ROYAUME DE BELGIQUE Bruxelles, le Adresse : Rue Haute, 139, B-1000 Bruxelles Tél.: +32(0)2/213.85.40 E-mail : commission@privacycommission.be Fax.: +32(0)2/213.85.65 http://www.privacycommission.be COMMISSION DE LA PROTECTION DE LA VIE PRIVEE DELIBERATION RN N 14 / 2007 du 2 mai 2007 N. Réf. : SA2 / RN / 2007 / 016 OBJET : Demande formulée par la SNCB afin d'obtenir la communication d'informations du Registre national en vue du projet "Go Pass" extension de l'autorisation RN n 31/2006 du 29 novembre 2006. La Commission de la protection de la vie privée ; Vu la loi du 8 août 1983 organisant un Registre national des personnes physiques (ci-après la "LRN") ; Vu la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel (ci-après la "LVP"), en particulier l'article 31bis ; Vu la loi du 25 mars 2003 modifiant la loi du 8 août 1983 organisant un Registre national des personnes physiques et la loi du 19 juillet 1991 relative aux registres de la population et aux cartes d identité et modifiant la loi du 8 août 1983 organisant un Registre national des personnes physiques, en particulier l'article 19, 3 ; Vu l'arrêté royal du 17 décembre 2003 fixant les modalités relatives à la composition et au fonctionnement de certains comités sectoriels institués au sein de la Commission de la protection de la vie privée, en particulier l'article 18 ; Vu la demande de la SNCB (société anonyme de droit public Société nationale des Chemins de Fer belges), reçue le 24 avril 2007 ; Vu la demande d'avis juridique et technique du 24 avril 2007 ; Vu l'avis juridique et technique du Service public fédéral Intérieur, reçu le 2 mai 2007 ; Vu le rapport du président ; Emet, après délibération, la décision suivante, le 2 mai 2007 : Dél RN 14 / 2007-1 / 5
I. OBJET DE LA DEMANDE ------------------------------------------- La demande a pour but que la SNCB, dénommée ci-après le demandeur, soit autorisée à accéder aux informations du Registre national et à en obtenir communication, plus particulièrement à celles mentionnées à l'article 3, premier alinéa, 1 à 3 et 5 de la LRN en vue de l'action "Go Pass". Le demandeur souhaite également que le rôle linguistique des personnes concernées lui soit communiqué. II. EXAMEN DE LA DEMANDE ---------------------------------------------- Le demandeur a déjà été autorisé, par la délibération RN n 31/2006 du 29 novembre 2006, à accéder à certaines informations du Registre national. La présente demande est par conséquent considérée comme une demande d'extension de l'autorisation précitée. Cela signifie que la Commission peut se limiter, lors de son examen, à vérifier si : la nouvelle finalité pour laquelle l'accès/la communication sont demandés est déterminée, explicite et légitime au sens des articles 4, 1, 2 de la LVP et 5, deuxième alinéa de la LRN ; les données faisant l'objet de l'accès/de la communication sont proportionnelles à la lumière de cette nouvelle finalité (article 4, 1, 3 de la LVP). A. NOUVELLE FINALITE A.1. Le point 6 du deuxième avenant au Contrat de gestion insère un article 56bis à ce contrat de gestion, rédigé comme suit : "Dès le 1 er mai 2007, la SNCB mettra en œuvre mensuellement une action de mailing visant tous les jeunes qui atteignent l'âge de 16 ans au cours du mois concerné. Le mailing contient un bon permettant au jeune d'obtenir un Go Pass gratuit. La SNCB facture trimestriellement à l'etat les Go Pass réellement délivrés au tarif Go Pass ordinaire. Le gouvernement évaluera ce projet à l'automne et l'adaptera le cas échéant, entre autres au niveau du mode de financement. Les crédits seront éventuellement adaptés en conséquence à partir de 2008. La SNCB communique trimestriellement à la DGTT un aperçu du nombre théorique de bénéficiaires ainsi que le succès de la mesure auprès du groupe cible." [Traduction libre effectuée par le secrétariat de la Commission en l absence de la communication d'une traduction officielle]. Dans la mesure où ce deuxième avenant au Contrat de gestion est approuvé par le Roi, l'article précité constitue une disposition réglementaire qui charge le demandeur d'une mission déterminée. Suite à cette disposition, le demandeur est obligé, à partir du mois de mai 2007, d'offrir un Go Pass 1 à chaque jeune dans le courant du mois où ce dernier atteint l'âge de 16 ans. La Commission constate que la finalité poursuivie est déterminée, explicite et légitime au sens de l'article 4, 1, 2 de la LVP. 1 Avec un Go Pass, les jeunes âgés de moins de 26 ans peuvent, pour un prix de 45,00, effectuer dix trajets en 2 e classe entre deux gares belges au choix. Un Go Pass est valable 1 an à compter de la date d'achat. Dél RN 14 / 2007-2 / 5
