données à titre prospectif». La Commission rappelle, comme mentionné dans sa délibération relative au traitement automatisé d’informations nominatives ayant pour finalité «Détermination du PIB et du RNB en Principauté de Monaco», que les présentes données ne peuvent être utilisées à des fins de prospection. Aussi elle demande à ce que cette mention soit supprimée.
Elle rappelle par ailleurs, que la rédaction des mentions d’information à l’attention des personnes concernées doit être cohérente. Aussi, elle appelle l’attention du responsable de traitement sur la finalité du traitement qui doit être reprise à l’identique dans tous les documents, et sur la qualité de cette information qui doit également porter sur le RNB.
• Sur l’exercice du droit d’accès, de modification et de mise à jour
Ce traitement relève d’un responsable de traitement visé à l’article 7 de la loi n° 1.165. Mis en place par une entité administrative dans le cadre de ses missions d’intérêt général, il ne peut faire l’objet d’un droit d’opposition de la part des personnes concernées, comme établi par l’article 13 de la loi n° 1.165.
Les personnes peuvent toutefois exercer leur droit d’accès par un accès en ligne à leur dossier, par voie postale, par courrier électronique ou sur place auprès du Directeur de l’IMSEE. Le délai de réponse est de 30 jours.
Dans ce sens, les CGU précisent que «les droits d’accès et de rectification pourront être exercés par l’intéressé en ligne, jusqu’à la clôture de l’enquête annuelle. Passé ce délai, le droit d’accès et de rectification sera possible auprès de l’IMSEE soit par l’envoi d’une demande écrite, par voie postale ou électronique, ou dans les locaux de l’IMSEE».
En cas de demande de modification, de rectification, une réponse est adressée à la personne concernée par un message de validation du dossier accessible en ligne ou par les mêmes voies que précédemment.
La Commission constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 la loi n° 1.165, modifiée.
V. Sur les destinataires et les personnes ayant accès au traitement
• Sur les personnes ayant accès au traitement
Les personnes habilitées à avoir accès aux informations sont :
- les personnels de l’IMSEE chargés de la gestion des accès des comptes usagers : consultation, modification et mises à jour ;
- les personnels de l’IMSEE en charge de l’exploitation et de la gestion des réponses aux questionnaires : en création, consultation, modification ;
- les personnels de la Direction Informatique, ou les tiers intervenant pour son compte et son autorité, à des fins de développement des applicatifs, de la maintenance et de la sécurité du système d’information ;
- les personnels de la DAEIU, ou tiers intervenant pour son compte et sous son autorité, dans le cadre de ses missions d’assistance à maîtrise d’ouvrage sur la télé-procédure.
Considérant les attributions dévolues aux services disposant desdits accès, la Commission rappelle que les personnels de la Direction Informatique et de la DAEIU sont également soumis aux obligations de secret et de confidentialité qui pèsent sur les agents de l’IMSEE dans le cadre de leurs missions.
• Sur les personnes destinataires des informations
Les informations nominatives figurant dans le présent traitement restent internes à l’IMSEE, conformément aux dispositions de l’arrêté ministériel relatif à la détermination d’un Produit Intérieur Brut (PIB) et un Revenu National Brut (RNB), aux termes duquel «les renseignements d’ordre économique ou financier ne peuvent donner lieu à communication sous forme nominative».
VI. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VII. Sur la durée de conservation
Les informations relatives au compte usager sont conservées pendant une année à compter de la dernière connexion, comme établi pour le traitement ayant pour finalité «Gestion du compte permettant aux usagers d’entreprendre des démarches par téléservices», précité.
Les informations relatives aux données d’identité électronique propres au téléservice et celles relatives au suivi des questionnaires sont conservées une année après la dernière connexion.
Les informations relatives aux données de connexion sont conservées 3 mois.
S’agissant des données collectées au titre de l’enquête en objet, le responsable de traitement expose des durées de conservation contradictoires.
Ainsi, les durées de conservation des informations portées au formulaire de demande d’avis ne sont pas cohérentes avec celles exposées dans ses annexes. Ces durées ne sont pas homogènes avec celles mentionnées dans la demande d’avis relative au traitement ayant pour finalité « Détermination du PIB et du RNB en Principauté de Monaco », ou encore avec la durée de conservation des informations inscrites dans les CGU du téléservice.
