VIE PRIVEE ET DONNEES PERSONNELLES. L équilibre entre la protection de la vie privée et l utilisation des données à titre professionnel

Transcription

1 VIE PRIVEE ET DONNEES PERSONNELLES L équilibre entre la protection de la vie privée et l utilisation des données à titre professionnel

2 Introduction Développement technologique Données se rapportant à des personnes physiques Registre national, demandes de composition de ménage, certificats de nationalité, cartes riverains, carte d identité électronique, les permis urbanistiques, déclarations préalables pour l euthanasie ou le don d organes, Contexte européen 2

3 I. La loi du 8 décembre 1992 relative à la protection de la vie privée à l égard des traitements des données à caractère personnel (LVP) 1. Champ d application et Définitions. Données à caractère personnel. Toute information qui concerne une personne physique identifiée ou identifiable. Il peut donc s agir d un nom, une photo, un numéro de téléphone, un code, un numéro de compte en banque, une adresse , une empreinte digitale, 3

4 Traitement des données. Toute opération ou ensemble d opérations par des moyens automatisés appliquées à des données personnelles. Il s agit de la collecte, la conservation, l utilisation, la modification, la communication, la vente, des données. 4

5 Le responsable d un traitement. La personne qui détermine les objectifs et les moyens du traitement de données. La LVP ne s applique pas aux données personnelles traitées dans le cadre d activité exclusivement personnelles ou domestiques. Une série de dispositions peuvent ne pas être appliquées aux traitements de données à caractère personnel effectués aux seules fins de journalisme ou d expression artistique ou littéraire afin de garantir un équilibre avec la protection de la liberté d expression. Les traitements effectués à des fins de sécurité publique bénéficient aussi d exceptions partielles. 5

6 2. Conditions Se trouver dans une des 6 hypothèses visée à l art. 5 LVP : Avoir donné son consentement Nécessaire à l exécution d un contrat ex: facturation d un service Exigé par une loi ex: l employeur qui transmet certaines données aux organismes de sécusoc Sauvegarder un intérêt vital ex: données collectées sur un accidenté inconscient Nécessaire pour exécuter une mission d intérêt public ex: titulaires d abonnements de la SNCB Nécessaire pour réaliser un intérêt légitime 6

7 Principe de finalité (art. 4, 1, 2 LVP). Les données doivent être traitées pour des finalités spécifiques et légitimes et ne doivent pas être traitées ultérieurement de façon incompatible avec ces finalités. Qualité des données (art. 7, 1, 3-5 LVP) Adéquates et pertinentes par rapport aux finalités annoncées Exactes et si nécessaires mises à jour Conservées sous une forme permettant l identification des personnes concernées pendant une durée n excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont enregistrées. 7

8 Catégories particulières de données (art. 6, 7 et 8 LVP) Les données à caractère personnel révélant l origine raciale, les opinions politiques, les convictions religieuses ou philosophiques, l appartenance syndicale, la santé, la vie sexuelle, les condamnations pénales ne peuvent, en principe, pas être traitées, si ce n est avec une protection renforcée. Exceptions en ce qui concerne la Sureté et la police : garanties appropriées. Ex : déclaration préalable à l euthanasie : AR 27/4/2007 : donnée sensible qui nécessite une protection particulière. L art. 25 LVP prévoit une désignation des catégories et fonctions de personnes ayant accès aux données, une transmission de la liste à la CPVP, l obligation légale/statutaire/contractuelle du respect du caractère confidentiel. 8

9 Droits des personnes concernées (art. 9, 10 et 12 LVP) Toute personne doit pouvoir : Connaître l existence d un fichier automatisé de données à caractère personnel, ses finalités principales, ainsi que l identité et la résidence habituelle ou le principal établissement du responsable du traitement Obtenir à des intervalles raisonnables et sans délais ou frais excessifs la confirmation de l existence ou non dans le fichier automatisé, de données à caractère personnel la concernant ainsi que la communication de ces données sous une forme intelligible 9

