Loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives

Les traitements automatisés ou non automatisés d'informations nominatives ne doivent pas porter atteinte aux libertés et droits fondamentaux consacrés par le titre III de la Constitution.

L'information nominative, sous quelque forme que ce soit, est celle qui permet d'identifier une personne physique déterminée ou déterminable. Est réputée déterminable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d'identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale.

Le traitement d'informations nominatives est toute opération ou ensemble d'opérations portant sur de telles informations, quel que soit le procédé utilisé. Celles-ci portent sur la collecte, l'enregistrement, l'organisation, la modification, la conservation, l'extraction, la consultation ou la destruction d'informations, ainsi que sur l'exploitation, l'interconnexion ou le rapprochement, la communication d'informations par transmission, diffusion ou toute autre forme de mise à disposition.

Le responsable du traitement est la personne physique ou morale, de droit privé ou de droit public, l'autorité publique, le service ou tout autre organisme qui détermine, seul ou conjointement avec d'autres, la finalité et les moyens du traitement et qui décide de sa mise en œuvre.

Le destinataire du traitement est la personne physique ou morale, de droit privé ou de droit public, l'autorité publique, le service ou tout autre organisme qui reçoit communication de données, autre que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, placées sous l'autorité directe du responsable du traitement ou du sous-traitant, sont habilitées à traiter les données.

La personne concernée par un traitement d'informations nominatives est celle à laquelle se rapportent les informations qui font l'objet du traitement.

Il est créé une autorité de contrôle dénommée commission de contrôle des informations nominatives qui a pour mission de contrôler et vérifier le respect des dispositions législatives et réglementaires en matière de protection des informations nominatives. Cette commission est chargée, en toute indépendance, dans les conditions déterminées par la présente loi :

• 1°) de recevoir la déclaration de mise en œuvre de traitement par des personnes physiques ou des personnes morales de droit privé prévue à l'article 6;

• 2°) de donner un avis motivé lorsque des traitements doivent être mis en œuvre par les personnes visées à l'article 7 ;

• 3°) de donner un avis motivé lorsque des traitements ont pour objet de procéder à des recherches dans le domaine de la santé, dans les conditions prévues au premier alinéa de l'article 7-1 ;

• 4°) d'autoriser les traitements automatisés mis en œuvre dans le cadre de l'article 11-1 ;

• 5°) d'autoriser le transfert d'informations nominatives vers des pays ou organismes n'assurant pas un niveau de protection adéquat, à la condition que le responsable du traitement, ou ses représentants, offrent des garanties suffisantes permettant d'assurer le respect de la protection des libertés et droits fondamentaux des personnes concernées ainsi que l'exercice des droits correspondants par les destinataires concernés;

• 6°) d'établir et de tenir à jour le répertoire des traitements automatisés visé à l'article 10 ;

• 7°) de contrôler, dans les conditions définies par la présente loi, le fonctionnement des traitements automatisés, d'instruire les plaintes et les pétitions qui lui sont adressées, ainsi que les demandes de vérifications des informations auxquelles les personnes intéressées ne peuvent avoir accès directement ;

• 8°) de dénoncer au procureur général les faits constitutifs d'infractions dont elle a connaissance dans l'exercice de ses missions ;

• 9°) de proposer aux autorités compétentes les dispositions à édicter afin de fixer soit des mesures générales propres à assurer le contrôle et la sécurité des traitements, soit des mesures spéciales ou circonstancielles y compris, à titre exceptionnel, la destruction des supports d'informations ;

• 10°) de formuler toutes recommandations entrant dans le cadre des missions qui lui sont conférées par la loi ;

• 11°) d'informer les personnes concernées des droits et obligations issus de la présente loi, notamment par la communication sur demande à toute personne, ou par la publication, si la commission l'estime utile à l'information du public, de ses délibérations, avis ou recommandations de portée générale, sauf lorsqu'une telle communication ou publication serait de nature à porter atteinte à la sécurité publique ou au respect dû à la vie privée et familiale ;

• 12°) de prononcer des avertissements ou des mises en demeure à l'adresse d'un responsable d'un traitement, aux fins et dans les conditions prévues par la présente loi ;

• 13°) d'ester en justice aux fins et dans les conditions prévues par la présente loi ;

• 14°) de faire tous rapports publics sur l'application de la présente loi et des textes pris pour son application ; un rapport annuel d'activité de la commission est remis au Ministre d'État et au président du Conseil National ; ce rapport est publié.