Par ailleurs, la Commission précise que la mention selon laquelle «les données sont conservées de manière illimitée» n’est pas légalement recevable sans justification, conformément à l’article 9 alinéa 3 de la loi n° 1.165.
Enfin, la durée de conservation des informations spécifiques au traitement ayant pour finalité «Gestion du répertoire du NIS» n’a pas d’incidence sur le présent traitement et n’a pas à servir de référence en considération des fonctionnalités distinctes des traitements.
En conséquence, conformément à la procédure fixée par l’IMSEE dans le traitement ayant pour finalité «Détermination du PIB et du RNB en Principauté de Monaco», la Commission estime qu’il convient de distinguer :
- les opérations de collecte des informations par le biais du présent téléservice ;
- des opérations de conservation à des fins de vérification et d’analyse des données dans le cadre du traitement précité.
Aussi, elle considère que les informations traitées au titre du questionnaire dématérialisé devront faire l’objet d’une anonymisation 3 années après publication des agrégats par suppression du numéro séquentiel du code NIS, identifiant l’agent économique.
Seul le code activité, le radical du code NIS, sera alors maintenu pour permettre de conserver des informations par secteur d’activité, non dans le présent traitement destiné à collecter les informations, mais dans le cadre du traitement ayant pour finalité «Détermination du PIB et du RNB en Principauté de Monaco».
Aussi, seules les informations traitées pour l’année de l’enquête en cours et les trois années antérieures pourront être conservées sous une forme nominative, les autres devront être supprimées du présent traitement.
La Commission rappelle que les CGU du téléservice devront être modifiées dans ce sens.
En complément, elle prend acte de la référence à l’article 2-3 de l’ordonnance souveraine n° 3.095 permettant à l’IMSEE de conserver les analyses et études anonymes réalisées par ses services en qualité d’archives publiques.
Après en avoir délibéré,
Relève que toute personne ayant accès aux données traitées dans le cadre du téléservice est soumise aux obligations de secret et de confidentialité prescrites par l’ordonnance souveraine n° 3.095 qui pèsent tant sur les agents de l’IMSEE, que sur toute personne et prestataire lui apportant son concours ;
Demande que :
- la finalité du présent traitement soit modifiée comme suit : «Organisation de l’enquête statistique relative au PIB et RNB de la Principauté par téléservice» ;
- l’information des personnes concernées soit modifiée afin de :
• tenir compte de la finalité susmentionnée ;
• de supprimer toute référence à une possible utilisation des données à des fins de prospection ;
• de modifier la durée de conservation des «données du téléservice» à 3 ans ;
Fixe les durées de conservation des informations nominatives comme exposé dans la présente délibération ;
A la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d’Etat, du traitement automatisé d’informations nominatives ayant pour finalité «Répondre à l’enquête annuelle obligatoire permettant le calcul du PIB et RNB de la Principauté par téléservice» de l’Institut Monégasque de la Statistique et des Etudes Economiques.
Le Président de la Commission
de Contrôle des Informations Nominatives.
Vu la Convention Européenne de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son protocole additionnel ;
Vu la Recommandation du Conseil de l’Europe R(97)18 du 30 septembre 1997 concernant la protection des données à caractère personnel collectées et traitées à des fins statistiques ;
Vu la loi n° 419 du 7 juin 1945 relative aux mesures d’ordre statistique ;
Vu la loi n° 1.165 du 23 décembre 1993, modifiée, relative à la protection des informations nominatives ;
Vu l’ordonnance souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, susvisée ;
Vu l’ordonnance souveraine n° 3.095 du 24 janvier 2011 portant création de l’Institut Monégasque de la Statistique et des Etudes Economiques et du Conseil Scientifique et des Etudes Economiques, modifiée ;
Vu l’ordonnance souveraine n° 3.121 du 11 février 2011 portant création de la Direction de l’Administration Electronique et de l’Information aux Usagers ;
Vu l’ordonnance souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l’Administration et l’administré ;
Vu l’arrêté ministériel n° 2006-220 du 28 avril 2006 relatif à la détermination d’un Produit Intérieur Brut (PIB) et un Revenu National Brut (RNB), modifié par l’arrêté ministériel n° 2013-235 du 22 avril 2013 ;
Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;
Vu délibération n° 2011-104 du 15 novembre 2011 portant avis favorable sur la mise en œuvre du traitement automatisé d’informations nominatives ayant pour finalité «Gestion du compte permettant aux usagers d’entreprendre des démarches par téléservices» de la Direction de l’Administration électronique et de l’Information aux Usagers ;