A.2. Le deuxième avenant auquel se réfère le demandeur fait l'objet d'un arrêté royal portant approbation du deuxième avenant au contrat de gestion conclu entre l'etat et la société anonyme de droit public Société nationale des Chemins de Fer belges. Ce projet a été approuvé au Conseil des ministres du 30 mars 2007. La notification mentionne en outre que le projet d'arrêté, moyennant une petite adaptation, peut être soumis à la signature du chef de l'etat. L'obligation mentionnée au point A.1. ne deviendra une mission réelle du demandeur qu'après l'approbation effective du Roi. Cela signifie que si la Commission octroyait une autorisation en la matière, celle-ci ne pourrait produire ses effets qu'après communication à la Commission de l'arrêté royal signé portant cette approbation. B. PROPORTIONNALITE B.1. Quant aux données B.1.1. La demande évoque tant un accès qu'une communication. D'après des précisions communiquées par téléphone, il apparaît en réalité que seule une communication est visée pour cette finalité. Le demandeur souhaite obtenir la communication des informations énoncées à l'article 3, premier alinéa, 1 à 3 et 5 de la LRN, à savoir : les nom et prénoms ; le lieu et la date de naissance ; le sexe ; la résidence principale. La Commission estime ce qui suit : Les données "nom et prénoms", "sexe" et "résidence principale" sont nécessaires pour que le demandeur puisse envoyer à un jeune faisant partie du groupe cible de l'action "Go Pass" visée par le deuxième avenant au contrat de gestion du demandeur - un bon en échange duquel il pourra obtenir un Go Pass gratuit. La "date de naissance" constitue un élément important pour sélectionner, dans le Registre national, les personnes visées par l'action, mais la communication de la date de naissance exacte au demandeur n'est pas nécessaire pour réaliser la finalité évoquée au point A.1. Pour ce faire, il suffit que le Registre national fournisse au demandeur pour chaque mois une liste des jeunes qui atteindront l'âge de 16 ans dans le courant de ce même mois. Il ne ressort pas de la demande que la communication de l'élément "lieu de naissance" soit requise pour atteindre la finalité. La Commission estime qu'en vue de la réalisation de la finalité mentionnée au point A.1., une communication des données à caractère personnel reprises à l'article 3, premier alinéa, 1, 3 et 5 de la LRN est conforme à l'article 4, 1, 3 de la LVP. La communication de la donnée mentionnée à l'article 3, premier alinéa, 2 de la LRN est refusée étant entendu que le Registre national ne communique les données précitées qu'en ce qui concerne les jeunes qui atteignent l'âge de 16 ans dans le courant du mois de la communication. B.1.2. Le demandeur souhaite également obtenir, pour chaque jeune, la communication du rôle linguistique. La Commission constate que les informations pour lesquelles elle peut octroyer une autorisation de communication sont énumérées à l'article 3, premier alinéa de la LRN. Le rôle linguistique n'est pas repris dans cette énumération. Dél RN 14 / 2007-3 / 5
B.2. Quant à la fréquence de la communication et à la durée pour laquelle la communication sont demandées B.2.1. Une communication mensuelle est demandée. Vu que le deuxième avenant au contrat de gestion prescrit que le demandeur effectue chaque mois une action de mailing, la Commission constate qu'une communication mensuelle des données à caractère personnel du groupe cible est la plus appropriée (article 4, 1, 3 de la LVP). B.2.2. La communication est demandée pour une durée indéterminée. D'après la demande, l'action présente un caractère permanent. Concrètement, cela signifie que la communication est requise aussi longtemps que le contrat de gestion du demandeur prévoit qu'un Go Pass gratuit est offert aux jeunes à l'occasion de leur 16 ème anniversaire. A la lumière de ce qui précède, la Commission estime qu'une autorisation dont la durée correspond à la durée de validité de cette disposition du contrat de gestion est appropriée (article 4, 1, 3 de la LVP). D'après le point 6 du deuxième avenant, point qui insère un article 56bis au contrat de gestion, il apparaît toutefois que le but est d'évaluer la mesure au plus tard d'ici le 31 décembre 2007, ce qui peut éventuellement