Questions fréquentes
Jusqu’au 28 novembre 2024, la protection des données personnelles était garantie en Principauté par la Loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives.
Celle-ci a, entre autres, institué la Commission de Contrôle des Informations Nominatives (CCIN), une Autorité Administrative Indépendante en charge de contrôler et vérifier le respect des dispositions législatives et règlementaires en matière de données personnelles sur le territoire monégasque.
Au fil du temps, cette législation a évolué pour tenir compte du développement toujours plus rapide des technologies, conjugué à la mondialisation des flux, ainsi que des instruments juridiques adoptés au niveau européen, respectivement par le Conseil de l’Europe et l’Union européenne.
Toutefois, suite à la signature de la Convention 108+ du Conseil de l’Europe et à l’adoption par l’Union européenne en 2016 de son « paquet européen de protection des données », à savoir du Règlement Général sur la Protection des Données (RGPD) et de la Directive « Police-Justice », il est devenu indispensable pour la Principauté de moderniser son cadre juridique de protection des données ; chose désormais faite avec l‘adoption le 28 novembre 2024 de la nouvelle Loi relative à la protection des données personnelles.
En prenant en compte la Convention 108+ du Conseil de l’Europe et le « paquet européen de protection des données » de l’Union européenne dans l’élaboration de sa nouvelle loi, la Principauté a souhaité se doter d’un niveau de protection adapté aux nouvelles exigences européennes en matière de protection des données à caractère personnel dans le but d’obtenir de la Commission européenne une décision dite « d’adéquation » qui devrait grandement faciliter les échanges de données avec les pays de l’Union européenne.
La Loi reprend ainsi entre autres les critères du RGPD dont la portée est à la fois territoriale et extraterritoriale, ainsi que les grands principes prévus à la fois par la Convention 108+ et le RGPD. Les informations nominatives deviennent des données personnelles, conformément aux deux textes européens et l’Autorité de Protection des Données Personnelles (APDP) remplace la CCIN.
La nouvelle Loi inclut également de nouveaux droits pour les personnes concernées, en particulier la portabilité des données et la limitation du traitement, et supprime un très grand nombre de formalités préalables en vertu du principe de responsabilisation.
Elle intègre par ailleurs les outils de mise en conformité des traitements applicables à la fois aux responsables du traitement et aux sous-traitants, comme par exemple la désignation d’un Délégué à la Protection des Données et l’analyse d’impact.
Elle renforce en outre les obligations du sous-traitant ainsi que la sécurité des données et de leur traitement par l’introduction des nouveaux concepts européens, tels que la protection des données dès la conception et par défaut, et encadre de façon similaire les transferts de données.
La Loi prévoit également un droit à réparation et un droit de recours juridictionnel contre le responsable du traitement et le sous-traitant en cas de dommages.
Enfin, conformément à la Convention 108+, les pouvoirs de la nouvelle Autorité de protection des données sont renforcés, en particulier dans le domaine des sanctions.
En vertu de son article 3, la Loi s’applique aux traitements de données à caractère personnel, automatisés en tout ou partie, ainsi qu’aux traitements non automatisés de données contenues ou appelés à figurer dans des fichiers :
- mis en œuvre par un responsable du traitement ou un sous-traitant établi à Monaco, que le traitement ait lieu à Monaco ou non ;
- relatifs à des personnes concernées se trouvant sur le territoire de la Principauté et mis en œuvre par un responsable du traitement ou un sous-traitant établi hors du territoire de la Principauté lorsque les activités de traitement sont liées à l’offre de biens ou de services ou au suivi du comportement de ces personnes.
| Exemple 1 : la Loi s’applique lorsqu’un responsable du traitement, ou un sous-traitant, situé à l’étranger, cible, grâce à son site internet, des consommateurs à Monaco pour leur proposer des biens ou des services en leur permettant de passer leur commande en français, de régler en euros et de se faire livrer à Monaco. |
| Exemple 2 : les règles établies en Principauté pour la protection des données personnelles doivent être respectées par le responsable du traitement, ou le sous-traitant, établi à l’étranger dès lors qu’il suit les internautes établis à Monaco, par exemple au moyen de cookies et traceurs, pour leur adresser ensuite de la publicité ciblée. |
A l’inverse, la Loi ne s’applique pas aux traitements mis en œuvre par une personne physique pour l’exercice d’activités exclusivement personnelles ou domestiques.
| Exemple : le stockage de photos de famille ou de photos privées sur un ordinateur. |
Définition des données à caractère personnel
Définition (article 2) :
« toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée « personne concernée »). Est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ».
Les « informations nominatives » sont désormais des « données personnelles » et leur définition précise désormais au titre des exemples les données génétiques et les données de localisation.
Dès lors, constitue une donnée personnelle toute information qui se rapporte à une personne physique identifiée ou identifiable.