Vu la délibération n° 2013-36 du 6 mars 2013 de la Commission de Contrôle des Informations Nominatives portant avis sur la consultation du Ministre d’Etat relative au projet d’arrêté ministériel modifiant l’arrêté ministériel n° 2006-220 du 28 avril 2006 relatif à la détermination d’un Produit Intérieur Brut (PIB) et un Revenu National Brut (RNB) ;
Vu la délibération n° 2013-55 du 28 mai 2013 de la Commission de Contrôle des Informations Nominatives portant avis favorable sur la demande présentée par le Ministre d’Etat concernant le traitement automatisé ayant pour finalité «Fichier d’identification statistique» de la Direction de l’Expansion Economique afin d’en transférer la compétence à l’Institut Monégasque de la Statistique et des Etudes Economiques sous la finalité «Gestion du Répertoire du NIS» ;
Vu la délibération n° 2013-56 du 28 mai 2013 de la Commission de Contrôle des Informations Nominatives portant avis favorable sur la demande présentée par le Ministre d’Etat concernant la modification du traitement automatisé ayant pour finalité «Mise en place d’un PIB en Principauté de Monaco» de la Direction de l’Expansion Economique afin d’en transférer la compétence à l’Institut Monégasque de la Statistique et des Etudes Economiques sous la finalité «Détermination du PIB et du RNB en Principauté de Monaco» ;
Vu la demande d’avis, déposée par le Ministre d’Etat, le 20 mars 2013, concernant la mise en œuvre d’un traitement automatisé ayant pour finalité «Effectuer une déclaration de PIB et RNB» de l’Institut Monégasque de la Statistique et des Etudes Economiques ;
Vu la prorogation du délai d’examen de la présente demande d’avis notifiée au responsable de traitement le 14 mai 2013, conformément à l’article 19 de l’ordonnance souveraine n° 2.230, susmentionnée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 28 mai 2013 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
L’enquête annuelle permettant de calculer le PIB et le RNB de la Principauté de Monaco a été instaurée par le Gouvernement Princier en 2006.
Le présent traitement s’inscrit dans un processus de dématérialisation des déclarations souhaité par l’IMSEE chargé de réaliser ladite enquête aux termes de l’article 2 de l’ordonnance souveraine n° 3.095, susvisée, et de l’article 1er de l’arrêté ministériel relatif à la détermination d’un Produit Intérieur Brut (PIB) et d’un Revenu National Brut (RNB), susvisé.
Le téléservice induit nécessitant l’instauration d’opérations automatisées, la mise en œuvre du traitement automatisé d’informations nominatives inhérent est soumise à l’avis préalable de la Commission de Contrôle des Informations Nominatives, conformément à l’article 7 de la loi n° 1.165 susvisée.
I. Sur la finalité et les fonctionnalités du traitement
Le traitement a pour finalité «Effectuer une déclaration de PIB et RNB».
Il concerne les personnes ciblées par l’enquête PIB et RNB, telles que visées à l’article 2 de l’arrêté ministériel relatif à la détermination d’un Produit Intérieur Brut (PIB) et un Revenu National Brut (RNB), susvisé.
Ses fonctionnalités sont les suivantes :
- la gestion du téléservice comportant la création des accès et la gestion des procédures d’authentification par l’IMSEE, notamment la gestion des procédures de validation des comptes d’accès au téléservice et la gestion des fonctionnalités de «modérateurs» des comptes de téléservices ;
- la gestion des questionnaires d’enquête PIB - RNB par les agents économiques en leur permettant :
• de répondre aux questionnaires PIB - RNB, et le cas échéant, de modifier les informations pendant la durée de l’enquête ;
• de disposer d’un suivi de leurs réponses sur 3 années ;
• de mettre à jour les données personnelles, et le cas échéant, de modifier les codes d’accès personnels délivrés par l’IMSEE ;
• de conserver une trace des réponses apportées au travers d’accusé de réception électronique pour chaque questionnaire abouti ou modifié ;
- la gestion des réponses aux questionnaires par les agents de l’IMSEE en leur permettant :
• de disposer des questionnaires PIB - RNB remplis par les assujettis en ligne ;
• de saisir les questionnaires des personnes ayant choisi de répondre à l’enquête en support papier ;
• d’effectuer les opérations de vérification et de suivi permettant d’informer les agents économiques d’anomalie(s) dans leurs réponses ;
- l’échange de courriers et de correspondances entre les agents économiques et l’IMSEE ;
• la réalisation de sondages anonymes sur l’utilisation du téléservice ;
• l’organisation des informations techniques permettant la gestion de la navigation sur le site dédié.