La commission est consultée par le Ministre d'État lors de l'élaboration de mesures législatives ou réglementaires relatives à la protection des droits et libertés des personnes à l'égard du traitement des informations nominatives et peut l'être pour toute autre mesure susceptible d'affecter lesdits droits et libertés.

Toute personne physique ou morale dont les droits conférés par la présente loi ou les textes pris pour son application ont été méconnus, ou celle ayant des raisons de présumer que ces droits ont été méconnus, peut saisir le président de la commission de contrôle des informations nominatives, aux fins, le cas échéant, de mise en œuvre des mesures prévues au chapitre III.

La commission est composée de six membres proposés, en raison de leur compétence, comme suit :

• 1°) un membre par le Conseil National ;

• 2°) un membre par le Conseil d'État ;

• 3°) un membre par le Ministre d'État ;

• 4°) un membre ayant qualité de magistrat du siège par le directeur des services judiciaires ;

• 5°) un membre par le Conseil Communal ;

• 6°) un membre par le Conseil Économique, Social et Environnemental.

Les propositions sont faites hors des autorités, conseils et institutions concernés et selon des modalités fixées par ordonnance souveraine

Les membres de la commission de contrôle des informations nominatives sont nommés par une ordonnance souveraine pour une période de cinq ans renouvelable une fois. La commission élit en son sein, à la majorité absolue, un président et un vice-président.

Dans l'exercice de leurs attributions, les membres de la commission ne reçoivent d'instruction d'aucune autorité.

Sauf démission ou empêchement, il ne peut être mis fin aux fonctions d'un membre de la commission.

La voix du président est prépondérante en cas de partage des voix. Les autres règles de fonctionnement de la commission sont fixées par ordonnance souveraine*^[2].

Les membres de la commission ainsi que toute personne dont elle s'assure le concours sont tenus au secret professionnel dans les conditions prévues à l'article 308 du code pénal. Ils sont en outre liés par l'obligation de discrétion pour tout ce qui concerne les faits et informations dont ils ont connaissance dans l'exercice de leurs fonctions.

La commission dispose de services dirigés par le président et placés sous son autorité. Les services de la commission comprennent le secrétaire général et les agents du secrétariat.

Le secrétaire général est chargé du fonctionnement et de la coordination des services.

Sauf dispositions légales ou réglementaires spécifiques, les personnels de la commission sont soumis aux règles générales applicables aux fonctionnaires et agents de l'État.

Toutefois, les pouvoirs hiérarchiques et disciplinaires sont exercés à leur endroit par le président de la commission.

Les crédits nécessaires au fonctionnement de la commission de contrôle des informations nominatives sont inscrits dans un chapitre spécifique du budget de l'État.

Dans le cadre de la préparation du projet de budget primitif ou rectificatif de l'État, le président de la commission de contrôle des informations nominatives transmet au Ministre d'État les propositions concernant les recettes et les dépenses.

Les dépenses sont ordonnancées par le président ou le secrétaire général. Les comptes de la commission doivent être annuellement vérifiés dans les conditions fixées par ordonnance souveraine.

Le président de la commission conclut tous contrats nécessaires au bon fonctionnement de ses services.

En cas d'absence ou d'empêchement du président, son remplacement est assuré par le vice-président.

