fonctionnement de certains comités sectoriels institués au sein de la Commission de la protection de la vie privée ;

Transcription

1 1/10 Comité sectoriel du Registre national Délibération RN n 38/2007 du 14 novembre 2007 Objet : extension, sollicitée par la Province de Luxembourg en vue de l'application de la législation relative aux sanctions administratives communales, de l'autorisation accordée par arrêté royal du 27 février 1985 (RN/MA/2007/044) Le Comité sectoriel du Registre national (ci-après "le comité") ; Vu la loi du 8 août 1983 organisant un Registre national des personnes physiques (ci-après la "LRN") ; Vu la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel (ci-après la "loi vie privée"), en particulier l'article 31bis ; Vu l'arrêté royal du 17 décembre 2003 fixant les modalités relatives à la composition et au fonctionnement de certains comités sectoriels institués au sein de la Commission de la protection de la vie privée ; Vu la demande de la Province de Luxembourg, reçue le 04/10/2007 ; Vu la demande d'avis technique et juridique adressée au Service public fédéral Intérieur en date du 25/10/2007 ; Vu le rapport de la Présidente ; Émet, après délibération, la décision suivante, le 14/11/2007 :

2 Del RN 38/2007-2/10 I. OBJET DE LA DEMANDE La demande vise à ce que la Province de Luxembourg, ci-après "le demandeur", soit autorisée à : avoir accès aux informations mentionnées à l'article 3, 1 er alinéa, 1 à 9, de la LRN, ainsi qu'à l'historique des modifications subies par celles-ci au cours d'une période débutant un an avant les faits et s'achevant 8 mois après ceux-ci ; utiliser le numéro d'identification du Registre national ; en vue de l'application de la législation relative aux sanctions administratives communales. II. EXAMEN DE LA DEMANDE Un arrêté royal autorise déjà les gouverneurs de province et les députations permanentes à accéder aux informations du Registre national pour l'accomplissement des tâches relevant de leur compétence (arrêté royal du 13 février 1985 autorisant l'accès des gouverneurs de province et des députations permanentes des conseils provinciaux au Registre national des personnes physiques). Le Comité peut donc se borner à : vérifier si la finalité pour laquelle un accès est demandé répond aux critères énoncés à l'article 4, 1, 2, de la loi vie privée ; s'assurer de la proportionnalité, au regard de ladite finalité, d'un accès aux données susmentionnées ainsi que de l'utilisation du numéro d'identification (article 4, 1, 3, de la loi vie privée). A. FINALITE L'article 119bis, 1, de la Nouvelle loi communale 1 prévoit la possibilité pour les communes d'infliger des amendes administratives. Le 13 de l'article précité stipule que "le Roi règle par arrêté délibéré en Conseil des Ministres, la procédure de désignation par la commune du fonctionnaire qui infligera l'amende administrative, 1 Inséré par la loi du 13 mai 1999 relative aux sanctions administratives dans les communes.

3 Del RN 38/2007-3/10 ainsi que la manière de percevoir l'amende administrative" 2. En vertu de l'article 1, 3 ème alinéa, de l'arrêté royal du 7 janvier 2007, le conseil communal a la possibilité, si aucune personne possédant les qualifications requises n'est disponible au sein de l'administration communale, de demander au conseil provincial de désigner à cet effet un fonctionnaire provincial. Le demandeur a chargé quelques-uns de ses agents d'infliger pour le compte de différentes communes les sanctions administratives prévues par leurs règlements de police respectifs. Afin de préserver les droits des personnes impliquées, le prononcé de telles sanctions ne peut se concevoir que dans le respect d'une procédure bien définie. Les fonctionnaires désignés à cet effet doivent notamment s'assurer qu'ils ont effectivement affaire à l'individu concerné. C'est en vue de l'accomplissement de cette mission particulière susceptible d'être confiée à certains de ses agents que le demandeur sollicite une extension de l'autorisation dont il est déjà titulaire. Le comité estime que la finalité poursuivie énoncée ci-dessus est déterminée, explicite et légitime au sens de l'article 4, 1, 2, de la loi vie privée et de l'article 5, 2 ème alinéa, de la LRN. B. PROPORTIONNALITE B.1. Quant aux données B.1.1. Le demandeur souhaite avoir accès aux informations mentionnées à l article 3, 1 er alinéa, 1 à 9, de la LRN, à savoir : les nom et prénoms ; le lieu et la date de naissance ; le sexe ; la nationalité ; la résidence principale ; le lieu et la date du décès ; la profession ; l état civil ; la composition du ménage. 2 Ce qui a été fait par l'arrêté royal du 7 janvier 2001 fixant la procédure de désignation du fonctionnaire et de perception des amendes en exécution de la loi du 13 mai 1999 relative aux sanctions administratives dans les communes.