Préalablement à tout accès, l’agent économique devra créer un compte personnel sécurisé conformément au traitement automatisé ayant pour finalité «Gestion du compte permettant aux usagers d’entreprendre des démarches par téléservices» de la Direction de l’Administration Electronique et de l’Information aux Usagers (DAEIU), légalement mis en œuvre.
Concernant la fonction de modérateurs, la Commission précise qu’elle avait demandé, dans sa délibération n° 2011-104 susvisée, que soient formalisées leurs missions et les procédures opérationnelles relatives à la gestion des comptes utilisateurs.
Par ailleurs, elle rappelle qu’aux termes de l’article 10-1 de la loi n° 1.165, la finalité d’un traitement doit être déterminée, explicite et légitime. A cet égard, elle relève que la finalité du téléservice mentionnée dans ses conditions générales d’utilisation (CGU) est de «Répondre à l’enquête annuelle obligatoire permettant le calcul du PIB par téléservice».
Aussi, elle considère que la finalité du présent traitement doit être modifiée comme suit : «Répondre à l’enquête annuelle obligatoire permettant le calcul du PIB et du RNB de la Principauté par téléservice».
II. Sur la licéité et la justification du traitement
• Sur la licéité
Aux termes de l’article 1er de l’arrêté ministériel n° 2006-220 modifié, l’IMSEE procède, chaque année, à une enquête statistique permettant de déterminer ces deux agrégats économiques «permettant de mesurer l’activité économique de la Principauté».
En outre, l’article 6 de l’arrêté ministériel dont s’agit prévoit qu’«un téléservice, dédié à ladite enquête statistique peut être proposé aux acteurs économiques, dans le respect des articles 46 à 49 de l’ordonnance souveraine n° 3.416 du 29 août 2011, modifiée, susvisée».
La Commission considère que le traitement est licite conformément à l’article 10-1 de la loi n° 1.165, modifiée.
• Sur la justification
La mise en œuvre du traitement est justifiée par :
- le consentement des intéressés s’agissant de l’utilisation d’un téléservice, formalisé par l’acceptation des CGU du téléservice ;
- un motif d’intérêt général fondé sur la nécessité et l’intérêt de la Principauté de connaître le tissu économique monégasque, son histoire et son évolution, et de simplifier les démarches obligatoires des agents économiques ;
- la réalisation d’un intérêt légitime poursuivi par le responsable de traitement qui ne méconnaît ni l’intérêt, ni les droits et libertés fondamentaux des personnes concernées, en offrant des garanties de respect de la confidentialité des données, notamment, dans le cadre réglementaire de l’enquête en objet.
La Commission considère que ce traitement est justifié, conformément aux dispositions de l’article 10-2 de la loi n° 1.165, modifiée.
III. Sur les informations traitées
• Sur le détail des informations nominatives traitées
Les informations nominatives traitées sont :
- identité :
• pour les personnes physiques : titre, nom et prénom ;
• pour les personnes morales : nom, raison sociale, enseigne, NIS ;
- adresse et coordonnées : adresse de l’établissement, adresse usuelle, adresse électronique, téléphone ;
- caractéristiques financières : date de clôture de l’exercice social, chiffres d’affaires HT, salaires bruts, total des cotisations sociales, excédent brut d’exploitation, production immobilisée, montant des achats, variation des stocks, consommations de l’exercice, subventions d’exploitation si applicable, impôts - taxes et versements assimilés (hors ISB), effectif de l’organisme au 31 décembre de l’année précédente, surface des locaux ;
- données d’identification électronique : login, code d’activation ;
- données de connexion : données d’horodatage, log de connexion de l’usager, données de messagerie de l’usager ;
- suivi des questionnaires : échanges de courriels et conservation des accusés de réceptions électroniques.
La Commission relève qu’il n’est pas fait mention d’une conservation des adresses IP des machines à partir desquelles les opérations sont réalisées par l’usager.
