données à caractère personnel (ci-après LVP), en particulier les articles 31bis et 36bis ;

Transcription

1 1/10 Comité sectoriel pour l'autorité Fédérale Délibération AF n 11/2010 du 10 juin 2010 Objet : demande d'autorisation de la Chambre nationale des Huissiers de Justice en vue d'accéder à des données enregistrées dans des banques de données du SPF Mobilité et Transports (AF/MA/2010/041) Le Comité sectoriel pour l Autorité Fédérale (ci-après "le Comité") ; Vu la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel (ci-après LVP), en particulier les articles 31bis et 36bis ; Vu l'arrêté royal du 17 décembre 2003 fixant les modalités relatives à la composition et au fonctionnement de certains comités sectoriels institués au sein de la Commission de la protection de la vie privée, en particulier l'article 18 ; Vu la demande de Monsieur Bernard Buyse, Président de la Chambre nationale des Huissiers de Justice, reçue le 15/04/2010 ; Vu la demande d'avis technique et juridique adressée au Service public fédéral Fedict en date du 21/05/2010 ; Vu l'avis technique et juridique reçu le 08/06/2010 ; Vu le rapport du Président ; Émet, après délibération, la décision suivante, le 10/06/2010:

2 Délibération AF 11/2010-2/10 I. OBJET ET CONTEXTE DE LA DEMANDE 1. Le 10 février 2010, la Chambre nationale des Huissiers de Justice (ci-après "le demandeur") a introduit une demande d'autorisation auprès du Comité et a introduit une demande reformulée le 15 avril Le demandeur souhaite qu'un accès au répertoire des véhicules de la Direction pour l'immatriculation des Véhicules du Service public fédéral Mobilité et Transports (ci-après "la DIV") lui soit octroyé ainsi qu'à tous les huissiers de justice, et ce afin de pouvoir procéder à une saisie conservatoire ou exécutoire de véhicules à moteur et de remorques. 3. Actuellement, les huissiers reçoivent les informations demandées sur papier, après une demande écrite ou envoyée par fax à la DIV. La présente demande d'avis vise à ce que cet échange de données se fasse à l'avenir par voie électronique sécurisée. Le demandeur dispose lui-même d'un système informatique permettant aux huissiers de justice d'obtenir un accès. Le système comporte, selon le demandeur, "une traçabilité entièrement cryptée de chaque demande, de manière à ce qu'à tout moment, la légitimité du traitement puisse être examinée par le conseiller en sécurité" [traduction libre réalisée par le secrétariat de la Commission, en l'absence d'une traduction officielle]. II. EXAMEN DE LA DEMANDE A. COMPÉTENCE 4. En vertu de l'article 36bis de la LVP, "toute communication électronique de données personnelles par un service public fédéral ou par un organisme public avec personnalité juridique qui relève de l'autorité fédérale, exige une autorisation de principe (du comité sectoriel compétent)". 5. Il incombe à ce Comité de vérifier "que ladite communication, d une part, est nécessaire à la mise en œuvre des missions confiées, par ou en vertu de la loi, à l autorité fédérale demanderesse et, d autre part, que cette communication, en ses divers aspects, est compatible avec l ensemble des normes en vigueur en matière de protection de la vie privée en ce qui concerne le traitement de données personnelles." (Doc. Parl. 50, , n 1940/004). 6. La DIV, qui fait partie du SPF Mobilité et Transports, transmettra par voie électronique des données à caractère personnel au demandeur et aux huissiers de justice. Le Comité est dès lors compétent.

