Vu les informations complémentaires reçues en date du 16/10/2014 ;

Transcription

1 1/8 Comité sectoriel du Registre national Délibération RN n 98/2014 du 19 novembre 2014 Objet: Demande de la Banque nationale de Belgique (BNB) à pouvoir accéder au Registre national et utiliser le numéro d identification du Registre national pour la gestion des demandes d accès au point de contact central tenu en exécution de l article 322 du Code d Impôts sur les Revenus (RN- MA ) Le Comité sectoriel du Registre national (ci-après "le comité") ; Vu la loi du 8 août 1983 organisant un Registre national des personnes physiques (ci-après la "LRN") ; Vu la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel (ci-après la LVP ), en particulier l'article 31bis ; Vu l'arrêté royal du 17 décembre 2003 fixant les modalités relatives à la composition et au fonctionnement de certains comités sectoriels institués au sein de la Commission de la protection de la vie privée ; Vu la demande de la BNB reçue le 09/10/2014; Vu les informations complémentaires reçues en date du 16/10/2014 ; Vu la demande d'avis technique et juridique adressée au Service public fédéral Intérieur en date du 21/10/2014;

2 Délibération RN 98/2014-2/8 Vu le rapport de la Présidente ; Émet, après délibération, la décision suivante, le 19 novembre 2014: I. OBJET DE LA DEMANDE 1. La Banque nationale de Belgique (BNB), ci-après dénommée «le demandeur», demande l autorisation d accéder au Registre national et d utiliser le numéro d identification du Registre national pour la gestion des demandes d accès au point de contact central tenu en exécution de l article 322 du Code d Impôts sur les Revenus (CIR).... II. EXAMEN DE LA DEMANDE 2. Le demandeur a été autorisé au terme de l arrêté royal du 5 février 1990 à accéder aux informations mentionnées à l article 3, 1 er alinéa, 1 à 5, et 2ème alinéa, de la LRN ainsi qu à utiliser le numéro d identification du Registre national aux fins exclusives de l accomplissement de ses tâches légales et réglementaires relatives à l enregistrement de crédits, d emprunts et de contrats à tempérament. Par délibération RN n 37/2005, le demandeur a vu son autorisation étendue à la finalité de gestion du fichier des "enregistrements non régis". 3. L Arrêté royal du 3 février autorise le demandeur à accéder au Registre national pour les besoins de l enregistrement correct des personnes concernées au point de contact central. L accès ainsi autorisé n est toutefois que temporaire étant donné qu il prend fin le 31 décembre de cette année. C est pourquoi le demandeur sollicite la présente extension. 4. En conséquence, le Comité peut se borner à : - apprécier si la finalité pour laquelle l accès aux données du Registre national est actuellement demandé est déterminée, explicite et légitime au sens de l article 4, 1, 2, de la LVP et de l article 5, 2ème alinéa, de la LRN, et si l autorisation peut dès lors être étendue à cette finalité ; - contrôler la proportionnalité des informations auxquelles l accès est demandé compte tenu de la finalité poursuivie. 1 AR du 3/02/2014 autorisant la Banque nationale de Belgique et les établissements de banque, ce change, de crédit et d épargne visés à l articles 322 du CIR à accéder temporairement au Registre national des personnes physiques

3 Délibération RN 98/2014-3/8 A. FINALITE 5. En vertu de l'article 4 de la LVP, les informations du Registre national constituent des données à caractère personnel dont le traitement n'est autorisé que pour des finalités déterminées, explicites et légitimes. Ces données doivent, en outre, être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont traitées. 6. C'est pour gérer les demandes d accès des personnes concernées au point de contact central, tel qu institué en vertu de l article 322 du CIR, que le demandeur souhaite pouvoir consulter le Registre national. Il veillera ainsi à ce que les personnes concernées soient bien identifiées de manière unique pour leur adresser la réponse à leur adresse de résidence principale. 7. Les clients des établissements bancaires disposent d un droit d accès au point de contact central en vertu de l article 17 de l AR du 17 juillet Cette disposition prévoit que la liste des données enregistrées dans le point de contact central au nom du client est envoyée par la Banque nationale de Belgique à l adresse de ce client tel qu indiquée par le Registre national des personnes physiques ou, à défaut, à l adresse renseignée dans le document d identité officiel présenté par le client. 8. La Banque nationale utilisera les données du Registre national non seulement pour prendre connaissance de l adresse de résidence principale de la personne mais également pour s assurer de l identification unique de la personne faisant valoir son droit d accès au point de contact central étant donné que certains clients peuvent avoir été enregistrés au point de contact central uniquement à l aide de leur nom, prénom, lieu et date de naissance. En cas de doute sur l identification unique de la personne, les informations ne seront pas communiquées par la Banque nationale. 9. La réalisation des traitements de données précités constitue donc pour le demandeur l'exécution des missions légales qui lui sont confiées par l article 322, 3 du CIR et par l article 17 de l AR précité du 17 juillet Les traitements sont dès lors légitimes au sens de l'article 5, premier alinéa, e) de la LVP. Les finalités ici poursuivies sont par ailleurs déterminées, explicites et légitimes au sens de l'article 4, 1, 2 de la LVP et de l'article 5, deuxième alinéa de la LRN. 2 AR du 17/07/2013 relatif au fonctionnement du point de contact central visé à l article 322, 3 du CIR.

