Vu la demande de la "Vlaams Energieagentschap", reçue le 5 août 2016 ;

Transcription

1 1/9 Comité sectoriel du Registre national Délibération RN n 82/2016 du 19 octobre 2016 Objet : demande de la "Vlaams Energieagentschap" (Agence flamande de l'énergie) afin d'utiliser le numéro de Registre national et d'accéder à plusieurs informations de ce Registre dans le cadre de la certification d'entrepreneurs en isolation des murs intérieurs (RN-MA ) Le Comité sectoriel du Registre national (ci-après "le Comité") ; Vu la loi du 8 août 1983 organisant un Registre national des personnes physiques (ci-après la "LRN") ; Vu la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel (ci-après la "LVP"), en particulier l'article 31bis ; Vu l'arrêté royal du 17 décembre 2003 fixant les modalités relatives à la composition et au fonctionnement de certains comités sectoriels institués au sein de la Commission de la protection de la vie privée ; Vu la demande de la "Vlaams Energieagentschap", reçue le 5 août 2016 ; Vu les informations complémentaires reçues le 10 octobre 2016 ; Vu la demande d'avis technique et juridique adressée au Service public fédéral Intérieur en date du 13 septembre 2016 ; Vu le rapport de la Présidente ;

2 Délibération RN 82/2016-2/9 Émet, après délibération, la décision suivante, le 19 octobre 2016 : I. OBJET DE LA DEMANDE 1. La "Vlaams Energieagentschap", ci-après le demandeur, sollicite l'autorisation d'utiliser le numéro de Registre national et d'accéder à plusieurs informations de ce Registre dans le cadre de la certification d'entrepreneurs en isolation des murs intérieurs. II. EXAMEN DE LA DEMANDE 2. Le Comité constate que le demandeur a déjà été autorisé à utiliser le numéro de Registre national dans le cadre de la certification d'installateurs de systèmes d'énergies renouvelables, ce en vertu de la délibération RN n 82/2013 du 11 décembre Lors de son examen, le Comité peut dès lors se limiter à vérifier si : la finalité pour laquelle l'utilisation du numéro de Registre national et l'accès à plusieurs informations du Registre national est demandée est déterminée, explicite et légitime au sens de l'article 4, 1, 2 de la LVP et de l'article 5, deuxième alinéa de la LRN ; l'utilisation du numéro de Registre national et l'accès à plusieurs informations du Registre national sont proportionnels à la lumière de la finalité (article 4, 1, 3 de la LVP). A. FINALITÉ 4. L'arrêté du Gouvernement flamand du 15 juillet 2016 modifiant l'arrêté relatif à l'énergie du 19 novembre 2010 en ce qui concerne diverses dispositions en matière d'efficacité énergétique étend les travaux pour lesquels un certificat est possible au placement de l'isolation des murs intérieurs (nouvel article 8.5.1, 1 er, 8 de l'arrêté relatif à l'énergie). Par conséquent, une certification est également possible pour le placement de l'isolation des murs intérieurs. 5. Les entrepreneurs devront d'abord suivre une formation et réussir un examen. Ils pourront ensuite s'adresser au demandeur pour obtenir un certificat d'aptitude ou un certificat d'aptitude en tant qu'aspirant. Ce certificat est valable cinq ans. 6. Conformément à l'article 8.5.1, 2 de l'arrêté relatif à l'énergie, un certificat d'aptitude ou le certificat d'aptitude en tant qu'aspirant peut uniquement être délivré par une organisation qui a été autorisée à cet effet par le ministre.

