DELIBERATION N DU 12 MAI 2014 DE LA COMMISSION DE CONTROLE DES INFORMATIONS NOMINATIVES PORTANT AVIS DEFAVORABLE A LA MISE EN ŒUVRE DU

Transcription

1 DELIBERATION N DU 12 MAI 2014 DE LA COMMISSION DE CONTROLE DES INFORMATIONS NOMINATIVES PORTANT AVIS DEFAVORABLE A LA MISE EN ŒUVRE DU TRAITEMENT AUTOMATISE D INFORMATIONS NOMINATIVES AYANT POUR FINALITE «GESTION DES APPELS ET SUIVI DE LA RELATION CLIENTS» PRESENTE PAR MONACO TELECOM SAM Vu la Constitution du 17 décembre 1962 ; Vu la Convention Européenne de Sauvegarde des Droits de l Homme et des Libertés Fondamentales du Conseil de l Europe du 4 novembre 1950 ; Vu la Convention n 108 du Conseil de l Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son protocole additionnel ; Vu la Loi n du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ; Vu l Ordonnance Souveraine n du 19 juin 2009 fixant les modalités d application de la Loi n du 23 décembre 1993, susvisée ; Vu le contrat de concession du service public des communications électroniques sur le territoire de la Principauté de Monaco du 26 septembre 2011 ; Vu le cahier des charges relatif à la concession du service public des communications électroniques sur le territoire de la Principauté de Monaco signé le 26 septembre 2011 et annexé à l Ordonnance Souveraine n du 6 décembre 2011 ; Vu l Arrêté Ministériel n du 23 décembre 2010 portant application de l article 7 de la Loi n du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ; Vu la délibération n du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d informations nominatives ; Vu la délibération n du 13 février 2012 portant recommandation sur le traitement des documents d identité officiels ; Vu la demande d avis déposée par Monaco Telecom SAM, le 24 mars 2014, concernant la mise en œuvre d un traitement automatisé ayant pour finalité la «Gestion des appels et suivi de la relation Clients» ; 1

2 La Commission de Contrôle des Informations Nominatives, Préambule Monaco Telecom SAM, immatriculée au RCI, est un organisme de droit privé concessionnaire d un service public. Elle a notamment pour objet «d assurer dans les relations intérieures et internationales, tous services de télécommunications. A ce titre, elle assure les activités d opérateur public chargé de l exploitation du service téléphonique de la Principauté de Monaco [ ]». Ainsi, cette société fournit divers services téléphonie fixe, téléphonie mobile, Internet, Télévision à ses clients, dont elle entend effectuer un suivi qualité. Aussi, elle souhaite mettre en place un outil permettant de centraliser les demandes émanant de l ensemble de ses segments de clientèle, afin d y répondre dans les meilleurs délais. A ce titre, en application de l article 7 de la loi n du 23 décembre 1993, ladite société soumet la présente demande d avis. I. Sur la finalité et les fonctionnalités du traitement Le présent traitement a pour finalité «Gestion des appels et suivi de la relation Clients». Il se dénomme «Neocase». Le responsable de traitement indique que sont concernés tous les abonnés à des services de Monaco Telecom SAM (souscripteurs, payeurs personnes physiques ou morales), ainsi que les salariés gestionnaires. Toutefois, la Commission constate à l analyse du dossier que sont également concernés les techniciens et les «chargés de support ayant eu le contact avec le client», qui est une notion imprécise. Dès lors, elle n est pas en mesure de déterminer si ces derniers sont des salariés du service client, des récipiendaires des mails, ou des revendeurs des «Espaces Monaco Telecom». Les fonctionnalités indiquées sont suivantes : - «saisir et enregistrer par ticket les demandes de clients ayant souscrit un ou plusieurs services auprès de MT; - suivre l avancement des demandes ou traitement des réclamations ; - tracer les échanges avec le client et établissement de statistiques de satisfaction client ; - réaliser des opérations administratives et commerciales liées à la gestion des demandes sur compte client (émission de rapports ou tickets de prise en compte, traitement, clôture des demandes et transmission au client par voie électronique) ; - initier les diagnostics et traitements d incidents relevés par les clients ou détectés par MT dans le cadre de la maintenance des services souscrits ; - transmettre des instructions s au service support pour actions correctives requises sur des services ; - gérer des liste d intervenants et équipes auxquelles sont affectées les demandes ; - gérer des interventions et des prises de rendez-vous ; - établir des tableaux de bord et statistiques». 2

