données à caractère personnel (ci-après la "LVP"), en particulier l'article 31bis ;

Transcription

1 1/10 Comité sectoriel du Registre national Délibération RN n 70/2014 du 10 septembre 2014 Objet : demande d'autorisation de l Orde van Vlaamse Balies (Ordre des Barreaux néerlandophones) afin d'accéder aux données du Registre national et d'utiliser le numéro de ce Registre relativement à ses membres (RN-MA ) Le Comité sectoriel du Registre national (ci-après "le Comité") ; Vu la loi du 8 août 1983 organisant un Registre national des personnes physiques (ci-après la "LRN") ; Vu la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel (ci-après la "LVP"), en particulier l'article 31bis ; Vu l'arrêté royal du 17 décembre 2003 fixant les modalités relatives à la composition et au fonctionnement de certains comités sectoriels institués au sein de la Commission de la protection de la vie privée ; Vu la demande de l'orde van Vlaamse Balies, reçue le 17/06/2014; Vu la demande d'avis technique et juridique adressée au Service public fédéral Intérieur en date du 11/08/2014 ; Vu l'avis technique et juridique reçu le 09/09/2014 ; Vu le rapport de la Présidente ;

2 Délibération RN 70/2014-2/10 Émet, après délibération, la décision suivante, le 10 septembre 2014: I. OBJET DE LA DEMANDE 1. L'Orde van Vlaamse Balies (l'ordre des Barreaux néerlandophones, OVB), ci-après le demandeur, souhaite être autorisé à accéder aux données du Registre national et à utiliser le numéro de ce Registre relativement à ses membres. Le demandeur a été entendu par le Comité le 4 juin 2014 concernant la demande d'autorisation initiale 1. Le Comité avait décidé que le demandeur devait prévoir, dans une demande d'autorisation adaptée, de rendre accessible le système envisagé de création d'une source authentique "Avocats" via la Banque-Carrefour des Entreprises (BCE), système dans lequel le demandeur agirait en tant qu'initiateur de données de la BCE, et qu'il délibérerait ensuite à nouveau. Le demandeur a donné suite à cette vision des choses du Comité et a rédigé sa nouvelle demande en ce sens.... II. EXAMEN DE LA DEMANDE 2. Le Comité constate que le demandeur a déjà été autorisé à accéder à plusieurs informations du Registre national, en vertu de la délibération RN n 42/2013 du 8 mai En outre, le demandeur est explicitement mentionné à l'article 5, premier alinéa, 6 de la LRN en tant que bénéficiaire potentiel d'une autorisation d'accès aux informations du Registre national ou d'utilisation du numéro de ce Registre. 3. Par conséquent, lors de son examen, le Comité peut se limiter à vérifier si : les finalités pour lesquelles l'accès et l'utilisation sont demandés sont déterminées, explicites et légitimes au sens de l'article 4, 1, 2 de la LVP et de l'article 5, deuxième alinéa de la LRN ; l'accès et l'utilisation sont proportionnels, au regard des finalités (article 4, 1, 3 de la LVP). A. FINALITÉS 4. La présente demande d'autorisation concerne l'accès à certaines données du Registre national des avocats membres du demandeur, à savoir les données visées à l'article 3, premier alinéa, 1 Voir le dossier RN-MA