3 Délibération RN 82/2016-3/9 7. L'autorisation sera octroyée au demandeur par l'arrêté ministériel modifiant l'arrêté ministériel du 20 janvier 2014 portant agréation d'instituts de formation et d'examen pour la certification d'entrepreneurs et d'installateurs et portant certification d'entrepreneurs et d'installateurs (encore en cours d'élaboration). 8. Le demandeur sera donc chargé de la gestion et de la délivrance du certificat d'aptitude et du certificat d'aptitude en tant qu'aspirant. 9. L'arrêté ministériel modifié précise également que les instituts de formation agréés doivent fournir au demandeur une liste numérique des participants dans les quinze jours qui suivent la formation. Un template de cette liste est fourni par le demandeur à l'institut de formation. Les instituts d'examen doivent aussi transmettre une liste des participants au demandeur dix jours avant l'examen. 10. Le certificat d'aptitude peut uniquement être décerné sur une base individuelle à une personne physique. Pour être certifiée, la personne qui souhaite obtenir le certificat doit répondre aux conditions suivantes : avoir suivi la formation d'isolation des murs intérieurs auprès d'un institut de formation agréé ; disposer d'un certificat de réussite à l'examen en question ne datant pas de plus de douze mois ; justifier d'au moins trois ans d'expérience professionnelle pertinente. 11. Si les conditions de certification ne sont pas remplies, le certificat n'est pas délivré, n'est pas prolongé ou est retiré. Pour conserver leur certificat, les entrepreneurs devront participer à des recyclages. 12. Lorsque la demande de certificat est approuvée, les données de contact de l'entrepreneur et les données de l'entreprise sont reprises sur une liste publique qui est publiée sur le site Internet du demandeur. La date d'entrée en vigueur du certificat apparaît également sur la liste. 13. Si les instituts de formation et d'examen sont autorisés à transmettre les numéros de Registre national au demandeur, ils lui communiqueront ces numéros en plus du nom et du prénom, du sexe, de l'adresse, de la date et du lieu de naissance des entrepreneurs. Cela permettra, après avoir chargé les listes de candidats ayant suivi la formation et ayant réussi l'examen, de

4 Délibération RN 82/2016-4/9 contrôler de manière simple, via le numéro de Registre national, si la personne qui s'est inscrite pour recevoir le certificat a aussi effectivement suivi une formation et a réussi l'examen. 14. Dans les cas où les instituts de formation et d'examen ne peuvent pas transmettre de numéro de Registre national, le demandeur gérera la procédure de certification sur la base des nom, prénom, sexe, adresse, date et lieu de naissance, avec pour conséquence la possibilité de confusions ou d'erreurs. 15. L'identification correcte et unique de l'entrepreneur (ou du candidat entrepreneur) certifié est essentielle étant donné qu'il faut obligatoirement satisfaire à un certain nombre de conditions réglementaires pour recevoir le certificat en question. 16. Le Comité constate que : d'après ce qui a été exposé ci-avant, le demandeur traite des données à caractère personnel. Il s'agit de traitements autorisés qui reposent sur l'article 5, premier alinéa, c) de la LVP ; la finalité susmentionnée est explicite et légitime au sens de l'article 4, 1, 2 de la LVP et de l'article 5, deuxième alinéa de la LRN ; l'arrêté modifiant l'arrêté relatif à l'énergie a été publié mais n'est pas encore intégralement entré en vigueur et l'arrêté ministériel modifiant l'arrêté ministériel du 20 janvier 2014 portant agréation d'instituts de formation et d'examen pour la certification d'entrepreneurs et d'installateurs et portant certification d'entrepreneurs et d'installateurs est encore en cours d'élaboration. B. PROPORTIONNALITÉ B.1. Quant aux données du Registre national 17. Le demandeur souhaite accéder aux informations mentionnées à l'article 3, premier alinéa, 1 à 3 inclus, de la LRN, à savoir : les nom et prénoms ; le lieu et la date de naissance ; le sexe.

