DÉLIBÉRATION N 2014-17 DU 4 FÉVRIER 2014 DE LA COMMISSION DE CONTRÔLE DES INFORMATIONS NOMINATIVES PORTANT AVIS DÉFAVORABLE À LA MISE EN ŒUVRE DU TRAITEMENT AUTOMATISÉ D INFORMATIONS NOMINATIVES AYANT POUR FINALITÉ «GESTION DES CONNEXIONS INTERNET PAR WIFI ET GSM» PRÉSENTÉ PAR MONACO TÉLÉCOM SAM Vu la Constitution du 17 décembre 1962 ; Vu la Convention Européenne de Sauvegarde des Droits de l Homme et des Libertés Fondamentales du Conseil de l Europe du 4 novembre 1950 ; Vu la Convention n 108 du Conseil de l Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son protocole additionnel ; Vu la Loi n 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ; Vu l Ordonnance Souveraine n 2.230 du 19 juin 2009 fixant les modalités d application de la Loi n 1.165 du 23 décembre 1993, susvisée ; Vu le contrat de concession du service public des communications électroniques sur le territoire de la Principauté de Monaco du 26 septembre 2011 ; Vu le cahier des charges relatif à la concession du service public des communications électroniques sur le territoire de la Principauté de Monaco signé le 26 septembre 2011 et annexé à l Ordonnance Souveraine n 3.560 du 6 décembre 2011 ; Vu l Arrêté Ministériel n 2010-638 du 23 décembre 2010 portant application de l article 7 de la Loi n 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ; Vu la délibération n 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d informations nominatives ; Vu la demande d avis déposée par MONACO TELECOM SAM, le 6 décembre 2013 concernant la mise en œuvre d un traitement automatisé ayant pour finalité la «Gestion des connexions internet» ; 1
La Commission de Contrôle des Informations Nominatives, Préambule MONACO TÉLÉCOM SAM, immatriculée au RCI, est un organisme de droit privé concessionnaire d un service public. Elle a notamment pour objet «d assurer dans les relations intérieures et internationales, tous services de télécommunications. A ce titre, elle assure les activités d opérateur public chargé de l exploitation du service téléphonique de la Principauté de Monaco [ ]». Dans le cadre de ses missions, Monaco Télécom SAM met à disposition de ses utilisateurs différentes modalités d accès à internet, collectant ainsi des informations relatives aux connexions. A ce titre, en application de l article 7 de la Loi n 1.165 du 23 décembre 1993, ladite société soumet la présente demande d avis relative au traitement ayant pour finalité «Gestions des connexions Internet». I - Sur la finalité et les fonctionnalités du traitement Le présent traitement a pour finalité «Gestion des connexions internet». Les personnes concernées sont «les utilisateurs des services WIFI ADSL2+, VDSL et GSM Internet». A l analyse du dossier, la Commission constate qu il s agit des clients de Monaco Télécom SAM et d Orange. Par ailleurs, elle relève que sont également concernés les collaborateurs de Monaco Télécom, en ce qui concerne leurs logs de connexion au présent traitement. Ses fonctionnalités sont les suivantes : - «authentifier les utilisateurs souhaitant accéder à Internet par WIFI ou GSM ; - autoriser ou refuser l accès à internet par WIFI ou GSM». La Commission constate l utilisation d une fonctionnalité supplémentaire qui est liée à la conservation des données d identification. Elle en prend acte. Enfin, elle rappelle que tout traitement d informations nominatives doit avoir une finalité «déterminée, explicite et légitime» aux termes de l article 10-1 de la Loi n 1.165, susmentionnée. A cet égard, la finalité du présent traitement doit être plus explicite et mettre en évidence les objectifs recherchés par le responsable de traitement. Par conséquent, elle devrait être modifiée par la finalité suivante : «Gestion des connexions internet par WIFI et GSM». 2