4 Del RN 38/2007-4/10 Le comité fait les constatations suivantes: Avant d'infliger une sanction administrative, le demandeur doit respecter une procédure 3 qui lui impose notamment de procéder à diverses notifications, entre autres celles du procès-verbal et de la décision. Il doit également informer la personne concernée de ses droits et des délais dont elle dispose pour exercer ceux-ci. Il est donc indispensable, afin de garantir la régularité des procédures, que le demandeur soit en mesure de s'assurer que l'envoi est adressé à la bonne personne. Un accès aux informations "nom et prénoms", "sexe" et "résidence principale" constitue l'instrument le plus approprié à cet effet. Il se peut que plusieurs membres d'une même famille portant les mêmes nom et prénom soient de surcroît domiciliés à la même adresse. Pour garantir un bon déroulement de la procédure, il faut impérativement que le demandeur ait la possibilité de s'assurer qu'il communique avec la personne effectivement visée. Avoir accès au "lieu et à la date de naissance" permettra par exemple de ne pas confondre un père avec son fils. Étant donné les circonstances, un accès à cette donnée doit être qualifié de pertinent. Il n'apparaît nullement, après examen des dispositions réglementaires applicables et des informations fournies par le demandeur, que ce dernier aurait besoin de la donnée "nationalité" pour infliger des sanctions administratives. Dans ces circonstances, il y a lieu de considérer que l'octroi d'un accès à cette donnée est dénué de pertinence et par conséquent excessif ceci étant tout aussi valable pour la donnée "profession". Le décès de l'auteur d'une infraction passible d'une sanction administrative entraîne l'extinction de l'action intentée à son encontre. Avoir accès à la donnée "lieu et date du décès" permettra au demandeur de prendre l'initiative de clôturer le dossier et lui évitera en outre de devoir procéder à un échange de lettres superflu (et générant des frais inutiles). Étant donné les circonstances, un accès à cette donnée doit être qualifié de pertinent. En ce qui concerne la donnée "état civil", le demandeur a expliqué que dans le cas de certaines nuisances survenant de manière répétée dans le contexte d'un conflit entre époux, les procèsverbaux dressés l'étaient tantôt à l'encontre de l'un des conjoints, tantôt à l'encontre de l'autre. S'il a accès à l'information précitée, le demandeur sera en mesure d'établir un lien entre les procèsverbaux de ce genre et de les traiter conjointement, comme un seul dossier. 3 Cf. article 119bis, 4 à 12, de la Nouvelle loi communale.

5 Del RN 38/2007-5/10 Les sanctions administratives peuvent aussi bien être infligées à des mineurs qu'à des majeurs. Si la personne concernée est mineure, il faut informer et contacter ses représentants légaux habituellement ses parents. Un accès à l'information "composition du ménage" telle qu'elle est enregistrée dans le Registre national constitue l'instrument le plus approprié à cet effet. B.1.2. Le demandeur souhaite également avoir accès à l'historique des modifications apportées aux données durant une période débutant un an avant les faits et prenant fin huit mois après ceux-ci. Les services du Registre national n'ayant pas connaissance de la date à laquelle les faits donnant lieu à une consultation ont été commis, il n'est pas pratique de retenir cette date comme point de départ pour le calcul de la période couverte par l'historique. Le comité estime qu'il faut plutôt avoir recours à la date de la consultation. Une amende administrative ne peut pas être infligée plus de six mois après les faits, les éventuelles procédures de recours non comprises (article 119bis, 10, 3 ème alinéa, de la Nouvelle loi communale). Par ailleurs, il est utile que le fonctionnaire chargé d'infliger de telles amendes puisse consulter les données antérieures aux faits, car cela l'aidera à replacer certains de ceux-ci dans un contexte plus large (divorce, dissolution d'un ménage de fait), ainsi qu'à identifier les personnes ayant déjà fait l'objet de poursuites pour "nuisances" (récidive). Au vu de ce qui précède, le comité juge approprié l'octroi d'un accès à l'historique des modifications apportées aux données au cours des 18 mois précédant leur consultation. Le comité estime qu'en vue de la réalisation des finalités énoncées au point A, un accès aux données à caractère personnel mentionnées à l'article 3, 1 er alinéa, 1 à 3, 5, 6, 8 et 9, de la LRN, ainsi qu'à l'historique des modifications apportées à ces données au cours des 18 mois précédant leur consultation, est conforme à l'article 4, 1, 3, de la loi vie privée. B.2. Quant à l'utilisation du numéro d'identification du Registre national B.2.1. Le demandeur souhaite se servir du numéro de Registre national comme moyen d'identification, notamment pour vérifier si la personne concernée est en état de récidive ce qui peut entraîner une aggravation de la sanction. Le comité constate qu'en combinaison avec le nom, le prénom et le domicile, ce numéro, qui est un numéro unique, permet d'identifier une personne sans la moindre marge d'erreur. On évite ainsi les malentendus et les quiproquos qui pourraient être engendrés par une homonymie ou une transcription erronée du nom. Au vu des finalités poursuivies et des conséquences qu'une décision

