Source: https://journaldemonaco.gouv.mc/Journaux/2020/Journal-8478/Deliberation-n-2019-35-du-20-fevrier-2019-de-la-Commission-de-Controle-des-Informations-Nominatives-portant-avis-favorable-a-la-mise-en-oeuvre-du-traitement-automatise-d-informations-nominatives-ayant-pour-finalite-Echange-d-informations-entre-la-Direct
Timestamp: 2020-04-05 11:57:13+00:00

Document:
Délibération n° 2019-35 du 20 février 2019 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du t... / Journal 8478 / Année 2020 / Journaux / Accueil - Journal de Monaco
Délibération n° 2019-35 du 20 février 2019 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du t...
Délibération n° 2019-35 du 20 février 2019 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Échange d'informations entre la Direction de l'Expansion Économique et la CAMTI/CARTI en vue de contrôler l'effectivité de l'activité d'un travailleur indépendant à Monaco et la validité de son adresse professionnelle » présenté par la Caisse d'Assurance Maladie, accident et maternité des Travailleurs Indépendants (CAMTI) et la Caisse Autonome de Retraite des Travailleurs Indépendants (CARTI).
Vu la Convention de Sauvegarde des Droits de l'Homme et des Libertés Fondamentales du Conseil de l'Europe ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 644 du 17 janvier 1958 sur la retraite des travailleurs indépendants, modifiée ;
Vu la loi n° 1.144 du 26 juillet 1991 concernant l'exercice de certaines activités économiques et juridiques, modifiée ;
Vu la loi n° 1.165 du 23 décembre 1993, relative à la protection des informations nominatives, modifiée ;
Vu la loi n° 1.360 du 4 juillet 2009 sur le soutien et la protection sociale des artistes professionnels indépendants ;
Vu l'Ordonnance Souveraine n° 1.812 du 30 mai 1958 portant application de la loi n° 644 du 17 janvier 1958, modifiée, susvisée ;
Vu l'Ordonnance Souveraine n° 7.488 du 1er octobre 1982, modifiée, fixant les modalités d'application de la loi n° 1.048 du 28 juillet 1982, modifiée, susvisée ;
Vu l'Ordonnance Souveraine n° 11.986 du 2 juillet 1996 portant création de la Direction de l'Expansion Économique, modifiée ;
Vu l'arrêté ministériel n° 2010-638 du 23 décembre 2010 portant application de l'article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l'arrêté ministériel n° 2018-905 du 25 septembre 2018 habilitant la Direction de l'Expansion Économique, la CARTI et la CAMTI à échanger les informations nominatives utiles à la gestion des autorisations d'exercer une activité indépendante en Principauté et des procédures d'affiliation auprès des organismes sociaux des travailleurs indépendants ;
Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d'informations nominatives ;
Vu la Recommandation R(86) du Conseil de l'Europe du 23 janvier 1986 relative à la protection des données à caractère personnel utilisées à des fins de sécurité sociale ;
Vu le traitement automatisé d'informations nominatives ayant pour finalité « Gestion du domaine de recouvrement des cotisations » des Caisses Sociales de Monaco, objet d'un récépissé de mise en œuvre du 15 juillet 2002, modifié le 22 novembre 2007 ;
Vu la demande d'avis reçue le 9 novembre 2018 concernant la mise en œuvre par la Caisse d'Assurance Maladie, accident et maternité des Travailleurs Indépendants et la Caisse Autonome de Retraite des Travailleurs Indépendants d'un traitement automatisé d'informations nominatives ayant pour finalité « Échange d'informations en vue de contrôler l'effectivité de l'activité d'un travailleur indépendant à Monaco et la validité de son adresse professionnelle » ;
Vu la prorogation du délai d'examen de la présente demande d'avis notifiée à la CAMTI/CARTI le 7 janvier 2019, conformément à l'article19 de l'Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 20 février 2019 portant examen du traitement automatisé susvisé ;
La Caisse d'Assurance Maladie, accident et maternité des Travailleurs Indépendants (CAMTI) et la Caisse Autonome de Retraite des Travailleurs Indépendants (CARTI), sont des organismes de droit privé investis d'une mission d'intérêt général au sens de l'arrêté ministériel n° 2010-638 du 23 décembre 2010, ayant respectivement pour missions de gérer le régime obligatoire couvrant les risques maladie, accident et maternité des travailleurs indépendants, et d'assurer les service des pensions aux personnes exerçant ou ayant exercé à Monaco une activité professionnelle non salariée, et non susceptible comme telle d'ouvrir droit à une pension de retraite accordée par l'État.