3 Délibération RN 70/2014-3/10 1 à 6 inclus de la LRN, ainsi que l'utilisation du numéro de Registre national de ces avocats membres du demandeur, visée à l'article 8 de la LRN, en vue de réaliser les finalités suivantes : - inscription : l'inscription d'avocats sur la "liste des stagiaires" et au "tableau des avocats" se fait via un des 14 barreaux néerlandophones locaux. Lors de cette inscription, des erreurs sont régulièrement commises (encodage erroné de données, doubles inscriptions, etc.) et il existe un risque de fraude car les possibilités de contrôle sont limitées. Afin de veiller à ce que chaque avocat soit enregistré de manière unique, il est recommandé d'utiliser le numéro d'identification du Registre national. Des données telles que le nom, la nationalité, le lieu de naissance, la date de naissance et le sexe contribuent également à une identification et un contrôle plus fiables à l'égard du diplôme délivré, et sont utilisées ultérieurement à des fins statistiques. En vue de réduire le risque de fraude et d'erreurs, il est recommandé que ces données d'identification puissent dans certains cas être comparées à celles reprises dans le Registre national. Les collaborateurs des barreaux ne le font pas directement mais bien via le demandeur ; - procédure disciplinaire : si une procédure disciplinaire est engagée à l'encontre d'un avocat, l'adresse professionnelle n'est bien souvent plus la bonne. Jusqu'à présent, la correspondance relative à la procédure disciplinaire est encore envoyée à l' (ancienne) adresse professionnelle où l'on prend la responsabilité de transmettre ce dossier à la personne concernée. Toutefois, cette pratique ne peut pas être imposée, ce qui implique donc que la procédure actuelle peut parfois engendrer des problèmes. Étant donné qu'il est de la responsabilité du demandeur de transmettre le dossier directement à la personne concernée, il est nécessaire qu'il connaisse l'adresse privée (résidence principale) de cette personne (avocat ou ancien avocat), ainsi que la date éventuelle du décès. La méthode souhaitée implique qu'à cet effet, la donnée "résidence principale" (telle que visée à l'article 3, premier alinéa, 5 de la LRN) et les données "lieu et date du décès" (telles que visées à l'article 3, premier alinéa, 6 de la LRN) soient réclamées ; - plate-forme digitale Avocats : l'utilisation du numéro d'identification du Registre national est aussi nécessaire pour l'identification des avocats qui se connectent à la plate-forme digitale Avocats telle qu'elle est prévue, via une authentification fiable, par exemple via l'eid. Actuellement, on ne dispose pas encore d'une authentification fiable, ce qui peut comporter un risque de sécurité. Cette plate-forme digitale assurera notamment le suivi électronique des fonctionnalités qui s'inscrivent dans le cadre de la mission du demandeur (article 495 du Code judiciaire), comme l'aide juridique ;

4 Délibération RN 70/2014-4/10 - source authentique d'avocats : en vertu de ses missions légales, le demandeur est responsable d'une source authentique d'avocats aux barreaux néerlandophones qui contiendra les données suivantes : le numéro de Registre national (crypté si cela est souhaité), le nom et le prénom, les barreaux auxquels l'avocat concerné est inscrit, l'adresse ou les adresses professionnelle(s) par barreau avec indication de l'inscription principale (un avocat ne peut avoir une inscription principale qu'à un seul barreau belge), le type d'inscription (stagiaire, avocat inscrit au tableau, avocat UE, avocat B) et le statut de l'avocat : actif ou non actif (avec plusieurs statuts sous-jacents comme suspendu ou rayé mais pas exclu). Afin d'en garantir l'authenticité, ces données peuvent éventuellement être comparées à celles du Registre national. Ces données authentiques peuvent également servir à permettre aux avocats d'accéder à de nouvelles applications, via une authentification fiable (comme celles du Conseil d'état, de la Cour constitutionnelle, etc.). Actuellement, ces applications doivent développer des mécanismes propres afin d'accorder aux avocats l'accès correct, ce qui est bien sûr inefficace ; - échange de données : les dossiers judiciaires constituent une composante essentielle des informations dont les avocats membres ont besoin pour pouvoir remplir leur mission de collaborateur du tribunal. L'échange de ces dossiers par exemple des arrêts et des jugements entre le SPF Justice et les avocats concernés est dès lors légitime et donnera lieu à un gain de temps et d'efficacité ainsi qu'à une réduction des risques et des coûts (indemnité de remplacement, frais de port,...) pour les avocats. L'échange s'effectuerait via le numéro de Registre national des avocats concernés. 5. Le Comité constate que le demandeur, personne morale de droit public, est une autorité professionnelle qui a la mission légale de "veiller à l'honneur, aux droits et aux intérêts professionnels communs de ses membres" (article 495 du Code judiciaire). Le Comité constate en outre que l'article 430 du Code judiciaire stipule ce qui suit : "Il est dressé, au plus tard le 1 er décembre de chaque année, un tableau de l'ordre des avocats, une liste des avocats qui exercent leur profession sous le titre professionnel d'un autre état membre de l'union européenne et une liste des stagiaires ayant leur cabinet sur le territoire d'activité de l'ordre. Le tableau et les listes sont affichés ou publiés par les soins du bâtonnier, qui veille à leur mise à jour." Le demandeur a donc l'obligation légale de dresser et de tenir à jour une liste des stagiaires, un tableau des avocats ainsi que des listes d'avocats de l'union européenne et étrangers. L'identification correcte et univoque des avocats et de leur adresse professionnelle, tant lors de l'inscription au barreau qu'en ligne sur la future plate-forme digitale Avocats, est importante dans ce contexte pour pouvoir remplir cette obligation légale. L'accès aux données demandées et l'utilisation du numéro d'identification du Registre national pour les finalités visées s'inscrivent dans le cadre des articles susmentionnés du Code judiciaire et reposent ainsi