À l'exception de ceux qui relèvent des dispositions prévues aux articles 7, 7-1 et 11-1, les traitements automatisés d'informations nominatives, mis en œuvre par des responsables de traitements, personnes physiques ou morales de droit privé, font l'objet d'une déclaration auprès du président de la commission de contrôle des informations nominatives. La déclaration comporte l'engagement que le traitement satisfait aux exigences de la loi. Le président de la commission de contrôle des informations nominatives délivre un récépissé. La réception du récépissé permet la mise en œuvre du traitement sans exonérer le responsable du traitement déclarant de sa responsabilité.

Peuvent toutefois être édictées par arrêté ministériel*^[3]pris sur proposition ou après avis de la commission de contrôle des informations nominatives, les normes fixant les caractéristiques auxquelles doivent répondre les catégories déterminées de traitements ne comportant manifestement pas d'atteinte aux libertés et droits fondamentaux. Ces traitements peuvent faire l'objet d'une déclaration simplifiée de conformité, ou être exonérés de toute obligation de déclaration, dans les conditions prévues par l'arrêté ministériel précité*^[4].

La mise en œuvre de traitements automatisés d'informations nominatives par des responsables de traitements, personnes morales de droit public, autorités publiques, organismes de droit privé investis d'une mission d'intérêt général ou concessionnaires d'un service public portés sur une liste établie par arrêté ministériel, est décidée par les autorités ou par les organes compétents après avis motivé de la commission de contrôle des informations nominatives.

Cette décision et l'avis motivé qui l'accompagne font l'objet d'une publication au Journal de Monaco dans les conditions fixées par ordonnance souveraine. En ce qui concerne les traitements visés à l'article 11, ne donnent lieu à publication que le sens de l'avis de la commission et de la décision de l'autorité ou de l'organe compétent.

Si l'avis de la commission est défavorable, l'autorité ou l'organisme compétent ne peut mettre en œuvre le traitement qu'après y avoir été autorisée par arrêté motivé du Ministre d'État ou du directeur des services judiciaires.

Avant le 1er avril de chaque année, une liste générale des traitements mis en œuvre par les personnes visées au premier alinéa est publiée par arrêté ministériel*^[5].

Les responsables de traitements, personnes physiques ou morales, ne peuvent mettre en œuvre des traitements automatisés d'informations nominatives ayant pour fin la recherche dans le domaine de la santé qu'après avis motivé de la commission de contrôle des informations nominatives. Préalablement au prononcé de cet avis, celle-ci peut, dans des conditions fixées par ordonnance souveraine, consulter un service public compétent dans le domaine de la santé. Cette consultation suspend le délai imparti à la commission de contrôle des informations nominatives pour rendre son avis.

Si l'avis de la commission est défavorable, le responsable du traitement ne peut le mettre en œuvre qu'après y avoir été autorisé par arrêté ministériel motivé.

Ces dispositions ne sont pas applicables aux responsables de traitements agissant dans le cadre de recherches biomédicales telles que définies dans la loi n° 1.265 du 23 décembre 2002 relative à la protection des personnes dans la recherche biomédicale. Les traitements mis en œuvre dans ce cadre restent soumis, selon les cas, aux dispositions des articles 6 ou 7.

Dans tous les cas, le dossier produit à l'appui de la demande d'avis ou de la déclaration doit comporter, en sus des éléments prévus à l'article 8, la mention de l'objectif de la recherche, de la population concernée, de la méthode d'observation ou d'investigation retenue, de la justification du recours aux informations nominatives traitées, de la durée et des modalités d'organisation de la recherche, de la méthode d'analyse des données, ainsi que, le cas échéant, de l'avis émis par le comité consultatif d'éthique en matière de recherche biomédicale institué par la loi n° 1.265 du 23 décembre 2002. La commission de contrôle des informations nominatives est tenue par les termes de cet avis.

La commission de contrôle des informations nominatives, saisie dans le cadre des articles 7 et 7-1, se prononce dans un délai de deux mois à compter de la réception du dossier complet. Ce délai peut être renouvelé une seule fois pour une durée identique sur décision motivée du président.

L'avis demandé à la commission, qui n'est pas rendu à l'expiration du délai prévu au précédent alinéa, renouvelé s'il y a lieu, est réputé favorable.