II - Sur la licéité et la justification du traitement Sur la licéité Monaco Télécom SAM est concessionnaire du Service Public des communications électroniques, conformément au contrat de concession du 26 septembre 2011. Cette société a notamment pour objet «d assurer dans les relations intérieures et internationales, tous services de télécommunications. A ce titre, elle assure les activités d opérateur public chargé de l exploitation du service téléphonique de la Principauté de Monaco [ ]». La Commission considère que le traitement est licite conformément à l article 10-1 de la Loi n 1.165, modifiée. Sur la justification Le responsable de traitement justifie le traitement par le cahier des charges relatif à la concession du service public des communications électroniques, annexé à l ordonnance souveraine n 3.560 du 6 décembre 2011, et notamment ses articles 2 et 3 qui définissent quels services doivent être proposés par le concessionnaire et sur quels équipements. A cet égard, l article 3 relatif à la «Fourniture du Service de Base» énumère aux titre des obligations de Monaco Télécom «la fourniture de services Internet fixe et mobile», et notamment «à travers des technologies ( ) WIFI». La Commission considère donc que ce traitement est justifié, conformément aux dispositions de l article 10-2 de la Loi n 1.165, modifiée. III - Sur les informations traitées Les informations nominatives objets du présent traitement sont : - identité : nom, prénom, raison sociale ; - adresses et coordonnées : adresse, numéro de téléphone ; - consommation de biens et services : volumétrie d information téléchargée et envoyée ; - données d identification électronique : identifiant de connexion, mot de passe de connexion, adresse IP, adresse MAC de la station du client, nom de domaine, adresse de messagerie électronique ; - horodatage : date et heure du début et de la fin de la connexion. La Commission constate que sont également collectées les informations relatives aux login et mots de passe des personnels de Monaco Télécom autorisés à se connecter sur le présent traitement, ainsi qu à leurs logs de connexion et l horodatage y afférent. Les informations relatives à l identité, aux adresses et coordonnées et à l horodatage ont pour origine des traitements exploitées par Monaco Telecom par le biais des interconnexions suivantes : - «Gestion des abonnements au service d accès internet» ; - «Gestion des clients et des abonnements convergents» ; - «Gestion des abonnements et services d accès internet». 3
La Commission constate que le traitement de «Gestion des abonnements au service d accès internet» est légalement mis en œuvre au sens de la Loi n 1.165 et que les informations ne sont pas traitées ultérieurement de manière incompatible avec la finalité pour laquelle elles ont été collectées à l origine, conformément à l article 10-1 de la Loi dont s agit. Toutefois, elle constate que le traitement de «Gestion des clients et des abonnements convergents» n est pas légalement mis en œuvre. Aussi, elle demande à ce que l interconnexion entre ces deux traitements soit suspendue dans l attente de la mise en conformité du traitement relatif aux abonnements convergents. Elle invite par conséquent le responsable de traitement à lui soumettre la demande d avis afférente. Par ailleurs, la Commission relève que les seules informations collectées relatives aux clients d orange sont les noms de domaines des utilisateurs et leurs numéros de téléphone. Enfin, elle constate à l analyse du dossier une incohérence quant aux informations traitées. En effet, le responsable de traitement indique que «les données des sites internet visités ne nous sont pas accessibles, elles ne sont donc pas collectées». Cependant, il appert du dossier que «les éléments collectés sont donc ( ) tracer des URL consultées par les user». Il justifie cette collecte par le respect du décret français n 2006-358 du 24 mars 2006 relatif à la conservation des données de communications électroniques qui prévoit la conservation de ces informations par les opérateurs de communication électroniques «pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales». Cependant la Commission constate que ce décret n est pas applicable en Principauté. Par ailleurs, après analyse de la législation monégasque, elle n a pas trouvé de texte de nature légale ou réglementaire équivalent à cet acte réglementaire. Elle demande donc à ce que des précisions lui soient apportées afin d analyser l adéquation et la pertinence des informations collectées au regard de la finalité du traitement. IV - Sur les droits des personnes concernées Sur l information préalable des personnes concernées L information préalable des personnes concernées est effectuée selon trois modalités : - à partir d une mention particulière intégrée dans un document d ordre général accessible en ligne ; - par le biais des Conditions Générales de Vente (CGV) Accès Internet ; - via une mention ou une clause particulière intégrée dans un document remis à l intéressé. La mention particulière accessible en ligne n étant pas jointe, la Commission n est pas en mesure de vérifier l effectivité de celle-ci. 4
