Commission de contrôle des informations nominatives

La Commission de contrôle des informations nominatives (ou CCIN) est une institution monégasque chargée de veiller à la protection des données personnelles. Instituée par l'article 2 de la loi n° 1.165 du 23 décembre 1993 réglementant les traitements d'informations nominatives, la CCIN est une autorité administrative indépendante. À ce titre, elle agit « au nom de l'État et dispose d'un réel pouvoir, sans pour autant relever de l'autorité du Gouvernement ».

Composition[modifier | modifier le code]

Les articles 4 et 5 de la loi n°1.165 du 23 décembre 1993, modifiée, disposent que la CCIN est composée de 6 membres proposés en raison de leur compétence, nommés par Ordonnance Souveraine pour une période de 5 ans renouvelable une fois. Les membres sont proposés comme suit :

Un membre par le Conseil National ;
Un membre par le Conseil d’État ;
Un membre par le Ministre d’État ;
Un membre, ayant la qualité de magistrat du siège, par le Directeur des Services Judiciaires ;
Un membre par le Conseil Communal ;
Un membre par le Conseil Economique et Social.

La Commission élit en son sein, à la majorité absolue, un Président et un Vice-président.
Les membres de la Commission actuelle ont été nommés par Ordonnance Souveraine en date des 19 juin 2009 et 2 septembre 2011. Le Président et le Vice-président de la Commission ont été élus le 6 juillet 2009 lors de la première session plénière de la Commission.

Indépendance[modifier | modifier le code]

Afin d’assurer l’indépendance de la Commission, l’Ordonnance Souveraine n° 2.230 fixant les modalités d'application de la loi n° 1.165, modifiée, énonce dans son article 5 que « la qualité de membre de la commission est incompatible avec :

celle de conseiller National ou Communal ;
celle de conseiller d’État ;
celle de magistrat en position d’activité, sauf pour le membre proposé par le Directeur des Services Judiciaires ;
celle de fonctionnaire ou d’agent de l’État, de la Commune ou d’un établissement public, en position d’activité ;
l’exercice de fonctions ou la détention de participations dans des entreprises monégasques ou étrangères concourant à la fabrication de matériel utilisé en informatique ou en télécommunication ou à la fourniture de services en informatique ou en télécommunication ».

L’indépendance d’une autorité de contrôle est primordiale dans la défense des droits et libertés fondamentales des individus. C’est pourquoi, depuis l’entrée en vigueur des nouvelles dispositions légales, la CCIN a mis un point d’honneur à organiser et à faire accepter cette indépendance, vis-à-vis de toute autorité.

À cet égard, elle refuse d’être soumise à un contrôle préalable de ses dépenses ou au recrutement de son personnel par un service de l’État. Une telle acceptation de sa part constituerait en effet une violation de la loi n°1.165 du 23 décembre 1993, modifiée, et des principes européens, qui mettraient en péril l’obtention de la protection adéquate que Monaco cherche actuellement à acquérir.

Prérogatives[modifier | modifier le code]

La CCIN a pour mission de veiller au respect des libertés et droits fondamentaux des personnes dans un domaine particulier : l’utilisation de leurs informations personnelles.

Elle s’assure ainsi que l’exploitation informatique qui en est faite ne porte pas atteinte à la vie privée des justiciables, à leur liberté d’aller et de venir, à leur liberté de conscience, (…).Dans ce cadre, elle exerce :

Mission d’enregistrement et d’instruction des dossiers[modifier | modifier le code]

À ce titre, elle :

examine les déclarations de mise en œuvre des traitements des personnes physiques ou morales de droit privé ;
instruit et donne un avis sur les demandes d’avis des traitements mis en œuvre par une personne morale de droit public, autorité publique, organisme privé investi d’une mission d’intérêt général ou concessionnaire d’un service public porté sur une liste établie par Arrêté Ministériel ;
formule un avis motivé pour tout traitement ayant pour fin la recherche dans le domaine de la santé ;
autorise la mise en œuvre des traitements portant sur des soupçons d’activités illicites, des infractions, des mesures de sûreté comportant des données biométriques nécessaires au contrôle de l’identité des personnes mis en œuvre à des fins de surveillance et qui poursuivent un intérêt légitime ;
autorise le transfert d’informations nominatives vers des pays ou organismes n’assurant pas un niveau de protection adéquat ;
recueille et instruit les plaintes et les pétitions qui lui sont adressées.