10 Obtenir la rectification ou leur effacement lorsqu elles ont été traitées en violation des principes de protection des données Disposer d un recours s il n est pas donné suite à une demande de confirmation ou, le cas échéant, de communication, de rectification ou d effacement. Recours auprès de la Commission pour la protection de la vie privée, ainsi que devant les cours et tribunaux judiciaires. 10

11 Obligation quant aux données : Veiller à la qualité des données (adéquate, pertinente, exacte, mise à jour,..) Veiller à la confidentialité (le responsable doit veiller à ce que les personnes travaillant sous son autorité n aient accès et ne puissent utiliser que les données dont elles ont besoin pour exercer leur fonction. Il doit également mettre son personnel au courant des prescrits de la loi sur la protection des données et les principes à respecter) Veiller à la sécurité (mesures organisationnelles et mesures techniques) Effacer les données après un certain délai 11

12 3. Procédure Déclaration préalable de traitement auprès de la Commission de la Protection de la Vie privée. Dans le respect du principe de transparence : nécessité d indiquer les objectifs le nom et l adresse du responsable du traitement les destinataires des données le caractère obligatoire de la réponse l existence d un droit d accès et d un droit de rectification l existence d un droit d opposition dans les cas de marketing direct 12

13 Existence d une autorité de contrôle indépendante (chap VII LVP) La Commission de la Protection de la Vie Privée (CPVP) Pouvoirs d investigation et d intervention, ester en justice. Elle peut être saisie par toute personne d une demande relative à la protection de ses droits et libertés fondamentales à l égard des traitements de données à caractère personnel relevant de sa compétence. Indépendante et relève du Parlement belge. 13

14 II. L accès au Registre National et utilisation du numéro d identification Les communes ont été autorisées à avoir accès au Registre national. Loi du 8 août 1983 organisant un Registre national des personnes physiques (LRN) AR du 3 avril 1984 relatif à l accès de certaines autorités publiques au Registre national des personnes physiques, ainsi qu à la tenue à jour et au contrôle des informations. Cet accès concerne : toutes les informations contenues au RN et relatives aux personnes inscrites dans ses registres (art. 1) les informations visées à l art. 3, alinéa 1 er, LRN, relatives aux personnes qui ne sont pas inscrites dans ses registres (art. 2) gestion interne (art. 3) 14

15 L art. 5 LRN : les autorisations d accéder aux informations du RN sont accordées par le Comité sectoriel du Registre National, au sein de la CPVP. Les demandes d autorisation : envoyées au moyen d un formulaire préétabli. Le comité sectoriel juge si les finalités en vue desquelles l'accès aux données du registre d'attente a été demandé, sont déterminées, explicites et légitimes, et, le cas échéant, si les données du Registre national ou du registre d'attente demandées sont adéquates, pertinentes et non excessives par rapport à ces finalités (art.5 LRN). Ex : CPAS doit avoir un accès propre 15

16 L utilisation du numéro d identification : soumise à autorisation (idem) 16

17 III. Politique de sécurité Une politique de sécurité des données doit être mise en place par chaque responsable de traitement en vertu du principe même de la protection des données et de la vie privée 17

18 Cadre légal Loi du 08 décembre 1992 relative à la protection de la vie privée à l égard des traitements de données à caractère personnel. Loi du 30 juin 1994 relative à la protection de la vie privée contre les écoutes, la prise de connaissance et l enregistrement de communications et de télécommunications privée. Loi du 28 novembre 2000 en matière de criminalité informatique. Loi du 08 août 1983 organisant un Registre national des personnes physiques. Loi du 30 juin 1994 sur le droit d auteur et les droits voisins. Loi du 30 juin 1994 transposant la directive européenne du 14 mai 1991 sur la protection juridique des programmes d ordinateur. Loi du 31 août 1998 transposant la directive européenne du 11 mars 1996 sur la protection juridique des bases de données. CCT n 81 relative à la protection de la vie privée des travailleurs à l égard du contrôle des données de communication électroniques en réseau. 18