donner lieu à une adaptation. Compte tenu de cela, la Commission dispose que le demandeur doit l'informer, au plus tard le 31 mars 2008, des résultats de cette évaluation et de l'éventuelle adaptation. Elle se réserve le droit de revoir éventuellement l'extension de l'autorisation en fonction de ces éléments. B.3. Quant au délai de conservation La demande précise que les données seront conservées pendant 12 mois et seront ensuite détruites. Une telle durée de conservation doit permettre un éventuel contrôle de l'exécution de la mesure. À strictement parler, le demandeur n'a besoin des données communiquées que pour adresser aux jeunes du groupe cible un courrier accompagné d'un bon. Dès que cette opération a eu lieu, il n'a en fait plus besoin de ces données. L'objectif est toutefois d'adresser par la suite un courrier unique à un certain pourcentage des personnes concernées afin de les interroger sur l'initiative et l'expérience avec le Go Pass. La Commission peut admettre qu'en vue d'un feed-back, un courrier unique soit envoyé à un certain nombre de bénéficiaires, ce qui implique que leurs données ne soient pas détruites immédiatement. Dans cette optique, une durée de conservation de 12 mois est admissible à la lumière de l'article 4, 1, 5 de la LVP. B.4. Usage interne et/ou communication à des tiers Le demandeur affirme que les données communiquées ne seront pas transmises à des tiers. Seules des données statistiques et non personnalisées concernant la mesure seront fournies au SPF Mobilité et Transports en vue de l'évaluation de la politique. La Commission en prend acte. Elle attire toutefois l'attention sur le fait que, en vue de l'évaluation de la politique, seules des données anonymes peuvent être transmises. L'article 1, 5 de l'arrêté royal du 13 février 2001 portant exécution de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel définit les données anonymes comme étant des données qui ne peuvent être mises en relation avec une personne identifiée ou identifiable. Dél RN 14 / 2007-4 / 5
C. SECURITE C.1. Conseiller en sécurité de l'information et politique de sécurité de l'information La Commission a déjà pris connaissance de ces informations à l'occasion de l'autorisation octroyée par la délibération RN n 31/2006 du 29 novembre 2006, qui a produit ses effets le 14 février 2007. C.2. Personnes ayant accès aux informations communiquées La demande fait mention des personnes qui travailleront avec les données communiquées. Pour autant que la Commission puisse en juger sur la base des données disponibles, il s'agit de personnes qui doivent pouvoir disposer de ces données pour réaliser les missions qui leur sont confiées. Le fait que l'identité des utilisateurs soit mentionnée dans la demande ne dispense pas le demandeur de respecter l'article 12 de la LRN, en vertu duquel il doit établir une liste des personnes ayant accès aux données communiquées. Cette liste sera actualisée en permanence et sera tenue à la disposition de la Commission. Les personnes reprises sur cette liste doivent en outre signer une déclaration par laquelle elles s'engagent à préserver la sécurité et le caractère confidentiel des informations. PAR CES MOTIFS, la Commission 1 élargit l'autorisation octroyée par la délibération RN n 31/2006 du 29 novembre 2006 comme suit : autorise la SNCB, pour une durée correspondant à la durée de validité de la disposition concernée du contrat de gestion, pour la finalité mentionnée au point A.1. et aux conditions stipulées dans la présente délibération, à obtenir mensuellement la communication des informations du Registre national mentionnées à l'article 3, premier alinéa, 1, 3 et 5 de la LRN, pour les jeunes qui atteignent l'âge de 16 ans dans le courant du mois auquel se rapporte la communication ; cette extension ne produira toutefois ses effets qu'après que l'arrêté royal signé portant approbation du deuxième avenant au contrat de gestion conclu entre l'etat et la société anonyme de droit public Société nationale des Chemins de Fer belges aura été communiqué à la Commission ; 2 dispose que la SNCB doit l'informer, au plus tard le 31 mars 2008, des résultats de l'évaluation et de l'éventuelle adaptation de l'action "Go Pass". Elle se réserve le droit de revoir éventuellement l'extension de l'autorisation en fonction de ces éléments. 3 refuse ce qui a été demandé en sus. L administrateur, (sé) Jo BARET Le président, (sé) Willem DEBEUCKELAERE Dél RN 14 / 2007-5 / 5