Mission de conseil et de proposition[modifier | modifier le code]

À ce titre, elle :

propose aux autorités compétentes des mesures générales propres à assurer le contrôle et la sécurité des traitements ;
propose aux autorités compétentes des mesures spéciales ou circonstancielles, y compris, à titre exceptionnel, la destruction des supports d’informations ;
formule des recommandations ;
informe les personnes de leurs droits et de leurs obligations en répondant à leurs questions, en communiquant sur la protection des données ;
établit et diffuse des rapports publics ;
publie un rapport annuel sur ses activités.

La CCIN est consultée par le Ministre d’État lors de l’élaboration de mesures législatives ou règlementaires ayant trait à la protection d’informations nominatives.

Mission de contrôle et d’investigation[modifier | modifier le code]

À ce titre, elle :

prononce des avertissements ;
adresse des mises en demeure ;
dénonce au Procureur Général les faits constitutifs d’infractions ;
contrôle sur place ou sur pièces le fonctionnement des traitements automatisés ;
saisit le Ministre d’État lorsque des irrégularités sont constatées à l’encontre de personnes morales de droit public ;
saisit le Président du Tribunal de Première Instance en cas de mise en demeure infructueuse.

Outre les missions conférées par la loi, la CCIN doit, en application de la Convention 108, coopérer avec les autorités de contrôle de la protection des données des États parties à cette dernière.

Moyens[modifier | modifier le code]

La CCIN dispose d'un budget autonome dont les crédits sont inscrits dans un chapitre spécifique du budget de l'État

Secrétariat[modifier | modifier le code]

Un Secrétaire Général
Un Chef de Division de Contrôle ;
Deux techniciens
Quatre administrateurs juridiques ;
Un administrateur administratif ;
Un attaché principal ;
Une secrétaire sténodactylographe.

Vous êtes un particulier[modifier | modifier le code]

La personne concernée par la collecte d’informations dispose de droits :

droit à l’information ;
droit d’accès à ses données personnelles ;
droit d’opposition ;
droit de rectification ;
droit de suppression.

Droit à l'information[modifier | modifier le code]

Vous avez un droit de regard sur vos données personnelles. L’article 14 de la loi précise que vous devez être prévenu de la collecte de vos informations et de l’utilisation dont elles vont faire l’objet. Ainsi, vous devez être averti :

de l’identité du responsable de traitement et le cas échéant de celle de son représentant à Monaco ;
de la finalité du traitement (c’est-à-dire l’objectif pour lequel les données ont été collectées) ;
du caractère obligatoire ou facultatif des réponses ;
des conséquences de l’absence de réponse ;
de l’identité des destinataires ;
de votre droit d’opposition, d’accès et de rectification de vos données personnelles ;
de votre droit à vous opposer à l’utilisation de vos informations pour le compte de tiers, à la transmission de ces dernières à des tiers à des fins de prospections notamment commerciales, etc.

Ce droit à l'information ne s'applique pas aux traitements :

intéressant la sécurité publique ;
relatifs aux infractions, condamnations ou mesures de sûreté ;
ayant pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales.

Droit d'accès[modifier | modifier le code]

Vous avez le droit de savoir si vous êtes concerné par un traitement automatisé. Les articles 13 et 15 de la loi vous octroient le droit d’accéder à vos informations personnelles.

Vous disposez pour cela d’un droit d’accès direct :

Après vous être identifié auprès du responsable de traitement, vous pouvez obtenir la confirmation qu’il détient des données vous concernant. Le cas échéant, il vous sera alors révélé :

les catégories d’informations enregistrées ;
la finalité du traitement (le but de cette collecte de données) ;
le ou les destinataires des données.

Vous pourrez, dès lors, demander au responsable de traitement qu’il vous communique par écrit, de manière non codée, toutes les informations qu’il détient sur vous. Pour exercer votre droit d’accès, vous devez contacter le responsable de traitement qui vous indiquera la procédure à suivre. Dans le cas contraire, vous pouvez venir consulter le répertoire public des traitements et saisir la CCIN pour faire respecter vos droits.