19 AR du 3 avril 1984 relatif à l accès de certaines autorités publiques au Registre national des personnes physiques, ainsi qu à la tenue à jour et au contrôle des informations Art.6. 1er. Dans chaque commune, dans chaque mission diplomatique et dans chaque poste consulaire un agent doit être spécialement chargé de veiller à l'application de la loi du 8 août 1983 (RN) et de ses arrêtés d'exécution pour ce qui concerne : 1 la tenue à jour des informations; 2 la conformité de celles-ci aux actes et documents dont elles émanent; 3 la protection de la vie privée; 4 l'accès aux informations et l'exercice du droit de communication et de rectification; 5 les mesures de sécurité et le secret professionnel. 6 l'utilisation du numéro d'identification du Registre National 19

20 Evaluation des risques. L évaluation des risques permet de déceler les menaces et vulnérabilités. Elle doit être suffisamment large pour couvrir l ensemble des principaux facteurs internes et externes, tels la technologie, les facteurs physiques et humains. Responsabilités. La responsabilité de la bonne application de la politique de sécurité appartient aux conseillers en sécurité désignés. Le service informatique est tenu de travailler en conformité avec les polices de sécurité définies. 20

21 Sécurité liée au personnel Information des risques liés à l utilisation des données et formation du personnel. Engagement de confidentialité du personnel. Liste du personnel concerné. Suivis disciplinaires en cas de non-respect. Sécurité physique Matériel, périphériques et équipement divers. Ex : Supprimer les données sur les matériels obsolètes qui ne sont plus utilisés, Verrouiller chaque station de travail lorsque son utilisateur n est à son poste, Contrôle à l entrée des installations informatiques sensibles par badge d accès, 21

22 Sécurité Logique Contrôle d accès aux systèmes d information et aux contenus qui y sont présents. Ex : Définir une politique de sélection de log in utilisateur, profils d utilisation, Réserver les droits «administrateur» aux membres du groupe d administration informatique, Réaliser toutes les opérations d administration distante via des communications sécurisées (le but est de ne pas transmettre de paramètres d authentification de compte d administration en clair et sans protection), Sécurisation des réseaux. Mise en place de pare-feu ou firewall, de proxy ou autres. 22

23 Contrôle de disponibilité. Réalisation de copies régulières de sauvegardes des données (back up), des données de connexion, des programmes, des applications et logiciels. Surveillance, revue et maintenance. Traitement de l information. Ex : Réserver l installation et la gestion de l infrastructure réseau à du personnel qualifié, Mise en place d un mécanisme de journalisation et de traçage (les données de traçage étant elles-mêmes des données à caractère personnel, tout traitement de celles-ci doit s accompagner des mesures de sécurité adéquates), Réaliser un suivi régulier de l application de la politique de sécurité ainsi que réalisation de contrôles, 23

24 Système de gestion des incidents de sécurité. Mettre en place une procédure de détection et de résolution des incidents, Veiller à une reprise rapide des systèmes, Répertorier les détails de chaque incident, 24

25 Vente et transfert des données personnelles contenues dans les registres de la population AR du 16 juillet 1992 relatif à la communication des informations contenues dans les registres de la population et dans le registre des étrangers. Circulaire du 7 octobre 1992 relative à la tenue des registres de la population et des étrangers (art. 108M1 à 115M1) Recommandation 06/2012 du 2 mai 2012 de la CPVP relative à la communication d informations contenues dans les registres de la population en application de l AR 16 juillet 1992 relatif à la communication des informations contenues dans les registres de la population et dans le registre des étrangers. 25

26 3 cas de figures : Demande par un tiers d un extrait ou de données du registre de la population concernant une personne ; Consultation du registre de la population par un service communal ou par le CPAS à des fins de gestion interne ; Communication de listes de personnes tirées des registres de la population 26

