fonctionnement de certains comités sectoriels institués au sein de la Commission de la protection de la vie privée ;

Transcription

1 1/11 Comité sectoriel du Registre national Délibération RN n 69/2015 du 9 décembre 2015 Concerne : demande formulée par le "Vlaams Instituut voor het Onroerend Erfgoed" (Institut Flamand pour le Patrimoine immobilier) afin d'accéder à plusieurs informations du Registre national et d'utiliser le numéro de Registre national en vue d'identifier et de contacter des personnes dans des dossiers pour l'exécution de ses tâches (RN/MA/2015/500) Le Comité sectoriel du Registre national (ci-après "le Comité") ; Vu la loi du 8 août 1983 organisant un Registre national des personnes physiques (ci-après la "LRN") ; Vu la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel (ci-après la "LVP"), en particulier l'article 31bis ; Vu l'arrêté royal du 17 décembre 2003 fixant les modalités relatives à la composition et au fonctionnement de certains comités sectoriels institués au sein de la Commission de la protection de la vie privée ; Vu la demande de l'institut flamand pour le Patrimoine immobilier, reçue le 02/10/2015 ; Vu la demande reformulée, reçue le 12/11/2015 ; Vu les informations complémentaires reçues le 16/11/2015 ; Vu la demande d'avis technique et juridique adressée au Service public fédéral Intérieur en date du 12/11/2015;

2 Délibération RN 69 /2015-2/11 Vu l'avis technique et juridique reçu 08/12/2015 ; Vu le rapport de la Présidente ; Émet, après délibération, la décision suivante, le 9 decembre 2015: I. OBJET DE LA DEMANDE 1. L'Institut flamand pour le Patrimoine immobilier, ci-après le demandeur, souhaite accéder aux informations du Registre national mentionnées à l'article 3, premier alinéa, 1 et 5 de la LRN et utiliser le numéro de Registre national afin de s'assurer de l'exactitude des données à caractère personnel dans les dossiers d'agrément et les dossiers de prime qu'il traite ainsi que dans les registres qu'il tient à jour. II. EXAMEN DE LA DEMANDE A. LÉGISLATION APPLICABLE A.1. Loi du 8 août 1983 (LRN) 2. Conformément à l'article 5, premier alinéa, 1 et à l article 8 de la LRN, l autorisation d accéder aux informations du Registre national et d'utiliser le numéro de ce Registre est accordée par le Comité aux "autorités publiques belges pour les informations qu'elles sont habilitées à connaître en vertu d'une loi, d'un décret ou d'une ordonnance. 3. L'article 6 du décret cadre politique administrative du 18 juillet 2003 prévoit la possibilité pour le Gouvernement flamand de créer des agences autonomisées internes sans personnalité juridique en vue de remplir des tâches de mise en oeuvre de la politique. De telles agences "continuent à agir sous l'autorité et la responsabilité directes du ministre compétent, bien qu'ayant une autonomie opérationnelle. Juridiquement, il s'agit d'une déconcentration ou d'une répartition des compétences d'un service public entre plusieurs services ou fonctionnaires subordonnés hiérarchiquement (Parlement flamand, séance , doc n 1612, n 1, p. 7). [Traduction libre réalisée par le Secrétariat de la Commission vie privée en l'absence de traduction officielle] Une agence autonomisée interne sans personnalité juridique doit donc être qualifiée d'autorité publique. 4. Le demandeur a été créé par arrêté du Gouvernement flamand du 14 mai 2004 portant création de l'agence autonomisée interne sans personnalité juridique "Vlaams Instituut voor het

