Commission de contrôle des informations nominatives

À ce titre, elle :

• examine les déclarations de mise en œuvre des traitements des personnes physiques ou morales de droit privé ;

• instruit et donne un avis sur les demandes d’avis des traitements mis en œuvre par une personne morale de droit public, autorité publique, organisme privé investi d’une mission d’intérêt général ou concessionnaire d’un service public porté sur une liste établie par Arrêté Ministériel ;

• formule un avis motivé pour tout traitement ayant pour fin la recherche dans le domaine de la santé ;

• autorise la mise en œuvre des traitements portant sur des soupçons d’activités illicites, des infractions, des mesures de sûreté comportant des données biométriques nécessaires au contrôle de l’identité des personnes mis en œuvre à des fins de surveillance et qui poursuivent un intérêt légitime ;

• autorise le transfert d’informations nominatives vers des pays ou organismes n’assurant pas un niveau de protection adéquat ;

• recueille et instruit les plaintes et les pétitions qui lui sont adressées.

À ce titre, elle :

• propose aux autorités compétentes des mesures générales propres à assurer le contrôle et la sécurité des traitements ;
• propose aux autorités compétentes des mesures spéciales ou circonstancielles, y compris, à titre exceptionnel, la destruction des supports d’informations ;
• formule des recommandations ;
• informe les personnes de leurs droits et de leurs obligations en répondant à leurs questions, en communiquant sur la protection des données ;
• établit et diffuse des rapports publics ;
• publie un rapport annuel sur ses activités.

La CCIN est consultée par le Ministre d’État lors de l’élaboration de mesures législatives ou règlementaires ayant trait à la protection d’informations nominatives.

À ce titre, elle :

• prononce des avertissements ;
• adresse des mises en demeure ;
• dénonce au Procureur Général les faits constitutifs d’infractions ;
• contrôle sur place ou sur pièces le fonctionnement des traitements automatisés ;
• saisit le Ministre d’État lorsque des irrégularités sont constatées à l’encontre de personnes morales de droit public ;
• saisit le Président du Tribunal de Première Instance en cas de mise en demeure infructueuse.

Outre les missions conférées par la loi, la CCIN doit, en application de la Convention 108, coopérer avec les autorités de contrôle de la protection des données des États parties à cette dernière.

• Un Secrétaire Général
• Un Chef de Division de Contrôle ;
• Deux techniciens
• Quatre administrateurs juridiques ;
• Un administrateur administratif ;
• Un attaché principal ;
• Une secrétaire sténodactylographe.

Vous avez un droit de regard sur vos données personnelles. L’article 14 de la loi précise que vous devez être prévenu de la collecte de vos informations et de l’utilisation dont elles vont faire l’objet. Ainsi, vous devez être averti :

• de l’identité du responsable de traitement et le cas échéant de celle de son représentant à Monaco ;

• de la finalité du traitement (c’est-à-dire l’objectif pour lequel les données ont été collectées) ;

• du caractère obligatoire ou facultatif des réponses ;

• des conséquences de l’absence de réponse ;

• de l’identité des destinataires ;

• de votre droit d’opposition, d’accès et de rectification de vos données personnelles ;

• de votre droit à vous opposer à l’utilisation de vos informations pour le compte de tiers, à la transmission de ces dernières à des tiers à des fins de prospections notamment commerciales, etc.

Ce droit à l'information ne s'applique pas aux traitements :

• intéressant la sécurité publique ;
• relatifs aux infractions, condamnations ou mesures de sûreté ;
• ayant pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales.

Vous avez le droit de savoir si vous êtes concerné par un traitement automatisé. Les articles 13 et 15 de la loi vous octroient le droit d’accéder à vos informations personnelles.

• Vous disposez pour cela d’un droit d’accès direct :

Après vous être identifié auprès du responsable de traitement, vous pouvez obtenir la confirmation qu’il détient des données vous concernant. Le cas échéant, il vous sera alors révélé :

• les catégories d’informations enregistrées ;
• la finalité du traitement (le but de cette collecte de données) ;
• le ou les destinataires des données.

Vous pourrez, dès lors, demander au responsable de traitement qu’il vous communique par écrit, de manière non codée, toutes les informations qu’il détient sur vous. Pour exercer votre droit d’accès, vous devez contacter le responsable de traitement qui vous indiquera la procédure à suivre. Dans le cas contraire, vous pouvez venir consulter le répertoire public des traitements et saisir la CCIN pour faire respecter vos droits.

• Vous disposez également d’un droit d’accès indirect :

Ce droit reste particulier car il concerne les traitements intéressant la sécurité publique, relatifs aux infractions, condamnations ou mesures de sûreté et/ou ayant pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales. Il concerne notamment certains traitements automatisés de la Direction de la Sûreté Publique.
Pour vous permettre d’exercer ce droit, la CCIN devient votre interlocuteur unique. Vous devez adresser au Président de la Commission une demande de vérification de vos informations personnelles (www.ccin.mc).
Toute demande de vérification jugée infondée ne fera l’objet d’aucune suite.

L’article 13 de la loi vous reconnaît le droit de vous opposer, pour des raisons légitimes, à ce que vos informations nominatives figurent dans un traitement automatisé.
Ce droit n’est pas opposable aux personnes morales de droit public (État, Commune, Établissements publics, etc.) ou aux personnes morales de droit privé investies d’une mission d’intérêt général ou concessionnaires d’un service public qui exploitent un traitement informatisé dans le cadre d’une mission d’intérêt général.