5 Délibération RN 70/2014-5/10 sur l'article 5, premier alinéa, c) de la LVP. Le Comité constate enfin que, vu la fonction de "banque-carrefour" de la BCE, où sont également repris les avocats depuis 2009, le demandeur et les barreaux néerlandophones ont l'intention d'intervenir en tant qu'initiateurs pour la BCE en ce qui concerne les données des avocats néerlandophones pour contribuer à l'optimalisation des données des avocats dans la BCE. À cet effet, les barreaux néerlandophones et le demandeur harmoniseront les données de leur source authentique de manière cohérente avec le fichier de données de la BCE. 6. Compte tenu de ce qui précède, le Comité constate que les finalités poursuivies par le demandeur sont déterminées, explicites et légitimes au sens de l'article 4, 1, 2 de la LVP et de l'article 5, deuxième alinéa de la LRN. B. PROPORTIONNALITÉ 7. L article 4, 1, 3 de la LVP dispose que les données à caractère personnel doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles ont été obtenues et pour lesquelles elles sont traitées ultérieurement. B.1. Quant aux données 8. Le demandeur sollicite l'autorisation d'accéder aux informations visées à l'article 3, premier alinéa, 1 à 6 inclus de la LRN, relativement à ses membres, à savoir : les nom et prénoms ; le lieu et la date de naissance ; le sexe ; la nationalité ; la résidence principale ; le lieu et la date du décès. 9. Les données "nom et prénoms" et "lieu et date de naissance" sont demandées afin que l'inscription sur la liste des stagiaires et au tableau des avocats puisse se faire aisément et avec un contrôle suffisant. 10. La donnée "sexe" est utilisée dans l'appellatif figurant dans la correspondance ainsi qu'à des fins statistiques. 11. Dans le cadre de l'exercice de la profession, la validation de la donnée "nationalité" est nécessaire.

6 Délibération RN 70/2014-6/ Étant donné que les procédures disciplinaires s'inscrivent dans le cadre de la mission légale du demandeur et vu qu'à cet effet, l'adresse professionnelle des membres n'est bien souvent plus actuelle, la donnée "résidence principale" est nécessaire. 13. Selon le demandeur, les données "lieu et date du décès" sont importantes dans le cadre de procédures disciplinaires et sont également nécessaires pour pouvoir fixer le délai précis de conservation pour les autres données. Le Comité peut admettre que la donnée "date du décès" soit pertinente car le demandeur doit savoir si l'avocat membre en question est décédé (par exemple pour la poursuite ou non d'une procédure disciplinaire en cours). Toutefois, le Comité se demande si le lieu du décès 2 est strictement nécessaire, raison pour laquelle il refuse l'accès à cette sous-donnée. 14. Le Comité estime que l'accès aux données à caractère personnel mentionnées à l'article 3, premier alinéa, 1 à 6 (toutefois, uniquement la date du décès) inclus de la LRN est conforme à l'article 4, 1, 3 de la LVP. B.2. Quant au numéro d'identification 15. Selon le demandeur, l'utilisation du numéro d'identification du Registre national est nécessaire pour l'identification des avocats qui se connectent à la plate-forme digitale Avocats telle qu'elle est prévue, via par exemple l'eid. Lors de l'échange de dossiers judiciaires entre le SPF Justice et les avocats concernés, le numéro d'identification du Registre national des avocats en question constitue également l'identifiant le plus approprié. Enfin, le numéro d'identification du Registre national des avocats concernés est la clé la plus appropriée pour les données lors de la création d'une source authentique "advocaten aan Vlaamse balies" (avocats aux barreaux néerlandophones). 16. Le Comité estime que l'utilisation du numéro d'identification mentionnée à l'article 8 de la LRN est conforme à l'article 4, 1, 3 de la LVP. B.3. Quant à la fréquence de l'accès et à la durée de l'autorisation 17. Le demandeur souhaite pouvoir accéder aux données de manière permanente et pour une durée indéterminée. 2 En page 6 de la demande, on ne parle d'ailleurs pas du lieu du décès : "Parce qu'il est de la responsabilité de l'ovb de pouvoir transmettre le dossier directement à la personne concernée, il est nécessaire qu'il connaisse l'adresse privée (résidence principale) de cette personne (avocat ou ancien avocat), ainsi que la date éventuelle du décès." [traduction libre réalisée par le Secrétariat de la Commission, en l'absence de traduction officielle]