3 Délibération RN 69 /2015-3/11 Onroerend Erfgoed" (Institut flamand du Patrimoine immobilier). L'article 3 de cet arrêté charge le demandeur entre autres des tâches de mise en oeuvre de la politique suivantes : la préparation et le suivi au niveau du contenu et de l'administration, sur la base des propres données de gestion et des données d'inventaire, des dossiers relatifs à la protection provisoire et définitive de monuments et sites urbains et ruraux, sites archéologiques, paysages culturohistoriques et patrimoine naviguant ; donner des avis, octroyer des permis, des autorisations et habilitations relatifs au patrimoine immobilier ; l'octroi de subventions, allocations, primes ou aides réglementées et de subventions non réglementées qui sont nominativement reprises dans le contrat de gestion, visé à l'article 7, le contrôle de la progression des conditions ou des engagements qui s'y appliquent, ainsi que l'organisation du remboursement des subventions, allocations, primes ou aides dans le cas où le bénéficiaire ne respecte pas les conditions ou engagements. 5. Dans la mesure où, en vue de l'exécution de ces tâches, le demandeur doit traiter et contrôler des données d'identification de citoyens, il entre en considération, en vertu des articles 5, premier alinéa, 1 et 8 de la LRN, pour être autorisé à accéder au Registre national et en utiliser le numéro. A.2. Loi du 8 décembre 1992 (LVP) 6. En vertu de l'article 4 de la LVP, les informations du Registre national et le numéro de Registre national constituent des données à caractère personnel dont le traitement n'est autorisé que pour des finalités déterminées, explicites et légitimes. Les données à caractère personnel doivent, en outre, être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont traitées. B. FINALITÉS B.1 Agrément d'archéologues et de détecteurs de métaux 7. Les articles et du décret du 12 juillet 2013 relatif au patrimoine immobilier (ci-après le décret relatif au patrimoine immobilier) disposent que le demandeur peut désigner une personne physique ou morale en tant qu'archéologue agréé ou en tant que détecteur de métaux agréé (nouvelles compétences). Cet agrément n'est pas anodin, vu que :

4 Délibération RN 69 /2015-4/11 seuls les archéologues agréés sont compétents pour rédiger la note archéologique requise dans le cadre d'interventions dans le sol soumises à autorisation 1 ; seuls les archéologues agréés sont compétents pour effectuer des recherches scientifiques archéologiques 2 ; seuls les détecteurs de métaux agréés peuvent, à l'aide d'appareils de détection de métaux, détecter des artefacts archéologiques ou sites archéologiques 3. Le demandeur est habilité à délivrer un agrément aux archéologues et aux détecteurs de métaux. 8. Il s'agit d'une finalité déterminée et explicite. Elle est également légitime étant donné que les traitements de données à caractère personnel qui en découlent se fondent sur l'article 5, premier alinéa, c) de la LVP. B.2. Registre des titulaires du droit réel et des utilisateurs 9. Suite à une modification envisagée 4 de l'arrêté du Gouvernement flamand du 16 mai 2014 portant exécution du décret relatif au patrimoine immobilier du 12 juillet 2013 (ci-après l'arrêté relatif au patrimoine immobilier), toute une série d'articles sont insérés au chapitre 5 sans article de cet arrêté. L'article proposé dispose : que le demandeur tiendra à jour un registre des lieux de conservation, des titulaires du droit réel et des utilisateurs d'artefacts archéologiques et d'ensembles archéologiques ; que les données d'un titulaire du droit réel ou d'un utilisateur sont rendues publiques lorsque le titulaire du droit réel ou l'utilisateur est une personne morale de droit public ou un dépôt immobilier agréé. [Traduction libre réalisée par le Secrétariat de la Commission vie privée en l'absence de traduction officielle] 10. Le Comité constate que le demandeur a l'intention d'élaborer une banque de données où des données à caractère personnel seront conservées et que c'est à peu près tout ce que l'on sait. Le demandeur n'a manifestement pas jugé nécessaire de recueillir l'avis de la Commission de la protection de la vie privée. 1 Voir la Section 4 "Recherches archéologiques dans le cas d'interventions dans le sol soumises à autorisation" du Chapitre 5 "Archéologie" du décret relatif au patrimoine immobilier. 2 Recherches telles que visées à la Section 5 "Recherches archéologiques en vue de questionnements scientifiques" du Chapitre 5 "Archéologie" du décret relatif au patrimoine immobilier. 3 Article du décret relatif au patrimoine immobilier. 4 Approuvée par le Gouvernement flamand le 16/10/2015 et adressée ensuite pour avis au Conseil d'état.