Les déclarations, demandes d'avis et demandes d'autorisation adressées à la commission de contrôle des informations nominatives doivent, pour être recevables, comporter les mentions suivantes :

• 1°) l'identité du signataire ainsi que celle du responsable du traitement et le cas échéant celle de son représentant à Monaco qui effectue la déclaration, la demande d'avis ou la demande d'autorisation ;

• 2°) les fonctionnalités, la finalité, la justification au sens de l'article 10-2, et s'il y a lieu la dénomination du traitement ;

• 3°) la dénomination du service ou l'identité des personnes chargées de son exploitation et les mesures prises pour permettre l'exercice du droit d'accès aux informations ;

• 4°) les catégories de personnes qui, en raison de leurs fonctions, ont accès aux informations ;

• 5°) les catégories d'informations et les informations objets du traitement, leur origine, la durée de leur conservation, les catégories de personnes concernées par le traitement et les catégories de destinataires habilités à recevoir communication des informations ;

• 6°) les rapprochements, interconnexions ou toutes autres formes de mise en relation des informations ainsi que leurs cessions à des tiers ;

• 7°) les mesures prises pour assurer la sécurité du traitement et des informations et la garantie des secrets protégés par la loi ;

• 8°) l'indication, lorsqu'il y a lieu, que le traitement est destiné à la communication d'informations à l'étranger, même dans le cas où il s'effectue à partir d'opérations antérieurement réalisées hors de Monaco.

Toute modification intervenant dans l'un des éléments énoncés à l'article précédent doit faire l'objet, selon le cas, d'une déclaration, d'une demande d'avis ou d'une demande d'autorisation.

La commission de contrôle des informations nominatives est avisée de la suppression du traitement.

Sauf dispositions législatives contraires, les informations ne doivent pas être conservées sous une forme nominative au-delà de la durée prévue à la demande d'avis, à la déclaration ou à la demande d'autorisation, sauf en vue d'être traitées à des fins historiques, statistiques ou scientifiques. La commission peut toutefois :

• fixer un délai de conservation plus bref que celui prévu à la déclaration, à la demande d'avis ou à la demande d'autorisation ;

• autoriser la conservation au-delà de la durée prévue à la déclaration, à la demande d'avis ou à la demande d'autorisation.

Le répertoire des traitements comporte :

• 1°) la date de déclaration, de la demande d'avis ou de la demande d'autorisation relative à la mise en œuvre d'un traitement ;

• 2°) les mentions portées sur la déclaration, sur la demande d'avis ou sur la demande d'autorisation à l'exception des mesures prises pour assurer la sécurité du traitement et des informations, ainsi que de la dénomination du service ou de l'identité des personnes chargées de son exploitation ;

• 3°) la date de délivrance du récépissé de la déclaration, la date de l'avis ou celle de l'autorisation ;

• 4°) les dates et les libellés des modifications apportées aux mentions visées au chiffre 2° ci-dessus;

• 5°) la date de suppression du traitement et celle, lorsqu'il y a lieu, de la radiation de l'inscription.

Le répertoire peut être consulté par toute personne physique ou morale.

Les traitements automatisés visés à l'article 11 ne sont pas inscrits au répertoire

Les informations nominatives doivent être :

• collectées et traitées loyalement et licitement ;

• collectées pour une finalité déterminée, explicite et légitime, et ne pas être traitées ultérieurement de manière incompatible avec cette finalité ;

• adéquates, pertinentes et non excessives au regard de la finalité pour laquelle elles sont collectées et pour laquelle elles sont traitées ultérieurement ;

• exactes et, si nécessaire, mises à jour ; toutes les mesures raisonnables doivent être prises pour que les données inexactes ou incomplètes, au regard de la finalité pour laquelle elles sont collectées ou pour laquelle elles sont traitées ultérieurement, soient effacées ou rectifiées ;

• conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire à la réalisation de la finalité pour laquelle elles sont collectées ou pour laquelle elles sont traitées ultérieurement.