Définition des données sensibles
Définition (article 2) :
« les données à caractère personnel qui révèlent, directement ou indirectement, des opinions ou des appartenances politiques, les origines raciales ou les origines ethniques, les convictions religieuses, philosophiques ou l’appartenance syndicale, ou encore des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique ou des données concernant la santé, la vie sexuelle ou l’orientation sexuelle d’une personne physique».
Définition d’un traitement de données personnelles
Définition (article 2) :
« toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, notamment la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’extraction, la consultation, l’utilisation, l’adaptation ou la modification, la communication, l’archivage, l’effacement ou la destruction de données, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’application d’opérations logiques ou arithmétiques à ces données ».
Toute opération portant ainsi sur des données personnelles constitue un traitement au sens de la législation applicable en la matière.
Exemples :
|
| Exemple : un fichier papier |
Définition de la personne concernée par un traitement
| Exemple : lorsqu’un magasin met en place un dispositif de vidéosurveillance, les personnes concernées sont toutes les personnes pouvant entrer dans le champ de vision des caméras, à savoir les salariés, les visiteurs et tout prestataire intervenant sur place. |
Si la Loi n° 1.165 du 23 décembre 1993 ouvrait des droits aux personnes morales dont les données étaient traitées, à savoir un droit d’opposition et un droit d’accès, la nouvelle Loi a fait le choix de ne pas maintenir lesdits droits ; la pratique ayant démontré que l’exercice de ces droits était extrêmement limité, voire inexistant et source de difficulté.
Définition du responsable du traitement
Définition (article 2 ) : « la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui détermine, seul ou conjointement avec d’autres, les finalités et les moyens du traitement ». Le responsable du traitement est ainsi la personne ou l’organe qui dispose du pouvoir de décision à l’égard des finalités et des moyens du traitement de données de la personne morale (entreprise par exemple) ou de l’entité concernée.| Exemple : une holding qui décide pour ses entités des finalités d’un traitement en est le responsable. |
| Exemple : création et utilisation d’une plateforme commune sur Internet par deux responsables du traitement proposant des services différents. |
Ces responsables conjoints doivent alors définir de manière transparente leurs obligations respectives au sein d’un accord, notamment en ce qui concerne l’exercice des droits de la personne concernée et la communication des informations.
Toutefois, nonobstant les termes de cet accord, la personne concernée pourra exercer les droits que lui confère la Loi à l’égard de l’un ou de l’autre et contre chacun des responsables conjoints.
Définition du sous-traitant
Définition (article 2) :
« la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui traite des données à caractère personnel pour le compte du responsable de traitement ».
Il s’agit donc d’une entité distincte du responsable du traitement.
L’article 26 de la Loi prévoit à cet égard que lorsque le responsable du traitement a recours à un sous-traitant, celui-ci doit présenter les garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à assurer la protection des données personnelles et le respect des droits des personnes concernées.
Par ailleurs, un sous-traitant ne peut agir que sur instruction documentée du responsable de traitement.
|Pour plus d’informations sur le sous-traitant, voir Quelles sont les obligations du sous-traitant ?]
La nouvelle Loi prévoit qu’une Autorité Administrative Indépendante est en charge de contrôler et vérifier que les données personnelles sont traitées en Principauté en conformité avec les dispositions législatives et réglementaires applicables en la matière.
Dénommée Autorité de Protection des Données Personnelles (APDP), cette Autorité Administrative Indépendante succède à la Commission de Contrôle des Informations Nominatives (CCIN), instituée par la Loi n° 1.165 du 23 décembre 1993, modifiée.
- le principe de licéité, de loyauté et de transparence ;
- le principe de limitation des finalités ;
- le principe de minimisation des données ;
- le principe d’exactitude des données ;
- le principe de limitation de la conservation des données ; et
- le principe d’intégrité et de confidentialité.
Le consentement de la personne concernée est l’un des 6 fondements juridiques, identifiés par l’article 5 de la nouvelle législation, permettant de traiter des données à caractère personnel de manière licite.
L’article 2 de cette Loi définit le consentement comme :
« toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ».
Pour être valable, l’accord manifesté par la personne concernée doit donc remplir plusieurs conditions, à savoir être :
- libre
- spécifique
- éclairé
- non équivoque
L’article 22 de la Loi introduit la notion de « responsabilisation » du responsable du traitement. Celui-ci doit en effet s’assurer que le traitement est mis en œuvre dans le respect des dispositions de la Loi et être en mesure de le démontrer.
Il doit ainsi notamment prendre les mesures appropriées pour informer les personnes concernées et faciliter l’exercice de leurs droits. Il doit également coopérer avec l’APDP, à la demande de celle-ci, dans l’exécution de ses missions.