3 Délibération AF 11/2010-3/10 B. QUANT AU FOND 1. PRINCIPE DE FINALITÉ 7. L'article 4, 1, 2 de la LVP n'autorise le traitement de données à caractère personnel que pour des finalités déterminées, explicites et légitimes et les données ne peuvent en outre pas être traitées ultérieurement de manière incompatible avec ces finalités. Le Comité examine dans les paragraphes qui suivent si ces principes sont respectés en l'occurrence. 8. Les huissiers de justice peuvent procéder à une saisie conservatoire ou exécutoire de véhicules à moteur et de remorques. Ils souhaitent accéder au répertoire de la DIV afin de pouvoir effectuer un "contrôle approximatif du droit de propriété" de ces biens dans le cadre de ces tâches. Le Comité estime qu'il s'agit d'une finalité déterminée et explicite et rappelle que les données demandées ne peuvent être traitées qu'en vue de cette finalité. 9. Concernant l'exigence de compatibilité avec la finalité initiale, le Comite signale que les traitements envisagés, à savoir la transmission de certaines données par la DIV au demandeur, constituent des traitements ultérieurs de données qui ont initialement été traitées pour d'autres finalités. La licéité de ces traitements ultérieurs dépend donc de leur compatibilité avec le traitement initial. Cet examen de la compatibilité est réalisé en fonction des prévisions raisonnables de l'intéressé et des dispositions légales et réglementaires applicables. 10. À cet égard, le Comité constate que : l'arrêté royal du 20 juillet 2001 relatif à l'immatriculation de véhicules stipule ce qui suit : "Art. 6, 2. Les finalités pour lesquelles les données à caractère personnel du répertoire peuvent faire l'objet d'un traitement sont : ( ) 10 la saisie conservatoire et la saisie-exécution des véhicules à moteur et des remorques ;" en vertu de l'article 516 du Code judiciaire, les huissiers de justice ont pour mission lorsqu'ils en sont priés de saisir des biens de débiteurs : "Sauf dispositions légales contraires, seuls les huissiers de justice sont compétents pour ( ) mettre à exécution les décisions de justice ainsi que les actes ou titres en forme exécutoire."

4 Délibération AF 11/2010-4/ Compte tenu du cadre réglementaire précité, les traitements de données en question effectués pas les huissiers de justice peuvent être considérés comme étant compatibles. 12. Le Comité fait également remarquer que selon la demande les données en question ne seront pas directement communiquées aux huissiers de justice mais que cela se fera via le demandeur. Ce dernier assume notamment la responsabilité d'octroyer l'accès et de contrôler les utilisateurs. 13. Le Comité constate que le demandeur remplira ici le rôle d'un Trusted Third Party (ci-après "TTP", tiers de confiance). Dans une récente recommandation 1, la Commission de la protection de la vie privée (ci-après "la Commission") a affirmé que les ordres ou d'autres instances pouvaient agir en tant que tiers de confiance (TTP) dans certaines situations dans le cadre de la gestion des accès à des sources authentiques. Le TTP peut notamment vérifier si une personne qui demande l'accès (dans ce cas, un huissier de justice) n'a fait l'objet d'aucune peine disciplinaire et est donc réellement en fonction. 14. Étant donné qu'en vertu de l'article 550 du Code judiciaire, la Chambre nationale des Huissiers de Justice doit veiller à l'uniformité de la discipline (et des règles de déontologie) parmi ses membres et à l'exécution des lois et règlements les concernant ( ) et doit en outre établir une liste électronique des huissiers de justice titulaires et suppléants et de veiller à sa mise à jour permanente 2 ( ), le Comité estime que celle-ci peut remplir le rôle dépeint ci-dessus de TTP. 15. La recommandation susmentionnée de la Commission a également fixé un certain nombre de conditions qu'un TTP doit remplir. Ainsi, il doit veiller de manière générale au respect correct de la législation en matière de vie privée 3 et il ne peut pas utiliser les données qu'il a traitées dans le 1 Recommandation n 02/2010 du 31 mars 2010 (voir en particulier les points 12, 13 et 17). 2 Le Comité fait remarquer que l'article 550 du Code judiciaire n'est pas encore entré en vigueur mais que le demandeur a de facto quand même déjà élaboré une banque de donnée reprenant les données visées à l'article susmentionné. Les informations complémentaires accompagnant la demande d'autorisation mentionnaient ce qui suit à ce sujet : "La source authentique s'inscrit dans le cadre de l'intention du législateur exprimée à l'article 550 du Code judiciaire. Bien que la partie en question de l'article 550 ne soit pas encore entrée en vigueur et qu'elle n'existera peut-être jamais sous cette formulation ("Phenix"), la volonté délibérée de l'autorité et plus précisément du Service public Fedict est de sécuriser les communications électroniques via cette source authentique. ( ) Il est en effet extrêmement important que la liste donne à tout moment une image précise de la situation réelle du corps et que toute nouvelle nomination ou licenciement ou suspension figure immédiatement sur la liste électronique." [traduction libre réalisée par le secrétariat de la Commission, en l'absence d'une traduction officielle] 3 "Le TTP avec le ou les autres responsable(s) du traitement (ultérieur) doit veiller de manière générale au respect correct de la législation en matière de protection de la vie privée. Cela implique également que lorsqu'un TTP constate que les traitements de données dans lesquels il intervient menacent de ne pas se dérouler, sur certains points, conformément à la LVP, il est recommandé qu'il le signale au(x) responsable(s) du