7 Délibération RN 70/2014-7/ Étant donné qu'en vue de la réalisation des finalités précitées, il n'est a priori pas possible au demandeur de déterminer la fréquence d'accès aux données demandées, le Comité estime qu'un accès permanent est approprié. 19. Une autorisation pour une durée indéterminée est également nécessaire étant donné que la mission légale du demandeur n'est pas limitée dans le temps. B.4. Quant au délai de conservation 20. En ce qui concerne les données "lieu et date de naissance", "sexe" et "nationalité", un délai de conservation jusqu'à 5 ans après le décès est envisagé, afin de pouvoir garantir le transfert des dossiers en cours. Quant à la donnée "résidence principale", un délai de conservation jusqu'à 5 ans après le décès est également prévu, afin de pouvoir finaliser les procédures disciplinaires. 21. En ce qui concerne les données "nom et prénoms", un délai de conservation jusqu'à 30 ans après le décès est prévu, c'est-à-dire le délai de prescription d'un dossier, vu la nécessité d'établir et de conserver un historique du tableau pour le barreau. 22. En ce qui concerne les données "lieu et date du décès", un délai de conservation jusqu'à 30 ans après le décès est prévu, afin de pouvoir effacer les autres données après le délai de conservation prévu. 23. En ce qui concerne le numéro de Registre national, un délai de conservation jusqu'à 30 ans après le décès est prévu, dans le cadre du suivi des dossier en cours et clôturés. 24. Le Comité prend acte de ces délais de conservation et constate qu'ils sont conformes au prescrit de l'article 4, 1, 5 de la LVP. B.5. Accès/usage interne et/ou communication à des tiers 25. Il ressort de la demande que l'accès/l'utilisation se feront en interne, c'est-à-dire par les collaborateurs des 14 barreaux néerlandophones sous la surveillance de leur bâtonnier et du demandeur et par les collaborateurs du demandeur, sous la surveillance du président du demandeur. 26. Une des finalités pour lesquelles l'utilisation est demandée, à savoir servir de clé technique dans le cadre de la communication sûre et fiable avec des parties externes comme le SPF Justice, le