5 Délibération RN 82/2016-5/9 18. Ces données 1 sont nécessaires pour l'identification unique des personnes qui souhaitent obtenir un certificat d'entrepreneur en isolation des murs intérieurs et permettent au demandeur d'effectuer une recherche phonétique au cas où le numéro de Registre national ne serait pas communiqué. La date de naissance est également pertinente pour la durée de conservation des données car le demandeur indique qu'il conserve les données des entrepreneurs certifiés pendant 40 ans, soit le nombre d'années maximum pendant lesquelles les intéressés seront professionnellement actifs. 19. Le Comité conclut qu'à la lumière de la finalité indiquée, l'accès aux informations mentionnées à l'article 3, premier alinéa, 1 à 3 inclus de la LRN est conforme à l'article 4, 1, 3 de la LVP. B.2 Quant au numéro de Registre national 20. Le demandeur souhaite utiliser le numéro de Registre national pour l'identification unique des personnes qui souhaitent obtenir un certificat d'entrepreneur en isolation des murs intérieurs. 21. Le numéro de Registre national est un numéro unique permettant d'identifier une personne sans la moindre marge d'erreur. Les confusions ou les méprises qui pourraient survenir en raison d'une homonymie ou de fautes d'orthographe dans le nom sont ainsi exclues. 22. Sur la base du numéro de Registre national, toutes les informations relatives à l'obtention du certificat, qui ont été transmises via les instituts de formation et d'examen habilités à cette fin, seront rassemblées auprès du demandeur. 23. Le Comité conclut qu'à la lumière de la finalité indiquée, l'utilisation du numéro de Registre national est conforme à l'article 4, 1, 3 de la LVP. 24. Le Comité estime qu'au regard de l'article 4, 1, 3 de la LVP, le certificat proprement dit ne doit pas mentionner le numéro de Registre national. En soi, la certification constitue une distinction unique au niveau personnel, également sans ce numéro. 1 L'institut de formation/d'examen et la date de réussite de l'examen sont également utilisés pour l'identification unique des entrepreneurs. Il ne s'agit toutefois pas de données issues du Registre national. Le demandeur peut traiter ces données sans autorisation du Comité. Si l'institut de formation/d'examen relève du champ d'application du décret du 18 juillet 2008 relatif à l'échange électronique de données administratives, une autorisation de la Vlaamse Toezichtcommissie (Commission de contrôle flamande) sera, le cas échéant, toutefois nécessaire.

6 Délibération RN 82/2016-6/9 25. À la lumière de l'article 4, 1, 3 de la LVP, le Comité précise que si les listes d'entrepreneurs certifiés étaient rendues publiques par le demandeur, le numéro de Registre national des entrepreneurs certifiés devrait être supprimé. B.3. Quant à la fréquence de l utilisation et à la durée de l'autorisation 26. Une utilisation permanente du numéro de Registre national et un accès permanent aux informations mentionnées à l'article 3, premier alinéa, 1 à 3 inclus de la LRN sont demandés. 27. Étant donné que les entrepreneurs doivent pouvoir introduire une demande de certification à tout moment via la procédure numérique et que les collaborateurs internes du demandeur doivent dès lors pouvoir traiter des dossiers de manière continue, le Comité estime qu'une utilisation et un accès permanents sont appropriés à la lumière de l'article 4, 1, 3 de la LVP. 28. Une autorisation d'une durée indéterminée est demandée. 29. Vu que l'autorisation accordée par le Ministre au demandeur en vue de délivrer des certificats est d'une durée indéterminée, le Comité considère qu'une autorisation pour une durée indéterminée est appropriée à la lumière de l'article 4, 1, 3 de la LVP. B.4. Quant au délai de conservation 30. Le demandeur indique qu'il conserve les données des entrepreneurs certifiés pendant 40 ans, soit le nombre d'années maximum pendant lesquelles les intéressés seront professionnellement actifs. L'entrepreneur obtient un certificat, attestant de sa formation et de son expérience, d'une durée de validité de cinq ans. Ce certificat peut ensuite être prolongé à chaque fois pour cinq ans. Si les recyclages nécessaires sont suivis et si le certificat n'est pas retiré, la période de 40 ans est admise comme étant la durée maximum de la carrière. 31. En ce qui concerne cette durée de conservation, le Comité renvoie à la remarque qu'il a formulée à cet égard au point B.3. de la délibération RN n 82/2013 du 11 décembre 2013, à propos du délai de conservation des données des installateurs de systèmes d'énergies renouvelables.