Le responsable du traitement ou son représentant doit s'assurer du respect de ces dispositions.

Un traitement d'informations nominatives doit être justifié :

• par le consentement de la ou des personnes concernées, ou ;

• par le respect d'une obligation légale à laquelle est soumis le responsable du traitement ou son représentant, ou ;

• par un motif d'intérêt public, ou ;

• par l'exécution d'un contrat ou de mesures pré-contractuelles avec la personne concernée, ou ;

• par la réalisation d'un intérêt légitime poursuivi par le responsable du traitement ou son représentant ou par le destinataire, à la condition de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée.

Ne peuvent être mis en œuvre que par les autorités judiciaires et les autorités administratives, dans le cadre exclusif des missions qui leur sont légalement conférées, les traitements, automatisés ou non, avec ou sans données biométriques :

• intéressant la sécurité publique ;

• relatifs aux infractions, condamnations ou mesures de sûreté ;

• ayant pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l'exécution des condamnations pénales ou des mesures de sûreté

Par dérogation aux dispositions de l'article précédent, peuvent être mis en œuvre, par les responsables de traitements autres que les autorités judiciaires et administratives, les traitements automatisés d'informations nominatives :

• portant sur des soupçons d'activités illicites, des infractions, des mesures de sûreté ;

• comportant des données biométriques nécessaires au contrôle de l'identité des personnes ;

• mis en œuvre à des fins de surveillance.

Lesdits traitements ne peuvent toutefois être mis en œuvre qu'avec l'autorisation préalable de la commission de contrôle des informations nominatives dès lors qu'ils sont nécessaires à la poursuite d'un objectif légitime essentiel et que les droits et libertés mentionnés à l'article premier des personnes concernées sont respectés.

La commission de contrôle des informations nominatives se prononce dans un délai de deux mois à compter de la réception du dossier complet. Ce délai peut être renouvelé une seule fois pour une durée identique sur décision motivée du président.

L'autorisation demandée à la commission, qui n'est pas rendue à l'expiration du délai prévu au précédent alinéa, renouvelé s'il y a lieu, est réputée favorable.

Nul ne peut mettre en œuvre des traitements, automatisés ou non, faisant apparaître, directement ou indirectement, des opinions ou des appartenances politiques, raciales ou ethniques, religieuses, philosophiques ou syndicales, ou encore des données relatives à la santé, y compris les données génétiques, à la vie sexuelle, aux mœurs, aux mesures à caractère social.

Les dispositions du premier alinéa ne s'appliquent pas dans les cas suivants :

lorsque la personne concernée a librement donné son consentement écrit et exprès, notamment dans le cadre de la loi n° 1.265 du 23 décembre 2002 relative à la protection des personnes dans la recherche biomédicale, sauf dans le cas où la loi prévoit que l'interdiction visée au premier alinéa ne peut être levée par le consentement de la personne concernée. Cette dernière peut, à tout moment, revenir sur son consentement et solliciter du responsable ou de l'utilisateur du traitement la destruction ou l'effacement des informations la concernant ;

• lorsqu'un motif d'intérêt public le justifie, aux traitements visés à l'article 7 dont la mise en œuvre est décidée par les autorités ou organes compétents après avis motivé de la commission de contrôle des informations nominatives ;

• lorsque le traitement concerne les membres d'une institution ecclésiale ou d'un groupement à caractère politique, religieux, philosophique, humanitaire ou syndical, dans le cadre de l'objet statutaire ou social de l'institution ou du groupement et pour les besoins de son fonctionnement, à condition que le traitement se rapporte aux seuls membres de cet organisme ou aux personnes entretenant avec lui des contacts réguliers liés à sa finalité et que les informations ne soient pas communiquées à des tiers sans le consentement des personnes concernées ;

• lorsque le traitement est nécessaire aux fins de la médecine préventive, des diagnostics médicaux, de l'administration de soins, de médications ou de la gestion des services de santé et de prévoyance sociale, ou dans l'intérêt de la recherche et que le traitement de ces données est effectué par un praticien de la santé soumis au secret professionnel ou par une autre personne également soumise à une obligation de secret;

• lorsque le traitement porte sur des informations manifestement rendues publiques par la personne concernée ;

• lorsque le traitement est nécessaire à la constatation, à l'exercice ou la défense d'un droit en justice ou répond à une obligation légale.