4 Délibération RN 98/2014-4/8 B. PROPORTIONNALITÉ 1. Quant aux données 10. Le demandeur sollicite l'autorisation d'accéder aux informations visées à l'article 3, premier alinéa, 1, 2 et, 5, de la LRN concernant les personnes exerçant leur droit d accès au point de contact central, à savoir: les nom et prénoms; la date et le lieu de naissance; la résidence principale. 11. Le Comité constate que ces données permettront au demandeur d assurer une correspondance correcte avec ces personnes concernées et de vérifier, en cas de non enregistrement du numéro du Registre national d une personne dans le point de contact central, si cette personne est bien identifiée de manière unique au sein du Registre national à l aide de ses nom, prénoms, lieu et date de naissance. 12. Au vu des finalités poursuivies par le demandeur, un accès aux informations mentionnées à l'article 3, premier alinéa, 1, 2 et 5 de la LRN est conforme à l'article 4, 1, 3 de la LVP. 2. Quant au numéro d'identification du Registre national 13. Le demandeur souhaite pouvoir utiliser le numéro d'identification du Registre national pour l'utiliser comme clef de recherche dans le Registre national afin de réaliser la finalité précitée. 14. Le Comité constate qu une telle utilisation du numéro d'identification est déjà couverte par l'arrêté royal du 24 novembre 2010 déterminant les cas dans lesquels une autorisation n est pas requise. En vertu de cet Arrêté royal, les organismes autorisés à consulter le Registre national peuvent enregistrer en interne le numéro d identification du Registre national afin de consulter le Registre national. 15. Au vu de ce qui précède, l utilisation projetée du numéro d identification du Registre national est, à la lumière de la finalité poursuivie, conforme à l article 4, 1, 3 de la LVP.

5 Délibération RN 98/2014-5/8 3. Quant à la durée de l autorisation et la fréquence de l accès de l utilisation 16. Le demandeur souhaite une autorisation pour une durée indéterminée étant donné qu aucune limite dans le temps n a été fixée par le législateur à sa mission de gestion du point de contact central. 17. Le Comité constate qu'une autorisation d'une durée indéterminée s avère donc appropriée (article 4, 1 er, 3 de la LVP). 18. Le demandeur souhaite un accès permanent aux données demandées afin de pouvoir accéder dès que nécessaire aux données dans le cadre de leur missions. 19. Le Comité constate qu en vue de répondre aux demandes ponctuelles des personnes concernées faisant valoir leur droit d accès au point de contact central, un accès permanent aux données du Registre national est approprié (article 4, 1er, 3 de la LVP). 4. Quant au délai de conservation 20. Le Comité rappelle que les données ne peuvent pas être conservées pour une durée excédant celle nécessaire à la réalisation des finalités pour lesquelles elles ont été collectées (article 4, 1, 5 de la LVP). 21. Le demandeur a précisé que les résultats des consultations du Registre national seront conservés pendant 8 années à titre de preuve de la réalisation correcte des procédures d identification par le personnel du demandeur. 22. L article 7 de l AR précité du 17 juillet 2013 prévoit que les données communiquées au point de contact central y seront conservées pendant 8 années. Par conséquent, le Comité estime que le délai de conservation des données du Registre national avancé par le demandeur est conforme à l article 4, 1, 5 de la LVP. 5. Usage interne et/ou communication à des tiers 23. Les données demandées seront uniquement utilisées en interne par le demandeur pour réaliser la finalité précitée. 24. Le Comité en prend acte.