Toutefois, si ces deux obligations ne sont pas nouvelles, la Loi intègre désormais également un très grand nombre d’outils d’autorégulation que le responsable du traitement se doit également de mettre en place.
En vertu de l’article 2 de la Loi, le sous-traitant est « la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui traite des données à caractère personnel pour le compte du responsable de traitement ».
Les obligations du sous-traitant ont été renforcées par la nouvelle législation et celui-ci doit désormais présenter des garanties suffisantes au regard des principes de protection des données.
Si le sous-traitant doit coopérer avec l’APDP, à la demande de celle-ci, dans l’exécution de ses missions et apporter son assistance au responsable du traitement, il est également soumis, tout comme ce dernier, à un grand nombre des nouveaux outils d’autorégulation mis en place par la nouvelle Loi.
Les codes de conduite font partie des nouveaux outils de conformité mis en place par la nouvelle législation (article 33).
Ils sont élaborés par les associations et organismes professionnels représentant des catégories de responsables du traitement ou de sous-traitants.
Ils permettent ainsi de répondre, dans un secteur particulier, aux besoins opérationnels des professionnels dans leurs démarches de conformité en matière de protection des données, en fournissant une description détaillée de l’ensemble des comportements les plus appropriés et les plus éthiques.
Il s’agit d’une démarche volontaire qui encourage les professionnels d’un secteur donné à adopter des bonnes pratiques et usages (par exemple : des mesures de sécurité spécifiques) et à démontrer, auprès des personnes concernées et autres acteurs, le respect des dispositions applicables aux traitements de données personnelles.
Une fois élaborés, les codes de conduite applicables à Monaco sont transmis à l’APDP pour validation et publication.
Toute modification ultérieure d’un code ou, le cas échant, sa prorogation doit être transmise à l’APDP qui vérifie alors que ledit code offre toujours des garanties de protection appropriées.
Les codes de conduite, leurs modifications et, le cas échéant, leurs prorogations sont répertoriés par l’APDP dans un registre accessible au public.
Il est important de noter que lorsqu’ un code de conduite a déjà été approuvé par une autorité de protection étrangère, le responsable du traitement ou le sous-traitant doit le transmettre à l’APDP afin que celle-ci vérifie que les dispositions dudit code contiennent les garanties appropriées au regard de la Loi.
L’application des codes de conduite, une fois que ceux-ci sont approuvés et publiés, revêt un caractère obligatoire pour leurs adhérents.
L’adhésion à un code de conduite fait partie des garanties appropriées qui permettent à un responsable du traitement ou un sous-traitant d’effectuer un transfert vers un Etat, un territoire ou une organisation internationale ne présentant pas un niveau de protection adéquat.
La certification permet de démontrer que les opérations de traitement effectuées par les responsables du traitement ou les sous-traitants respectent la Loi.
C’est un outil de conformité juridiquement contraignant, pour ceux qui choisissent de s’engager dans cette démarche.
Ainsi, le candidat à la certification s’engage à :
- respecter les critères approuvés par l’APDP et
- maintenir cette conformité aux critères pendant toute la durée de validité de son certificat
Comme pour la mise en place de codes de conduite, il s’agit d’une démarche volontaire.
En vertu de l’article 34 de la Loi, la procédure de certification peut être mise en œuvre par l’APDP ou par des organismes indépendants agréés par l’APDP
Tout organisme demandant l’agrément doit :
- justifier d’une expertise au regard de l’objet de la certification et
- répondre à des critères définis par arrêté ministériel sur proposition de l’APDP.
Si ces garanties sont apportées, l’APDP agrée l’organisme pour une durée 5 ans renouvelable.
Celui-ci est alors habilité à délivrer une certification attestant que le responsable du traitement ou le sous-traitant respecte les dispositions de la Loi et les textes règlementaires pris pour son application.
L’APDP peut reconnaître des certifications délivrées par un organismes agréé d’un pays membre de l’Union européenne ou justifiant d’un niveau de protection adéquat.
Cette possibilité permet de faciliter l’accès au marché monégasque pour les acteurs certifiés à l’étranger.
La certification fait partie des garanties appropriées qui permettent à un responsable du traitement ou un sous-traitant d’effectuer un transfert vers un Etat, un territoire ou une organisation internationale ne présentant pas un niveau de protection adéquat.
Les données sensibles sont des données personnelles particulières en raison de leur caractère hautement privé, susceptibles de conduire à des discriminations si elles sont révélées ou traitées pour des finalités ou selon des modalités ne garantissant pas à la personne concernée une protection de ses droits et libertés.
Sont ainsi considérées comme des données sensibles :
- les opinions ou appartenances politiques ;
- les origines raciales ou les origines ethniques
- les convictions religieuses ;
- les convictions philosophiques ;
- l’appartenance syndicale ;
- les données génétiques ;
- les données biométriques à des fins d’identification ;
- les données concernant la santé ;
- les données concernant la vie sexuelle ;
- les données concernant l’orientation sexuelle.