5 Délibération RN 69 /2015-5/ Cette disposition ne passe pas le test de la LVP. Le fait que le demandeur soit chargé de la tenue du registre amène à la déduction qu'il est le responsable du traitement et qu'en tant que tel, il lui incombe de respecter la LVP. 12. Le Comité constate : qu'il n'est mentionné nulle part pour quelle finalité ce registre sera créé (article 4, 1, 2 de la LVP) ; qu'il n'est précisé nulle part quelles données y seront enregistrées (article 4, 1, 3 de la LVP - impossible de contrôler la proportionnalité) ; que l'on ne sait pas clairement si les données à caractère personnel qui y seront reprises pourront être consultées par des tiers ou si elles seront uniquement destinées à un usage interne ; qu'il n'est indiqué nulle part combien de temps les données à caractère personnel seront conservées dans ce registre. 13. Étant donné d'une part que le processus réglementaire concernant ce registre n'est pas encore achevé et vu d'autre part les réserves du point de vue de la LVP, cette finalité ne peut pas, dans l'état actuel des choses, être qualifiée de déterminée, explicite et légitime au sens de l'article 4, 1, 2 de la LVP. B.3 Bénéficiaires de primes 14. L'article du décret relatif au patrimoine immobilier prévoit la possibilité pour le Gouvernement flamand d'octroyer des primes relatives au patrimoine immobilier ou aux fouilles archéologiques. Le chapitre 11 "Primes" de l'arrêté relatif au patrimoine immobilier indique concrètement les primes existantes, leur montant, comment à quelles conditions elles peuvent être demandées, quand, comment et à qui elles sont payées, quand elles doivent être remboursées. À cette fin, le demandeur collectera et contrôlera un certain nombre de données à caractère personnel de celui qui introduira une demande de prime. 15. Il s'agit d'une finalité déterminée et explicite. Elle est également légitime étant donné que les traitements de données à caractère personnel qui en découlent se fondent sur l'article 5, premier alinéa, c) de la LVP.

6 Délibération RN 69 /2015-6/11 C. PROPORTIONNALITÉ C.1. Quant aux informations du Registre national 16. Le demandeur souhaite accéder aux données mentionnées à l'article 3, premier alinéa, 1 et 5 de la LRN, à savoir : les nom et prénoms ; la résidence principale. 17. Le Comité constate qu'un accès à ces données permet au demandeur de vérifier les nom et prénoms officiels des archéologues et des détecteurs de métaux qui introduisent une demande d'agrément ainsi que des personnes qui demandent une prime, ce en vue d'un enregistrement correct dans ses dossiers et d'une mention correcte sur ses décisions. Un accès à l'adresse de la personne concernée permet d'éviter l'envoi de courrier à des adresses périmées (réduction des frais, pas de perte de temps inutile). 18. Compte tenu des finalités, un accès aux informations mentionnées à l'article 3, premier alinéa, 1 et 5 de la LRN est conforme à l'article 4, 1, 3 de la LVP. C.2. Quant au numéro de Registre national 19. Le demandeur souhaite utiliser ce numéro comme identifiant pour toutes les personnes lui adressant soit une demande d'agrément, soit une demande de prime car cela lui permettra d'identifier de manière univoque les personnes physiques concernées. 20. Le Comité constate que le numéro de Registre national permet d identifier une personne avec précision. Cela signifie que les méprises pouvant survenir en raison d'une homonymie ou de fautes d'orthographe sont exclues. Cette identification n'est pas sans importance vu notamment les conséquences d'un agrément en tant qu'archéologue ou en tant que détecteur de métaux pour la personne concernée et vu l'importance que la prime octroyée soit payée à la bonne personne. 21. Le Comité estime qu'à la lumière des finalités indiquées, l'utilisation du numéro de Registre national est conforme à l'article 4, 1, 3 de la LVP.