Ainsi, le traitement d'informations nominatives objet de la présente délibération est soumis à l'avis de la Commission conformément à l'article 7 de la loi n° 1.165 du 23 décembre 1993.
Le traitement a pour finalité l'« Échange d'informations en vue de contrôler l'effectivité de l'activité d'un travailleur indépendant à Monaco et la validité de son adresse professionnelle ».
Les personnes concernées sont les « adhérents » à la CAMTI et à la CARTI.
Ses fonctionnalités sont les suivantes :
- le contrôle de l'effectivité de l'activité d'un travailleur indépendant en Principauté de Monaco ;
- le contrôle de la validité de son adresse professionnelle.
La Commission rappelle toutefois que tout traitement d'informations nominatives doit avoir une finalité « déterminée, explicite et légitime » aux termes de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.
En l'espèce, la finalité du présent traitement doit être plus explicite c'est-à-dire être claire et précise pour les personnes concernées en indiquant que l'échange d'informations peut s'effectuer entre la Direction de l'Expansion Économique (DEE) et la CAMTI / CARTI, comme prévu par l'arrêté ministériel n° 2018-905 du 25 septembre 2018 habilitant ces entités à échanger des informations.
Par conséquent, elle modifie la finalité comme suit : « Échange d'informations entre la Direction de l'Expansion Économique et la CAMTI / CARTI en vue de contrôler l'effectivité de l'activité d'un travailleur indépendant à Monaco et la validité de son adresse professionnelle ».
Elle relève par ailleurs que l'effectivité de l'activité d'un travailleur indépendant ainsi que la validité de son adresse professionnelle conditionnent tout à la fois le maintien de l'autorisation d'exercer son activité, et son adhésion à la CARTI / CAMTI.
En outre la Commission prend acte que « [Ces échanges] interviendront à l'initiative de la Direction de l'Expansion Économique ou de la Direction de la CAMTI et de la CARTI, lorsque l'une de ces entités ne dispose plus d'une adresse professionnelle valide ou ne parviennent pas à obtenir du travailleur indépendant des éléments probants en ce qui concerne la poursuite effective de son activité en Principauté », comme précisé à l'article 1er de l'arrêté ministériel n° 2018-905 du 25 septembre 2018, susvisé.
Aussi la Commission considère que la finalité du traitement est « déterminée, explicite et légitime », conformément à l'article 10-1 de la loi n° 1.165 du 23 décembre 1993.
II.Sur la licéité et la justification du traitement
La Commission relève que la CAMTI et la CARTI sont des régimes d'assurances obligatoires dont l'objet est le versement de prestations aux adhérents et à leurs ayants droit en contrepartie du paiement de cotisations.
Dès lors toute personne exerçant une activité professionnelle entrant dans leur champ d'intervention est tenue de s'y affilier.
Les allocations et prestations pouvant être octroyées au travailleur indépendant sont soumises l'adhésion de celui-ci, ainsi qu'au paiement des cotisations.
De plus aux termes de l'article premier de l'arrêté ministériel n° 2018-905, susvisé, la validité de l'adresse professionnelle constitue l'un des éléments conditionnant le maintien de l'autorisation d'exercer la profession de travailleur indépendant, ainsi que l'adhésion à la CAMTI / CARTI.