6 Délibération RN 98/2014-6/8 6. Connexions en réseau 25. D'après la demande, il apparaît qu'aucune connexion en réseau ne sera établie sur la base du numéro d'identification. 26. Par souci d'exhaustivité, le Comité attire l attention sur le fait que : si des connexions en réseau devaient être réalisées ultérieurement, le demandeur devra l'en informer au préalable ; le numéro d'identification du Registre national ne peut de toute façon être utilisé dans des relations avec des tiers que pour autant que cela s'inscrive dans le cadre des finalités pour lesquelles ces derniers ont également été autorisés à utiliser ce numéro. C. SÉCURITÉ 1. Conseiller en sécurité de l information 27. L'identité d'un conseiller en sécurité n a pas été communiquée. 28. L article 10 de la LRN oblige chaque instance qui obtient l accès aux informations du Registre national ou la communication de celles-ci à désigner un conseiller en sécurité de l information. Un conseiller en sécurité de l information doit pouvoir apprécier, en toute indépendance, la sécurité de l information. 29. Le conseiller en sécurité de l information désigné par le demandeur doit être communiqué au Comité en lui adressant le questionnaire adhoc, disponible sur le site web de la Commission, dûment complété conformément à la vérité. 2. Politique de sécurité 30. Aucune information relative à la politique de sécurité du demandeur n a été communiquée par ce dernier. 31. Le Comité souhaite que le demandeur l informe à ce sujet en lui communiquant le questionnaire adhoc, disponible sur le site web de la Commission, dûment complété conformément à la vérité.

7 Délibération RN 98/2014-7/8 3. Personnes qui ont accès aux données et liste de ces personnes 32. Ce seront des membres du personnel de la section «Point de contact central» de la Centrale des crédits du demandeur qui accéderont au Registre national et utiliseront le numéro d identification du Registre national dans l'exercice de leurs fonctions. Le demandeur a précisé à cet égard que cela représente actuellement une équipe de 4 personnes chargées d assurer le fonctionnement du point de contact central et de répondre aux personnes exerçant leur droit d accès. 33. Comme le prescrit l article 12 de la LRN, une liste reprenant les personnes qui ont accès aux données du Registre national devra être dressée par le demandeur. Cette liste sera constamment actualisée et tenue à la disposition du comité. 34. Par ailleurs, le Comité souligne que quelle que soit la personne qui dispose en interne d'un accès au Registre national, le demandeur doit élaborer les procédures nécessaires de manière à enregistrer, pour chaque consultation du Registre national, le dossier dans le cadre duquel la consultation a eu lieu afin de pouvoir vérifier par la suite s'il y avait un fondement suffisant à cet effet. PAR CES MOTIFS, le Comité 1 autorise pour une durée indéterminée le demandeur, aux conditions exposées dans la présente délibération et en vue des finalités mentionnées au point A, à disposer d'un accès permanent, aux informations mentionnées à l'article 3, premier alinéa, 1, 2 et 5, de la LRN; La présente autorisation ne produira toutefois ses effets que lorsque le Comité aura constaté sur la base des documents et renseignements fournis par le demandeur : qu'un conseiller en sécurité de l'information présentant les garanties nécessaires aura été désigné (point C.1); qu une politique de sécurité de l'information adéquate est implémentée (point C.2). 2 constate que le demandeur est habilité à utiliser le numéro d identification du Registre national comme clef de recherche dans le Registre national sur base de l Arrêté royal précité du 24 novembre 2011;

8 Délibération RN 98/2014-8/8 3 stipule que lors de toute modification ultérieure de l organisation de la sécurité de l information pouvant avoir un impact sur les réponses données au questionnaire sécurité fourni au Comité (désignation du Conseiller en sécurité et réponses aux questions relatives à l organisation de la sécurité), le demandeur adressera au Comité un nouveau questionnaire relatif à l'état de la sécurité de l'information complété conformément à la vérité. Le Comité en accusera réception et se réserve le droit de réagir ultérieurement, s'il y a lieu ; 4 stipule également que lorsqu'il enverra au demandeur un questionnaire relatif à l'état de la sécurité de l'information, celui-ci devra compléter ce questionnaire conformément à la vérité et le renvoyer au Comité. Ce dernier en accusera réception et se réserve le droit de réagir ultérieurement, s'il y a lieu. L Administrateur f.f., La Présidente, (sé) Patrick Van Wouwe (sé) Mireille Salmon