7 Délibération RN 69 /2015-7/11 Par simple souci d'exhaustivité : point d'attention 22. Diverses nouvelles dispositions qui seront insérées dans l'arrêté relatif au patrimoine immobilier suite à la modification envisagée de cet arrêté obligent l'archéologue qui rédige la note archéologique à y mentionner le numéro de Registre national de certaines personnes. Cela engendre l'utilisation par des archéologues du numéro de Registre national de tiers (ils le collectent et l'enregistrent ensuite comme élément de la note archéologique). Le Comité attire l'attention sur le fait que ces dispositions sont vouées à rester lettre morte. Le numéro de Registre national peut en effet uniquement être utilisé par ceux qui y ont été habilités par le Comité ou en vertu d'une disposition légale. Actuellement, l'article 5, premier alinéa de la LRN ne permet pas d'autoriser des personnes physiques telles que des archéologues à utiliser le numéro de Registre national. C. 3. Fréquence de l'accès et durée de l'autorisation 23. Le demandeur souhaite pouvoir disposer d'un accès permanent aux informations du Registre national. 24. Il ressort des informations fournies par le demandeur qu'en vue de la réalisation des finalités mentionnées dans la présente délibération, ce dernier constitue et traite des dossiers quotidiennement. Il doit dès lors avoir la possibilité d'effectuer une vérification dans le Registre national chaque fois que c'est nécessaire. À la lumière de cet élément, le Comité juge qu'un accès permanent est approprié (article 4, 1, 3 de la LVP). 25. Une autorisation d'une durée indéterminée est demandée. La réglementation relative à l'agrément d'archéologues et de détecteurs de métaux et à l'octroi de prime n'est pas limitée dans le temps. Par conséquent, une autorisation d'une durée indéterminée est appropriée (article 4, 1, 3 de la LVP). C.4. Quant au délai de conservation 26. Dans la demande, il est indiqué que les données seront conservées au maximum 10 ans, conformément aux dispositions du décret du 9 juillet 2010 relatif à l'organisation des archives administratives et de gestion En ce qui concerne les dossiers de prime, le Comité constate que ceux-ci relèvent du champ d'application de la loi du 16 mai 2003 fixant les dispositions générales applicables aux budgets, au contrôle des subventions et à la comptabilité des communautés et des régions, ainsi qu'à l'organisation du contrôle de la Cour des comptes. L'article 15 de cette loi dispose qu'en matière de prescription, le

8 Délibération RN 69 /2015-8/11 droit commun s'applique, fixant donc le délai de prescription à 10 ans. En outre, l'article 68 du décret du 8 juillet 2011 réglant le budget, la comptabilité, l'attribution de subventions et le contrôle de leur utilisation, et le contrôle par la Cour des Comptes prévoit que l'article 15 précité de la loi du 16 mai 2003 s'applique aux personnes morales flamandes. Pour ces dossiers, le délai de conservation proposé par le demandeur ne pose aucun problème à la lumière de l'article 4, 1, 5 de la LVP. 28. En ce qui concerne les dossiers d'agrément, le demandeur a précisé en date du 16/11/2015 que ces dossiers demeurent actifs, soit jusqu'au retrait de l'agrément, soit jusqu'à ce que la personne concernée cesse son activité professionnelle en tant qu'archéologue ou détecteur de métaux, ou qu'elle décède. Ces dossiers sont ensuite classés comme non actifs et conservés pendant 10 ans, conformément au décret du 9 juillet 2010, après quoi soit ils sont détruits conformément aux instructions reprises dans la liste de sélection établie par la commission de sélection compétente, soit ils sont définitivement transférés au gestionnaire habilité des archives. Dès lors que le demandeur veille à ce que les dossiers non-actifs ne soient plus accessibles que moyennant une demande préalable au responsable, cette approche n'appelle aucune remarque particulière à la lumière de l'article 4, 1, 5 de la LVP. C.5. Usage interne et/ ou communication à des tiers 29. Il est mentionné dans la demande que des données seront communiquées à des communes du patrimoine immobilier agréées. L'intention est que le demandeur fournisse à ces communes les notes archéologiques qu'il a ratifiées afin qu'elles puissent continuer à suivre le dossier de fouilles sur le terrain. 30. La finalité en vue de laquelle des données à caractère personnel sont communiquées à des communes du patrimoine immobilier agréées via la note archéologique ratifiée n'est pas incompatible avec la finalité pour laquelle les données ont été initalement collectées. En vertu de l'arrêté royal du 30 août 1985, les communes sont habilitées à utiliser le numéro de Registre national. Elles disposent en outre d'un accès aux informations du Registre national de leurs propres résidents, conformément à l'arrêté royal du 3 avril , ainsi que des non-résidents, pour autant qu'elles aient adhéré à la délibération RN n 13/2013. À la lumière de ce qui précède, cette communication ne suscite aucune remarque particulière. 5 Arrêté royal du 3 avril 1984 relatif à l'accès de certaines autorités publiques au Registre national des personnes physiques, ainsi qu'à la tenue à jour et au contrôle des informations.