27 1. Obtention par des tiers d informations provenant des registres de la population et du registre des étrangers Tiers = toute personnes, tout organisme public ou privé Sur demande écrite = ce qui permet de vérifier si le demandeur dispose d une base légale et de délivrer un extrait qui contient uniquement des informations pertinentes. 27

28 2. Consultation du registre de la population par une commune ou un CPAS à des fins de gestion interne Gestion interne = finalités qui se situent dans le cadre des compétences réglementairement conférées aux communes. En contrepartie des facilités de consultation = politique de sécurité de l information de qualité. Ex : invitations par la commune de personnes célébrant un jubilé de mariage. Il ne doit pas s agir d une initiative privée (bourgmestre) mais d une initiative de la commune et donc décidé par l administration communale, ce qui permet de contrôler la finalité de la consultation. 28

29 3. La communication de listes de personnes tirées du registre de la population Principe : interdiction Exceptions : Autorités ou organisme public habilités par ou en vertu de la loi à obtenir de telles listes Autorités étrangères, moyennant l accord préalable du ministre des affaires étrangères 29

30 Aux partis politiques pendant les 6 mois qui précédent la date d une élection ordinaire ou dans les 40 jours qui précèdent la date d une élection anticipée, à des fins électorales uniquement Instituts de sondage agréés par le ministre des affaires économiques. Organismes de droit belge remplissant des missions d intérêt général qui ne disposent pas d une autorisation d accès au Registre national, pour autant que le collège des bourgmestres et échevins juge la demande fondée 30

31 Conditions : Données limitées à celles mentionnées à l art. 3 LRN. La commune doit procéder à un examen des demandes en 2 phases : - S agit-il d un organisme de droit belge qui accomplit une mission d intérêt général? - La demande est-elle en rapport direct avec la mission d intérêt général? est-elle proportionnelle et nécessaire? Le Collège des bourgmestres et échevins doit donc faire preuve d une certaine prudence lors de l appréciation des demandes. 31

32 Quid des services du centre culturel, de la piscine communale, de l école,.. souhaitant contacter les habitants de la commune pour les faire bénéficier des activités proposées? «la mission d une école consiste à dispenser un enseignement de qualité en tant que projet pédagogique. Recruter des élèves et se positionner sur le marché ne fait pas partie de cette mission. Aucune liste ne peut donc être fournie à une école. De même, il existe d autres moyens d atteindre le public concerné, par le biais du site internet de la commune par exemple» 32

33 Recommandation 06/2012 du 2 mai 2012 de la CPVP relative à la communication d informations contenues dans les registres de la population en application de l AR 16 juillet 1992 relatif à la communication des informations contenues dans les registres de la population et dans le registre des étrangers. 33

34 Commission de la protection de la vie privée Organe de contrôle indépendant chargé de veiller à la protection de la vie privée lors du traitement de données à caractère personnel. Depuis le 1er janvier 2004, relève de la Chambre des Représentants. Entité fédérale (depuis décembre 2009 existe également une Commission de contrôle flamande pour l échange électronique de données administratives) Des comités sectoriels par secteur spécifique. 34

35 Missions Participe à l'élaboration de normes pertinentes en matière de sécurité de l'information et de protection de la vie privée. Veille à faire respecter les lois concernant la protection de nos données à caractère personnel. Fournit des informations aussi bien aux autorités qu aux responsables des traitements et aux personnes concernées. Traite des plaintes et intervient en tant que médiateur, Donne des avis concernant les réglementations et les normes ainsi que les différentes autorisation au niveau du RN Contact : CPVP, rue de la Presse 35, 1000 Bruxelles, 35

36 Merci pour votre attention Service Protection des données et droits fondamentaux de l UE DG Législation, Droits et libertés fondamentaux Service Public Fédéral Justice Ketsia Malengreaux 27 janvier