Toute personne physique a le droit :

• de s'opposer, pour des raisons légitimes, à ce que des informations nominatives la concernant fassent l'objet d'un traitement, sauf le cas où celui-ci est mis en œuvre, dans le cadre exclusif de leurs missions d'intérêt général*^[7], par les responsables de traitements visés à l'article 7 ;

• d'accéder, dans les conditions prévues à la section II, aux informations la concernant, et d'obtenir qu'elles soient modifiées s'il y a lieu.

Sauf dispositions législatives contraires, l'ascendant, le descendant jusqu'au second degré, ou le conjoint survivant d'une personne décédée, peut, s'il justifie d'un intérêt, exercer les droits prévus au précédent alinéa, pour ce qui est des informations concernant cette personne.

Toute personne morale a le droit :

• de s'opposer, pour des raisons légitimes, à ce que des informations nominatives la concernant fassent l'objet d'un traitement, ou de s'opposer, avec l'accord de ses membres, à ce que des informations nominatives les concernant fassent l'objet d'un traitement, sauf le cas où celui-ci est mis en œuvre, dans le cadre exclusif de leurs missions d'intérêt général, par les responsables de traitements visés à l'article 7 ;

• d'accéder, dans les conditions prévues à la section II, aux informations la concernant ou, avec l'accord de ses membres, d'accéder aux informations nominatives les concernant, et d'obtenir qu'elles soient modifiées s'il y a lieu.

Les dispositions du présent article ne sont pas applicables aux traitements visés à l'article 11

Les personnes auprès de qui des informations nominatives sont recueillies doivent être averties :

• de l'identité du responsable du traitement et le cas échéant de celle de son représentant à Monaco ;

• de la finalité du traitement ;

• du caractère obligatoire ou facultatif des réponses;

• des conséquences à leur égard d'un défaut de réponse ;

• de l'identité des destinataires ou des catégories de destinataires ;

• de leurs droits d'opposition, d'accès et de rectification relativement aux informations les concernant;

• de leur droit de s'opposer à l'utilisation pour le compte de tiers, ou à la communication à des tiers d'informations nominatives les concernant à des fins de prospection, notamment commerciale.

Lorsque les informations nominatives ne sont pas collectées directement auprès de la personne concernée, le responsable du traitement ou son représentant doit lui fournir les informations prévues au précédent alinéa, sauf si l'information de la personne concernée a déjà été effectuée, se révèle impossible, ou implique des mesures disproportionnées au regard de l'intérêt de la démarche ou encore si la collecte ou la communication des informations est expressément prévue par les dispositions législatives ou réglementaires.

Les dispositions du présent article ne sont pas applicables aux traitements visés à l'article 11

Toute personne a le droit de ne pas être soumise à une décision produisant des effets juridiques à son égard ou l'affectant de manière significative, prise sur le seul fondement d'un traitement automatisé d'informations destiné à définir son profil ou à évaluer certains aspects de sa personnalité.

Une personne peut toutefois être soumise à une décision mentionnée au précédent alinéa si cette décision :

• est prise dans le cadre de la conclusion ou de l'exécution d'un contrat, à condition que la demande de conclusion ou d'exécution du contrat, introduite par la personne concernée, ait été satisfaite ou que des mesures appropriées, telles que la possibilité de faire valoir son point de vue et de voir réexaminer sa demande, garantissent la sauvegarde de son intérêt légitime ;

• ou est autorisée par des dispositions légales ou réglementaires qui précisent les mesures garantissant la sauvegarde de l'intérêt légitime de la personne concernée.