3 de : A l analyse du dossier, la Commission constate que ce traitement permet également - générer des alertes automatiques en fonction des délais impartis pour effectuer les tâches ; - numériser et conserver des copies digitales de la demande du client (mail, fax, courrier) ; - constituer des preuves en cas de contestation clientèle ; - gérer le service après-vente, les réparations de terminaux, et d effectuer des prêts de terminaux ; - effectuer des téléventes «par rebond». Au regard de ces éléments, la Commission rappelle que tout traitement d informations nominatives doit avoir une finalité «déterminée, explicite et légitime» conformément à l article 10-1 de la loi n 1.165, susmentionnée. A cet égard, la finalité du présent traitement doit être plus explicite et mettre en évidence les objectifs recherchés par le responsable de traitement. En effet, les modalités de contact de Monaco Telecom SAM par le client ne se limitent pas aux appels téléphoniques, mais comprennent également l , les courriers ou la visite en boutique. Par ailleurs, ce traitement permet d assurer le service après-vente mais semble également permettre la gestion de toutes sortes de demandes émanant du client. Par conséquent, elle devrait être modifiée afin de répondre aux exigences de l article précité. II. Sur les informations traitées Les informations collectées Le responsable de traitement indique que les informations nominatives objets du présent traitement sont : - identité : Civilité, nom, prénom, raison sociale de la société, numéro RCI des contractants (souscripteurs, payeurs, mandataires, utilisateurs désignés par les titulaires personnes physiques ou morales) ; - adresses et coordonnées : adresse de contact, numéro de fax, numéro de téléphone, numéro de VoiP. L adresse est composée de : nom, code de l immeuble, numéro, qualifiant, type et nom de rue, code postal, ville, pays, NPAI (n habite pas à l adresse indiquée) ; - consommation de biens et services : fournies par le client : terminaux choisis, forfaits, services et options souscrites, nom de domaine souscrit gérée par MT : date de création du client, statuts des produits ; - données d identification électronique : fournies par le client : adresse électronique MT ou hors MT ; fournies par MT : adresse IP du client, numéro de compte client, login ADSL ; - complément d adresse : code postal, ville, bloc, étage, numéro de téléphone fixe, numéro de téléphone mobile, n de fax, mail, numéro VoiP ; - caractéristiques Marketing et Commerciales : client privilège ; - classification professionnelle : commercial MT, agent de saisie administrative, client : typage objectif de clients (commercial et marketing), secteur d activité, nom et codification, catégorie de client (grand public, entreprise) ; 3

4 - identifiants client/utilisateur : numéro de compte, carte SIM (identification de l appelant ou du titulaire de la ligne permettant de reconnaitre les appels), numéro IMEI du terminal, numéro carte TV, numéro de série terminal TV ; - informations relatives au ticket : client pour le motif ticket : identification et catégorisation de l appel du client (incident, information, facture, information consommation, information produits, etc. ), toutes informations relatives à son contrat et au dysfonctionnement qu il rencontre ; MT pour la numérotation du ticket : attribution aléatoire par l applicatif permettant l identification du ticket, de la demande, de la date d appel client ainsi que l historique de mise à jour du ticket. identifiant du distributeur ayant créé le client ; A l analyse du dossier, la Commission constate que sont également collectées des informations relatives : - aux prises de rendez-vous et à leur suivi ; - aux services après-vente des terminaux (qualité du terminal, terminal prêté, mise à jour du firmware, firmware, etc.) ; - aux clients n habitant pas à l adresse indiquée dits NPAI (NPAI en raison de retour de facture, relance, mise en demeure, impayé, correspondance MT, publicité, remboursement, etc., nombre de rappels, réponse apportée) ; - à la sous-traitance des incidents aux prestataires ; - aux commentaires sur les demandes clients, les NPAI et leurs résolutions. Sur l origine des informations A l exception des informations relatives au ticket, qui ont pour origine le client et le système lui-même, le responsable de traitement indique que les autres informations ont pour origine «le client via interconnexions» et «MT via interconnexions». A cet égard, il indique que ce traitement est interconnecté avec les traitements suivants : - «Gestion des abonnements au service d accès à internet» ; - «Gestion des abonnements et services de l activité télévision» ; - «Gestion des abonnements «service de téléphonie mobile»» ; - «Gestion des abonnements «service de téléphonie fixe»»; - «Gestion des habilitations au système d information»; - «Gestion de la messagerie» ; - «Gestion des abonnements convergents». La Commission relève que seuls les cinq premiers traitements ci-avant énumérés sont légalement mis en œuvre conformément à l article 7 de la loi n 1.165, modifiée. Par conséquent, aucune interconnexion ne peut être effectuée avec les deux derniers traitements pourtant identifiés comme étant une origine probable des informations. A cet égard, elle rappelle que conformément à : - l article 8-5 de la loi n 1.165, modifiée, «les catégories d informations et les informations objets du traitement, leur origine ( )» doivent être mentionnées dans le dossier de demande d avis ; 4