• Sur l’origine des informations
Les informations relatives à l’identité de la personne physique, son adresse postale et son adresse électronique ont pour origine le traitement ayant pour finalité «Gestion du compte permettant aux usagers d’entreprendre des démarches par téléservices» de la DAEIU.
Les informations relatives à l’identité, aux adresses et coordonnées ont pour origine le Répertoire NIS.
Les informations relatives aux données d’identification électronique ont pour origine l’IMSEE et l’agent économique, celui-ci pouvant modifier son code d’activation.
Les informations relatives aux caractéristiques financières ont pour origine l’agent économique qui répond au questionnaire.
Les données de connexion ont pour origine le module Web du téléservice et les informations permettant le suivi des questionnaires ont pour origine l’IMSEE.
La Commission considère que les informations collectées sont «adéquates, pertinentes et non excessives» au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165, modifiée.
IV. Sur les droits des personnes concernées
• Sur l’information préalable des personnes concernées
Les personnes sont informées de leur droit par une mention figurant sur le document de collecte, par un document spécifique et une mention particulière intégrée dans un document d’ordre général accessible en ligne.
L’information des personnes concernées qui «sera intégrée sur le site Internet de l’IMSEE» met en évidence que les personnes disposent d’un «droit de s’opposer à l’utilisation des données à titre prospectif». La Commission rappelle, comme mentionné dans sa délibération relative au traitement automatisé d’informations nominatives ayant pour finalité «Détermination du PIB et du RNB en Principauté de Monaco», que les présentes données ne peuvent être utilisées à des fins de prospection. Aussi elle demande à ce que cette mention soit supprimée.
Elle rappelle par ailleurs, que la rédaction des mentions d’information à l’attention des personnes concernées doit être cohérente. Aussi, elle appelle l’attention du responsable de traitement sur la finalité du traitement qui doit être reprise à l’identique dans tous les documents, et sur la qualité de cette information qui doit également porter sur le RNB.
• Sur l’exercice du droit d’accès, de modification et de mise à jour
Ce traitement relève d’un responsable de traitement visé à l’article 7 de la loi n° 1.165. Mis en place par une entité administrative dans le cadre de ses missions d’intérêt général, il ne peut faire l’objet d’un droit d’opposition de la part des personnes concernées, comme établi par l’article 13 de la loi n° 1.165.
Les personnes peuvent toutefois exercer leur droit d’accès par un accès en ligne à leur dossier, par voie postale, par courrier électronique ou sur place auprès du Directeur de l’IMSEE. Le délai de réponse est de 30 jours.
Dans ce sens, les CGU précisent que «les droits d’accès et de rectification pourront être exercés par l’intéressé en ligne, jusqu’à la clôture de l’enquête annuelle. Passé ce délai, le droit d’accès et de rectification sera possible auprès de l’IMSEE soit par l’envoi d’une demande écrite, par voie postale ou électronique, ou dans les locaux de l’IMSEE».
En cas de demande de modification, de rectification, une réponse est adressée à la personne concernée par un message de validation du dossier accessible en ligne ou par les mêmes voies que précédemment.
La Commission constate ainsi que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 la loi n° 1.165, modifiée.
V. Sur les destinataires et les personnes ayant accès au traitement
• Sur les personnes ayant accès au traitement
Les personnes habilitées à avoir accès aux informations sont :
- les personnels de l’IMSEE chargés de la gestion des accès des comptes usagers : consultation, modification et mises à jour ;
- les personnels de l’IMSEE en charge de l’exploitation et de la gestion des réponses aux questionnaires : en création, consultation, modification ;
- les personnels de la Direction Informatique, ou les tiers intervenant pour son compte et son autorité, à des fins de développement des applicatifs, de la maintenance et de la sécurité du système d’information ;
- les personnels de la DAEIU, ou tiers intervenant pour son compte et sous son autorité, dans le cadre de ses missions d’assistance à maîtrise d’ouvrage sur la télé-procédure.
Considérant les attributions dévolues aux services disposant desdits accès, la Commission rappelle que les personnels de la Direction Informatique et de la DAEIU sont également soumis aux obligations de secret et de confidentialité qui pèsent sur les agents de l’IMSEE dans le cadre de leurs missions.
• Sur les personnes destinataires des informations
Les informations nominatives figurant dans le présent traitement restent internes à l’IMSEE, conformément aux dispositions de l’arrêté ministériel relatif à la détermination d’un Produit Intérieur Brut (PIB) et un Revenu National Brut (RNB), aux termes duquel «les renseignements d’ordre économique ou financier ne peuvent donner lieu à communication sous forme nominative».