Ce droit est reconnu par les articles 13 et 16 de la loi. Ainsi, vous pouvez faire rectifier, compléter, clarifier ou actualiser vos données personnelles, dès lors que ces dernières s’avèrent être inexactes, incomplètes, équivoques ou périmées. Vous pouvez par la suite obtenir du responsable de traitement une copie de l’enregistrement modifié sans frais à votre charge.
Pour toute rectification d’informations contenues dans un traitement intéressant la sécurité publique, relatif aux infractions, condamnations ou mesures de sûreté et/ou ayant pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales mis en œuvre par une autorité judiciaire ou administrative, vous devez saisir le Président de la CCIN d’une demande de droit d’accès indirect.

L’article 16 de la loi vous permet d’exiger la suppression de toutes informations vous concernant si elles se révèlent être inexactes, incomplètes, équivoques ou périmées. Vous pouvez également exercer ce droit lorsque la collecte, l’enregistrement, la communication ou la conservation de vos données est prohibé.

Les personnes physiques et morales de droit privé relèvent en principe du régime de la déclaration ordinaire.
Pour être recevable, le dossier devra être dûment complété et adressé à la CCIN par courrier en RAR ou déposé au Secrétariat de la CCIN contre-reçu.
Si le dossier est complet, le Président de la CCIN délivre un récépissé de mise en œuvre au responsable de traitement. Dans le cas contraire, le dossier est déclaré incomplet et retourné au responsable de traitement pour modification.

Seuls les traitements ne présentant manifestement pas d’atteinte aux droits et libertés des personnes relèvent d’une déclaration simplifiée.
Pour bénéficier de cette procédure simplifiée, le responsable de traitement devra vérifier que le fichier automatisé qu’il désire mettre en œuvre est bien conforme aux conditions déterminées par le traitement type décrit par Arrêté Ministériel.
Il s’assurera de ne pas utiliser plus d’informations que prévu par l’Arrêté qui correspond à son traitement, sachant que ce dernier fixe pour une finalité donnée, les données collectées, leur durée de conservation, leurs destinataires, etc.
Lorsque le traitement correspond en tous points à l’Arrêté Ministériel invoqué, le responsable de traitement devra transmettre le dossier de déclaration simplifiée à la CCIN par courrier en RAR soit déposé directement au Secrétariat de la CCIN contre-reçu.
Si le dossier est complet, le Président de la CCIN délivre un récépissé de mise en œuvre.
Dans le cas contraire, le dossier est déclaré incomplet et retourné au responsable de traitement pour complément d’informations.
Tout traitement déclaré par le biais d’une déclaration simplifiée qui ne répond pas au contenu de l’Arrêté Ministériel de référence est illégal !

Les traitements automatisés comportant des données nominatives portant sur des soupçons d’activités illicites, des infractions, des mesures de sûreté, comportant des données biométriques nécessaires au contrôle de l’identité des personnes, ou mis en œuvre à des fins de surveillance, sont soumis à l’autorisation de la Commission.
Ce régime concerne également tous les traitements comportant des transferts de données vers des pays ne disposant pas d’un niveau de protection adéquat, c’est-à-dire d’une législation équivalente à la législation monégasque en matière de protection des informations nominatives. La liste de ces pays est consultable sur le site internet de la CCIN (www.ccin.mc)
Lorsque le dossier d’autorisation est établi, il doit être adressé, accompagné de ses annexes et de tout document explicatif, à la CCIN par courrier RAR ou déposé au Secrétariat contre-reçu.
Lorsque ce dernier est déclaré incomplet, il est retourné au responsable de traitement pour régularisation.
Dans le cas où le dossier est recevable, la Commission dispose de deux mois à compter de la date de réception pour statuer. Ce délai peut-être renouvelé une fois pour une durée identique.
Après analyse du dossier, si la Commission donne son autorisation, le responsable de traitement peut légalement exploiter le fichier automatisé concerné.
Si la Commission formule un refus d’autorisation, le traitement ne pourra pas être mis en œuvre et aucune opération ne pourra être réalisée.

Cette procédure constitue une mesure très exceptionnelle pour les personnes physiques ou morales de droit privé. Seuls les traitements relatifs à la recherche dans le domaine de la santé (hors recherche biomédicale) sont soumis à ce type de formalité.
Le dossier de demande d’avis, accompagné d’annexes et de tout document explicatif pouvant permettre à la Commission d’apprécier la licéité du traitement et la qualité des informations nominatives doit être adressé à la CCIN en RAR ou déposé à son Secrétariat contre-reçu.
Lorsque le dossier est incomplet, il est retourné au responsable de traitement pour régularisation. Dans le cas où le dossier est recevable, la Commission dispose de deux mois à partir de la date de la réception pour rendre son avis. Ce délai peut être renouvelé une fois pour une durée identique.
Après analyse du dossier, si la Commission prononce un avis favorable le traitement ne pourra être mis en œuvre qu’après publication au Journal de Monaco, par le responsable de traitement, de l’avis de la CCIN et de la décision de mise en œuvre.
Si la Commission formule un avis défavorable, le traitement ne pourra pas être mis en œuvre. Seul un Arrêté Ministériel motivé permettra, le cas échéant, sa mise en œuvre.
Procédures particulières

• Procédure de modification : Dès lors qu’une modification intervient dans l’un des éléments d’un traitement automatisé déclaré, le responsable de traitement est tenu de constituer un nouveau dossier.

• Procédure de suppression : Le responsable de traitement est tenu d’aviser la CCIN de toute suppression de traitement par simple courrier à l’attention du Président de la CCIN.

• Préposé fédéral à la protection des données (Suisse)

• Site officiel