6 Del RN 38/2007-6/10 du demandeur peut avoir pour la personne concernée, il importe de ne pas commettre la moindre erreur quant à l'identité de celle-ci. En ce qui concerne cet aspect, l'utilisation du numéro d'identification est conforme à l'article 4, 1, 3, de la loi vie privée. B.2.2. Le demandeur signale en outre que les fonctionnaires provinciaux désignés pour infliger les sanctions administratives communales sont tenus de rendre compte de leurs activités en la matière au conseil communal, au receveur communal et à la zone de police. Eu égard à la large diffusion des rapports rédigés à cette fin, le demandeur voudrait y utiliser le numéro de Registre national comme moyen d'identification des dossiers. Selon lui, ceci permettrait de "préserver l'identité des personnes incriminées" et aurait des effets positifs quant à la confidentialité des données, tout en laissant la possibilité aux personnes habilitées d'effectuer des contrôles à l'aide de leur propre accès au Registre national. Le comité ne peut pas adhérer à ce raisonnement. En effet, contrairement, par exemple, au patronyme, le numéro de Registre national, qui ne correspond jamais qu'à une et une seule personne, est un des moyens d'identification les plus fiables. Concrètement, cela signifie donc que les personnes figurant dans les rapports du demandeur sont identifiées de manière précise. Étant donné qu'aussi bien les services de police que le receveur communal sont autorisés à utiliser le numéro d'identification, son utilisation dans les rapports qui leur sont adressés est admissible, d'autant plus que le demandeur a des contacts avec eux lors de l'exécution des missions concernées. Le conseil communal ne dispose pas d'une telle autorisation. Lorsqu'un rapport est émis au conseil communal, il faut utiliser un autre numéro, par exemple un numéro de dossier. Si le conseil communal souhaite effectuer des contrôles concernant les activités du fonctionnaire chargé d'infliger des amendes administratives, il peut réclamer des dossiers ponctuels à l'aide du numéro de dossier. B.3. Quant à la fréquence de l accès et à la durée pour laquelle l autorisation d'accès et d utilisation est sollicitée B.3.1. Le demandeur sollicite un accès permanent. C'est en effet quotidiennement que les fonctionnaires concernés auront à appliquer la réglementation relative aux sanctions administratives communales dans le cadre des dossiers qui leur seront confiés à cette fin par un certain nombre de communes.

7 Del RN 38/2007-7/10 Le comité estime que pour pouvoir s'acquitter de la mission susmentionnée avec l'efficacité requise, le demandeur doit être en mesure de procéder sur-le-champ aux vérifications nécessaires dans le Registre national. Un accès permanent est par conséquent approprié (article 4, 1, 3, de la loi vie privée). B.3.2. L'autorisation d'accès est sollicitée pour une durée illimitée. Le comité constate que la tâche réglementaire pour l'exécution de laquelle le demandeur sollicite une autorisation d'accès et d'utilisation lui a été confiée pour une durée non précisée. Il convient donc que l'autorisation lui soit accordée pour une période indéterminée (article 4, 1, 3, de la loi vie privée). B.4. Quant au délai de conservation Le demandeur signale qu'il conservera les données aussi longtemps que cela s'avérera nécessaire en vue de l'accomplissement des tâches qui lui incombent. Certes, la sanction administrative doit être infligée dans les 6 mois suivant les faits, mais la possibilité d'interjeter appel auprès du tribunal de police est prévue. Compte tenu de ces arguments, le comité estime qu'en la matière, aucun délai de conservation concret ne peut en effet être fixé mais qu'il est quand même approprié de prévoir en tout état de cause un délai de 10 ans maximum. Prévoir ce délai maximal ne porte pas atteinte au fait que le demandeur doit détruire les données lorsque le dossier est clôturé. Une telle délimitation du délai de conservation est admissible à la lumière de l'article 4, 1, 5 de la loi vie privée. B.5 Usage interne et/ou communication à des tiers Les éclaircissements fournis font apparaître que les informations obtenues ne seront pas exclusivement utilisées en interne, en vue du traitement des dossiers, et qu'elles pourront également être communiquées à des tiers, en particulier : au tribunal de police, si un recours est introduit contre la décision d'un "fonctionnaire sanctionnateur" ; au receveur de la commune au nom de laquelle une amende aura été infligée. Le comité constate que les magistrats concernés et les receveurs communaux sont tous autorisés à accéder au Registre national et à en utiliser le numéro d'identification en vue de remplir les missions