7 Délibération RN 82/2016-7/9 B.5. Usage interne et/ ou communication à des tiers 32. D'après la demande, le numéro de Registre national ainsi que les données mentionnées à l'article 3, premier alinéa, 1 à 3 inclus de la LRN seront uniquement utilisés en interne par le demandeur et ne seront pas communiqués à des tiers. B.6. Connexions en réseau 33. D'après la demande, aucune connexion en réseau communication de données à caractère personnel à l'aide du numéro de Registre national - ne sera établie avec des tiers. 34. Le Comité en prend acte. 35. Par souci d'exhaustivité, le Comité attire l'attention sur le fait que : si des connexions en réseau devaient être réalisées ultérieurement, le demandeur devra l'en informer au préalable ; le numéro de Registre national ne peut être utilisé dans des relations avec des tiers que pour autant que cela s'inscrive dans le cadre des finalités en vue desquelles ces derniers ont également été autorisés à utiliser ce numéro. C. SÉCURITÉ DE L'INFORMATION C.1. Conseiller en sécurité de l'information 36. D'après le questionnaire d'évaluation et la déclaration de conformité communiqués par le demandeur, il s'avère que ce dernier dispose d'un conseiller en sécurité de l'information, tel que prescrit par l'article 10 de la LRN. 37. Le Comité en a pris acte. C.2. Politique de sécurité de l'information 38. Il ressort du questionnaire d'évaluation et de la déclaration de conformité transmis par le demandeur que ce dernier dispose d'une politique de sécurité et qu'il la met également en pratique sur le terrain. 39. Le Comité en a pris acte.

8 Délibération RN 82/2016-8/9 C.3. Personnes ayant accès aux données et liste de ces personnes 40. D'après la demande, un nombre limité de collaborateurs du demandeur auront accès aux données à caractère personnel pour le traitement concret des dossiers. 41. Comme le prescrit l article 12 de la LRN, le demandeur doit dresser une liste reprenant les personnes qui utilisent le numéro de Registre national et qui ont accès aux informations mentionnées à l'article 3, premier alinéa, 1 à 3 inclus de la LRN. Cette liste sera constamment actualisée et tenue à la disposition du Comité. Elle devra également reprendre les gestionnaires de système. Il s'agit des membres du personnel du demandeur qui sont responsables de l'informatique. Bien qu'ils n'aient aucune raison "de fond" de consulter les données à caractère personnel, ils ont en principe bel et bien "techniquement" accès à ces données. 42. Les personnes figurant sur cette liste doivent en outre signer une déclaration par laquelle elles s engagent à préserver la sécurité et le caractère confidentiel des informations. PAR CES MOTIFS, le Comité 1 autorise la "Vlaams Energieagentschap", pour la finalité mentionnée au point A et aux conditions exposées dans la présente délibération, à utiliser le numéro de Registre national et à accéder aux informations mentionnées à l'article 3, premier alinéa, 1 à 3 inclus de LRN. La présente délibération ne produira ses effets qu'après que le Comité aura constaté, sur la base des documents fournis par la "Vlaams Energieagentschap", que les dispositions pertinentes de l'arrêté du Gouvernement flamand du 15 juillet 2016 modifiant l'arrêté relatif à l'énergie du 19 novembre 2010 en matière d'efficacité énergétique et l'arrêté ministériel modifiant l'arrêté ministériel du 20 janvier 2014 portant agréation d'instituts de formation et d'examen pour la certification d'entrepreneurs et d'installateurs et portant certification d'entrepreneurs et d'installateurs sont entrées en vigueur ;

9 Délibération RN 82/2016-9/9 2 stipule que lors de toute modification ultérieure de l organisation de la sécurité de l information pouvant avoir un impact sur les réponses données au questionnaire sécurité fourni au Comité (désignation du conseiller en sécurité de l'information et réponses aux questions relatives à l organisation de la sécurité), la "Vlaams Energieagentschap" adressera au Comité un nouveau questionnaire relatif à l'état de la sécurité de l'information complété conformément à la vérité. Le Comité en accusera réception et se réserve le droit de réagir ultérieurement, s'il y a lieu ; 3 stipule que, lorsqu'il enverra à la "Vlaams Energieagentschap" un questionnaire relatif à l'état de la sécurité de l'information, celle-ci devra compléter ce questionnaire conformément à la vérité et le lui renvoyer. Le Comité en accusera réception et se réserve le droit de réagir ultérieurement, s'il y a lieu. L'Administrateur f.f., La Présidente, (sé) An Machtens (sé) Mireille Salmon