Vous disposez également d’un droit d’accès indirect :

Ce droit reste particulier car il concerne les traitements intéressant la sécurité publique, relatifs aux infractions, condamnations ou mesures de sûreté et/ou ayant pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales. Il concerne notamment certains traitements automatisés de la Direction de la Sûreté Publique.
Pour vous permettre d’exercer ce droit, la CCIN devient votre interlocuteur unique. Vous devez adresser au Président de la Commission une demande de vérification de vos informations personnelles (www.ccin.mc).
Toute demande de vérification jugée infondée ne fera l’objet d’aucune suite.

Droit d'opposition[modifier | modifier le code]

L’article 13 de la loi vous reconnaît le droit de vous opposer, pour des raisons légitimes, à ce que vos informations nominatives figurent dans un traitement automatisé.
Ce droit n’est pas opposable aux personnes morales de droit public (État, Commune, Établissements publics, etc.) ou aux personnes morales de droit privé investies d’une mission d’intérêt général ou concessionnaires d’un service public qui exploitent un traitement informatisé dans le cadre d’une mission d’intérêt général.

Droit de rectification[modifier | modifier le code]

Ce droit est reconnu par les articles 13 et 16 de la loi. Ainsi, vous pouvez faire rectifier, compléter, clarifier ou actualiser vos données personnelles, dès lors que ces dernières s’avèrent être inexactes, incomplètes, équivoques ou périmées. Vous pouvez par la suite obtenir du responsable de traitement une copie de l’enregistrement modifié sans frais à votre charge.
Pour toute rectification d’informations contenues dans un traitement intéressant la sécurité publique, relatif aux infractions, condamnations ou mesures de sûreté et/ou ayant pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales mis en œuvre par une autorité judiciaire ou administrative, vous devez saisir le Président de la CCIN d’une demande de droit d’accès indirect.

Droit de suppression[modifier | modifier le code]

L’article 16 de la loi vous permet d’exiger la suppression de toutes informations vous concernant si elles se révèlent être inexactes, incomplètes, équivoques ou périmées. Vous pouvez également exercer ce droit lorsque la collecte, l’enregistrement, la communication ou la conservation de vos données est prohibé.

Vous êtes une entreprise[modifier | modifier le code]

Toute personne physique ou morale de droit privé désirant exploiter un traitement automatisé contenant des informations nominatives doit au préalable effectuer des formalités auprès de la CCIN.
Quatre procédures s'offrent à elle

déclaration ordinaire ;
déclaration simplifiée ;
demande d’autorisation ;
demande d’avis.

Le responsable de traitement devra déterminer la procédure dont relève le traitement qu'il désire mettre en œuvre. Pour cela, il analysera l'objectif de son fichier et en fonction de ce dernier, remplira le formulaire de déclaration ordinaire, déclaration simplifiée, demande d'autorisation ou de demande d'avis.

Déclaration ordinaire[modifier | modifier le code]

Les personnes physiques et morales de droit privé relèvent en principe du régime de la déclaration ordinaire.
Pour être recevable, le dossier devra être dûment complété et adressé à la CCIN par courrier en RAR ou déposé au Secrétariat de la CCIN contre-reçu.
Si le dossier est complet, le Président de la CCIN délivre un récépissé de mise en œuvre au responsable de traitement. Dans le cas contraire, le dossier est déclaré incomplet et retourné au responsable de traitement pour modification.

Déclaration simplifiée[modifier | modifier le code]

Seuls les traitements ne présentant manifestement pas d’atteinte aux droits et libertés des personnes relèvent d’une déclaration simplifiée.
Pour bénéficier de cette procédure simplifiée, le responsable de traitement devra vérifier que le fichier automatisé qu’il désire mettre en œuvre est bien conforme aux conditions déterminées par le traitement type décrit par Arrêté Ministériel.
Il s’assurera de ne pas utiliser plus d’informations que prévu par l’Arrêté qui correspond à son traitement, sachant que ce dernier fixe pour une finalité donnée, les données collectées, leur durée de conservation, leurs destinataires, etc.
Lorsque le traitement correspond en tous points à l’Arrêté Ministériel invoqué, le responsable de traitement devra transmettre le dossier de déclaration simplifiée à la CCIN par courrier en RAR soit déposé directement au Secrétariat de la CCIN contre-reçu.
Si le dossier est complet, le Président de la CCIN délivre un récépissé de mise en œuvre.
Dans le cas contraire, le dossier est déclaré incomplet et retourné au responsable de traitement pour complément d’informations.
Tout traitement déclaré par le biais d’une déclaration simplifiée qui ne répond pas au contenu de l’Arrêté Ministériel de référence est illégal !