En effet, seules sont jointes au dossier les CGV Accès Internet et les CGV du service de téléphonie mobile. A cet égard, la Commission constate que la mention d information insérée dans les CGV est incomplète au vu des exigences de l article 14 de la Loi n 1.165, modifiée, en ce qu elle ne fait notamment pas état de la finalité du traitement. Elle demande donc que la mention d information soit complétée afin de satisfaire aux exigences légales. Par ailleurs, elle constate qu aucune modalité d information des salariés de Monaco Télécom SAM n est prévue. Elle demande donc à ce que ces derniers soient valablement informés. Sur l exercice du droit d accès, de modification et de mise à jour Le droit d accès est exercé par voie postale et par le biais du site internet. Le délai de réponse est 30 jours. Les droits de modification et de mise à jour des données sont exercés par voie postale. La Commission constate ainsi que les modalités d exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 la Loi n 1.165, modifiée. V - Sur les destinataires du traitement et les personnes ayant accès au traitement Les destinataires du traitement Les informations sont communiquées aux personnes suivantes : - Direction de la Sûreté Publique ; - Douane française. Le responsable du traitement n indique pas le fondement légal ou réglementaire d une communication des informations à la douane française. La Commission n est donc pas en mesure de vérifier la légalité d une telle transmission de données. Elle demande que ces communications soient interrompues. Par ailleurs, elle estime que la communication à la Direction de la Sûreté Publique peut être justifiée par les besoins d une enquête judiciaire. A cet égard, elle rappelle qu en cas de transmission, les services de police ne pourront avoir accès aux informations objet du traitement que dans le strict cadre de leurs missions légalement conférées. Enfin, les données d identification électronique sont communiquées à Orange. 5
Les personnes ayant accès Les personnes habilitées à avoir accès au traitement sont la Direction des réseaux, la Direction du Service Client et la Direction des Systèmes d information en modification, mise à jour et consultation. Considérant les attributions de ces services, et eu égard à la finalité du traitement, la Commission considère que ces accès sont justifiés. VI - Sur la sécurité du traitement et des informations Au regard des éléments portés au dossier de demande d avis, la Commission n est pas en mesure de vérifier si les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations sont adéquates. VII Sur la durée de conservation Les informations nominatives sont conservées un an, conformément aux exigences du décret français n 2006-358 du 24 mars 2006 relatif à la conservation des données de communications électroniques. Toutefois, avant de se prononcer sur la validité de cette durée de conservation, la Commission attend les réponses aux points étudiés à la rubrique III de la présente délibération. Après en avoir délibéré, La Commission de Contrôle des Informations Nominatives émet un avis défavorable à la mise en œuvre, par MONACO TELECOM SAM, du traitement automatisé d informations nominatives ayant pour finalité «Gestion des connexions internet par WIFI et GSM». Subsidiairement, la Commission : Rappelle que le décret français n 2006-358 du 24 mars 2006 relatif à la conservation des données de communications électroniques n est pas applicable en Principauté ; 6
Demande, s agissant du dossier que le responsable de traitement devra lui soumettre à nouveau, que : - des précisions soient apportées sur la collecte de l URL des clients ; - lui soient communiquées les justifications légales ou réglementaires des communications d information à la douane française ; - les communications d information à la douane française soient interrompues ; - le traitement relatif à la «Gestion des clients et des abonnements convergents» soit soumis à l avis de la Commission ; - la mention d information soit complétée afin de satisfaire aux exigences légales et que les salariés de Monaco Télécom SAM soient valablement informés de leurs droits ; - la finalité du traitement soit modifiée de la manière suivante : «Gestion des connexions internet par WIFI et GSM». Le Président, Michel SOSSO 7