9 Délibération RN 69 /2015-9/11 C.6. Connexions en réseau 31. La demande ne mentionne aucune connexion en réseau. Le Comité en prend acte. 32. Par souci d'exhaustivité, le Comité attire l'attention sur le fait que : si des connexions en réseau devaient être réalisées ultérieurement, le demandeur devra l'en informer au préalable ; le numéro de Registre national ne peut être utilisé dans des relations avec des tiers que pour autant que cela s'inscrive dans le cadre des finalités en vue desquelles ces derniers ont également été autorisés à utiliser ce numéro. D. SÉCURITÉ DE L'INFORMATION D.1. Conseiller en sécurité de l'information 33. Le Comité constate que le demandeur dispose d'un conseiller en sécurité de l'information. D.2. Politique de sécurité de l'information 34. Il ressort des documents transmis par le demandeur qu'il dispose d'une politique de sécurité de l'information ainsi que d'un plan en application de celle-ci. 35. Le Comité en a pris acte. D.3. Personnes qui ont accès aux informations du Registre national, qui utilisent le numéro de Registre national et liste de ces personnes 36. Les membres du personnel du demandeur qui traitent des dossiers d'agrément et de primes disposeront d'un accès et utiliseront le numéro de Registre national. 37. Comme le prescrit l'article 12 de la LRN, le demandeur doit dresser une liste des personnes qui ont accès aux informations du Registre national et qui utilisent le numéro du Registre national. Cette liste sera constamment actualisée et tenue à la disposition du Comité.

10 Délibération RN 69 / / Les personnes figurant sur cette liste doivent en outre signer une déclaration par laquelle elles s'engagent à préserver la sécurité et le caractère confidentiel des informations. 39. Le Comité invite le demandeur à prendre les mesures nécessaires pour enregistrer les loggings (qui a accédé, quand, à quoi et pourquoi) afin de pouvoir contrôler les accès. PAR CES MOTIFS, le Comité 1 autorise, pour une durée indéterminée, l'institut flamand pour le Patrimoine immobilier, pour les finalités mentionnées aux volets B.1 et B.3 et aux conditions fixées dans la présente délibération, à : accéder en permanence aux informations du Registre national mentionnées à l'article 3, premier alinéa, 1 et 5 de la LRN ; utiliser le numéro de Registre national ; 2 attire l'attention du bénéficiaire de la présente autorisation sur les remarques formulées aux points 12 et 22 ; 3 stipule que lors de toute modification ultérieure de l organisation de la sécurité de l information pouvant avoir un impact sur les réponses données au questionnaire sécurité fourni au Comité (désignation du conseiller en sécurité et réponses aux questions relatives à l organisation de la sécurité), le bénéficiaire de l'autorisation adressera au Comité un nouveau questionnaire relatif à l'état de la sécurité de l'information complété conformément à la vérité. Le Comité en accusera réception et se réserve le droit de réagir ultérieurement, s'il y a lieu ;

11 Délibération RN 69 / /11 4 stipule également que, lorsqu'il enverra au bénéficiaire de l'autorisation un questionnaire relatif à l'état de la sécurité de l'information, celui-ci devra compléter ce questionnaire conformément à la vérité et le renvoyer au Comité. Le Comité en accusera réception et se réserve le droit de réagir ultérieurement, s'il y a lieu ; 5 refuse ce qui est demandé en sus. L'Administrateur ff. La Présidente, (sé) An Machtens (sé) Mireille Salmon