L'utilisation de réseaux de communications électroniques en vue de conserver des informations ou d'accéder à des informations conservées dans l'équipement terminal d'un abonné ou d'un utilisateur doit être précédée d'une information claire et complète de l'utilisateur ou de l'abonné, sur la finalité du traitement et sur les moyens dont il dispose pour s'y opposer.

Sont qualifiés de réseaux de communications électroniques les systèmes de transmission et, le cas échéant, les équipements de commutation ou de routage ainsi que les autres ressources qui permettent l'acheminement de signaux par câble, par voie hertzienne, par moyen optique ou par d'autres moyens électromagnétiques.

Il est interdit de subordonner l'accès à un service disponible sur un réseau de communications électroniques à l'acceptation, par l'abonné ou l'utilisateur concerné, du traitement des informations stockées dans son équipement terminal, sauf si la conservation ou l'accès techniques visent exclusivement à effectuer ou à faciliter la transmission d'une communication par la voie d'un réseau de communications électroniques, ou sont strictement nécessaires à la fourniture d'un service expressément demandé par l'abonné ou l'utilisateur.

Sauf consentement exprès de la personne concernée, les informations nominatives recueillies par les prestataires de services de confiance pour les besoins de la délivrance et de la conservation des certificats liés aux signatures électroniques doivent l'être directement auprès de la personne concernée et ne peuvent être traitées que pour des fins en vue desquelles elles ont été recueillies.

Toute personne justifiant de son identité peut obtenir auprès du responsable du traitement ou de son représentant :

• 1°) des renseignements portant au moins sur la finalité du traitement, les catégories d'informations sur lesquelles il porte et les destinataires ou catégories de destinataires auxquels les informations sont communiquées ;

• 2°) confirmation que des informations la concernant sont, ou non, traitées ;

• 3°) communication de ces informations sous une forme écrite, non codée et conforme au contenu des enregistrements ; les informations concernant la santé ne peuvent être communiquées par le responsable du traitement ou son représentant qu'aux personnes auxquelles elles peuvent l'être en application des dispositions de la législation relative au consentement et à l'information en matière médicale et selon les modalités qu'elles prévoient ;.

• 4°) des informations sur les raisonnements automatisés ayant abouti à la décision visée à l'article 14-1.

Sauf dispositions législatives particulières, il doit être procédé à la communication dans le mois suivant la réception de la demande. Toutefois, le président de la commission de contrôle des informations nominatives peut, après avis favorable de celle-ci, accorder des délais de réponse ou dispenser de l'obligation de répondre à des demandes abusives par leur nombre, leur caractère répétitif ou systématique, la personne concernée dûment avisée.

La personne concernée par des informations nominatives contenues dans les traitements mentionnés à l'article 11 peut saisir la commission de contrôle des informations nominatives d'une demande de vérification desdites informations.

Le président de la commission désigne le membre ayant qualité de magistrat du siège ou, en cas d'empêchement de celui-ci, le membre proposé par le Conseil d'État, pour effectuer toutes les vérifications et faire procéder le cas échéant aux modifications nécessaires. Celui-ci peut se faire assister d'un agent de l'autorité de contrôle dûment commissionné et assermenté.

Le président de la commission informe la personne concernée que les vérifications ont été effectuées. En accord avec le responsable du traitement ou son représentant, il peut porter à sa connaissance les informations dont la communication ne porte pas atteinte à la sécurité publique.

La personne concernée par des informations nominatives contenues dans des traitements visés au deuxième alinéa de l'article 25 et aux articles 53-2 à 53-7 de la loi n° 1.362 du 3 août 2009, modifiée, peut saisir la Commission de Contrôle des Informations Nominatives d'une demande de vérification desdites informations. Cette demande est instruite dans les conditions prévues au deuxième alinéa.