8 Del RN 38/2007-8/10 qui leur ont été assignées. Il est par conséquent admissible, au vu des finalités susmentionnées, que les informations leur soient le cas échéant transmises. B.6 Connexions en réseau Pour autant que le comité puisse le déduire de la demande, il n y aura pas de connexions en réseau au sens de l article 8, 1, 4 ème alinéa, de la LRN, puisque le numéro d identification ne servira pas à associer des données en provenance de différents organismes. Dans un souci d'exhaustivité, le comité souligne que : si des connexions en réseau sont réalisées ultérieurement, les bénéficiaires de l autorisation devront l en informer au préalable ; le numéro d identification du Registre national ne peut être utilisé dans des relations avec des tiers que si l'utilisation projetée s'inscrit dans le cadre des finalités pour la réalisation desquelles ceux-ci ont été autorisés à se servir dudit numéro. C. SECURITE C.1. Conseiller en sécurité de l information L'identité du conseiller en sécurité de l'information a été communiquée. Selon les informations fournies à son sujet par le demandeur, il est licencié en sciences commerciales et dirige le Département des Affaires générales de la Province de Luxembourg. Tous les agents de cette province qui ont accès au Registre national relèvent de sa compétence. Il a par conséquent intérêt à ce que les choses se déroulent correctement et à ce qu'aucun incident de sécurité ne survienne. Par ailleurs, sa position lui permet de donner les instructions nécessaires en la matière. Le comité constate, sur la base des renseignements dont il dispose, que l'intéressé jouit de l'indépendance requise et que ses autres fonctions ne sont manifestement pas incompatibles avec celle de conseiller en sécurité de l'information. Sa désignation en tant que tel peut donc être approuvée.

9 Del RN 38/2007-9/10 C.2. Politique de sécurité de l information Si le conseiller en sécurité dont il vient d'être question a été désigné le 30 juillet 2007, les documents communiqués par le demandeur font en revanche apparaître qu'il ne dispose pas encore d'une politique de sécurité ni d'un plan pour l'application de celle-ci. Le comité souhaite que le demandeur lui fasse parvenir une description détaillée de sa politique de sécurité ainsi que le calendrier de sa mise en œuvre. L'examen des réponses données au questionnaire d'évaluation révèle en outre que la consultation de données à caractère personnel dans le Registre national ou dans la (les) banque(s) de données du demandeur ne fait l'objet d'aucune journalisation, de sorte que la constatation ultérieure d'irrégularités ou d'abus s'avère impossible. En l'absence d'un dispositif permettant de savoir si certaines données concernant une personne déterminée ont été consultées, par qui, à quel moment et pour quel motif, toute politique de sécurité s'apparente à une boîte vide. Des sanctions pénales étant prévues en cas d'utilisation abusive d'un accès à des informations à caractère personnel, il convient que toutes les consultations soient journalisées et que les données ainsi recueillies soient conservées pendant 10 ans au moins. Le comité insiste pour que le demandeur fasse le nécessaire à cet effet. C.3. Personnes ayant accès aux données et liste de ces personnes L'accès aux données et l'utilisation du numéro d'identification seront réservés aux agents du demandeur chargés d'infliger les amendes administratives pour le compte des communes. Ainsi que le prescrit l'article 12 de la LRN, le demandeur dressera une liste des personnes ayant accès aux informations du Registre national et utilisant le numéro d'identification de ce registre. Cette liste sera constamment mise à jour et sera tenue à la disposition du comité. Les personnes reprises sur cette liste devront en outre signer une déclaration dans laquelle elles s engageront à préserver la sécurité et le caractère confidentiel des informations auxquelles elles auront accès.

10 Del RN 38/ /10 PAR CES MOTIFS, le comité 1 étend la portée de l'arrêté d'autorisation du 27 février 1985 au profit de la Province de Luxembourg et autorise celle-ci, pour une durée indéterminée, en vue de l accomplissement de la finalité indiquée au point A et moyennant le respect des conditions énoncées dans la présente délibération, à : avoir en permanence accès aux informations mentionnées à l article 3, 1 er alinéa, 1 à 3, 5, 6, 8 et 9, de la LRN, ainsi qu à l'historique des modifications apportées à celles-ci au cours des 18 mois précédant leur consultation ; utiliser le numéro d'identification du Registre national. Toutefois, cette extension ne produira ses effets qu'après que le Comité aura constaté, sur la base des pièces et informations fournies par la Province de Luxembourg, que cette dernière a donné suite aux observations formulées au point C.2. 2 stipule que lorsqu il enverra un questionnaire relatif à l état de la sécurité de l information à la Province de Luxembourg, cette dernière devra compléter ledit questionnaire conformément à la vérité et le lui renvoyer. Le comité en accusera réception, tout en se réservant le droit de réagir ultérieurement, s il y a lieu. 3 rejette la demande pour le surplus. L'Administrateur, La Présidente, (sé) Jo Baret (sé) Mireille Salmon