Protection des données à Monaco : CCIN, Loi n. 1.165 et données personnelles

Vue d'ensemble

Monaco dispose d'un cadre complet de protection des données personnelles depuis 1993, date d'adoption de la Loi n. 1.165 du 23 décembre 1993 relative à la protection des informations nominatives. Cette loi, modifiée à plusieurs reprises — notamment par la Loi n. 1.462 du 28 juin 2018 — offre un cadre largement comparable au Règlement Général sur la Protection des Données (RGPD) de l'Union européenne, bien que Monaco ne soit ni membre de l'UE ni de l'EEE et ne soit pas directement soumis au RGPD.

L'autorité indépendante de contrôle chargée de la protection des données à Monaco est la CCIN (Commission de Contrôle des Informations Nominatives).

La CCIN

La CCIN est l'autorité monégasque de protection des données, créée par la Loi n. 1.165. Elle exerce ses fonctions de manière indépendante et est chargée de :

• Recevoir et examiner les déclarations et demandes d'autorisation des responsables de traitement
• Instruire les plaintes des personnes concernées
• Effectuer des contrôles et des inspections des traitements de données
• Émettre des recommandations, des mises en demeure et des sanctions
• Conseiller le Gouvernement en matière de protection des données

La CCIN est composée de membres nommés par Ordonnance Souveraine. Ses décisions et recommandations sont publiées et consultables sur ccin.mc.

Loi n. 1.165 — principes fondamentaux

La loi monégasque sur la protection des données établit des principes similaires à ceux du RGPD :

Licéité et limitation des finalités

Les données personnelles doivent être traitées de manière licite et pour des finalités déterminées, explicites et légitimes. Les données ne doivent pas faire l'objet d'un traitement ultérieur incompatible avec ces finalités.

Minimisation des données

Seules les données adéquates, pertinentes et non excessives au regard de la finalité peuvent être collectées et traitées.

Exactitude

Les responsables de traitement doivent prendre des mesures raisonnables pour que les données personnelles soient exactes et, le cas échéant, tenues à jour. Les données inexactes doivent être rectifiées ou effacées.

Limitation de la conservation

Les données personnelles ne doivent pas être conservées au-delà de la durée nécessaire aux finalités pour lesquelles elles ont été collectées. Des durées de conservation spécifiques peuvent s'appliquer selon le secteur.

Sécurité

Les responsables de traitement doivent mettre en oeuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles contre l'accès non autorisé, la perte ou la destruction.

Droits des personnes concernées

Les personnes dont les données sont traitées à Monaco disposent des droits suivants :

• Droit d'accès — le droit d'obtenir la confirmation que des données personnelles sont traitées et d'y accéder.
• Droit de rectification — le droit de faire corriger des données personnelles inexactes.
• Droit d'effacement — le droit de demander la suppression des données personnelles dans certaines circonstances.
• Droit d'opposition — le droit de s'opposer au traitement pour des motifs légitimes.
• Droit à l'information — les responsables de traitement doivent informer les personnes du traitement de leurs données, y compris des finalités et des destinataires.

Les personnes concernées exercent ces droits en contactant directement le responsable de traitement. En cas de réponse insatisfaisante, une plainte peut être déposée auprès de la CCIN.

Obligations des entreprises

Déclaration et autorisation

Avant tout traitement de données personnelles, les responsables de traitement établis à Monaco doivent déposer une déclaration auprès de la CCIN. Certaines catégories de traitements — en particulier ceux portant sur des données sensibles, biométriques ou impliquant un profilage à grande échelle — nécessitent une autorisation préalable de la CCIN.

Ce système de déclaration/autorisation est l'une des différences notables par rapport au modèle du RGPD, qui repose généralement sur la responsabilisation et la tenue de registres plutôt que sur une approbation préalable.

Délégué à la protection des données

Bien que pas toujours obligatoire en droit monégasque, la désignation d'un correspondant à la protection des données est vivement recommandée pour les organismes traitant des volumes importants de données personnelles. La CCIN fournit des orientations sur les cas où cette désignation est souhaitable.

Transferts de données à l'étranger

Les transferts de données personnelles hors de Monaco ne sont autorisés que vers des pays ou organismes assurant un niveau de protection adéquat. La CCIN évalue l'adéquation des régimes de protection des données étrangers. Pour les transferts vers des juridictions ne présentant pas un niveau de protection adéquat, des garanties spécifiques — telles que des clauses contractuelles approuvées par la CCIN — doivent être mises en place.

Notification de violation de données

Les responsables de traitement doivent notifier à la CCIN les violations de données personnelles susceptibles d'engendrer un risque pour les droits et libertés des personnes. Cette notification doit être effectuée dans les meilleurs délais.

Sanctions

La CCIN dispose du pouvoir d'imposer des sanctions administratives en cas de manquement à la Loi n. 1.165, notamment :

• Mises en demeure
• Injonctions de cesser le traitement
• Interdictions temporaires ou définitives de traitement
• Sanctions financières

Des sanctions pénales peuvent également s'appliquer en vertu du Code pénal monégasque pour les violations graves, notamment le traitement illicite de données, le non-respect des injonctions de la CCIN et le manquement aux obligations de sécurité.

Relations avec le RGPD

Bien que Monaco ne soit pas soumis au RGPD, les modifications apportées en 2018 à la Loi n. 1.165 ont rapproché le droit monégasque des standards européens. En pratique, de nombreuses entreprises monégasques qui interagissent avec des clients ou partenaires de l'UE choisissent de se conformer au RGPD en complément du droit monégasque.

La Commission européenne n'a pas émis de décision d'adéquation formelle concernant Monaco, ce qui signifie que les transferts de données entre l'UE et Monaco peuvent nécessiter des garanties spécifiques au titre du droit européen.

Conseils pratiques

• Les entreprises traitant des données personnelles à Monaco doivent déposer une déclaration auprès de la CCIN avant de commencer tout traitement.
• Consultez les publications de la CCIN sur ccin.mc pour les recommandations sectorielles.
• Si votre entreprise sert des clients de l'UE, envisagez une double conformité au droit monégasque et au RGPD.
• Répondez rapidement aux demandes d'accès des personnes concernées — la CCIN prend au sérieux les plaintes pour absence de réponse.
• Tenez un registre de vos activités de traitement et de vos mesures de protection des données.