8 Délibération RN 70/2014-8/10 Conseil d'état, la Cour constitutionnelle,..., implique que le numéro d'identification de l'avocat concerné est transmis à ces externes en question. 27. Dans la mesure où cette communication externe du numéro d'identification s'inscrit dans le cadre de la finalité de communication susmentionnée, le Comité en constate le caractère adéquat. B.6. Connexions en réseau 28. Selon le demandeur, il y aura en outre une connexion en réseau communication de données à caractère personnel (de dossiers judiciaires) à l'aide du numéro d'identification entre le demandeur et le SPF Justice. Le Comité prend acte de cette connexion en réseau et constate qu'elle n'appelle aucune remarque particulière. Le SPF Justice dispose en effet d'autorisations pour utiliser le numéro de Registre national, bien qu'il conviendra de vérifier si les autorisations existantes légitiment la présente utilisation externe en relation avec le demandeur. 29. Par souci d'exhaustivité, le Comité attire l'attention sur le fait que : - si d'autres connexions en réseau 3 devaient être réalisées ultérieurement, le demandeur devra l'en informer au préalable ; - le numéro d'identification du Registre national ne peut être utilisé dans des relations avec des tiers que pour autant que cela s'inscrive dans le cadre des finalités pour lesquelles ces derniers ont également été autorisés à utiliser ce numéro. C. SÉCURITÉ C.1. Conseiller en sécurité 30. Il ressort du questionnaire d'évaluation communiqué par le demandeur concernant le candidat conseiller en sécurité que le demandeur dispose d'un conseiller en sécurité tel que prescrit par l'article 10 de la LRN. 31. Le Comité en a pris acte. 3 Dans la demande (p. 7), il est en effet question d'un "échange de données (notamment avec le SPF Justice)". Ou encore en p. 15 de la demande : "Le numéro d'identification du Registre national de l'avocat concerné est le plus approprié pour servir de clé pour l'échange de dossiers judiciaires, par exemple avec le SPF Justice." [traduction libre réalisée par le Secrétariat de la Commission, en l'absence de traduction officielle]

9 Délibération RN 70/2014-9/10 C.2. Politique de sécurité de l'information 32. D'après la déclaration de conformité communiquée par le demandeur concernant le système de sécurité de l'information qui fait l'objet de la demande d'autorisation d'accès au Registre national, il s'avère que le demandeur dispose d'une politique de sécurité de l'information. 33. Le Comité en a pris acte. C.3. Personnes ayant accès aux données/utilisant le numéro d'identification et liste de ces personnes 34. Il ressort de la demande qu'il s'agit des collaborateurs du staff administratif des 14 barreaux néerlandophones désignés par et sous la surveillance de leur bâtonnier et du demandeur, ainsi que de collaborateurs du demandeur sous la surveillance de leur président. 35. Le Comité n'y voit aucune objection, à la lumière de l'article 4, 1, 3 de la LVP. Il demande toutefois que les mesures nécessaires soient prises afin qu'au sein du demandeur et des 14 barreaux néerlandophones, seuls les membres du personnel dûment habilités aient accès à ces données. 36. Comme le prescrit l'article 12 de la LRN, le demandeur doit dresser une liste sur laquelle sont mentionnées les personnes ayant accès au Registre national. Cette liste doit être actualisée en permanence et tenue à la disposition du Comité. 37. Les personnes figurant sur cette liste doivent en outre signer une déclaration par laquelle elles s'engagent à préserver la sécurité et le caractère confidentiel des informations. PAR CES MOTIFS, le Comité 1 autorise, pour une durée indéterminée, l'orde van Vlaamse Balies, en vue de l accomplissement des finalités indiquées au point A et aux conditions exposées dans la présente délibération, à avoir un accès permanent aux informations visées à l'article 3, premier alinéa, 1 à 6 (uniquement la date du décès) inclus de la LRN et à utiliser le numéro d'identification du Registre national ;

10 Délibération RN 70/ /10 2 stipule que lors de toute modification ultérieure de l organisation de la sécurité de l information pouvant avoir un impact sur les réponses données au questionnaire sécurité fourni au Comité (désignation du conseiller en sécurité et réponses aux questions relatives à l organisation de la sécurité), l'orde van Vlaamse Balies adressera au Comité un nouveau questionnaire relatif à l'état de la sécurité de l'information complété conformément à la vérité. Le Comité en accusera réception et se réserve le droit de réagir ultérieurement, s'il y a lieu ; 3 stipule que lorsqu'il enverra à l'orde van Vlaamse Balies un questionnaire relatif à l'état de la sécurité de l'information, celui-ci devra compléter ce questionnaire conformément à la vérité et le renvoyer au Comité. Ce dernier en accusera réception et se réserve le droit de réagir ultérieurement, s'il y a lieu. L Administrateur f.f., La Présidente, (sé) Patrick Van Wouwe (sé) Mireille Salmon