La Commission prend acte des précisions de la CAMTI / CARTI selon lesquelles elles doivent disposer d'une adresse professionnelle valide et doivent pourvoir s'assurer de l'exercice effectif d'une activité en Principauté. Aussi, la CAMTI et la CARTI « sont fondées à suivre les décisions d'adhésion, de radiation ou de révocation prises par les Autorités Gouvernementales compétentes. »
La Commission constate que l'arrêté ministériel n° 2018-905 susvisé prévoit et encadre les échanges d'informations entre la DEE et la CAMTI / CARTI.
Elle note par ailleurs que la loi n° 1.144 du 26 juillet 1991 concernant l'exercice de certaines activités économiques précise, en son article 9, que la déclaration d'activité ou l'autorisation d'activité peut être suspendue ou révoquée notamment « si l'auteur de la déclaration, le titulaire de l'autorisation ou la société ne dispose plus de locaux adaptés à l'exercice de ses activités ».
À cet égard la CAMTI / CARTI a indiqué que la mise en œuvre du traitement en objet permettra à la Direction de l'Expansion Économique d'identifier les travailleurs indépendants pour lesquels des vérifications complémentaires seraient requises aux fins notamment de valider l'adéquation du local, voire la poursuite effective de l'activité.
Dans ce cadre, le résultat des recherches effectuées par la DEE permettra à la CAMTI / CARTI de confirmer la validité de l'immatriculation en cours.
Sur ce point, la Commission relève que l'arrêté ministériel n° 2018-905 du 25 septembre 2018 habilite la DEE à transmettre des informations nominatives à la CAMTI et à la CARTI.
Elle rappelle toutefois que cette transmission ne pourra s'effectuer qu'après avoir été soumise à son avis.
Sous le bénéfice de cet élément la Commission considère que le traitement est licite et justifié au sens des articles 10-1 et 10-2 de la loi n° 1.165.
III. Sur les informations traitées
- identité : nom, prénom, dénomination commerciale s'il y a lieu ;
- adresses et coordonnées : adresse professionnelle, date du premier retour de courrier NPAI (n'habite pas à l'adresse indiquée) ;
- caractéristiques financières : défaut de paiement des cotisations lorsque l'antériorité de cette situation et l'échec des procédures de recouvrement suggèrent l'absence de poursuite d'une activité effective.
Ces informations ont pour origine le traitement ayant pour finalité la « Gestion du domaine recouvrement des cotisations », légalement mis en œuvre par les Caisses Sociales de Monaco et sont conformes aux dispositions de l'article 2 de l'arrêté ministériel n° 2018-905 du 25 septembre 2018, susmentionné.
La Commission constate en outre que sont également collectés les logs de connexion des personnels ayant accès au traitement.
Elle considère que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993\.
IV. Sur les droits des personnes concernées
Sur l'information préalable des personnes concernées
L''information préalable des personnes concernées s'effectue par le biais d'une rubrique propre à la protection des données accessible en ligne.
Ce document n'ayant pas été joint à la demande d'avis, la Commission rappelle que l'information préalable des personnes concernées doit comporter l'ensemble des mentions prévues à l'article 14 de la loi n° 1.165 du 23 décembre 1993.
Sur l'exercice du droit d'accès, de modification et de mise à jour
Le droit d'accès s'exerce en ligne, par courrier électronique, par voie postale ou sur place, auprès du Délégué à la Protection des Données ou des personnes chargées de l'accueil physique.
S'agissant de l'exercice du droit d'accès par voie électronique, la Commission considère qu'une procédure devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations. À ce titre, elle précise que si une copie d'un document d'identité était demandée, la transmission et le traitement de ce document devront faire l'objet de mesures de protection particulières comme rappelé dans sa délibération n° 2015-116 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d'identité officiels.
Sous cette condition, la Commission constate que les modalités d'exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993.
V. Sur les destinataires et les personnes ayant accès au traitement
Sur les destinataires
Les informations seront transmises à la Direction de l'Expansion Économique.