VI. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient n’appellent pas d’observation.
La Commission rappelle néanmoins que, conformément à l’article 17 de la loi n° 1.165, modifiée, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par ce traitement et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.
VII. Sur la durée de conservation
Les informations relatives au compte usager sont conservées pendant une année à compter de la dernière connexion, comme établi pour le traitement ayant pour finalité «Gestion du compte permettant aux usagers d’entreprendre des démarches par téléservices», précité.
Les informations relatives aux données d’identité électronique propres au téléservice et celles relatives au suivi des questionnaires sont conservées une année après la dernière connexion.
Les informations relatives aux données de connexion sont conservées 3 mois.
S’agissant des données collectées au titre de l’enquête en objet, le responsable de traitement expose des durées de conservation contradictoires.
Ainsi, les durées de conservation des informations portées au formulaire de demande d’avis ne sont pas cohérentes avec celles exposées dans ses annexes. Ces durées ne sont pas homogènes avec celles mentionnées dans la demande d’avis relative au traitement ayant pour finalité « Détermination du PIB et du RNB en Principauté de Monaco », ou encore avec la durée de conservation des informations inscrites dans les CGU du téléservice.
Par ailleurs, la Commission précise que la mention selon laquelle «les données sont conservées de manière illimitée» n’est pas légalement recevable sans justification, conformément à l’article 9 alinéa 3 de la loi n° 1.165.
Enfin, la durée de conservation des informations spécifiques au traitement ayant pour finalité «Gestion du répertoire du NIS» n’a pas d’incidence sur le présent traitement et n’a pas à servir de référence en considération des fonctionnalités distinctes des traitements.
En conséquence, conformément à la procédure fixée par l’IMSEE dans le traitement ayant pour finalité «Détermination du PIB et du RNB en Principauté de Monaco», la Commission estime qu’il convient de distinguer :
- les opérations de collecte des informations par le biais du présent téléservice ;
- des opérations de conservation à des fins de vérification et d’analyse des données dans le cadre du traitement précité.
Aussi, elle considère que les informations traitées au titre du questionnaire dématérialisé devront faire l’objet d’une anonymisation 3 années après publication des agrégats par suppression du numéro séquentiel du code NIS, identifiant l’agent économique.
Seul le code activité, le radical du code NIS, sera alors maintenu pour permettre de conserver des informations par secteur d’activité, non dans le présent traitement destiné à collecter les informations, mais dans le cadre du traitement ayant pour finalité «Détermination du PIB et du RNB en Principauté de Monaco».
Aussi, seules les informations traitées pour l’année de l’enquête en cours et les trois années antérieures pourront être conservées sous une forme nominative, les autres devront être supprimées du présent traitement.
La Commission rappelle que les CGU du téléservice devront être modifiées dans ce sens.
En complément, elle prend acte de la référence à l’article 2-3 de l’ordonnance souveraine n° 3.095 permettant à l’IMSEE de conserver les analyses et études anonymes réalisées par ses services en qualité d’archives publiques.
Après en avoir délibéré,
Relève que toute personne ayant accès aux données traitées dans le cadre du téléservice est soumise aux obligations de secret et de confidentialité prescrites par l’ordonnance souveraine n° 3.095 qui pèsent tant sur les agents de l’IMSEE, que sur toute personne et prestataire lui apportant son concours ;
Demande que :
- la finalité du présent traitement soit modifiée comme suit : «Organisation de l’enquête statistique relative au PIB et RNB de la Principauté par téléservice» ;
- l’information des personnes concernées soit modifiée afin de :
• tenir compte de la finalité susmentionnée ;
• de supprimer toute référence à une possible utilisation des données à des fins de prospection ;
• de modifier la durée de conservation des «données du téléservice» à 3 ans ;
Fixe les durées de conservation des informations nominatives comme exposé dans la présente délibération ;
A la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d’Etat, du traitement automatisé d’informations nominatives ayant pour finalité «Répondre à l’enquête annuelle obligatoire permettant le calcul du PIB et RNB de la Principauté par téléservice» de l’Institut Monégasque de la Statistique et des Etudes Economiques.
Le Président de la Commission
de Contrôle des Informations Nominatives.