5 - l article 10-1 de la loi n 1.165, modifiée, «doivent être collectées et traitées loyalement et licitement ; collectées pour une finalité déterminées, explicite et légitime, et ne pas être traitées ultérieurement de manière incompatibles avec cette finalité ; ( )» ; S agissant des informations complémentaires relevées à l analyse du dossier, la Commission n a pas été également en mesure d identifier leur origine respective, ces derniers n étant pas exploités par les traitements précités. A cet égard, elle s interroge sur l existence d un traitement non listé qui serait également interconnecté avec le traitement objet de la présente demande d avis. La Commission n est donc pas en mesure d identifier l origine de chacune des informations collectées en l absence d identification du traitement qui en est à l origine. Relativement à ce qui précède, elle ne peut s assurer du respect des principes relatifs à la qualité des informations et aux conditions de licéité des traitements visés à l article 10-1 de la loi n 1.165, modifiée. Sur l exploitation de documents d identité officiels Le responsable de traitement indique que dans certains cas, il demande au client «d envoyer un fax, courrier ou mail accompagné d un justificatif d identité». Toutefois, il ne précise pas ce qu il entend par «justificatif d identité», une telle notion recouvrant habituellement les documents suivants : carte nationale d identité, passeport, permis de conduire, carte de résident, ( ). Par ailleurs, la Commission relève que le formulaire de modifications administratives, mis à la disposition des clients de Monaco Telecom SAM, dispose de champ permettant de renseigner les informations relatives au type et au numéro de pièce d identité. A cet égard, elle constate que le responsable de traitement exploite, de manière automatisée ou non automatisée, des informations relatives aux documents d identité officiels. Aussi, elle rappelle, que conformément aux termes de sa délibération n du 13 février 2012, «sauf dispositions légales ou réglementaires le prévoyant expressément la collecte, l enregistrement ( ) ou encore l exploitation des documents d identité que le support de ce traitement soit automatisé ou non automatisé n est pas conforme aux principes de la loi n ( )». III. Sur l information préalable des personnes concernées D après le responsable de traitement, l information préalable des personnes concernées est effectuée par le biais d une mention ou d une clause particulière intégrée dans un document remis à l intéressé, par le biais d une mention particulière intégrée dans un document d ordre général accessible en ligne, ainsi que par l intermédiaire des Conditions Générales de Vente. La Commission relève que seules sont jointes au dossier les mentions d information figurant dans les différentes conditions générales de vente dispensées par Monaco Telecom SAM (téléphonie fixe, téléphonie mobile, Internet, télévision). A cet égard, elle constate que malgré ses multiples demandes, ce document n a toujours pas été mis en conformité avec les dispositions de l article 14 de la loi n 1.165, modifiée. 5

6 Enfin, la Commission n est pas en mesure d analyser la conformité de la «Charte Sécurité de l Information» au regard de l article précité, ce document n étant pas joint au dossier. IV. Sur la sécurité du traitement et des informations Le responsable de traitement indique mettre à disposition de certaines boutiques monégasques, dites «Espaces Monaco Telecom», un applicatif web intitulé «Self-service». Il s agit pour Monaco Telecom SAM d une modalité de collecte des problèmes rencontrés par la clientèle, au même titre que les appels téléphoniques ou les s. En effet, les clients se rendant dans ces «Espaces Monaco Telecom» font part de leur difficulté au revendeur, qui transmet l information à Monaco Telecom par saisie sur cet applicatif web. Toutefois, eu égard à l absence de précisions quant à la nature de la relation existant entre Monaco Telecom et ces «Espaces Monaco Telecom», la Commission estime ne pas être en mesure de déterminer si ces derniers sont des prestataires de Monaco Telecom ou des responsables de traitement à part entière. Elle rappelle à cet égard que l article 1 alinéa 4 de la loi n 1.165, modifiée, dispose que «le responsable de traitement est la personne physique ou morale, de droit privé ou de droit public, l autorité publique, le service ou tout autre organisme qui détermine, seul ou conjointement avec d autres, la finalité et les moyens du traitement et qui décide de sa mise en œuvre». En tout état de cause, la Commission constate qu en l absence d informations sur les modalités mises en place afin de protéger les informations contre les pertes, destructions, ou accès non autorisés qui pourraient survenir chez les revendeurs, notamment, elle n est pas en mesure d apprécier si les mesures de sécurité sont adéquates au regard des risques présentés par le traitement et de la nature des données à protéger, comme exigé par l article 17 de la loi n 1.165, modifiée. Enfin, elle s interroge sur une éventuelle conservation des données dans l applicatif et dans chaque «Espace Monaco Telecom». Sans qu il ne soit besoin d aller plus avant dans l analyse, Après en avoir délibéré, La Commission de Contrôle des Informations nominatives émet un avis défavorable à la mise en œuvre, par Monaco Telecom SAM, du traitement automatisé d informations nominatives ayant pour finalité «Gestion des appels et suivi de la relation client» Le Président, Michel SOSSO 6