Sur ce point la Commission rappelle que ces transmissions ne peuvent intervenir que lorsque la CAMTI / CARTI ne dispose plus d'une adresse professionnelle valide ou ne parvient pas à obtenir du travailleur indépendant des éléments probants en ce qui concerne la poursuite effective de son activité en Principauté, conformément à l'article 1er de l'arrêté ministériel n° 2018-905 du 25 septembre 2018, susvisé.
Sous réserve de cette précision elle considère que ces transmissions sont conformes aux exigences légales.
Sur les personnes ayant accès au traitement
Les personnes habilitées à avoir accès au traitement sont les agents du Service recouvrement des cotisations : tous droits.
La Commission considère que ces accès sont justifiés.
VI. Sur les interconnexions et rapprochements
Le responsable de traitement indique que le présent traitement fait l'objet d'une interconnexion avec le traitement de « Gestion du domaine de recouvrement des cotisations. »
La Commission relève toutefois qu'il appert un rapprochement avec le traitement « Gestion du personnel et production de statistiques sur les utilisations de la messagerie et de l'internet » ainsi qu'une interconnexion avec le traitement lié à la gestion des habilitations « Gestion des accès aux systèmes d'information opérés par les caisses sociales ».
Elle constate que ces traitements sont légalement mis en œuvre.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation particulière.
La Commission rappelle néanmoins que les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
Elle rappelle également que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.
De plus, les communications électroniques doivent être sécurisées en tenant compte de la nature des informations transmises.
VIII. Sur la durée de conservation
Les informations sont conservées 2 ans afin d'identifier, au sein de la liste des travailleurs indépendants dont l'adresse n'est plus valide, ceux qui ont déjà fait l'objet d'une transmission à la Direction de l'Expansion Économique.
La Commission considère que cette durée de conservation est conforme aux exigences légales.
Elle rappelle en outre que les logs de connexion doivent être conservés entre 3 mois et 1 an.
Après en avoir délibéré, la Commission :
Modifie la finalité du traitement par « Échange d'informations entre la Direction de l'Expansion Économique et la CAMTI / CARTI en vue de contrôler l'effectivité de l'activité d'un travailleur indépendant à Monaco et la validité de son adresse professionnelle ».
Constate que les logs de connexion sont collectés.
Considère qu'une procédure relative au droit d'accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations.
Rappelle que :
- la transmission d'informations nominatives de la Direction de l'Expansion Économique à la CAMTI et à la CARTI ne pourra s'effectuer qu'après avoir été soumise à la CCIN ;
- l'information préalable des personnes concernées doit comporter l'ensemble des mentions prévues à l'article 14 de la loi n° 1.165 du 23 décembre 1993 ;
- les transmissions d'informations à la Direction de l'Expansion Économique ne peuvent intervenir que lorsque la CAMTI / CARTI ne dispose plus d'une adresse professionnelle valide ou ne parvient pas à obtenir du travailleur indépendant des éléments probants en ce qui concerne la poursuite effective de son activité en Principauté ;
- les logs de connexion doivent être conservés entre 3 mois et 1 an ;
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé ;
- les communications électroniques doivent être sécurisées en tenant compte de la nature des informations transmises.
À la condition de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par la Caisse d'Assurance Maladie, accident et maternité des Travailleurs Indépendants (CAMTI) et la Caisse Autonome de Retraite des Travailleurs Indépendants (CARTI) du traitement automatisé d'informations nominatives ayant pour finalité « Échange d'informations entre la Direction de l'Expansion Économique et la CAMTI / CARTI en vue de contrôler l'effectivité de l'activité d'un travailleur indépendant à Monaco et la validité de son adresse professionnelle ».
Le Président de la Commission de Contrôle des Informations Nominatives.

References: l'article 7
 l'article19
 l'article 7
 l'article 10
 l'article 1
 l'article 10
 l'article 2
 l'article 10
 l'article 14
 l'article 1
 l'article 17
 l'article 14