Demande d'autorisation[modifier | modifier le code]

Les traitements automatisés comportant des données nominatives portant sur des soupçons d’activités illicites, des infractions, des mesures de sûreté, comportant des données biométriques nécessaires au contrôle de l’identité des personnes, ou mis en œuvre à des fins de surveillance, sont soumis à l’autorisation de la Commission.
Ce régime concerne également tous les traitements comportant des transferts de données vers des pays ne disposant pas d’un niveau de protection adéquat, c’est-à-dire d’une législation équivalente à la législation monégasque en matière de protection des informations nominatives. La liste de ces pays est consultable sur le site internet de la CCIN (www.ccin.mc)
Lorsque le dossier d’autorisation est établi, il doit être adressé, accompagné de ses annexes et de tout document explicatif, à la CCIN par courrier RAR ou déposé au Secrétariat contre-reçu.
Lorsque ce dernier est déclaré incomplet, il est retourné au responsable de traitement pour régularisation.
Dans le cas où le dossier est recevable, la Commission dispose de deux mois à compter de la date de réception pour statuer. Ce délai peut-être renouvelé une fois pour une durée identique.
Après analyse du dossier, si la Commission donne son autorisation, le responsable de traitement peut légalement exploiter le fichier automatisé concerné.
Si la Commission formule un refus d’autorisation, le traitement ne pourra pas être mis en œuvre et aucune opération ne pourra être réalisée.

Demande d'avis[modifier | modifier le code]

Cette procédure constitue une mesure très exceptionnelle pour les personnes physiques ou morales de droit privé. Seuls les traitements relatifs à la recherche dans le domaine de la santé (hors recherche biomédicale) sont soumis à ce type de formalité.
Le dossier de demande d’avis, accompagné d’annexes et de tout document explicatif pouvant permettre à la Commission d’apprécier la licéité du traitement et la qualité des informations nominatives doit être adressé à la CCIN en RAR ou déposé à son Secrétariat contre-reçu.
Lorsque le dossier est incomplet, il est retourné au responsable de traitement pour régularisation. Dans le cas où le dossier est recevable, la Commission dispose de deux mois à partir de la date de la réception pour rendre son avis. Ce délai peut être renouvelé une fois pour une durée identique.
Après analyse du dossier, si la Commission prononce un avis favorable le traitement ne pourra être mis en œuvre qu’après publication au Journal de Monaco, par le responsable de traitement, de l’avis de la CCIN et de la décision de mise en œuvre.
Si la Commission formule un avis défavorable, le traitement ne pourra pas être mis en œuvre. Seul un Arrêté Ministériel motivé permettra, le cas échéant, sa mise en œuvre.
Procédures particulières

Procédure de modification : Dès lors qu’une modification intervient dans l’un des éléments d’un traitement automatisé déclaré, le responsable de traitement est tenu de constituer un nouveau dossier.
Procédure de suppression : Le responsable de traitement est tenu d’aviser la CCIN de toute suppression de traitement par simple courrier à l’attention du Président de la CCIN.

Actualité[modifier | modifier le code]

La reconnaissance du niveau de protection adéquat de la Principauté de Monaco. Cela permettra à terme d’avoir une liberté de circulation des informations nominatives des pays de l’Union Européenne vers la Principauté. Actuellement, le processus de reconnaissance suit son cours, l’étape 3 a été atteinte et le Groupe 29 doit se prononcer dans les mois à venir quant à un avis favorable ou non.
Pour plus d’informations, veuillez vous référer au magazine de la CCIN « Droit d’Accès : Edition spéciale protection adéquate », téléchargeable en ligne sur le site de la Commission.