5 Délibération AF 11/2010-5/10 cadre de sa fonction de TTP pour d'autres finalités que les finalités spécifiques qui lui ont été confiées. De plus, dans la recommandation susmentionnée, la Commission donnait encore des lignes directrices quant à la transparence et à la sécurité (cf. ci-dessous les points 33 et 36). Le Comité juge que le demandeur doit respecter ces lignes directrices. 2. PRINCIPE DE PROPORTIONNALITÉ 2.1. Nature des données 16. L'article 4, 1, 3 de la LVP stipule que les données à caractère personnel doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont obtenues et pour lesquelles elles sont traitées ultérieurement. 17. Il est demandé, chaque fois que des huissiers de justice transmettent à la DIV les données d'une plaque minéralogique, que ces derniers ainsi que le demandeur aient accès au nom du propriétaire du véhicule concerné. À l'inverse, lorsqu'ils envoient le nom d'une personne physique (ou le numéro de la Banque-carrefour des entreprises) à la DIV, ils souhaitent ainsi que le demandeur obtenir la (les) plaque(s) minéralogique(s) du (des) véhicule(s) et/ou remorque(s) qui sont inscrits au nom de cette personne (ou entreprise). Les huissiers ne peuvent en effet saisir que les biens appartenant au débiteur. 18. À la lumière des finalités décrites au point 8, le Comité conclut que les données auxquelles le demandeur accédera sont conformes à l'article 4, 1, 3 de la LVP. 19. De plus, le Comité attire l'attention sur le fait que les données recueillies sont considérées comme étant des données judiciaires, telles que visées à l'article 8 de la LVP, si elles sont collectées ou traitées en vue d'être utilisées pour introduire une affaire en justice ou lorsqu'elles peuvent donner lieu à des sanctions administratives. 20. Il est dès lors recommandé que le demandeur et les huissiers de justice respectent les conditions particulières relatives à ce type de traitements. Ces conditions sont mentionnées à l'article 25 de l'arrêté royal du 13 février 2001 portant exécution de la LVP. En vertu de cet article, le responsable doit désigner clairement les catégories de personnes qui ont accès aux données et leur fonction doit être décrite avec précision. La liste des catégories de personnes doit être tenue à la disposition de la Commission. Le responsable doit en outre veiller à ce que ces personnes désignées traitement (ultérieur), même s'il s'agit d'aspects du traitement pour lesquels il n'est pas lui-même (tout à fait) responsable d'un point de vue juridique. ( )" (Recommandation n 02/2010 du 31 mars 2010 (point 17)).

6 Délibération AF 11/2010-6/10 soient tenues à une obligation légale, statutaire ou contractuelle quant à la confidentialité des données Délai de conservation des données 21. En ce qui concerne le délai de conservation des données, le Comité rappelle que les données doivent être conservées pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont obtenues (article 4, 1, 5 de la LVP). 22. D'après les informations fournies par le demandeur, il apparaît que les huissiers de justice conserveront les données pendant 10 ans. Ce délai est basé sur le délai de prescription de 10 ans qui vaut pour la saisie mobilière. 23. Le Comité en prend acte et fait remarquer qu'en pratique, on peut faire une distinction entre différents modes de conservation. Le traitement d'un dossier en cours requiert une conservation des données de sorte qu'elles soient disponibles et accessibles normalement pour les huissiers de justice chargés de la gestion du dossier. Dès que les délais nécessaires à la gestion d'un dossier sont dépassés, le mode de conservation choisi ne doit conférer aux données qu'une disponibilité et une accessibilité limitées. Un tel mode de conservation doit permettre de répondre à d'autres finalités éventuelles de cette conservation, comme le respect des dispositions légales en matière de prescription ou l'exécution d'un contrôle administratif. Lorsque la conservation n'est plus utile, les données doivent être détruites. 24. Par souci d'exhaustivité, le Comité attire également l'attention sur le fait que les données réclamées à la DIV ne peuvent être conservées que par les huissiers de justice et non par le demandeur (sauf les données nécessaires pour obtenir l'accès). Comme indiqué ci-dessus, le demandeur ne joue en effet qu'un rôle lors de l'octroi de l'accès à la DIV pour les huissiers de justice Fréquence de l'accès et durée de l'autorisation 25. Le demandeur souhaite obtenir un accès permanent aux données demandées. Le Comité estime qu'en vue de remplir les finalités indiquées, un tel accès est approprié à la lumière de l'article 4, 1, 3 de la LVP.