L’article 7 de la Loi pose le principe de l’interdiction de traitement des données sensibles.
Si la nouvelle législation est d’application immédiate, l’article 109 prévoit cependant des délais de mise en conformité pour certaines obligations.
L’article 109 de la Loi traite de 3 cas de figure :
Les traitements régulièrement mis en œuvre sous l’empire de la Loi 1.165 du 23 décembre 1993
Les responsables de traitement disposent d’un délai d’un an à compter de l’entrée en vigueur de la nouvelle Loi pour se mettre en conformité avec les dispositions du Chapitre II portant sur les principes relatifs à la qualité des données et aux conditions de licéité des traitements de données à caractère personnel « sous réserve que lesdits traitements n’aient pas été modifiés de manière substantielle ».
Cela signifie que les traitements ayant été précédemment soumis à la CCIN, pour lesquels un récépissé, un avis favorable ou encore une autorisation ont été délivrés par la CCIN, et dont les caractéristiques essentielles ne sont pas modifiées, peuvent se poursuivre mais doivent se conformer aux principes énoncés par les dispositions du Chapitre II de la nouvelle Loi, sous un délai d’un an.
Les délais de mise en conformité concernant les nouvelles obligations incombant aux responsables de traitement
Le deuxième alinéa de l’article 109 concerne les responsables de traitement et les sous-traitants « ayant mis en œuvre régulièrement auprès de la Commission de Contrôle des Informations Nominatives des traitements de données à caractère personnel avant la date d’entrée en vigueur de la présente loi, et dont l’exploitation se poursuit après son entrée en vigueur ».
Ils « disposent, à compter de cette date, d’un délai d’un an pour se mettre en conformité avec les obligations prévues aux articles 27, 28, 29, 30 et au quatrième alinéa de l’article 31 ».
Ainsi les responsables de traitement et les sous-traitants disposent à compter de l’entrée en vigueur de la nouvelle Loi d’un délai d’un an pour s’acquitter de leurs nouvelles obligations suivantes :
- la tenue d’un registre des activités de traitement (article 27) ;
- la désignation d’un Délégué à la Protection des Données (DPD) (articles 28 et 29) ;
- l’obligation de fournir au DPD toutes les ressources nécessaires pour qu’il puisse exercer correctement ses missions, et la communication à l’APDP des coordonnées du DPD (article 30) ;
- la mise en œuvre du respect des obligations de sécurité par le responsable de traitement ou le sous-traitant dans le cadre d’une adhésion à un code de conduite ou d’un mécanisme de certification (quatrième alinéa de l’article 31).
-
-
| NB : la CCIN / APDP précise que la mise en œuvre d’un code de conduite ou d’un mécanisme de certification est facultative et ne doit pas obligatoirement se faire dans le délai d’un an à compter de l’entrée en vigueur de la nouvelle législation. De plus les obligations de mise en place des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité des données personnelles adapté aux risques pour les droits et libertés des personnes concernées sont d’application immédiate. |
Cas spécifique de l’analyse d’impact (article 35) :
Concernant les analyses d’impact, qui figurent parmi les nouvelles obligations incombant aux responsables de traitements, « ce délai est porté à 3 ans pour les responsables du traitement afin de procéder à l’analyse d’impact prévue à l’article 35 au titre de la réévaluation des risques ».
Il est important de souligner que « pour les opérations de traitements les plus sensibles entraînant un risque élevé pour les droits et libertés des personnes concernées » une analyse d’impact doit être menée par le responsable de traitement.
Pour mener cette analyse d’impact, le responsable de traitement dispose donc de trois ans lui permettant ainsi de procéder à une évaluation des risques liés au traitement des données à caractère personnel des personnes concernées et de déterminer de façon précise les mesures nécessaires pour y faire face.
Les délais de mise en conformité pour les traitements relevant de l’article 64 de la Loi
Le troisième cas concerne la mise en conformité des traitements visés à l’article 64 qui concerne « les traitements mis en œuvre à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ».
| NB : Cet article ne concerne que les Autorités administratives et judiciaires compétentes dans le cadre exclusif des missions qui leur sont légalement conférées. (Traitements dits Police/Justice) |
Dès lors, à compter de l’entrée en vigueur de la nouvelle Loi, les responsables de traitement concernés disposent de trois ans pour mettre leurs traitements en conformité avec les dispositions des articles 69 (distinction des différentes catégories de personnes concernées par les traitements : victimes, suspects, …) et 70 (journalisation des accès aux traitements concernés).
De plus, « ce délai n’est pas applicable aux traitements déjà soumis à l’obligation de journalisation ».