Les informations nominatives peuvent être communiquées au demandeur lorsque la commission constate, en accord avec l'Autorité Monégasque de Sécurité Financière, et après avis du responsable du traitement, que leur communication n'est pas susceptible de mettre en cause la finalité du traitement de lutte contre le blanchiment de capitaux et le financement du terrorisme ou de révéler :

• - l'existence d'une des déclarations prévues aux articles 36, 40 à 42 et 53 de la loi n° 1.362 du 3 août 2009, modifiée ;

• - les suites qui ont été données à l'une des déclarations visées au tiret précédent ;

• - les demandes d'information ou de documents, ainsi que tout échange de renseignements prévus à l'article 50 de la loi n° 1.362 du 3 août 2009, modifiée.

Lorsque la communication des informations nominatives est susceptible de mettre en cause la finalité du traitement, la commission, saisie par le demandeur, l'informe qu'il a été procédé aux vérifications nécessaires.

Le responsable du traitement ou son représentant est tenu de prendre les mesures propres à :

• 1°) compléter ou modifier d'office les informations qui sont incomplètes ou erronées lorsqu'il prend connaissance de leur caractère incomplet ou de leur inexactitude ;

• 2°) supprimer d'office les informations qui auraient été obtenues par des moyens frauduleux, déloyaux ou illicites, lorsqu'il prend connaissance de ces modalités;

• 3°) supprimer la forme nominative des informations à l'expiration du délai de conservation fixé dans la déclaration, la demande d'avis ou la demande d'autorisation, ou à l'expiration de la période fixée par la commission, conformément à l'article 9

La personne intéressée peut exiger que soient rectifiées, complétées, clarifiées, mises à jour ou supprimées les informations la concernant lorsqu'elles se sont révélées inexactes, incomplètes, équivoques, périmées ou si leur collecte, leur enregistrement, leur communication ou leur conservation est prohibé.

Sur sa demande, copie de l'enregistrement de l'information modifiée lui est délivrée sans frais.

S'il y a eu communication à des destinataires, l'information modifiée ou sa suppression doit leur être notifiée, sauf dispense accordée par le président de la commission de contrôle des informations nominatives.

Le responsable du traitement ou son représentant est tenu de prévoir des mesures techniques et d'organisation appropriées pour protéger les informations nominatives contre la destruction accidentelle ou illicite, la perte accidentelle, l'altération, la diffusion ou l'accès non autorisés, notamment lorsque le traitement comporte des transmissions d'informations dans un réseau, ainsi que contre toute autre forme de traitement illicite.

Les mesures mises en œuvre doivent assurer un niveau de sécurité adéquat au regard des risques présentés par le traitement et de la nature des données à protéger.

Lorsque le responsable du traitement ou son représentant a recours aux services d'un ou plusieurs prestataires, il doit s'assurer que ces derniers sont en mesure de satisfaire aux obligations prescrites aux deux précédents alinéas.

La réalisation de traitements par un prestataire doit être régie par un contrat écrit entre le prestataire et le responsable du traitement ou son représentant qui stipule notamment que le prestataire et les membres de son personnel n'agissent que sur la seule instruction du responsable du traitement ou de son représentant et que les obligations visées aux deux premiers alinéas du présent article lui incombent également.

Si le prestataire souhaite avoir recours aux services d'un ou de plusieurs sous-traitants pour l'exécution de tout ou partie des prestations prévues au contrat susvisé, les dispositions de l'alinéa précédent s'appliquent à ces derniers.

Lorsque le traitement est mis en œuvre en application des articles 11 et 11-1 le responsable du traitement prend, en outre, des mesures techniques et d'organisation particulières destinées à garantir la protection des données. La liste des mesures susceptibles d'être prises à cette fin est fixée par ordonnance souveraine.

Ces mesures tendent notamment à déterminer nominativement la liste des personnes autorisées qui ont seules accès, pour les stricts besoins de l'accomplissement de leurs missions, aux locaux et aux installations utilisés pour les traitements, de même qu'aux informations traitées.

Le responsable du traitement veille également à ce que les destinataires auxquels les informations traitées sont transmises puissent être clairement identifiés.