7 Délibération AF 11/2010-7/ L'accès est également demandé pour une durée indéterminée. Les tâches des huissiers de justice sur le plan de la saisie exécutoire et conservatoire ne sont en effet pas limitées dans le temps par la réglementation. Le Comité estime donc que la demande d'autorisation en vue de la réalisation des finalités indiquées pour une durée indéterminée est appropriée (article 4, 1, 3 de la LVP) Destinataires et/ou tiers auxquels des données sont communiquées 27. Outre les huissiers de justice eux-mêmes, leurs collaborateurs accrédités auront également accès aux données demandées. Le Comité marque son accord. Il insiste toutefois pour que les huissiers de justice, en tant qu'instances habilitées, restent responsables de l'utilisation correcte de l'autorisation. Cela signifie qu'ils doivent veiller à ce que leurs collaborateurs utilisent exclusivement l'accès dans les limites de l'autorisation accordée 4. Comme le point 20 de la présente délibération l'a déjà souligné, ils doivent également tenir à disposition de la Commission une liste reprenant les catégories de personnes qui ont accès aux données et ils doivent veiller à ce que leurs collaborateurs soient tenus à une obligation légale, statutaire ou contractuelle quant à la confidentialité des données. 28. Le Comité fait également remarquer que dans certains cas, le donneur d'ordre aura connaissance (d'une partie) des données demandées. L'exercice correct de la profession d'huissier de justice exige en effet que le donneur d'ordre soit informé de l'état du dossier et des possibilités mises à disposition pour mener à bien l'exécution de la saisie. Les informations complémentaires jointes à la demande d'autorisation stipulent à cet égard que : "La remise physique des données n'est évidemment pas permise. D'autre part, il est utopique de supposer que le donneur d'ordre ne reçoit aucune information. La décision de poursuivre ou non une procédure est prise à la lumière des données qui ont été collectées. Étant donné que cette décision appartient in fine au donneur d'ordre, celui-ci est informé de manière sommaire." [traduction libre effectuée par le secrétariat de la Commission, en l'absence d'une traduction officielle]. Le Comité marque son accord. 3. PRINCIPE DE TRANSPARENCE (article 4, 1, 1 et articles 9 à 15bis de la LVP) 29. Le Comité rappelle qu'un traitement de données loyal est un traitement qui se fait de manière transparente. L'obligation d'information constitue une des pierres d'angle d'un traitement transparent. 30. En l'espèce, les traitements de données envisagés seront cependant effectués en vue de l'application de dispositions prescrites par ou en vertu d'une loi, d'un décret ou d'une ordonnance. 4 Voir également la délibération RN n 06/2006 du 1 er mars 2006.

