Vu la demande de la section flamande de la Croix-Rouge de Belgique, reçue le 15/01/2015 ;

Transcription

1 1/7 Comité sectoriel du Registre national Délibération RN n 23/2015 du 22 avril 2015 Objet : demande d'autorisation formulée par la section flamande de la Croix-Rouge de Belgique afin d'utiliser le numéro de Registre national pour la gestion des formations (RN-MA ) Le Comité sectoriel du Registre national (ci-après "le Comité") ; Vu la loi du 8 août 1983 organisant un Registre national des personnes physiques (ci-après la "LRN") ; Vu la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel (ci-après la "LVP"), en particulier l'article 31bis ; Vu l'arrêté royal du 17 décembre 2003 fixant les modalités relatives à la composition et au fonctionnement de certains comités sectoriels institués au sein de la Commission de la protection de la vie privée ; Vu la demande de la section flamande de la Croix-Rouge de Belgique, reçue le 15/01/2015 ; Vu les informations complémentaires reçues le 24/03/2015 ; Vu la demande d'avis technique et juridique adressée au Service public fédéral Intérieur en date du 09/03/2015 ; Vu le rapport de la Présidente ; Émet, après délibération, la décision suivante, le 22 avril 2015 :

2 Délibération RN 23/2015-2/7 I. OBJET DE LA DEMANDE 1. La demande vise à ce que la section flamande de la Croix-Rouge de Belgique, ci-après le demandeur, soit autorisée à utiliser le numéro de Registre national (article 8 de la LRN) afin de pouvoir disposer d'un numéro d'identification unique pour identifier les participants aux formations. 2. Pour information, le Comité rappelle qu'il a déjà accordé à la Croix-Rouge de Belgique une autorisation d'utiliser le numéro de Registre national pour d'autres finalités dans la délibération RN n 39/2008 du 30 juillet 2008 : "demande formulée par Het Belgische Rode Kruis, Rode Kruis-Vlaanderen, Dienst voor het Bloed (La Croix-Rouge de Belgique, Croix- Rouge-Flandre, Service du Sang) en vue d'utiliser le numéro d'identification du Registre national en vue de l'identification du donneur de sang" et dans la délibération RN n 71/2011 du 14 décembre 2011 : "demande formulée par la Croix-Rouge de Belgique afin d obtenir l autorisation d utiliser le numéro du Registre national afin de disposer d un numéro d identifiant unique pour chaque volontaire et afin de permettre de remplir les fiches fiscales". II. EXAMEN DE LA DEMANDE A. LÉGISLATION APPLICABLE A.1. Loi du 8 août 1983 (LRN) 3. Conformément à l'article 5, premier alinéa, 2 et à l'article 8 de la LRN, l'autorisation d'accéder aux informations du Registre national ou d'en obtenir communication et d'utiliser le numéro de Registre national est accordée par le Comité "aux organismes publics ou privés de droit belge pour les informations nécessaires à l'accomplissement de tâches d'intérêt général qui leur sont confiées par ou en vertu d'une loi, d'un décret ou d'une ordonnance ou de tâches reconnues explicitement comme telles par le comité sectoriel précité". 4. Conformément à ses statuts 1, approuvés par arrêté des trois exécutifs communautaires 2, la Croix-Rouge de Belgique intervient comme auxiliaire des pouvoirs publics en tant que société de secours et remplit dès lors une tâche d'intérêt général. 1 Statuts de la Croix-Rouge de Belgique adopté le 13 octobre 2003, M.B. du 22 avril 2004.

3 Délibération RN 23/2015-3/7 5. En sa qualité d'organisme public de droit belge, le demandeur entre donc en ligne de compte pour être autorisé à utiliser le numéro de Registre national, sur la base de l'article 5, premier alinéa, 2 et de l'article 8 de la LRN. A.2. Loi du 8 décembre 1992 (LVP) 6. En vertu de l'article 4 de la LVP, les informations du Registre national et le numéro de Registre national constituent des données à caractère personnel dont le traitement n'est autorisé que pour des finalités déterminées, explicites et légitimes. Les données à caractère personnel doivent en outre être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont traitées. B. FINALITÉ 7. L'article 4 des statuts du demandeur précise notamment que le demandeur a pour mission de contribuer à l'amélioration de la santé, à la prévention des maladies, à l'allègement des souffrances par des programmes de formation et d'entraide au service de la population, Dans le cadre de sa mission telle qu'exposée ci-dessus, le demandeur organisera des formations. Le numéro de Registre national sera utilisé pour identifier de manière unique le participant qui s'enregistre pour une formation. Cet enregistrement dans le Learning Management System (ci-après LMS) peut être réalisé par le participant lui-même, par son institution/sa société ou organisation ou par un collaborateur du demandeur. 9. Le Comité estime que la finalité susmentionnée qui est poursuivie est déterminée et explicite au sens de l'article 4, 1, 2 de la LVP et de l'article 5, deuxième alinéa de la LRN. Elle est également légitime étant donné que les traitements qui en découlent se basent sur l'article 5, premier alinéa, f) de la LVP. 2 Arrêté du Gouvernement de la Communauté française du 4 décembre 2003 portant approbation des statuts de la Croix-Rouge de Belgique, M.B. du 22 avril 2004 ; arrêté du Gouvernement flamand du 2 avril 2004 portant approbation des statuts modifiés de la Croix-Rouge de Belgique, M.B. du 1 er juillet 2004 et arrêté du Gouvernement de la Communauté germanophone du 4 juin 2004 portant approbation des nouveaux statuts de la Croix-Rouge de Belgique adoptés le 11 octobre 2003, M.B. du 20 août 2004.

4 Délibération RN 23/2015-4/7 C. PROPORTIONNALITÉ C.1. Quant au numéro de Registre national 10. L'utilisation du numéro de Registre national est demandée pour l'identification unique des participants concernés, permettant ainsi notamment de délivrer les brevets au bon participant. L'utilisation du numéro de Registre national dans le LMS et le couplage de cette banque de données aux banques de données CRM (Customer Relationship Management) et ACT (Active Consulting Tool) permettent d'actualiser en permanence les informations disponibles dans chaque banque de données. 11. À la lumière de la finalité indiquée, l'utilisation du numéro de Registre national souhaitée par le demandeur est conforme à l'article 4, 1, 3 de la LVP. C.2. Quant à la durée de l'autorisation 12. Une autorisation d'une durée indéterminée est demandée étant donné que les activités de formation du demandeur ne sont pas limitées dans le temps. 13. Le Comité constate que la réalisation de la finalité n'est pas limitée dans le temps. À la lumière de la finalité, une autorisation d'une durée indéterminée est appropriée (article 4, 1, 3 de la LVP). C.3. Quant au délai de conservation 14. Le délai de conservation est fixé par défaut à 25 ans. Pour les participants qui suivent une formation en secourisme d'entreprise pour le compte de l'employeur, on part du principe que le délai de conservation doit correspondre à la durée de l'occupation chez l'employeur + 15 ans. Pour les participants qui sont bénévoles à la Croix-Rouge, un délai de conservation jusqu'à 15 ans après la fin du mandat de bénévole est prévu. Ces délais sont dictés par le fait que les bénévoles font souvent une pause mais souhaitent ensuite redevenir bénévoles. 15. Dans la mesure où il respecte les délais susmentionnés, le demandeur agit conformément à l'article 4, 1, 5 de la LVP.

5 Délibération RN 23/2015-5/7 C.4. Usage interne et/ou communication à des tiers 16. Selon le demandeur, le numéro de Registre national sera uniquement utilisé en interne. 17. Le Comité en prend acte. C.5. Connexions en réseau 18. Sur la base des informations contenues dans la demande, le Comité constate qu'il n'y aura pas de connexion en réseau. 19. Par souci d exhaustivité, le Comité attire l attention sur le fait que : si des connexions en réseau devaient être réalisées ultérieurement, le demandeur devra l'en informer au préalable ; le numéro de Registre national ne peut en tout cas être utilisé dans des relations avec des tiers que pour autant que cette utilisation s inscrive dans le cadre des finalités pour lesquelles ces derniers ont également été autorisés à utiliser ce numéro. D. SÉCURITÉ D.1. Conseiller en sécurité de l'information 20. L'identité du conseiller en sécurité de l'information a été communiquée. Manifestement, il n'existe aucune incompatibilité avec d'autres activités éventuelles exercées par la personne concernée. Dès lors, elle peut être admise en tant que conseiller en sécurité. D.2. Politique de sécurité de l'information 21. Il ressort des documents transmis par le demandeur que ce dernier dispose d'une politique de sécurité ainsi que d'un plan en application de celle-ci. 22. Le Comité en prend acte et insiste pour que des loggings soient conservés afin d'enregistrer qui a consulté un dossier déterminé, à un moment déterminé, pour quelle raison sur la base du numéro de Registre national.

6 Délibération RN 23/2015-6/7 D.3. Personnes qui utilisent le numéro de Registre national et liste de ces personnes 23. Toutes les personnes chargées de la gestion et de l'organisation des formations de la Croix- Rouge, actives au sein du demandeur, utiliseront le numéro de Registre national. 24. Comme le prescrit l'article 12 de la LRN, le demandeur doit dresser une liste des personnes susmentionnées. Cette liste sera constamment actualisée et tenue à la disposition du Comité. Elle sera présentée au Comité à la première demande. 25. Les personnes figurant sur cette liste doivent en outre signer une déclaration dans laquelle elles s'engagent à préserver la sécurité et le caractère confidentiel des informations. 26. Le Comité entend que le demandeur prenne les mesures nécessaires afin d'enregistrer les loggings de manière à pouvoir contrôler les accès. PAR CES MOTIFS, le Comité 1 autorise, pour une durée indéterminée, la section flamande de la Croix-Rouge de Belgique, en vue de la réalisation de la finalité mentionnée au point B et aux conditions définies dans la présente délibération, à utiliser le numéro de Registre national ; 2 stipule que lors de toute modification ultérieure de l organisation de la sécurité de l information pouvant avoir un impact sur les réponses données au questionnaire sécurité fourni au Comité (désignation du conseiller en sécurité de l'information et réponses aux questions relatives à l organisation de la sécurité), la section flamande de la Croix-Rouge de Belgique adressera au Comité un nouveau questionnaire relatif à l'état de la sécurité de l'information complété conformément à la vérité. Le Comité en accusera réception et se réserve le droit de réagir ultérieurement, s'il y a lieu ;

7 Délibération RN 23/2015-7/7 3 stipule que lorsqu'il enverra à la section flamande de la Croix-Rouge de Belgique un questionnaire relatif à l'état de la sécurité de l'information, celle-ci devra compléter ce questionnaire conformément à la vérité et le renvoyer au Comité. Ce dernier en accusera réception et se réserve le droit de réagir ultérieurement, s'il y a lieu. Pour l'administrateur f.f., abs. La Présidente, (sé) An Machtens Chef de section OMR f.f. (sé) Mireille Salmon