8 Délibération AF 11/2010-8/10 En vertu de l'article 9, 2, 2 ème alinéa, b) de la LVP, une dispense de l'obligation d'information s'applique dans une telle situation. Cette dispense n'empêche toutefois pas que le Comité puisse s'assurer que des garanties appropriées existent pour la protection des droits fondamentaux des personnes concernées. En outre, l'exception à l'obligation d'information visée à l'article 9, 2 de la LVP ne concerne que la collecte indirecte de données légitimée par une loi. Le Comité insiste sur le fait qu'en identifiant les plaques minéralogiques, les huissiers de justice réalisent une collecte directe de données qui est entièrement soumise à l'obligation d'information. 31. Par conséquent, le Comité estime nécessaire que pour les cas où l'huissier de justice collecte les données auprès du débiteur même les personnes concernées soient clairement informées du nom du responsable du traitement, de la finalité du traitement, de l'origine des données collectées et de l'existence d'un droit d'accès et de rectification des données les concernant (cf. article 9, 1 de la LVP). 32. Pour les cas dans lesquels les données ne sont pas directement collectées auprès de la personne concernée, il suffit de fournir des informations plus générales quant au fait que des données sont réclamées à la DIV et pour quelle finalité. Cela pourrait par exemple se faire en le mentionnant sur les sites Internet des huissiers de justice et de la DIV. Le secteur pourrait naturellement aussi uniformiser la manière de travailler en menant une politique de communication unique. 33. Enfin, le Comité insiste sur le fait qu'au niveau du demandeur qui, comme déjà précisé ci-dessus, agit en tant que TTP une certaine transparence doit également être assurée. Il renvoie à cet égard à la recommandation n 02/2010 de la Commission déjà citée : "Les traitements effectués par un TTP doivent se dérouler de manière transparente. Cela implique notamment que : les responsables du traitement initial et/ou du traitement ultérieur 5 doivent au moins recevoir du TTP les informations suivantes : o le fonctionnement du TTP et les conditions d'utilisation des services du TTP ; o la portée de la responsabilité du TTP. les personnes concernées doivent toujours sur la base des informations fournies par le TTP et par les responsables du traitement initial et/ou du traitement ultérieur pouvoir savoir auprès de qui elles peuvent exercer leur droit d'accès, de rectification, de suppression ou de non utilisation." 5 En l'espèce, il s'agit de la DIV et des huissiers de justice.

9 Délibération AF 11/2010-9/10 4. SÉCURITÉ 4.1. Au niveau du demandeur 34. Comme déjà précisé, le demandeur remplit le rôle de TTP et, en cette qualité, il tient aussi à jour une source de données reprenant tous les huissiers de justice (ainsi que leurs collaborateurs qui ont également accès aux données en question). Sur la base de cette source, chaque utilisation individuelle des données peut être contrôlée. 35. Il ressort des documents communiqués par le demandeur que ce dernier dispose d'un conseiller en sécurité de l'information ainsi que d'une politique de sécurité générale. Le Comité en a pris acte. 36. Dans ce contexte, il renvoie toutefois également à la recommandation de la Commission concernant les TTP. Conformément à ce document, le demandeur doit prévoir les mesures de sécurité suivantes : limite l'accès aux données à des personnes spécialement désignées à cet effet et tenir la lise de ces personnes à disposition de la Commission 6 ; s'organiser selon les "cercles de confiance" Au niveau de l'huissier de justice individuel 37. Les huissiers de justice qui veulent recevoir des données de la DIV doivent prendre des mesures techniques et organisationnelles pour protéger les données à caractère personnel contre la destruction accidentelle ou non autorisée, contre la perte accidentelle ainsi que contre la modification, l'accès et tout autre traitement non autorisé de données à caractère personnel. Étant donné la mission d'un TTP de veiller de manière générale au respect de la LVP 8 et vu le concept des "cercles de confiance" 9, il appartient également au demandeur de conclure en la matière (en ce qui concerne certains aspects) les accords nécessaires avec les huissiers de justice. 6 Cf. point Cf. point 15 de la recommandation n 02/2010 de la Commission et point 9 de la recommandation n 01/2008 de la Commission. 8 Cf. point Cf. point 36.

10 Délibération AF 11/ / Le Comité se réserve le droit de juger à tout moment les mesures mises en place par chaque huissier de justice individuel Au niveau de la DIV 39. Aucune information n a été communiquée au sujet de la sécurité du flux de données provenant de la DIV. À cet égard, le Comité attire l'attention sur le fait que tout flux de données sécurisé requiert que des mesures de sécurité soient prises des deux côtés. La DIV doit également mentionner sur un formulaire d'évaluation les mesures de sécurités qu'elle a prises et envoyer une copie de ce formulaire au Comité. PAR CES MOTIFS, le Comité autorise le demandeur, les huissiers de justice et la DIV à réaliser les traitements de données visés dans la demande, moyennant la prise en considération des remarques exposées ci-avant (voir en particulier les points 8, 15, 19-20, 23, 24, 27, 30, 31, 32, 33, 37, 38 et 39). Pour l Administrateur e.c., Le Président, (sé) Patrick Van Wouwe (sé) Willem Debeuckelaere